כותרות מהסוג "ישראל היא המדינה השנייה בעולם בהתקפות סייבר" נשמעות כמו הכרזה על מצב חירום. הן גם עלולות להטעות, כי הדירוג מודד משהו מוגדר מאוד: כמה פעילות איום נצפתה, ולא כמה התקפות הצליחו. הדוח השנתי השביעי של מיקרוסופט על הגנה דיגיטלית, שפורסם ב-1 באוקטובר 2026, מציב את ישראל במקום השני בעולם ובמקום הראשון במזרח התיכון ובאפריקה. הכתבה מפרקת את המספרים, מסבירה מה הם מלמדים, ומראה למה החלק הכי פחות מרשים בדוח, התקפות סיסמאות, הוא זה שהכי רלוונטי למשק בית ולעסק קטן.
האם ישראל באמת המדינה השנייה בעולם ביעדי התקפות הסייבר?
לפי הדוח, שמבוסס על נתוני יולי 2025 עד יוני 2026, ישראל היא יעד של 7.6% מפעילות האיום שנצפתה בעולם. במקום הראשון ארצות הברית עם 25.5%, ואחרי ישראל באות אוקראינה עם 4.8% וטייוואן עם 3.9%. כך דווח בקלקליסט טק ביום פרסום הדוח, וכך גם ב-ynet.
גם הקביעה שישראל במקום הראשון באזור נכונה לפי הדוח: ישראל הובילה בקרב מדינות המזרח התיכון ואפריקה. מי שמחפש נתון אחד שאפשר לצטט: בשנה שבין יולי 2025 ליוני 2026 הופנו נגד ישראל 7.6% מפעילות האיום הדיגיטלי שנצפתה בעולם, ומקומה השני אחרי ארצות הברית.
מה בעצם מודד הדוח, ומה הוא לא מודד?
מיקרוסופט אוספת נתוני טלמטריה מהשירותים שלה, והיא מעבדת יותר מ-165 טריליון אותות ביום, לפי ynet. זה מבט רחב מאוד, אבל זו עדיין תמונה שנראית מהחלון של חברה אחת. הלקוחות של מיקרוסופט אינם מדגם מייצג של כל העולם, ופעילות שמופנית לארגונים שאינם משתמשים בשירותיה נמדדת פחות.
מכאן שני דברים שהדירוג אינו אומר. הוא אינו אומר שישראל פגיעה יותר ממדינות אחרות, אלא שתוקפים מתעניינים בה יותר. והוא גם אינו מונה התקפות שהצליחו, אלא פעילות שנצפתה. הסקירות שבדקנו אינן מפרטות את שיטת הספירה, ולכן אנחנו מבינים שהמדד כולל גם ניסיונות שלא הצליחו, אבל זו הבנה שלנו ולא ציטוט.
כדאי גם להיזהר מלערבב מדדים. ב-Jerusalem Post, שפרסם את הידיעה ארבעה ימים אחר כך, מופיע מדד אחר: אירועים שנצפו, ובו ארצות הברית 531, ישראל 210, טייוואן 193 ויפן 172. זו אינה סתירה, כי כל מדד סופר משהו אחר, אבל גם אי אפשר לחבר אותם. המדד של ה-7.6% הוא נתח, ומדד ה-210 הוא ספירה.
למה 39% מהפעילות האיראנית מכוונת לישראל?
אחד הנתונים החדים בדוח נוגע לפעילות שמיוחסת לגורמים הקשורים לטהרן: 39% ממנה כוונה לישראל, לעומת 23% לארצות הברית, 9% לאיחוד האמירויות, 6% למצרים ו-6% להודו. כלומר ישראל היא היעד הבולט ביותר, בפער.
לפי ynet, בפעילות המיוחסת לאיראן 28% מהיעדים היו ארגוני מחקר ואקדמיה, 12% חברות מידע וטכנולוגיה, 11% תחבורה, 8% גופי ממשל ו-8% מכוני מחקר וארגונים ללא כוונת רווח. ynet אינו מבהיר אם הפילוח מתייחס לכלל הפעילות האיראנית או רק לזו שהופנתה לישראל.
ראש מערך הסייבר הלאומי, יוסי קרדי, אמר, כפי שדווח ב-ynet, שאין לראות כמובן מאליו את העובדה שישראל שומרת על רציפות תפקודית מול היקף איומים כזה, ושבמרחב הסייבר אולי לא רואים טילים באוויר, אבל אין הפסקת אש. זו הערכה של גורם רשמי, והיא אינה חלק מהמדידה.
האם כופרה היא החוליה החלשה?
הנתון המדאיג יותר הוא לא הדירוג אלא המגמה. אירועי כופרה נגד ישראל עלו ב-21% בתוך שנה, בעוד שבעולם כולו ירד מספר האירועים ב-3%, מ-8,749 ל-8,521. חלקה של ישראל בפעילות הכופרה שנצפתה בעולם עלה מ-19% ל-23%. מיקרוסופט מעריכה, לפי קלקליסט טק, שההתמקדות הממושכת בישראל משקפת את השילוב של כופרה באסטרטגיית הלוחמה ההיברידית של איראן.
התוקפים, לפי הדוח, לא רק מצפינים אלא גם גונבים. לפי הסיכום נגנב מידע ב-63% מהחדירות, ושירותי ענן שנחשפו לאינטרנט הותקפו, בממוצע, כבר אחרי 5.3 שעות מרגע החשיפה. הנתונים כאן הם מסיכום של אתר Trending Topics. אנחנו מציינים שמקור זה הוא סיכום של הדוח ולא הדוח עצמו, שלא הצלחנו לפתוח.
וכאן ההקשר המקומי: על כופרה במערכות בריאות וברשויות כתבנו בכתבה על הכופרה בבתי חולים וברשויות מקומיות, ועל שוק הביטוח מפני אירועים כאלה בכתבה על ביטוח סייבר בישראל.
איך נראית הכופרה מחוץ לישראל?
כדי להבין את המספרים הישראליים כדאי להסתכל גם על מה שקורה אצל אחרים. לפי סיכום הדוח באתר Trending Topics, בארצות הברית תועדו 1,087 מקרי כופרה. משפחות הכופרה הפעילות ביותר, לפי הסיכום, הן Qilin ו-Akira. בגרמניה, החברה היחידה באיחוד האירופי בעשירייה הפותחת של היעדים (מקום 10, עם 1.7%), קפץ מספר המקרים מ-59 ל-222, עלייה של 276%.
התמונה העולמית מראה שהכופרה אינה תופעה ישראלית ייחודית, ושהמגמה בישראל, עלייה של 21% בשעה שבעולם נרשמה ירידה של 3%, חריגה. אפשר להניח שהיא קשורה לשילוב של תוקפים פליליים ושל גורמים ממלכתיים, אבל זו הערכה, ולא ממצא שהדוח מוכיח.
מהו הממצא הכי פחות מרשים, והכי שימושי?
בצד הנתונים על מדינות ואיומים מסתתר ממצא שאינו קשור לגיאופוליטיקה: יותר מ-99% מניסיונות החדירה הראשונים לשירותי ענן היו התקפות סיסמאות, לפי ynet. הזהות, ולא פרצה טכנולוגית נדירה, היא נקודת הכניסה העיקרית. מיקרוסופט ממליצה בהתאם על מפתחות גישה (passkeys) ועל אימות רב-שלבי עמיד בפני פישינג.
לפי הסיכום של Trending Topics, התקפות על זהות נותרו גם השנה נקודת הכניסה העיקרית של התוקפים, ולכן מיקרוסופט ממליצה על מפתחות גישה ועל אימות עמיד בפני פישינג.
הדוח מסתכל גם קדימה. לפי Trending Topics, תחזיות בתעשייה שמצוטטות בדוח מעריכות שעד 2028 יפעלו בעולם כ-1.3 מיליארד סוכני בינה מלאכותית. כל סוכן כזה מחזיק הרשאות, ולכן הוא מצטרף לרשימת הזהויות שיש להגן עליהן. זו תחזית ולא נתון, אבל היא מסבירה למה הדגש בדוח הוא זהות ולא חומרה.
איך קוראים כותרת על דירוג סייבר בלי להיבהל?
לפני שמשתפים כותרת כזאת, כדאי לשאול שלוש שאלות. ראשית, מה נספר: התקפות שהצליחו, ניסיונות שנחסמו או אירועים שנצפו? שנית, מי המודד: חברה אחת עם נתוני לקוחותיה, או מערכת ממלכתית? ושלישית, מה זה משנה לי אישית. במקרה הזה התשובה לשאלה האחרונה מעשית מאוד: הדירוג עצמו לא משנה דבר, אבל ההנחה שהתוקפים ממילא מנסים לפרוץ באמצעות סיסמאות היא הסיבה לטפל בהן קודם.
מה אפשר לעשות כבר היום, במשק בית ובעסק קטן?
אין צורך בתקציב אבטחה כדי לצמצם חלק גדול מהסיכון. הרשימה הבאה היא של מערכת ישראל טיימס. מיקרוסופט עצמה ממליצה בדוח במפורש על מפתחות גישה ועל אימות עמיד בפני פישינג, והשאר הן שיטות עבודה מקובלות:
- סיסמה ייחודית לכל שירות חשוב. שימוש חוזר בסיסמה הוא מה שהופך דליפה אחת לפריצה לשלושה שירותים.
- אימות דו-שלבי בכל חשבון חשוב, בראש ובראשונה דוא"ל, בנק ואחסון בענן. עדיפים אפליקציה או מפתח פיזי על פני הודעת SMS.
- מפתחות גישה היכן שאפשר. הסברנו כיצד הם עובדים בכתבה על סוף עידן הסיסמאות.
- עדכונים אוטומטיים למחשב, לטלפון ולנתב.
- גיבוי מנותק מהרשת של מסמכים וקבצי העסק, כדי שכופרה לא תוכל להצפין גם אותו.
- בדיקת הרחבות בדפדפן. הסרה של כל הרחבה שלא נדרשת, בעיקר בדפדפן שבו מחוברים לחשבונות עבודה.
על הונאות בהודעות טקסט כתבנו בכתבה על הודעות פישינג מתחזות.
שאלות ותשובות
האם הדירוג אומר שישראל פגיעה יותר ממדינות אחרות? לא בהכרח. הדוח מודד כמה פעילות איום נצפתה, ולא כמה התקפות הצליחו. הוא מעיד על עניין של תוקפים בישראל, ולא על רמת ההגנה שלה.
האם עסק קטן בישראל צריך לדאוג מהתקפות איראניות? לפי הדוח, היעדים הבולטים של הפעילות האיראנית הם מחקר ואקדמיה, חברות מידע ותחבורה. אבל גם בעולם כולו ניסיונות החדירה לשירותי ענן מתחילים כמעט תמיד בהתקפות על סיסמאות, ולכן ההגנה היעילה ביותר זהה: אימות דו-שלבי וסיסמאות ייחודיות.
מהו אימות רב-שלבי עמיד בפני פישינג? אימות שאינו מסתמך על קוד שאפשר להקליד בעמוד מזויף, כמו מפתח גישה. זו ההמלצה של מיקרוסופט בדוח.
מה ההבדל בין פעילות איום שנצפתה להתקפה שהצליחה? פעילות שנצפתה היא ספירה של סימני איום, וכנראה כוללת גם ניסיונות שלא הצליחו (שיטת הספירה לא פורטה בסקירות שבדקנו). התקפה מוצלחת היא חדירה שהסתיימה בגישה למערכת או למידע. הדוח מתמקד בראשונה, ולכן אי אפשר להסיק ממנו כמה ארגונים ישראליים נפרצו בפועל, או כמה נזק כלכלי נגרם להם.
האם הדוח של מיקרוסופט משקף את כל העולם? הוא מבוסס על נתוני הטלמטריה של החברה בלבד, ולכן יש לקרוא אותו כתמונה חלקית, אם כי רחבה.
מקורות
- Israel was the world's second-most targeted country for cyberattacks, Microsoft finds – קלקליסט טק (CTech), 1 באוקטובר 2026
- Israel ranks second worldwide in cyberattacks as Iran directs 39% of operations against it – Ynetnews, אוקטובר 2026
- Israel is world's second-most targeted country by cyberattacks, Microsoft finds – Jerusalem Post, 5 באוקטובר 2026
- Microsoft Digital Defense Report 2026 – Trending Topics, 1 באוקטובר 2026