מתקפת סייבר כבר לא מתמקדת בפריצת הקוד, היא מתמקדת בבן אדם
מתקפות סייבר המתקמקדות באדם ולא בקוד
החלטה אחת “קטנה” יכולה לפתוח מסלול שלם, גם כשיש מערכות הגנה חזקות.
כאשר בוחנים אירועי סייבר משמעותיים מהשנים האחרונות מתגלה תובנה עקבית וברורה: רוב המתקפות אינן נפתחות בפרצת אבטחה טכנולוגית מורכבת, אלא בהחלטה אנושית אחת קטנה לכאורה.
לחיצה על קישור, פתיחת קובץ, או אישור בקשה שנראית לגיטימית.
ברגע ההוא, התוקף לא צריך “לפרוץ”, הוא פשוט מקבל את מה שהוא צריך כדי להתחיל לזוז.
הגורם האנושי הפך לנקודת הכניסה המרכזית גם בארגונים בעלי מערכות אבטחה מתקדמות במיוחד. לא כי אנשים “לא זהירים”, אלא כי המציאות הארגונית מחייבת קצב, זרימה, ויכולת לקבל החלטות מהר.
התוקפים מבינים זאת ומכוונים למקום שבו ההגנה הכי פחות צפויה: האמון האנושי.
כפי שמציין עופר דה־פיצ’וטו, מנכ״ל ובעלי קבוצת עידור:
“אפשר להשקיע במערכות הטובות ביותר, אך בסוף ההחלטה מתקבלת על ידי אדם.”
למה האדם הוא יעד מועדף לתוקפים
בעולם מהיר ומבוזר, קל יותר לשכנע עובד מאשר לפרוץ מערכת.
העולם הארגוני השתנה: עבודה מרחוק, ענן, ספקים חיצוניים וקצב עבודה גבוה יוצרים סביבה שבה עובדים נדרשים לקבל החלטות במהירות ובתנאי עומס. דוא”ל, Teams, וואטסאפ, מערכות CRM ו־SaaS — הכול זז מהר, והגבולות בין “פנימי” ל”חיצוני” מיטשטשים. בתוך הסביבה הזו, עובד יכול לקבל בקשה שנראית הגיונית לחלוטין — ולפעול מתוך רצון לעזור, להספיק, לא לעכב.
התוקפים מבינים זאת היטב. במקום לנסות לפרוץ מערכות מוגנות, הם פונים אל החוליה האנושית ומפעילים הנדסה חברתית מתקדמת, מדויקת ואישית. גם עובדים מנוסים עלולים לטעות כאשר ההקשר נראה אמין, התזמון נכון והלחץ גבוה. לכן זו אינה בעיית מודעות בלבד — זה אתגר תרבותי וניהולי: האם הארגון מאפשר לעובד לעצור? האם יש תהליך ברור? האם קיימת גיבוי ניהולי לזהירות?
מודעות ללא תרגול אינה מספיקה
ידע תאורטי לא משנה התנהגות ברגע האמת, תרגול ותהליכים כן.
ארגונים רבים מקיימים הדרכת מודעות תקופתית וממשיכים הלאה. אך מודעות תאורטית שאינה מתורגמת להתנהלות יומיומית אינה משנה את רמת הסיכון בפועל. עובד יכול “לדעת” מהו פישינג, ועדיין ללחוץ כשההודעה נראית אמינה, מגיעה בזמן לחץ ומתחברת לתהליך עסקי קיים.
כדי לשנות סיכון, עובדים צריכים לדעת מה עושים כאשר משהו נראה חריג, למי פונים, ואיך הארגון יגיב אם הם יבחרו לעצור תהליך עסקי מסיבות אבטחה.
כאשר התרבות הארגונית אינה תומכת בזהירות אלא רק במהירות, גם מערכות מתקדמות לא יספיקו. סייבר לא יכול להיות רק “כללים”, הוא חייב להפוך להרגלים, לשפה ולתהליך.
עופר דה־פיצ’וטו מחדד זאת כך:
“עובד שמרגיש בטוח לעצור ולשאול, הוא נכס אבטחתי משמעותי.”
להפוך אנשים לשכבת הגנה
כשהאדם הוא חלק מהמערך, הוא לא רק “נקודת תורפה”, הוא חיישן ובלם בזמן אמת.
בארגונים בשלים, הגורם האנושי אינו נתפס כחולשה אלא כחלק פעיל ממערך ההגנה. הדרכות מותאמות לתפקיד, תרגול תרחישים אמיתיים, סימולציות תקופתיות ולמידה מאירועים, יוצרים שינוי עמוק בהתנהלות היומיומית. במקום להסתמך על “אל תטעו”, בונים סביב העובד מעטפת שמפחיתה טעויות: תהליכי אימות, מנגנוני אישור, כלים שמסננים מסרים, והגנות סביב זהויות והרשאות.
גישה זו מחזקת את החיבור בין ידע טכנולוגי להבנה אנושית. כאן בא לידי ביטוי השילוב בין Infoguard, שמובילה תהליכי מודעות ותרבות אבטחה, לבין Idor Next, שמביאה לארגונים אנשים עם הבנה רחבה של סביבה מאובטחת ויכולת להחזיק תהליכים לאורך זמן. כשהארגון משלב נכון בין תרבות, תהליכים וטכנולוגיה — האדם לא נשאר “חוליה חלשה”, אלא הופך לשכבת הגנה שמזהה, מדווחת ומונעת התפשטות.
מבט הנהלתי על הגורם האנושי
ההנהלה לא צריכה לשאול “האם הייתה הדרכה”, אלא “האם יש יכולת פעולה ברגע האמת”.
השאלה החשובה עבור הנהלות אינה האם התקיימה הדרכה, אלא האם העובדים יודעים לפעול נכון ברגע האמת. לא האם קיימת מדיניות, אלא האם היא חיה ונושמת בתוך הארגון: האם יש תהליך ברור לדיווח? האם יש גיבוי לעובד שעצר תהליך? האם יש מדדים שמראים שינוי בהתנהגות? האם מתרגלים תרחישים ולא רק “מסמנים וי”?
שם מתקבלת או נבלמת מתקפת הסייבר הבאה, לא בחדר השרתים, אלא ברגע שבו אדם צריך לבחור בין “להמשיך מהר” לבין “לעצור ולוודא”.
ב-2026 זה כבר לא “טעויות אנוש”, זה ניצול שיטתי של אמון ותהליכים
ככל שההנדסה החברתית נעשית מדויקת יותר, הארגון חייב לבנות הגנות סביב העובד.
המשמעות ברורה:
מתקפות ימשיכו להתמקד באנשים כי זו הדרך המהירה והאפקטיבית ביותר לחדור לארגון, במיוחד כשהן משולבות בזהויות, הרשאות ותהליכים עסקיים. אבל זה לא גזירת גורל. ארגונים שמחברים בין תרגול, תהליכים, תרבות וכלים שמגנים על העובד, מצמצמים משמעותית את שיעור ההצלחות של תוקפים ומקצרים זמן תגובה.
מכאן טבעי להסתכל על המגמות המרכזיות שמעצבות את ההגנה סביב הגורם האנושי בשנה הקרובה, ואילו צעדים הופכים את האדם ממטרה לתוקף, לשכבת הגנה לארגון.
