דליפות מידע כבר מזמן לא מפתיעות אף אחד. גם בישראל, חברות משקיעות מיליונים באבטחה, עוברות בדיקות חדירה, שוכרות שירותי MSSP — אבל מספר המקרים רק הולך וגדל. מספיק להזכיר את דליפות הענק של רמי לוי, קופת חולים לאומית או מאגרי מועמדים לעבודה — כל אחת מהן חשפה מידע רגיש של עשרות ואף מאות אלפי אזרחים.
אבל מה קורה אחרי שהמידע כבר דלף? לאן הוא זולג? מי קונה אותו ולמה?
פרק ראשון: החיים הסודיים של מידע גנוב
הרוב המוחלט של הסיקור התקשורתי נגמר במשפטים כמו "היה פריצה, תתחזקו את המערכות". אבל למעשה — דליפה היא רק ההתחלה. מרגע שהמידע יוצא החוצה, הוא מתחיל "חיים משל עצמו": מפוצלים, נארזים מחדש, נמכרים, ולעיתים אף נמסרים לשימוש קהילות פשע או מתחרים.
במקרים רבים, במיוחד בזירה הישראלית, ניתן למצוא את הנתונים באפליקציות כמו Telegram, שרתים סגורים ב-Discord, ולעיתים אפילו בפורומים עבריים על גבי TOR — "הצד השני של הסייבר הישראלי", כפי שכונה בעיתונות.
פרק שני: מי מוכר את המידע?
לאורך המעקב שלך, אתה נתקל בשם חברה ישראלית קטנה שנפגעה. מבדיקת הלוגים, נראה שהאקרים הצליחו לגנוב את כל רשימת הלקוחות – כתובות מייל, מספרי טלפון, אפילו היסטוריית רכישות.
בעולם האמיתי, מוכרים כאלה יכולים להיות:
- האקרים מרוסיה או איראן שפועלים בזירה המקומית;
- שחקני "בוטיק" ישראלים המנצלים חולשות ידועות במערכות קוד פתוח (כמו WordPress או Magento);
- עובדים לשעבר בחברות שירות או מוקדים חיצוניים עם גישה לגיבויים.
הקונים — לרוב לא פחות מעניינים.
פרק שלישי: מי קונה ולמה?
לפי ניתוחים של Bastion ושותפים בזירה המקומית:
- מתחרים — למשל, קמעונאי בגדים שירצה "לשאוב" לקוחות מאתר מתחרה על ידי שליחת מבצעים מפתים.
- גורמים פליליים — המשתמשים במידע ליצירת קמפיינים של פישינג ממוקד, בעיקר בוואטסאפ, SMS ודוא"ל.
- חברות אבטחה בעצמן — שלעיתים רוכשות עותק של הדליפה כדי לבדוק מה בדיוק נפרץ ולמה.
כן, אפילו בצה"ל ובמערך הסייבר הלאומי נשקלת לעיתים גישה ישירה למאגרים דלופים — לצורכי ניתוח ומניעה עתידית.
פרק רביעי: איך מתבצעת המכירה?
העסקאות מתבצעות במגוון פורמטים:
- קובץ ZIP עם אלפי שורות של מידע אישי – נמכר בביטקוין או מונרו (שימוש הולך וגדל בזירה המקומית).
- שירות חיפוש בתשלום — במקום לקנות את כל המאגר, ניתן לבצע שאילתות, למשל על מספרי טלפון של לקוחות.
- גישה לתשתית עצמה — במקרים חמורים יותר, המוכר ממשיך להחזיק בדלת אחורית (Backdoor) לשרתי החברה.
בישראל, העלות של דליפה שכזו נעה בין עשרות דולרים לעשרות אלפי שקלים – תלוי ברגישות, בכמות, ובאיכות הנתונים.
פרק חמישי: אמת, זיופים ומה שביניהם
לא כל "דליפה" היא אמיתית. יש גם קומפילציות — אוספים ישנים של מידע ציבורי המוצגים כאילו הם חדשים. איך בכל זאת בודקים?
- דוגמית (sample) מתוך המאגר,
- חוות דעת של מוכרים מוכרים (עם רייטינג גבוה),
- שירות "גָרַנְט" — צד שלישי נייטרלי המחזיק את הכסף עד שהרוכש מאשר את טיב המוצר.
גם בזירה הישראלית קיימים היום פורומים בהם מערכת מוניטין נחשבת קריטית. רוכש שקונה דליפה מזויפת עלול לשרוף את שמו ולא להיכנס לעסקאות בעתיד.
פרק שישי: איך נראית העסקה בפועל?
העברת המידע נעשית בדרכים מגוונות:
- העלאה לפלטפורמות אנונימיות (כמו Mega, GoFile),
- שיתוף קישורים דרך Telegram,
- עסקאות P2P בקריפטו – שמאפשרות אנונימיות כמעט מוחלטת (בעיקר עם Monero או Zcash).
אבל היום גם בישראל, עם חקיקה מתקדמת כמו חוק הגנת הפרטיות ורגולציה של רשות שוק ההון – השימוש במידע שנרכש בדרכים כאלו אינו רק לא אתי, אלא גם פלילי באופן חד-משמעי.
סיכום: מציאות שחייבים להכיר בה
מקרה כמו זה של "לא יפרצו אלינו בע"מ" אולי נשמע דמיוני — אבל בישראל, זה קורה כמעט כל חודש. לפעמים מדובר באתרים קטנים של שירותים לעסקים, ולפעמים במאגרים של רשויות ממשלתיות או חברות בריאות.
הסייבר התוקפני נהיה שוק מפותח עם שיטות עבודה מתקדמות: מנגנוני תיווך, מודלים של מכירה חוזרת, מוניטין, ולצידם — דרכים לעקוף חקירה, להלבין כסף, וליצור נזק מתמשך.
לכן בישראל 2025, ניטור הדארקנט הוא לא עוד שירות יוקרתי לחברות ענק, אלא צורך עסקי אמיתי גם עבור עסקים קטנים ובינוניים. ההבנה של מחזור החיים של דליפת מידע — היא תנאי מוקדם לתגובה מהירה, להפחתת נזק ולהגנה ארוכת טווח.
עקבו אחרי PURP — ערוץ הטלגרם שמביא את הסייבר הישראלי כפי שהוא באמת:
📡 t.me/purp_sec — ניתוחים, תובנות וכלים מגורמי אבטחה מקומיים