הספק הוא משטח ההתקפה החדש
מעודכן ל-2026
עשור שלם התמקדו צוותי אבטחה במטרה אחת: להרחיק תוקפים מהרשת. לאבטח את הפריפריה. לנעול את נקודות הקצה. לשלוט בגישה. המודל הישן הניח שהתוקפים יגיעו ישירות לארגון.
נתוני 2024 מוכיחים שהמודל הזה שבור. פרצות SaaS זינקו ב-300% בשנת 2024, לפי דוח האיומים של Obsidian Security לשנת 2025. תוקפים כבר לא מכוונים ישירות לארגונים — הם מכוונים לכלי ה-SaaS שאליהם הארגונים מפקידים את הרשומות שלהם.
כאשר כלי הענן הוא יעד ההתקפה, רשת פנימית חזקה לא עוזרת. רשומות לקוחות, מסמכי עובדים ותוכן רגיש נמצאים על שרתי הכלי. הם נעולים עם מפתחות הכלי. הם נחשפים כאשר הכלי מותקף.
נתוני פרצות SaaS לשנת 2024
סיכומי הפרצות של 2024 מדגימים את היקף הסיכון.
Conduent ספגה פרצה שחשפה 25.9 מיליון רשומות. Conduent מנהלת עיבוד תהליכים עסקיים עבור סוכנויות ממשלתיות וחברות גדולות. היא מטפלת בתגמולים, תשלומים ושירותים לאזרחים. 25.9 מיליון האנשים שנפגעו לא ידעו שגורם צד שלישי מחזיק במידע שלהם.
NHS Digital ספגה פרצה שפגעה ב9 מיליון מטופלים. רשומות מטופלים נחשפו דרך שרתי כלי ענן. המטופלים מסרו את המידע לספקי הבריאות שלהם. לא הייתה להם סיבה לדעת שהמידע הגיע לפלטפורמה צד שלישי שמעולם לא ידעו על קיומה.
אלו אינן אירועים נדירים. זו הנורמה החדשה. פרצות גדולות פוגעות כיום במיליוני אנשים שבטחו בארגון אחד, אך המידע האישי שלהם הוחזק על ידי גורם אחר שלא ידעו על קיומו. לגבי אופן הטלת האחריות המשפטית במקרים כאלו, ראו את סקירת הציות ל-GDPR שלנו.
מדוע פרצות SaaS פועלות אחרת
פרצת רשת קלאסית דורשת שלבים רבים. התוקפים חייבים לעבור את הפריפריה. לנוע דרך המערכות. לחלץ מסמכים. כל שלב הוא הזדמנות להיתפס.
פרצות SaaS פועלות אחרת. כאשר תוקפים פוגעים בפלטפורמת ענן, הם מגיעים לרשומות של כל לקוח שהעביר תוכן דרך אותה פלטפורמה. פרצה אחת מניבה מסמכים מעשרות או מאות לקוחות בבת אחת.
חלון פרצה של 9 דקות — הזמן מגישה ראשונה ועד גניבת רשומות במערכות SaaS, לפי תיעוד אירועי Obsidian Security — מראה עד כמה זה מהיר. בתוך פלטפורמה משותפת, תוקפים מוצאים תוכן ממשתמשים רבים בבת אחת. ריכוז ערך זה הופך כל התקפה ליעילה במיוחד.
חוזים לא סוגרים את הפער הזה. סעיף 82 ל-GDPR מייחס אחריות משותפת למעבדים בגין פרצות שהם גרמו. אך הוכחת האשמה לוקחת חודשים. עד אז, הרשומות כבר נעלמו. ראו את עמוד האבטחה והציות שלנו לגבי האופן שבו כלי אפס-ידע משנים תוצאה זו.
ה-DPA לא מגן על הרשומות שלכם
סעיף 28 ל-GDPR קובע שארגונים חייבים להשתמש רק במעבדים המספקים "ערבויות מספקות". הסכם עיבוד הנתונים (DPA) הוא ההוכחה הכתובה לערבויות אלו.
בדומה להסכם שותף עסקי של HIPAA, ה-DPA מכסה את הצד המשפטי. הוא לא מכסה מה קורה למסמכים שלכם על שרתי הספק.
כלי ענן עם DPA תואם לחלוטין ל-GDPR עדיין עשוי:
- לאחסן רשומות לקוחות בהצפנה בצד השרת עם מפתחות שמוחזקים על ידי הספק
- להפעיל מידע על עובדים דרך מערכת משותפת שבה משתמשים לקוחות רבים אחרים
- לשמור יומנים ותוכן במטמון מעבר לשימושים המוסכמים
- לספוג פרצה שחושפת את כל האמור לעיל
ה-DPA קובע חובות משפטיות. הוא לא יוצר מחסום טכני מפני חשיפה. כאשר תוקפים פורצים לפלטפורמה תוך 9 דקות, ה-DPA לא מאט אותם.
לעזרה בשפה פשוטה לגבי חובות סעיף 28, ראו את מילון ה-GDPR.
מדוע הזינוק של 300% הוא מבני
הזינוק של 300% משקף שתי כוחות הפועלות בו זמנית.
ראשית, נפח המידע הרגיש בפלטפורמות SaaS גדל בחדות ב-2024. ארגונים נוספים העבירו עבודה נוספת לכלי ענן. מסמכים נוספים נחתו על שרתי צד שלישי. יותר תוכן פירושו יותר סיבה לתקוף את השרתים הללו.
שנית, תוקפים הסתגלו. ארגונים שולחים כיום רשומות לקוחות, יומני פיננסים, מידע על משאבי אנוש, תוכן משפטי ורשומות רפואיות דרך כלי SaaS. פגיעה בפלטפורמה אחת מניבה רשומות מלקוחות רבים. המתמטיקה מתגמלת תקיפת פלטפורמות על פני תקיפת ארגונים בודדים.
המספר 300% אינו קפיצה בפשיעה. הוא מסמן שינוי מבני בכתובות ההתקפה.
אנונימיזציה בגישת אפס-ידע כפתרון
הפתרון מתחיל בשינוי חשיבה אחד. אם ניתן לפרוץ לכל פלטפורמה — ותיעוד 2024 מוכיח שכך הוא — אז אף פלטפורמה לא אמורה לקבל את המידע האישי של לקוחותיכם בצורה קריאה.
אנונימיזציה בגישת אפס-ידע לפני העלאה משנה לחלוטין את סיכון הפרצה. כאשר פלטפורמה המחזיקה תוכן שעובד בגישת אפס-ידע מותקפת:
- תוקפים מגיעים לרשומות אנונימיות ללא מזהי לקוח קריאים
- אין צורך בהודעה לנושאים כי לא נחשף מידע אישי
- אין צורך בתביעת אחריות משותפת לפי סעיף 82 ל-GDPR
- אין מעקב רגולטורי הנובע מהפרצה
ההתקפה פוגעת בפלטפורמה. היא לא מגיעה ללקוחות שלכם. המידע האישי שלהם מעולם לא הגיע לשרתי הפלטפורמה בצורה קריאה.
זו לא תיאוריה. זוהי עובדה פשוטה: אין רשומות לגנוב כי אף אחת לא נשלחה בצורה קריאה. השאלות הנפוצות עונות על שאלות נפוצות בנושא אנונימיזציה בגישת אפס-ידע. עמוד התמחור מראה מה עולה הגנה זו בהיקף.
הזינוק של 300% משנה את חשבון הסיכונים. בדיקת מצב האבטחה וסעיפי החוזה של ספק פירושה הימור שהספק שלכם לא יהיה הכותרת הבאה. אנונימיזציה בגישת אפס-ידע מבטלת את ההימור הזה.