כשהעימות הגיאופוליטי מגיע לרשת הארגונית
במשך שנים רבות, מתקפות סייבר ממניעים פוליטיים נדונו בעיקר בהקשר של ממשלות, גופי מודיעין, מערכות צבאיות ותשתיות קריטיות. חברות פרטיות נטו לראות בהן קטגוריית סיכון מרוחקת: איום משמעותי ברמה הלאומית, אך כזה שסביר שלא ישפיע על עסק רגיל.
כיום, קשה יותר ויותר לשמר את ההפרדה הזו.
עימותים גיאופוליטיים מודרניים מתנהלים לא רק באמצעות לחץ צבאי, דיפלומטי וכלכלי, אלא גם באמצעות שיבוש דיגיטלי, ריגול, חשיפת מידע, הפחדה ומבצעי השפעה. היעדים כבר אינם מוגבלים למשרדי ממשלה או לקבלנים ביטחוניים. בתי חולים, אוניברסיטאות, חברות טכנולוגיה, ספקי לוגיסטיקה, סביבות ענן, פלטפורמות מדיה, רשויות מקומיות וספקי שירותים קטנים – כולם עלולים להפוך לחלק מהעימות.
עבור ארגונים ישראליים, לא מדובר בשינוי תיאורטי. מאז 7 באוקטובר 2023, פעילות הסייבר הקשורה לעימות האזורי המחישה באיזו מהירות אירועים פוליטיים יכולים לשנות את מפת האיומים. ארגון עשוי להפוך ליעד משום שהוא מספק שירות חיוני, עובד עם הממשלה, תומך בענף מסוים, משרת לקוחות ישראליים, מעסיק אנשי מילואים או פשוט מזוהה כישראלי במרחב המקוון.
בסביבה הזו, החשיפה הגיאופוליטית הפכה לחלק מסיכון הסייבר.
מה הופך מתקפת סייבר לפוליטית?
מתקפת סייבר ממניע פוליטי מוגדרת פחות לפי הטכניקה שבה נעשה שימוש ויותר לפי המטרה שעומדת מאחוריה. אותו מייל פישינג, סיסמה גנובה, שרת פגיע או כלי כופרה שמשמשים פושעי סייבר למטרות רווח, יכולים לשמש גם לקידום קמפיין פוליטי.
ההבדל טמון בתוצאה הרצויה. קבוצה עבריינית בדרך כלל שואפת לרווח כספי. תוקף בעל מניע פוליטי עשוי לחפש מידע מודיעיני, שיבוש ציבורי, לחץ פסיכולוגי, פגיעה במוניטין או ניצחון סמלי. חלק מהפעולות מתבצעות ישירות בידי גופי מדינה. אחרות מערבות קבוצות המזוהות עם מדינות, קבוצות האקטיביסטים אידיאולוגיות, ארגוני פרוקסי או גורמים עברייניים שניתן להפנות את יכולותיהם נגד מטרות פוליטיות.
לא תמיד קל להפריד בין הקטגוריות הללו. קבוצה עשויה להציג את עצמה כקולקטיב האקטיביסטי עצמאי, ובמקביל לקבל תמיכה ממדינה. אירוע כופרה עשוי להיראות כבעל מניע כלכלי, אף שמטרתו האמיתית היא השמדת מידע ולא קבלת תשלום תמורת שחזורו. מידע גנוב עשוי להתפרסם באופן סלקטיבי כדי להביך ארגון, להשפיע על השיח הציבורי או ליצור חוסר אמון.
לכן, פעילות סייבר פוליטית משלבת כמה סוגים של לחץ:
- ריגול: גניבת מידע אסטרטגי, מסחרי, אישי או ממשלתי.
- שיבוש: פגיעה בשירותים, אתרי אינטרנט, תקשורת או מערכות תפעוליות.
- הרס: מחיקת מידע או פגיעה במערכות במטרה להקשות על ההתאוששות.
- חשיפה: פרסום מידע גנוב כדי להפחיד אנשים או לפגוע במוסדות.
- השפעה: מניפולציה של נרטיבים באמצעות התחזות, טענות כוזבות, מידע מודלף או מדיה סינתטית.
החדירה הטכנית עשויה להיות רק חלק אחד מהפעולה. האופן שבו האירוע מוצג לציבור יכול להיות חשוב לא פחות מהגישה למערכות עצמה.
ישראל כיעד מתמשך למתקפות סייבר
ישראל מהווה זה שנים יעד מרכזי לפעילות סייבר בחסות מדינות ולמתקפות ממניעים אידיאולוגיים. מגזר הטכנולוגיה שלה, האקוסיסטם הביטחוני, מוסדות המחקר, התשתיות הקריטיות ומעמדה הגיאופוליטי הופכים אותה ליעד אטרקטיבי לאיסוף מודיעין ולשיבוש. עם זאת, התקופה הנוכחית הפכה את הקשר בין עימות פיזי לפעילות סייבר למיידי הרבה יותר.
מיקרוסופט דיווחה כי לאחר 7 באוקטובר, מספר הקבוצות המקושרות לאיראן שאותן זיהתה כפעילות נגד ישראל גדל מתשע בשבוע הראשון למלחמה ל-14 בשבוע השני. עוד נמצא כי 43% מפעילות הסייבר המדינתית האיראנית שנצפתה התמקדה בישראל – יותר מסך הפעילות נגד 14 המדינות הבאות ברשימה יחד. הפעילות כללה ריגול, מתקפות הרסניות, קמפיינים של השפעה, התחזות וניסיונות להפריז בהשפעתן של חדירות שנטען כי התרחשו. Microsoft Threat Analysis Center
הלחץ הרחב יותר נמשך. לפי הדוח השנתי של מערך הסייבר הלאומי לשנת 2025, המרכז הארצי לניהול אירועי סייבר טיפל בכ-26,500 דיווחים במהלך השנה – עלייה של 55% לעומת 2024. מתקפות פישינג היוו 52% מהדיווחים, ואילו פעילות השפעה ולוחמה פסיכולוגית היוותה 13%. המערך הפיץ כ-2,480 התרעות, מתוכן 2,304 התרעות יזומות לארגונים ספציפיים על בסיס אינדיקציות למתקפות ממוקדות. מערך הסייבר הלאומי
הנתונים האלה אינם מעידים שכל אירוע בוצע בידי מדינה זרה. הם מצביעים על תופעה רחבה יותר: בתקופות של מתח גיאופוליטי ממושך עולה היקף הפעילות הזדונית, סוגים שונים של תוקפים פועלים במקביל, ואירועים פוליטיים יוצרים הזדמנויות שאותן יכולים לנצל עבריינים, קבוצות האקטיביסטים וגורמים המקושרים למדינות.
הניסיון הישראלי מראה גם שהמטרה אינה תמיד להשבית תשתית לאומית. מתקפות נגד גופי בריאות, רשויות מקומיות, מוסדות חינוך, חברות פרטיות וספקי טכנולוגיה עדיין יכולות ליצור לחץ ברמה הלאומית. שיבוש פעילותו של בית חולים פוגע באמון הציבור. פריצה לספק תוכנה אחד עלולה לחשוף לקוחות רבים בו-זמנית. מידע אישי גנוב יכול לשמש להפחדה. אפילו השבתה זמנית של אתר יכולה להיות מוצגת ברשת כהוכחה לחוסר יציבות רחב הרבה יותר.
מדוע חברות רגילות הופכות ליעד
ארגונים נוטים להניח שהם קטנים מדי, מסחריים מדי או לא חשובים מספיק כדי למשוך את תשומת לבו של תוקף פוליטי. ההנחה הזו מתעלמת מהאופן שבו נבחרים יעדים בסביבת האיומים הנוכחית.
חלק מהארגונים מותקפים בשל ערכו של המידע שנמצא ברשותם. חברת טכנולוגיה עשויה להחזיק בקניין רוחני. אוניברסיטה עשויה לעסוק במחקר רגיש. חברה המספקת שירותים מקצועיים יכולה להחזיק בגישה למספר רב של לקוחות. גופי בריאות מחזיקים במידע אישי ותפעולי שקשה להחליפו וחשיפתו רגישה במיוחד.
ארגונים אחרים מותקפים בשל הגישה שהם מספקים. תוקפים עשויים לפרוץ לספק IT, למנהל ענן, למפתח תוכנה או לספק שירותים מנוהלים כדי להגיע ללקוח בעל ערך רב יותר. במקרה כזה, הארגון אינו היעד הסופי – הוא הנתיב שמוביל אליו.
קיימת גם פגיעה סמלית. ייתכן שלחברה אין מידע אסטרטגי רב, אך היא עדיין יכולה להיות אטרקטיבית משום שהיא מזוהה בבירור כישראלית, פועלת בענף בעל רגישות פוליטית, עובדת עם גוף ישראלי או הביעה עמדה פומבית. המטרה עשויה להיות השחתת האתר שלה, הדלפת פרטי עובדים, שיבוש השירות או יצירת כותרת תקשורתית.
לבסוף, מתקפות רבות הן אופורטוניסטיות. מניע פוליטי אינו מעיד בהכרח על שיטת חדירה מתוחכמת. תוקפים עדיין מנצלים שירותי גישה מרחוק החשופים לאינטרנט, מערכות שאינן מעודכנות, סיסמאות חלשות, היעדר אימות רב-שלבי, חשבונות דואר אלקטרוני שנפרצו וספקים שאינם מאובטחים כראוי. דוח ההגנה הדיגיטלית של מיקרוסופט לשנת 2025 מציין כי איומים רבים עדיין מתמקדים בחולשות מוכרות בנכסי Web ובשירותי גישה מרחוק. במקביל, מערך הסייבר הלאומי מציין פישינג, גניבת פרטי הזדהות, נוזקות לגניבת מידע, חולשות בשרשרת האספקה, מערכות מיושנות, חשיפה של VPN ו-RDP ומכשירי IoT פגיעים כאפיקי חדירה ראשוניים נפוצים. Microsoft Digital Defense Report 2025, מערך הסייבר הלאומי
המניע עשוי להיות גיאופוליטי. נקודת הכניסה היא לעיתים קרובות רגילה לחלוטין.
המתקפה אינה מסתיימת כשהגישה נחסמת
אחד המאפיינים החשובים ביותר של פעילות סייבר פוליטית הוא הקשר שבין הפעולה הטכנית לבין הנרטיב הציבורי.
תוקף עשוי לפרסם מסמכים נבחרים ללא הקשר, לשלב מידע אותנטי שנגנב עם טענות מפוברקות, להתחזות לקורבן או להצהיר שהשיג רמת גישה שמעולם לא הייתה ברשותו. מידע ישן יכול להיות מוצג כהדלפה חדשה. שיבוש מוגבל של שירות יכול להיות מתואר כמתקפה מוצלחת נגד תשתית קריטית. צילומי מסך וסרטונים עשויים להתפשט עוד לפני שהארגון שנפגע הספיק להבין מה באמת התרחש.
מיקרוסופט זיהתה את הדפוס הזה בפעילות איראנית לאחר 7 באוקטובר, לרבות שימוש חוזר בחומרים ישנים, טענות מטעות בנוגע ליעדים והגברת החשיפה באמצעות כלי תקשורת המזוהים עם המדינה וחשבונות כוזבים ברשתות החברתיות. בחלק מהמקרים, עצם יצירת הרושם של הצלחה מבצעית הייתה חלק מהמטרה. Microsoft Threat Analysis Center
הדבר משנה את אופן ניהול אירוע הסייבר. שחזור המערכות נותר חיוני, אך ייתכן שהוא אינו מספיק. ארגונים צריכים גם לברר לאיזה מידע אכן הייתה גישה, אילו טענות הן שקריות, האם התוקפים פונים לעובדים או ללקוחות וכיצד לתקשר את האירוע מבלי לאשר את הנרטיב של התוקף או לפרסם פרטים שטרם אומתו.
תגובה מאוחרת או מבולבלת משאירה חלל מידע. באירוע בעל מטען פוליטי, ניתן לנצל את החלל הזה נגד הארגון.
תכנון האבטחה חייב להתייחס לחשיפה גיאופוליטית
הערכות סיכונים מסורתיות בוחנות בדרך כלל נכסים, חולשות, גורמי איום והשפעה עסקית. בסביבה הנוכחית, ארגונים צריכים להוסיף שאלה נוספת: אילו היבטים בזהות, בקשרים, בפעילות או בנראות הציבורית שלנו עלולים להפוך אותנו לרלוונטיים בתקופה של הסלמה פוליטית?
עבור חברה ישראלית, הבחינה הזו צריכה להתרחב מעבר לשאלה האם היא מוגדרת באופן רשמי כתשתית קריטית. עליה להביא בחשבון קשרים עם גופים ממשלתיים וביטחוניים, ענפים רגישים, שותפים בינלאומיים, שרשראות אספקה, פעילויות מחקר, מנהלים בעלי נראות ציבורית ושירותים ששיבושם עשוי למשוך תשומת לב. כמו כן, יש לבחון האם חברות-בת, מפיצים או לקוחות בחו״ל עלולים להפוך ליעד בשל הקשר שלהם לישראל.
הדבר אינו דורש מארגונים לחזות את האירוע הגיאופוליטי הבא. הוא דורש מהם להבין כיצד שינוי בסביבה החיצונית עלול לשנות את מידת העניין של התוקפים, את משך ההשבתה שניתן לספוג ואת המהירות שבה עליהם להגיב.
סדרי העדיפויות המעשיים בתחום האבטחה נותרים מוכרים, אך רמת המוכנות הנדרשת חייבת לעלות:
- יש לזהות, לעדכן ולבדוק באופן רציף נכסים החשופים לאינטרנט, ולא להסתפק בבחינה במסגרת ביקורת שנתית.
- גישה מרחוק וגישה בעלת הרשאות גבוהות צריכות לדרוש אימות חזק ועמיד בפני פישינג, ככל שניתן.
- הניטור צריך לכלול זהויות, תחנות קצה, שירותי ענן, דואר אלקטרוני, מערכות גישה מרחוק ותנועות מידע חריגות.
- יש להגביל ולנטר את גישת הספקים, ולוודא שניתן לבטל אותה מבלי להשבית את פעילות הארגון כולו.
- הגיבויים צריכים להיות מבודדים, בדוקים ומסוגלים לתמוך בהתאוששות ממתקפות הרסניות – ולא רק מכופרה רגילה.
- תרגילי תגובה לאירועים צריכים לכלול הדלפת מידע, התחזות לחשבונות, טענות ציבוריות כוזבות ומתקפות המתרחשות במקביל לאירועי חירום פיזיים.
הבקרות הללו אינן ייחודיות למתקפות פוליטיות. חשיבותן משתנה כאשר מטרת התוקף עשויה להיות שיבוש או גרימת נזק ולא רווח כספי. לתוקף בעל מניע כלכלי עשוי להיות אינטרס לשמר את המערכות כדי לקבל תשלום. לתוקף בעל מניע פוליטי ייתכן שאין כל סיבה לעשות זאת.
המוכנות היא טכנולוגית וארגונית גם יחד
חוסן סייבר במהלך עימות פוליטי תלוי בהחלטות שמתקבלות עוד לפני המשבר. הארגון חייב לדעת מי מוסמך לבודד מערכות שנפרצו, להשעות חשבונות, ליצור קשר עם ספקים, לאשר תקשורת חיצונית, לדווח לרשויות ולהחליט האם ניתן להמשיך בפעילות באופן בטוח.
גם הצוותים הטכנולוגיים זקוקים לתמונת מצב עדכנית. לא ניתן לעדכן נכס שהארגון אינו מודע לקיומו. לא ניתן להגן בצורה אמינה על חשבון חיצוני שכבר אינו מנוהל. לוגים שנשמרים לזמן קצר בלבד עלולים להיעלם לפני תחילת החקירה. גיבוי שמעולם לא שוחזר הוא הנחה – לא יכולת התאוששות.
לעובדים יש חשיבות לא פחותה. אירועים פוליטיים מייצרים תרחישי פישינג משכנעים: הנחיות לשעת חירום, הודעות הקשורות לשירות מילואים, בקשות לתרומות, התרעות אבטחה, מסמכים משותפים, עדכוני משלוחים והודעות שנראות כאילו נשלחו מגופי ממשל. בתקופות של חרדה ציבורית, קל יותר לייצר תחושת דחיפות. לכן, ערוצי דיווח ברורים והנחיות קצרות לעובדים המותאמות לאירוע עשויים להיות יעילים יותר מהסתמכות על הדרכת מודעות שנתית בלבד.
ארגונים צריכים גם להגדיר נהלי תקשורת לפני שמתרחש אירוע. צוותי אבטחת הסייבר, ההנהלה, המשפט, הפרטיות, יחסי הציבור והצוותים העובדים מול לקוחות זקוקים לתהליך משותף לאימות העובדות. ההודעה הציבורית הראשונה אינה חייבת להסביר הכול, אך עליה להבחין בין מה שידוע, מה שעדיין נמצא בבדיקה ואילו פעולות נדרשות מהגורמים שהושפעו.
אבטחת סייבר הפכה לחלק מהחוסן הלאומי
עידן מתקפות הסייבר הפוליטיות משנה את האופן שבו ארגונים פרטיים צריכים להבין את תפקידם. חברה אינה צריכה להיות חלק מהממשלה כדי להשפיע על החוסן הלאומי. עסקים מספקים שירותי בריאות, תחבורה, פיננסים, תקשורת, טכנולוגיה, מזון, לוגיסטיקה ושירותים מקצועיים. היכולת שלהם להמשיך לפעול בזמן עימות תומכת בכלכלה הרחבה ובציבור.
עבור ארגונים ישראליים, המסקנה אינה שכל מתקפה היא פוליטית או שכל חברה תתמודד עם יריב מדינתי. המסקנה היא שתנאים גיאופוליטיים יכולים להגביר במהירות את היקף המתקפות, לשנות את מניעי התוקפים ולהפוך חולשות רגילות לכלים להפעלת לחץ רחב יותר.
התגובה היעילה ביותר אינה פחד או מעבר קבוע למצב חירום. היא בניית מודל איום מציאותי יותר. ארגונים צריכים להבין מה הופך אותם לגלויים, כיצד תוקפים יכולים להגיע אליהם, אילו שירותים חייבים להמשיך לפעול, כיצד יתאוששו מפעילות הרסנית וכיצד יגיבו אם האירוע הטכני יהפוך לקמפיין השפעה ציבורי.
העימות הפוליטי עשוי להתחיל מחוץ לארגון. בעידן הדיגיטלי, הוא יכול להגיע אליו דרך תיבת הדואר, ספק, שרת חשוף, חשבון ענן או הודעה כוזבת המתפרסמת בשמו. מוכנות הסייבר היא שקובעת אם האירוע יישאר תקרית מוגבלת – או יהפוך לחלק ממשבר גדול הרבה יותר.
