ישראל נמנית עם שלוש המדינות המותקפות ביותר בעולם במרחב הסייבר. מאז אוקטובר 2023 חלה עלייה דרמטית בכמות, בתחכום ובהשפעה של תקיפות סייבר - כשחלק ניכר מהן מכוונות ספציפית לשרשרת האספקה.
מה השתנה?
עד 2023, רוב תקיפות הסייבר בישראל היו מהסוג "הקלאסי" - פישינג, כופרה, השחתת אתרים. מאז אוקטובר 2023 חלה הסטה משמעותית בדפוס הפעולה של קבוצות התקיפה, בעיקר אלו המקושרות לאיראן:
- מעבר מתקיפות "רועש" (השחתה, DDoS) לתקיפות שקטות ומתוחכמות - ריגול ארוך טווח, שהייה ברשת, וחילוץ מידע
- מיקוד בשרשרת האספקה כוקטור כניסה - במקום לתקוף ישירות ארגון מוגן, תוקפים את הספק הקטן שלו
- קמפיינים של "Hack & Leak" - פריצה והדלפה מכוונת של מידע רגיש לתקשורת ולרשתות חברתיות
- שימוש בתשתיות לגיטימיות (חשבונות מייל, עדכוני תוכנה) להפצת קוד זדוני
שלוש תקיפות שרשרת אספקה מרכזיות
פריצה דרך ספק אירוח אתרים - 245+ ארגונים
קבוצת תקיפה איראנית חדרה לחברת אירוח אתרים ישראלית ודרכה הגיעה ליותר מ-100 ארגונים - קמעונאים, יבואנים, גופים ציבוריים וחברות בינלאומיות הפועלות בישראל. שרתים נמחקו ומידע אישי של מיליוני לקוחות הודלף.
המסקנה: ספק אחד פרוץ = מאות ארגונים חשופים. חברות שהסתמכה על ספק חיצוני בלי לבדוק את רמת האבטחה שלו שילמו מחיר כבד.
חדירה לקבלן ביטחוני - 18 חודשי ריגול
תוקפים איראניים חדרו לחברת פיתוח ביטחונית ישראלית ושהו ברשת במשך 18 חודשים ללא זיהוי. דרך החברה הגיעו ל-17 קבלני ביטחון נוספים. הודלפו שרטוטים מסווגים של מערכות נשק, כלי טיס בלתי מאוישים ופרויקטים בינלאומיים.
המסקנה: 18 חודשים של שהייה בלתי מזוהה מעידים על היעדר מנגנוני ניטור הולמים. ספק שלא מבצע סקרי ביטחון תקופתיים לא יידע שתוקף יושב אצלו ברשת.
תקיפת ספק תוכנה אקדמי - אוניברסיטאות נפרצו
קבוצה איראנית חדרה לספק תוכנה לניהול מוסדות אקדמיים וניצלה הרשאות ניהול כדי לגשת למערכות CND סטודנטים במספר אוניברסיטאות ומכללות. לאחר 4 חודשים שלחו מייל מחשבון הספק ללקוחותיו בו הודיעו על השתלטות מלאה.
המסקנה: ספק המנהל הרשאות Admin עבור לקוחותיו מהווה מטרה אטרקטיבית לתוקפים. אם הספק נפרץ - כל הלקוחות נפרצו.
פרשת Amital Data - 40+ חברות לוגיסטיקה נפרצו
קבוצת תקיפה חדרה ל-Amital Data, חברת תוכנה המשרתת את ענף הלוגיסטיקה והיבוא בישראל. דרך פגיעה בספק אחד הגיעו התוקפים ל-40 לקוחות ישירים, ובנוסף תקפו 15-20 חברות לוגיסטיקה נוספות באופן עצמאי. בין הנפגעים - חברות המעורבות ביבוא ציוד ביטחוני. לא הוצגה דרישת כופר - מה שמחזק את ההערכה שמדובר בפעילות ריגול ולא בפשיעת סייבר כלכלית.
המסקנה: ספק תוכנה אחד עם גישה לעשרות לקוחות הפך לנקודת כניסה אחת לתקיפה רחבת היקף. ללא ביקורות ביטחון תקופתיות, אף לקוח לא ידע שהספק נפגע.
מיקור חוץ של מערכות צוללות גרעיניות - בריטניה
Rolls-Royce Submarines, קבלנית ביטחונית בריטית, מיקרה חוץ פיתוח מערכת אינטרא-נט. העבודה הועברה בקבלנות משנה למפתחים בבלארוס וברוסיה (טומסק, סיביר). המערכת הכילה פרטים אישיים של עובדים ומבנה ארגוני של צי הצוללות. לאחר שעובדים התריעו, ההנהלה הסתירה את העניין כדי לא לסכן את הפרויקט.
המסקנה: גם מידע "לא מסווג" - כמו מבנה ארגוני ופרטי כוח אדם - בעל ערך מודיעיני עבור יריב. מיקור חוץ ללא בדיקת מקור הוא סיכון ביטחון לאומי.
מה זה אומר עבורכם?
אם אתם ארגון שעובד עם ספקים - ובמיוחד אם אתם בתעשייה הביטחונית - המגמות האלה לא תיאורטיות. הן משפיעות ישירות על פרופיל הסיכון שלכם:
הספק שלכם הוא משטח התקיפה שלכם. לא משנה כמה טובה האבטחה הפנימית - אם הספק שמגיע למפעל, מתחבר לרשת, או מקבל גישה למידע לא מוגן מספיק, התוקף ייכנס דרכו.
מה מומלץ לעשות?
- מפו את כל הספקים שיש להם גישה למידע רגיש, למערכות, או לאתרים פיזיים - כולל ספקי IT, ניקיון, תחזוקה, ואחסון ענן
- סווגו לפי רמת סיכון - לא כל ספק מהווה את אותה רמת איום. ספק עם גישה למידע מסווג דורש בקרות שונות מספק משרדי
- בצעו סקר ביטחון לספקים קריטיים - סקר 360° שכולל אבטחה פיזית, אבטחת מידע, הגנת מידע מסווג ותהליכי עבודה
- שלבו דרישות ביטחון בחוזים - NDA, נספח ביטחון, דרישות ציות, וזכות לביצוע ביקורות פתע
- בצעו סקרים תקופתיים - סקר חד-פעמי לא מספיק. המלצה לביצוע סקר מעקב כל 6-12 חודשים
ניהול ביטחון שרשרת האספקה הוא לא מותרות - זו דרישה רגולטורית ועסקית כאחד. הארגונים שיטפלו בזה עכשיו ימצאו את עצמם מוכנים יותר לגל התקיפות הבא.
הנתונים מדברים - 2024 במספרים
נתוני שב"כ מצביעים על עלייה של פי 5 בתקיפות עוינות מאז אוקטובר 2023. במהלך 2024 נבלמו 700 תקיפות סייבר עוינות נגד גופים ישראליים. מתוכן: 66% לאיסוף מודיעין, 32% לפגיעה תפעולית, ו-2% לפעולות השפעה.
מקורות
- Israel National Cyber Directorate - Annual Cyber Report 2024, gov.il
- Check Point Research - 2024 Cyber Security Report, checkpoint.com
- Sygnia - Supply Chain Attacks in Q4 2025, sygnia.co
- Silobreaker - 12 Months That Changed Supply Chain Security, silobreaker.com
- Shin Bet Annual Cyber Report 2024, gov.il
- CERT-IL - Amital Data Supply Chain Attack Advisory, 2020, cert.org.il
- The Telegraph - British Nuclear Submarine IT Outsourcing Investigation, 2024, telegraph.co.uk
רוצים לדעת מה מצב הספקים שלכם?
אנו מבצעים סקרי ביטחון 360° וסקרי "רב מגן" לספקים בתעשייה הביטחונית - מיפוי סיכונים, הערכת פערים ותוכנית עבודה.
דברו איתנו