הדבר הכי קשה למדוד באבטחת מידע הוא מה שלא קרה. רשות שלא הושבתה, מסמך שלא דלף, קו ייצור שלא עצר. כל האירועים כאן אמיתיים ופורסמו בהסכמת הלקוחות; הפרטים המזהים הוחלפו, והזמנים הם כפי שנרשמו במערכת.
41שניות — הזיהוי המהיר ביותר באירוע כופר
0שירותי תושב שהושבתו באירוע הרשות
88תיבות דואר שנסרקו באירוע משרד עורכי הדין
34ספקים שנסקרו אחרי אירוע שרשרת האספקה
שלושה אירועים
שלושה אירועים, שלוש תוצאות.
רשות מקומית
כופר שנבלם לפני שהתפשט
המצב
התחברות VPN מחשבון שירות ללא MFA, בשעה 02:40. הרשות מפעילה שירותי תושב שאסור להשבית.
הפעולה
בידוד שני שרתים בפחות משלוש דקות, איפוס הרשאות וחסימת ערוץ השליטה.
התוצאה
לא הושבת אף שירות לתושב, ולא שולם כופר.
41שניות עד זיהוי
2:58דקות עד בלימה
0שירותים שהושבתו
משרד עורכי דין
דלף דואר שנעצר באותו יום
המצב
כלל העברה אוטומטי נוצר והוסתר בתיבה של שותף בכיר. כל דואר נכנס הועתק לכתובת חיצונית.
הפעולה
איתור הכלל והסרתו, אכיפת MFA על כל התיבות וסריקת 88 תיבות נוספות.
התוצאה
לא יצא מסמך לקוח אחד. חובת הדיווח נבחנה ולא הופעלה.
88תיבות שנסרקו
0ימים עד הגילוי
0מסמכים שדלפו
יצרן תעשייתי
הספק נפרץ, הלקוח לא
המצב
גישה מרחוק של קבלן משנה נוצלה כדי לנסות להגיע לרשת התפעולית (OT).
הפעולה
ניתוק גישת הספק, הפרדת רשת ה-OT וסקר שרשרת אספקה לכל 34 הספקים.
התוצאה
קווי הייצור המשיכו לעבוד לאורך כל האירוע.
34ספקים שנסקרו
7דקות עד חסימה
0שעות השבתת ייצור
INCIDENT REPLAY · IR-2026-0412
כך נראה אירוע אמיתי אצלנו.
תמצית יומן מאירוע הכופר ברשות המקומית, מהזיהוי ועד הדוח.
TripleSOC · IR-2026-0412 · ransomwareCONTAINED
DETECTEDR: גישה חריגה לזיכרון LSASS על ידי svc_backup בשרת FIN-SRV-04
ALERTSIEM: שלוש התחברויות כושלות ואז הצלחה מ-10.4.19.77 — מחוץ לדפוס
ACTIONTier 1 מסלים ל-Tier 3. נפתח אירוע IR-2026-0412.
CRITICALהתנהגות הצפנה על FILES01\finance — 147 קבצים נגעו
ACTIONבידוד רשת ל-FIN-SRV-04 ול-FILES01 ישירות מהקונסולה
ACTIONאיפוס כפוי לשלושה חשבונות; כל ההפעלות בוטלו
ACTIONדומיין השליטה cdn-update-check[.]net נחסם בפרימטר
CONTAINEDההצפנה נעצרה. 147 הקבצים שוחזרו מהגיבוי של 23:00.
CONTAINEDשורש האירוע: חשבון VPN ללא MFA. הדוח נמסר ללקוח.
אירוע אמיתי אצל אחד מלקוחותינו, מפורסם בהסכמתו. הפרטים המזהים הוחלפו; הזמנים לא.
בשפה שלהם
מה לקוחות אומרים.
“קיבלנו טלפון בשתיים לפנות בוקר, לפני שידענו בכלל שיש אירוע. בבוקר כל השירותים לתושב עבדו כרגיל.”מנהל מערכות מידע, רשות מקומית
“מה שהרשים אותנו לא היה הטכנולוגיה אלא הדוח. בפעם הראשונה הבנו בדיוק מה קרה ומה לשנות.”שותף מנהל, משרד עורכי דין
“הספק שלנו נפרץ. אנחנו לא. זה כל הסיפור.”מנהל תפעול, יצרן תעשייתי
מוקד חירום · 24/7/365
תחת מתקפה? אל תכבו כלום. תתקשרו.
כיבוי מחשב מוחק זיכרון נדיף — ואיתו חלק מהראיות. נתקו מהרשת אם אפשר, אל תמחקו קבצים, ותתקשרו. אנליסט בכיר עולה לקו תוך 15 דקות, גם אם אתם לא לקוחות.