חברת KELA, מובילה עולמית בתחום מודיעין הסייבר וניהול חשיפה לאיומים חיצוניים, מפרסמת היום (רביעי) את הדוח השנתי שלה The State of Cybercrime 2026: Emerging Threats & Predictions, שמנתח את תמונת המצב בתחום פשיעת הסייבר העולמית. הדוח מצביע על זינוק חסר תקדים בפשיעת סייבר, הנובע בין היתר משינוי בדפוסי הפעולה של התוקפים, והטמעת מערכות בינה מלאכותית זדונית ואוטונומית, שמצליחות להקדים את יכולות הגנת הסייבר המסורתיות של ארוגנים רבים.
מתקפת סייבר על מסכים בנמל התעופה הבינלאומי של ביירות בלבנון (ארכיון)
מרכז המודיעין והסייבר (CIC) של KELA, הכולל צוותי מחקר של פשיעה וניתוח איומי סייבר, זיהה 7,549 קורבנות של מתקפות כופר בשנת 2025, עלייה של 45% לעומת השנה הקודמת, כאשר 53% מהם התרחשו בארה"ב.
הדוח מצביע על שינוי מהותי באופן בו האקרים משתמשים בבינה מלאוכתית. במקום מתקפות ידניות, הם עושים שימוש נרחב ב-Vibe coding, ומצליחים להטעות עוזרי AI ולגרום להם לבצע פעולות זדוניות במסווה של בקשות לגיטימיות.
ב-KELA מוסיפים כי קבוצות תקיפה מרכזיות ברחבי העולם כבר משתמשות בכלים אוטונומיים לניהול חלקים נרחבים מהפשיעה, כמעט ללא צורך בהתערבות אנושית. בנוסף, ככל שארגונים מטמיעים ומחברים יותר מערכות בעזרת עזרים וסוכני AI, כך גדל "פער האמון". מרגע שתוקף הצליח להטעות סוכן אחד, הוא יכול הרבה יותר בקלות להטעות את הסוכן הבא, ולהפיץ הוראות לכל המערכת המקושרת, ולעקוף את כל מנגנוני האבטחה המסורתיים.
ב-KELA מסבירים כי ככל שארגונים וחברות, בכל הדרגים, משלבים יותר כלי AI ללא פיקוח ובקרה, ולעיתים תוך הזנת מידע ופרטי גישה רגישים. כך גדל הסיכון המשמעותי מפני תופעת ה-Shadow AI, שעלול להוביל לדליפות מידע במהירות. ללא ניהול מרכזי, ומדיניות הגנת סייבר ברורה, shadow AI מייצר משטחי תקיפה בלתי מפוקחים.
עוד עולה מהדוח כי חלק הולך וגדל מהמתקפות, במיוחד אלה הקשורות לגורמים מדינתיים, משתמשים במתקפות כופר כהסחת דעת, בעוד שהמטרה המרכזית היא למעשה גניבת מידע או פגיעה בפעילות העסקית, המתאפשרת לתוקפים בזמן שהארגון מרכז את רוב המאמצים בבלימת מתקפת הכופר.
הדוח של KELA מציין כי הגורם המרכזי המאפשר את הזינוק במתקפות הוא שימוש גובר בפרטי גישה גנובים. מרכז ה-CIC של החברה זיהה במהלך השנה חולפת 2.86 מיליארד פרטי גישה שנחשפו, 30% מהם קשורים לשירותי ענן עסקיים ומערכות אימות. למעשה, במקום לפרוץ, התוקפים פשוט מתחברים למערכת ועוקפים את שכבות ההגנה המסורתיות, מה שהופך את ניהול הזהויות לנקודת התורפה המרכזית כיום.
המגמה הזו מערערת תפיסות ישנות לגבי אבטחת פלטפורמות. כאשר תוכנות זדוניות מסוג Infostealer מסוגלות לפעול בפלטפורמות רבות, התוקפים אינם מוגבלים יותר למערכת הפעלה מסוימת. כך למשל, מספר ההדבקות במחשבי MacOS זינק מכאלף מקרים בשנת 2024, ליותר מ-70 אלף מקרים בשנת 2025, עלייה של כ-7,000%.
דוד כרמיאל, מנכ"ל KELA, מסביר: "אנחנו עדים לשינוי יסודי בהתנהגות התוקפים: מעבר מכלים שמסתייעים ב-AI, למערכות אוטנומיות לחלוטין, בהן מעל ל-80% מהפעילות מתבצעת ללא מעורבות אנושית. התוקפים כבר לא צריכים לפרוץ דרך 'הדלת האחורית', הם פשוט מוצאים את המפתח ונכנסים בדלת הקדמית. ארגונים שממשיכים להסתמך על מודיעין מיושן והגנות סייבר מסורתיות, במקום פתרונות מתקדמים מבוססי AI, משאירים את הדלת הקדמית פתוחה לרווחה".
ממצאים מרכזיים נוספים בדוח:
- בשנת 2025 תועדו 147 קבוצות כופר פעילות, לצד הופעתן של 80 קבוצות חדשות.
- מספר חולשות האבטחה עלה ב-28%, על רקע מעבר לשימוש בקוד תקיפה מוכן להפעלה.
- פעילות "האקטיביזם" זינקה ב-400%, עם 250 קבוצות שביצעו כ-3,500 מתקפות DDoS.
- פעילות סייבר של מדינות הותאמה באופן הדוק לאזורי סכסוך עולמיים.
ומה עם ישראל?
בשנת 2025, מוקדי מתיחות גיאופוליטיים הפכו לזירות פעילות סייבר מתמשכות בגיבוי מדינתי, מה שמבסס את המרחב הדיגיטלי ככלי כוח מרכזי של מדינות לצד הזירה הצבאית והדיפלומטית.
עימותים כמו רוסיה-אוקראינה, ישראל-איראן, והיריבויות בין ארה"ב-סין וצפון קוריאה לוו בקמפיינים רחבי היקף של ריגול, שיבוש מערכות, לוחמה תודעתית ואף יצירת הכנסות. במקביל, פעילות האקטיביזם התפתחה מהפרעות סמליות לניסיונות ממוקדים לפגוע בתשתיות קריטיות ומערכות תפעוליות (OT), כאשר קבוצות פרו-רוסיות הובילו את המגמה, וההסלמה בין ישראל לאיראן המחישה את השימוש המהיר באקטיביזם ככוח משלים בזמן משברים.
ביוני 2025, ההסלמה בין ישראל לאיראן הובילה לזינוק חד בפעילות סייבר, כאשר קבוצות פרו-איראניות, פרו-פלסטיניות ופרו-ישראליות ניהלו קמפיינים אינטנסיביים שכללו מתקפות DDoS, דליפות מידע ולוחמה תודעתית במקביל לאירועים הצבאיים, כשהיעדים המרכזיים כללו ממשלות, מערכות פיננסיות, תקשורת, אקדמיה ותשתיות קריטיות.
לצד זאת, אף שחלק מהטענות לא אומתו, מקרים מאומתים הובילו לשיבושים בשירותים ולעלייה במתח הציבורי, בעוד שמספר תקיפות פרו-ישראליות מצומצם יותר היה הרסני יותר וגרם לנזק ממשי לתשתיות באיראן, כולל אובדן מידע ופגיעה כלכלית.
טעינו? נתקן! אם מצאתם טעות בכתבה, נשמח שתשתפו אותנו