סוכנויות הסייבר ואכיפת החוק בארצות הברית ובאירופה פרסמו ב־20 באוקטובר 2026 התרעה משותפת על קבוצת הכופרה SafePay. לפי ההתרעה, הקבוצה פעילה מאז אוגוסט 2024 ופגעה בלפחות 600 ארגונים ממגוון מגזרי תשתית קריטית ברחבי צפון ודרום אמריקה, אירופה ואוסטרליה.
המספר מתאר ארגונים שנכללו במידע המאומת של הרשויות, ולכן נכון להתייחס אליו כרף תחתון — לא כהערכה מלאה של כלל האירועים. SafePay מתוארת כאחת מקבוצות הכופרה הפעילות ביותר כיום, אך ההתרעה אינה מספקת חלוקה מלאה של הקורבנות לפי מדינה או ענף.
איך SafePay נכנסת לרשת
לפי התרעת CISA AA26-293A, התוקפים משתמשים בכמה מסלולי חדירה מוכרים: חשבונות שפרטיהם נחשפו, ניסיונות ניחוש סיסמאות, גישה דרך VPN, פרופילים שנגנבו בדיוג וניצול חולשות במערכות קצה החשופות לאינטרנט. הרשויות מציינות גם שימוש בסקריפטים אוטומטיים לניצול חולשות ידועות.
המשמעות המעשית לארגוני IT היא שאין כאן "דלת קסם" אחת שצריך לסגור. הסיכון נוצר מצירוף של זהויות חלשות, מערכות קצה שלא עודכנו והרשאות רחבות מדי. לכן בדיקה של נקודה אחת בלבד — למשל פתרון האנטי־וירוס בתחנות — אינה מספקת תמונה מלאה.
לאחר החדירה, התוקפים מנסים להרחיב הרשאות, לנוע בין מערכות ולפגוע ביכולת ההתאוששות. ההתרעה מתארת מקרים שבהם נמחקו עותקי Shadow Copies ואופסו התקני NAS ששימשו לגיבוי. במקביל, הקבוצה גונבת מידע לפני ההצפנה ומאיימת לפרסם אותו. זהו מודל סחיטה כפולה: גם השבתת מערכות וגם לחץ הנובע מחשיפת נתונים.
חמש פעולות שכדאי לתעדף
- לטפל קודם במערכות החשופות לאינטרנט. יש למפות VPN, חומות אש ושירותי קצה, להשוות גרסאות לעדכוני היצרן ולבדוק האם חולשות רלוונטיות מופיעות בקטלוג KEV של CISA.
- לחזק זהויות. להחיל אימות רב־שלבי, לצמצם חשבונות מנהל, לבטל חשבונות לא פעילים ולהתריע על התחברויות חריגות או ניסיונות חוזרים.
- להגביל כלי ניהול מרחוק. גישה לכלים בעלי הרשאות גבוהות צריכה להיות זמינה רק למשתמשים ולמערכות שזקוקים לה, עם רישום ובקרה.
- לבודד ולבחון גיבויים. גיבוי שאפשר למחוק מאותה סביבת ניהול עלול לא להספיק. יש לשמור עותקים מבודדים או בלתי ניתנים לשינוי ולבצע תרגילי שחזור בפועל.
- לבצע triage פורנזי כאשר יש סימנים. שינויי חשבונות, כלי גישה מרחוק לא מוכרים או ניסיונות למחוק גיבויים מחייבים בדיקה מסודרת לפני שמנקים ראיות.
הצעדים האלה אינם מבטיחים חסינות, אבל הם מצמצמים את הסיכוי לחדירה ומגבילים את היקף הנזק אם תתרחש. צוותי SOC ו־IT יכולים להפוך את ההתרעה לרשימת בדיקות קצרה: מה חשוף, מי יכול להיכנס, אילו הרשאות ניתנו, היכן נמצאים הגיבויים ואיך יודעים שהשחזור עובד.
מה לעשות במקרה של חשד
כאשר מופיע חשד לכופרה, חשוב לבודד מערכות מושפעות מבלי למחוק לוגים, לשמר ראיות ולפעול לפי תכנית תגובה לאירוע. הרשויות גם מדגישות שתשלום כופר אינו מבטיח שחזור של הקבצים. יש לערב את גורמי המקצוע, ההנהלה והייעוץ המשפטי בהתאם לחומרת האירוע ולחובות הדיווח הרלוונטיות.
כדאי לקרוא גם את המדריך שלנו על הקשחת Microsoft 365 Business Premium ואת העדכון על חולשת PAN-OS והגנת מערכות קצה.
מקורות
- CISA, FBI ושותפים: #StopRansomware – SafePay Ransomware, 20.10.2026
- Reuters, 20.10.2026
- BleepingComputer, 21.10.2026
קרדיט תמונה: Christina Morillo (Divinetechygirl) / Pexels. שימוש בהתאם ל־Pexels License.
