2026 שוברת שיאים
אם נדמה לכם שכל כמה ימים שומעים על עוד פריצה גדולה, זה לא רק נדמה. השנה עוד לא נגמרה, ובכמה מדדים מרכזיים היא כבר הגרועה שנמדדה אי פעם:
2026 במספרים, נכון לתחילת נובמבר
מקורות: מאגר הפרצות של NVD (ספירה עד 5.11.2026); ransomware.live (6.11.2026); ראש מערך הסייבר יוסי כראדי לעיתון Die Welt, דרך TNW (29.6.2026); Check Point Research (8.10.2026).
גם וורדפרס לא נשאר מאחור: מתחילת 2026 פורסמו כ־6,200 פרצות שבתיאור שלהן מופיע וורדפרס, לעומת כ־3,500 באותה תקופה ב־2025.
וזה לא פוגע רק בחברות ענק:
- במאי 2026 פלטפורמת הלמידה Canvas ירדה מהאוויר באמצע תקופת מבחנים אחרי פריצה, ודפי הכניסה שלה הושחתו.
- ביוני 2026 כניסה אחת שנשכחה מ־2022, אצל חברת התוכנה Klue, פתחה לתוקפים דרך לקרוב ל־200 מהלקוחות שלו.
למה דווקא האתר שלכם
אף אחד לא יושב מול מחשב ומחליט לפרוץ דווקא לאתר של קליניקה ברחובות או של חברת שיפוצים מהשרון. הפריצות לאתרים של עסקים קטנים נעשות כמעט תמיד על ידי תוכנות שסורקות את כל האינטרנט, כל הזמן, ומחפשות דבר אחד: תוסף, תבנית או קוד שיש בו פרצה מוכרת. כשהן מוצאות, הן נכנסות. השם של העסק לא מעניין אותן.
ב־2025 כ־40% מכל התנועה באינטרנט היו בוטים זדוניים, תוכנות כאלה בדיוק. ובוורדפרס, שעליו בנויים אתרים של המון עסקים, המספרים נראים כך:
וורדפרס ב־2025, במבט אחד
מקורות: Patchstack, State of WordPress Security in 2026; Thales Imperva, Bad Bot Report 2026.
המשמעות בפועל: עדכונים חשובים, אבל הם לא מספיקים. תוסף שהמפתח שלו הפסיק לתחזק, קוד שמישהו כתב לכם לפני חמש שנים, או טופס שמקבל קבצים בלי לבדוק מה הם, לא יופיעו בשום מסך עדכונים.
מה קורה ביום שאתר נפרץ
מה שקרה לי
בעבר היה לי בלוג גדול, שקיבל מיליוני צפיות. האקר פרץ אליו והחליף אותו באתר זדוני. הבלוג הלך לפח, ואיתו כל העבודה שהשקעתי בו ובקידום שלו בגוגל.
פריצה אחת יכולה למחוק שנים של עבודה. ואתר שנפרץ לא תמיד חוזר לאותה רמה, גם אחרי שמנקים אותו.
ברוב המקרים בעל העסק לא מגלה לבד. לקוח שולח צילום מסך, או שהפניות מהאתר פשוט נעצרות. אלה הדברים שקורים הכי הרבה:
- הגולשים מועברים לאתר אחר. בדוח של GoDaddy ו־Sucuri על 2024, ב־74.7% מהאתרים הנגועים נמצא קוד זדוני, ולרוב הוא מעביר את הגולשים לאתר אחר.
- מופיעים באתר דפים שלא כתבתם. דפי ספאם בשפות זרות, שנועדו לגוגל ולא לכם. זה קרה ב־38.4% מהאתרים הנגועים.
- גוגל מזהיר מפני האתר. בתוצאות החיפוש מופיע "האתר עלול להיות פרוץ", ובכרום מופיע מסך אדום עוד לפני שהאתר נטען. אחרי הניקוי צריך לבקש מגוגל בדיקה חוזרת, והיא לוקחת מכמה ימים ועד כמה שבועות.
- הקידום בגוגל נפגע. מי שרואה בתוצאות החיפוש אזהרה שהאתר פרוץ לא נכנס אליו, ודפי ספאם שהתוקף הוסיף מתחרים בדפים האמיתיים שלכם. מיקומים שבניתם שנים יכולים להיעלם תוך ימים, ולא תמיד חוזרים.
- פרטים של לקוחות דולפים. כל טופס באתר שומר שם, טלפון ולפעמים יותר. מאז אוגוסט 2025, עם תיקון 13 לחוק הגנת הפרטיות, הרשות להגנת הפרטיות יכולה להטיל קנסות על עסק שלא שמר על המידע הזה. וחובת הדיווח על אירוע אבטחה כבר נאכפת: ביולי 2026 קופת חולים קיבלה קנס של 256 אלף ₪ על דיווח באיחור.
מה קורה בישראל
לאתרים ישראליים יש סיבה נוספת להיפגע: הם מטרה פוליטית, ולא רק כלכלית. שלושה מקרים שממחישים את זה:
שלוש פריצות שפגעו בעסקים בישראל
- יותר מאלף אתרים במכה אחתתוקפים ניצלו פרצה בתוסף וורדפרס אצל חברת אחסון ישראלית, והחליפו את דף הבית של אתרים של עיריות, מסעדות ועמותות במסר נגד ישראל
- חברת אחסון נפרצה, והאתרים של הלקוחות נפלו איתהקבוצת Black Shadow פרצה לסייברסרב. אתרים של חברות אוטובוסים ושל מוזיאון ירדו, ומידע ממאגר של אחד הלקוחות דלף. מערך הסייבר אמר שהזהיר את החברה כמה פעמים
- מידע של יותר מ־50 עסקים קטנים נמחקתוך שבועות. לדברי ראש מערך הסייבר, לרובם כבר היו חולשות אבטחה מוכרות, ועסקים שהיו מוגנים היטב לא נפגעו
מקורות: Security Affairs ו־Radware (2020); Times of Israel ו־Ynet (2021); Bloomberg דרך Insurance Journal (2026).
שתי מסקנות. הראשונה: הפריצות הגדולות ביותר כאן לא כוונו לעסק מסוים, אלא נכנסו דרך תוסף אחד או חברת אחסון אחת. השנייה: העסקים שנפגעו ב־2026 לא נפלו בגלל תקיפה מתוחכמת במיוחד, אלא בגלל חולשות שכבר היו שם.
הבינה המלאכותית שינתה את הקצב
עד לא מזמן, למצוא פרצה חדשה דרש מומחה וזמן. היום זה כבר לא נכון:
- במאי 2026 גוגל דיווחה לראשונה על תוקפים שהשתמשו בפרצה שלא הייתה ידועה לאף אחד, ושלפי ההערכה פותחה בעזרת AI. היא עקפה את קוד האימות שנשלח לטלפון, בכלי ניהול פופולרי של אתרים, וקבוצות פשיעה תכננו לנצל אותה בהיקף רחב.
- לפי הדוח של Verizon מ־2026, ניצול פרצות בתוכנה הפך לדרך הנפוצה ביותר שבה מתחילות פריצות, עם 31%, לפני סיסמאות גנובות.
אותה טכנולוגיה עובדת גם בכיוון ההפוך. אם תוקפים יכולים להריץ AI שמחפש חורים בקוד, אפשר להריץ AI שמחפש אותם קודם. זה מה שאני עושה.
מה אני עושה
אני מקבל גישה לקוד של האתר, ומערכת הסוכנים של פלטין דיגיטל עוברת עליו. סוכן AI הוא תוכנה שמבינה קוד וקוראת אותו כמו מתכנת, רק בלי להתעייף. במקום סוכן אחד שקורא הכול, יש צוות שלם, ולכל סוכן תפקיד:
איך הסוכנים עובדים על האתר שלכם
- מיפויהסוכנים הראשונים בונים מפה של האתר: איפה גולשים נכנסים, איפה הם שולחים מידע, מי יכול לנהל מה, ובאילו תוספים וספריות קוד האתר משתמש
- חיפושכל סוכן מקבל אזור אחד במפה ועוקב בקוד אחרי כל דבר שנכנס אליו, עד המקום שבו הוא נשמר או מופעל. הם עובדים במקביל
- בדיקה חוזרתכל ממצא עובר לסוכן אחר, שלא מצא אותו, ותפקידו לנסות להפריך אותו. רק מה שעומד בבדיקה נכנס לדוח כממצא מאושר
- דוחאני עובר על התוצאות ושולח לכם דוח מסודר, עם תיקון מוצע לכל בעיה
על מה הסוכנים מסתכלים:
- כניסה והרשאות. מי יכול להיכנס לאזור הניהול, והאם יש דרך לעקוף את הסיסמה או לקבל יותר הרשאות ממה שמגיע לו.
- כל מה שגולשים שולחים. טפסים, העלאת קבצים, חיפוש באתר, תגובות. כאן נכנסות רוב הפריצות שמתחילות מבחוץ.
- תוספים וספריות קוד של אחרים. כל תוסף הוא קוד שמישהו אחר כתב, ורץ באתר שלכם עם אותן הרשאות.
- ההפרדה בין המידע של לקוחות. האם לקוח אחד יכול לראות הזמנה, קובץ או פרטים של לקוח אחר.
- צ'אטבוט או כלי AI באתר, אם יש. האם אפשר לגרום לו לחשוף מידע או לעשות פעולה שלא הייתה אמורה להיות לו.
שני דברים שחשוב לדעת. הסוכנים קוראים את הקוד, הם לא תוקפים את האתר. האתר החי ממשיך לעבוד כרגיל, ואף אחד לא שולח אליו ניסיונות פריצה. ובגלל שהבדיקה נעשית על הקוד עצמו, היא מוצאת דברים שסריקה מבחוץ לא רואה: טופס שבודק את הקובץ רק בדפדפן ולא בשרת, או דף ניהול שבודק אם אתם מחוברים אבל לא אם מותר לכם.
איך נראה הדוח
הדוח לא מציף אתכם ב־200 התראות. הוא בנוי כך:
- תמונת מצב. בכמה משפטים: איפה האתר עומד, ומה הכי דחוף.
- ממצאים מאושרים. בעיות שעברו את הבדיקה החוזרת. לכל אחת: איפה בדיוק בקוד היא נמצאת, מה תוקף יכול לעשות איתה, ומה התיקון הקטן ביותר שסוגר אותה.
- ממצאים שצריך לאמת. דברים שנראים חשודים, אבל אי אפשר להוכיח מהקוד לבד. לכל אחד כתוב מה צריך לבדוק כדי לסגור אותו.
- המלצות לחיזוק. לא פרצות, אלא דברים שכדאי לשפר כדי שהבעיה הבאה תהיה קשה יותר.
- מה עשוי טוב. כן, גם זה נכתב.
- מה נבדק ומה לא. כדי שתדעו בדיוק על מה הדוח מכסה.
כך נראה ממצא אחד בדוח. זו דוגמה להמחשה, לא אתר של לקוח:
טופס "שלחו קורות חיים" מקבל כל סוג קובץ
- מה מצאנו
- הטופס בודק את סוג הקובץ רק בדפדפן. השרת שומר כל קובץ שמגיע, בתיקייה שאפשר להגיע אליה מבחוץ.
- מה זה אומר בשבילכם
- מי שיודע לשלוח קובץ ישירות לשרת יכול להעלות קובץ שמריץ קוד באתר. ככה בדרך כלל מתחילות הפניות זדוניות ודפי ספאם.
- מה עושים
- בדיקה של סוג הקובץ גם בשרת, ושמירה בתיקייה שלא מריצה קוד. התיקון המוצע כתוב בדוח.
איך עובדים איתי
רוב בעלי העסקים חוששים מהחלק הטכני. בפועל, החלק שלכם קצר:
מה אתם עושים, ומה אני עושה
- שולחים לי את כתובת האתרבוואטסאפ. לא צריך לדעת על מה הוא בנוי. אני חוזר אליכם עם מחיר
- נותנים גישה לקודמשתמש SFTP או FTP נפרד בשבילי. חברת האחסון או מי שבנה את האתר פותחים אותו בכמה דקות, ואני שולח להם הסבר מדויק. לא יודעים איפה האתר מאוחסן, או שמי שבנה אותו כבר לא בתמונה? זה קורה הרבה, נברר את זה יחד
- הסוכנים עובדים, ואתם מקבלים דוחאתם לא צריכים לעשות כלום, והאתר ממשיך לעבוד כרגיל. תוך 3 ימי עבודה מהרגע שיש גישה, אני שולח את הדוח ועונה על כל שאלה, שלכם או של המתכנת שלכם
- מחליטים מי מתקןאני, בהצעת מחיר נפרדת, או המתכנת שלכם לפי הדוח. ובסוף מוחקים את המשתמש שפתחתם לנו
אתר שבנו לכם בקוד, בלי וורדפרס? במקום SFTP או FTP, נותנים לי הרשאת קריאה למאגר הקוד, למשל ב־GitHub.
כמה זה עולה
בדיקה מלאה ודוח תוך 3 ימי עבודה: החל מ־1,000 ₪. המחיר תלוי בגודל האתר, כי אתר עם חנות, אזור אישי ועשרות תוספים דורש הרבה יותר עבודה של הסוכנים מאתר תדמית של חמישה עמודים. את המחיר המדויק תקבלו לפני שמתחילים. תיקון, אם תרצו, מתומחר בנפרד אחרי הדוח, לפי מה שנמצא.
שאלות נפוצות
הבדיקה יכולה להפיל או להאט את האתר?
לא. הסוכנים קוראים את הקוד, הם לא שולחים לאתר ניסיונות פריצה. מבחינת האתר והגולשים, שום דבר לא קורה.
למה צריך גישה לקוד? לא מספיק לתת לכם את הכתובת?
מבחוץ רואים רק את מה שהאתר מראה. רוב הבעיות נמצאות בקוד: איך הטופס שומר קבצים, מי מורשה לראות מה, מה תוסף עושה עם מידע שהוא מקבל. בלי לקרוא את הקוד אפשר רק לנחש.
זה בטוח לתת לכם גישה?
אתם פותחים משתמש נפרד, רק בשביל הבדיקה, ולא נותנים לי את הסיסמה שלכם. אם חברת האחסון מאפשרת, המשתמש מקבל הרשאת קריאה בלבד. אף אחד מחוץ לבדיקה לא רואה את הקוד שלכם, ובסוף מוחקים את המשתמש.
אפשר במקום זה סיסמת אפליקציה של וורדפרס?
סיסמת אפליקציה נותנת גישה לתוכן דרך הממשק של וורדפרס: פוסטים, עמודים, משתמשים. היא לא נותנת גישה לקבצים ולקוד של התוספים והתבנית, ושם נמצאות רוב הבעיות. לכן צריך גישת SFTP או FTP.
האתר שלנו בוויקס או בשופיפיי. זה רלוונטי?
פחות. בפלטפורמות האלה את השרת ואת רוב הקוד מנהלת החברה עצמה, ואין אליהם גישה. אם בנו לכם קוד מותאם מעל הפלטפורמה, אפשר לבדוק אותו. כתבו לי מה יש לכם, ואגיד אם יש מה לבדוק לפני שתשלמו.
זה מבדק חדירות?
לא. מבדק חדירות הוא תקיפה מבוקרת של האתר החי, שעושה מומחה לאורך ימים, ולפעמים לקוח גדול או רגולציה דורשים אותו. כאן הסוכנים קוראים את הקוד לעומק ולא תוקפים את האתר. אם אתם צריכים מבדק חדירות רשמי, אגיד לכם לפני שמתחילים.
תוך כמה זמן מקבלים את הדוח?
תוך 3 ימי עבודה מהרגע שיש גישה לקוד.
מה אם לא נמצא כלום?
תקבלו דוח שמראה מה נבדק, מה עשוי טוב, ושלא נמצאה בעיה. זו לא הבטחה שהאתר לא ייפרץ אף פעם: מחר יכולה להתפרסם פרצה חדשה בתוסף שמותקן אצלכם.
מי רואה את הדוח?
רק אתם, ומי שתחליטו לשלוח לו.
מקורות
- Patchstack, State of WordPress Security in 2026
- Thales Imperva, 2026 Bad Bot Report
- GoDaddy, Annual Cybersecurity Report 2024
- Google Search Central, אתרים פרוצים ואזהרות בחיפוש
- Herzog Fox & Neeman, תיקון 13 לחוק הגנת הפרטיות
- Pearl Cohen, הקנס הראשון על איחור בדיווח על אירוע אבטחה
- Security Affairs, השחתת אתרים ישראליים, 2020
- Times of Israel, הפריצה לסייברסרב, 2021
- Insurance Journal (Bloomberg), מחיקת מידע בעסקים קטנים, 2026
- Google Threat Intelligence, פרצה שפותחה בעזרת AI
- Verizon, Data Breach Investigations Report
- NVD, מאגר הפרצות הלאומי של ארה"ב
- ransomware.live, סטטיסטיקה ל־2026
- TNW, ראש מערך הסייבר על הזינוק בתקיפות ב־2026
- Check Point Research, ספטמבר 2026
- TechCrunch, הפריצות הגדולות של 2026
