עיריות מנהלות מידע רגיש על אלפי תושבים ומספקות שירותים דיגיטליים — וזה הופך אותן ליעד מבוקש. קמפיין פישינג מבוקר בודק כמה העובדים מוכנים למתקפה אמיתית, ומחזק את קו ההגנה החשוב ביותר: האנשים.
כך נראות הודעות הפישינג שאנחנו שולחים בסימולציה — מבוססות על מתקפות אמיתיות, בעברית ומותאמות לעבודה בארגון. לחצו על תמונה כדי להגדיל.
עמוד שנראה כמו מסך הכניסה הארגוני (שימו לב לשם המשובש) ונועד לגנוב שם משתמש וסיסמה.
מייל שמתחזה לשיתוף מסמך פנימי — הקישור מוביל לעמוד התחברות מזויף.
הודעה שמבטיחה הטבה ומבקשת להזין פרטים אישיים כדי "לממש" אותה.
עירייה מחזיקה מידע אישי על עשרות אלפי תושבים ומפעילה עשרות מערכות דיגיטליות — מגבייה של ארנונה, דרך מחלקות הרווחה והחינוך, ועד הוועדה לתכנון ובנייה ומוקד הפניות. בשביל תוקף זו מטרה נוחה במיוחד: הרבה עובדים, הרבה ספקים חיצוניים והרבה תיבות דואר — ומספיק שאדם אחד ילחץ על קישור.
רוב המתקפות על רשויות מקומיות לא מתחילות בפריצה טכנית מתוחכמת. הן מתחילות במייל שנראה רגיל לגמרי: חשבונית מספק מוכר, פנייה של תושב, הודעה על איפוס סיסמה. הטכנולוגיה בעירייה יכולה להיות מצוינת, אבל היא לא בודקת אם העובד התכוון להזין את הסיסמה שלו בעמוד מזויף.
זו בדיוק הסיבה שסימולציית פישינג לעובדי עירייה הפכה לכלי בסיסי: היא בודקת את קו ההגנה היחיד שאף מערכת לא מכסה — האנשים.
כדי להבין למה מודעות עובדים היא לא נושא "רך", כדאי לראות איך נראה אירוע אמיתי מהרגע הראשון:
הנזק שנובע מקליק אחד חורג הרבה מעבר לתקלת מחשב. ברשות מקומית הוא נוגע ישירות בתושבים:
אלה התרחישים שחוזרים על עצמם שוב ושוב בקמפיינים ברשויות מקומיות. שווה להכיר אותם לפני שהם מגיעים באמת:
| התרחיש | למי הוא מכוון | מה מסגיר אותו |
|---|---|---|
| "חשבונית לתשלום" מספק של העירייה | גזברות, רכש, הנהלת חשבונות | כתובת שולח דומה אך לא זהה; בקשה לעדכן פרטי חשבון בנק |
| פנייה דחופה מ"מנהל אגף" | מזכירות, כספים, משאבי אנוש | לחץ לפעול מהר ובלי לשאול; בקשה לחרוג מהנוהל הרגיל |
| הודעה שמתחזה למשרד ממשלתי | מנהלי מחלקות, ועדה לתכנון ובנייה | הקישור לא מוביל לדומיין gov.il; בקשה להזין פרטי הזדהות |
| "פנייה של תושב" עם קובץ מצורף | מוקד 106, רווחה, חינוך | סוג קובץ לא צפוי; ניסוח כללי בלי פרטים מזהים אמיתיים |
| הודעת "איפוס סיסמה" למערכת הארגונית | כל עובדי הרשות | ההודעה הגיעה בלי שביקשתם; העמוד מבקש גם את הסיסמה הישנה |
| SMS על "חוב ארנונה" שדורש טיפול מיידי | עובדים ותושבים כאחד | קישור מקוצר; איום בסנקציה תוך שעות |
מעבר לסיכון התפעולי, יש היום ציפייה ברורה מרשויות מקומיות לנהל את נושא הסייבר בצורה מסודרת — כולל הדרכה ומודעות של העובדים ולא רק אמצעים טכנולוגיים:
חשוב לומר: אנחנו לא מספקים ייעוץ משפטי ולא מחליפים אותו. קמפיין פישינג מבוקר הוא פשוט אחת הדרכים הברורות להראות שהנושא מטופל בפועל — ולא רק כתוב בנוהל.
קמפיין פישינג מדומה מראה בדיוק היכן הרשות חשופה, מודד את רמת המודעות לפי מחלקה ונותן לכם תמונת מצב ברורה. השאירו פרטים ונחזור אליכם עם התאמה לרשות שלכם.
קמפיין פישינג מבוקר הוא תרגיל מציאותי אבל בטוח לחלוטין. שולחים לעובדי הרשות הודעות פישינג מדומות שנראות כמו הדבר האמיתי, בודקים מי מזהה ומי לוחץ, ומלמדים בדיוק ברגע שבו הלמידה הכי אפקטיבית — אחרי הלחיצה עצמה.
ההבדל בין תרגיל טוב לתרגיל חסר ערך הוא ברמת ההתאמה. קמפיין הפישינג של סייבריקס נבנה סביב העבודה היומיומית בעירייה: הספקים שאיתם מתכתבים, המערכות שבשימוש, והשפה שבה הודעות באמת מגיעות. הכול בעברית, לא תרגום מאנגלית — וזה הבדל משמעותי באחוזי הזיהוי.
התהליך בנוי כך שהוא לא מפריע לעבודה השוטפת של הרשות ולא מייצר אירוע מיותר במוקד התמיכה:
נפגשים עם מנהל מערכות המידע, מבינים אילו אגפים ומחלקות קיימים, באילו מערכות משתמשים ומי הספקים הקבועים. מסכמים מראש גם מה עושים אם עובד מדווח באמצע הקמפיין.
כותבים הודעות בעברית שמדברות בשפה של העירייה: ספק מוכר, פנייה של תושב, הודעה שמתחזה למשרד ממשלתי. ככל שהתרחיש קרוב למציאות, כך התוצאה אמינה יותר.
ההודעות נשלחות לעובדים בלי התראה מוקדמת, בלי סיכון למידע ובלי לגעת במערכות. במקביל נמדד מי פתח, מי לחץ, מי הזין פרטים ומי דיווח.
עובד שלוחץ מגיע לעמוד הסבר קצר שמראה לו בדיוק מה היה אמור להדליק נורה אדומה. זה הרגע שבו הלמידה נדבקת — וזה נעשה בלי להאשים אף אחד.
בסיום מקבלים תמונת מצב לפי מחלקה, הצבעה על הפערים והמלצות מעשיות לצעד הבא — כולל מה כדאי לתרגל בקמפיין הבא.
קמפיין בלי מדידה הוא רק תרגיל. אלה המדדים שמופיעים בדוח, והם גם מה שמאפשר להשוות בין קמפיינים ולהציג התקדמות להנהלת הרשות:
קמפיין בודד נותן תמונת מצב ליום אחד. תוכנית שנתית היא מה שהופך מודעות רגעית להרגל קבוע. כך זה יכול להיראות בפועל:
התוכנית לא חייבת להיראות בדיוק כך. רשות עם צוות IT מצומצם יכולה להתחיל בשני קמפיינים בשנה ולגדול משם.
ראינו לא מעט קמפיינים שהורצו בכוונות טובות אבל לא הניבו כלום. אלה הטעויות שחוזרות:
קמפיין פישינג בודק מה קורה במציאות, אבל הוא לא מלמד מאפס. השילוב שעובד הכי טוב הוא בין לומדת אבטחת מידע, שנותנת לעובדים את הידע והכללים, לבין הקמפיין עצמו שבודק אם הידע באמת מיושם ביום-יום.
רשות שמנהלת מאגרי מידע גדולים על תושבים תרצה להוסיף גם לומדה להגנת הפרטיות, ומי שמעדיף כלי מתמשך במקום קמפיין נקודתי יכול להסתכל על סימולטור הפישינג הארגוני. רוצים לראות מספרים אמיתיים משטח? יש לנו קייס סטאדי של קמפייני פישינג עם תוצאות מארגונים שונים.
לא. הקמפיין נשלח בלי התראה מוקדמת, אחרת אין לו ערך. עם זאת, ההנהלה ומנהל מערכות המידע מתואמים מראש, והמטרה תמיד ללמד ולא להפחיד.
לא כשעושים את זה נכון. אנחנו לא "תופסים" עובדים — מי שלוחץ מקבל הסבר קצר ומכבד, והתוצאות מוצגות ברמת מחלקה ולא בשמות.
כן. הקמפיין מותאם לגודל הרשות, ואנחנו מריצים את רוב העבודה. גם רשות קטנה מקבלת תמונת מצב ודוח ברור בלי להעמיס על הצוות.
ההמלצה היא תוכנית שנתית עם שניים עד ארבעה קמפיינים. זה מספיק כדי לראות מגמה ולשמור על מודעות, בלי להעיק על העובדים.
האפיון ובניית התרחישים לוקחים בדרך כלל כמה ימים, השליחה והמדידה מתפרסות על ימים ספורים, והדוח מגיע זמן קצר לאחר מכן.
הכול נכתב בעברית מלכתחילה, בשפה שבה הודעות באמת מגיעות לעובדי הרשות. הודעה מתורגמת מזוהה מהר מדי ולא בודקת כלום.
לא. הנתונים משמשים למדידה ולשיפור, לא למשמעת. אנחנו ממליצים בפירוש להימנע מהצגת שמות בדוחות להנהלה.
כן, וזה גם השילוב המומלץ. הלומדה נותנת את הידע והקמפיין בודק אם הוא מיושם בפועל. אפשר להריץ אותם ברצף לאורך השנה.
משאירים פרטים בטופס, אנחנו לומדים איתכם את הרשות ובונים תרחישים מותאמים. משם יוצאים לקמפיין הראשון ומקבלים דוח.
אפשר להשקיע בהגנות טכנולוגיות מצוינות, אבל בסוף מישהו עדיין יקבל מייל ויצטרך להחליט אם ללחוץ. קמפיין פישינג מבוקר עוזר לצמצם את הסיכון הזה: הוא מראה איפה הפערים, מחזק את הביטחון של העובדים לדווח, ונותן למנהל מערכות המידע נתונים אמיתיים לעבוד איתם.
רוצים לבדוק איך זה נראה אצלכם? דברו איתנו ונתאים תוכנית לרשות שלכם — בהתאם לגודל, למחלקות ולקצב שנוח לכם.
