התשובה הקצרה לשאלה היא כן. מערכת EDR מודרנית מזהה התנהגות של הצפנה המונית תוך שניות ועוצרת את התהליך. אבל התשובה הקצרה מטעה, כי היא מניחה שההצפנה היא המתקפה. היא לא. היא השלב האחרון שלה.
כדי להבין למה זה משנה, כדאי להסתכל על מה שקורה לפני.
שחזור של ציר הזמן האמיתי
מתקפת כופר על ארגון אינה אירוע רגעי. היא נמשכת בדרך כלל בין ימים לבין שבועות רבים, ומורכבת משלבים ברורים.
בשלב הראשון מתרחשת הגישה הראשונית - גניבת אישורי התחברות, ניצול שירות חשוף לאינטרנט, או משתמש שהריץ פקודה שהודבקה לו. השלב השני הוא התמקמות: התוקף בודק היכן הוא נמצא, אילו הרשאות יש לו ומה מחובר לרשת. בשלב השלישי הוא מעלה הרשאות ונע לרוחב הרשת אל בקר הדומיין (DC) ואל השרתים. בדרך כלל שלבים אלו מלווים בניצול פרצות אבטחה שלא טופלו - בתוכנות ובמערכת ההפעלה.
השלב הרביעי, וזה שהארגון בדרך כלל שוכח, הוא טיפול בגיבויים ובהגנות: מחיקת עותקי צל (Shadow Copy), כיבוי מנגנוני שחזור, וניסיון להשבית את מערכות האבטחה עצמן. רק בשלב החמישי מתחילה ההצפנה.
מכאן נובעת התשובה המלאה. מערכת שמזהה את שלב חמש בזמן אמת מצילה חלק מהקבצים. מערכת שמזהה את שלב שתיים או שלוש חוסמת את האירוע ומונעת אותו מלכתחילה.
למה השלב הרביעי הוא הקריטי
הנקודה שבה תוקף מנסה להשבית את מערכות ההגנה הפכה לזירה מרכזית, ויש לכך ביטוי מספרי.
לפי דוח האיומים של ESET למחצית הראשונה של 2026, מתועדים כיום יותר ממאה כלים שונים מסוג EDR killer - תוכנות שנועדו במפורש להשבית או לעקוף מערכות זיהוי בתחנות קצה - הנמצאים בשימוש פעיל בידי קבוצות כופר.
הקיום של קטגוריה שלמה כזאת, בהיקף כזה, אומר שני דברים. הראשון הוא שהתוקפים מניחים שיש EDR בסביבה זו כבר לא ההפתעה שהייתה לפני חמש שנים. השני הוא שהעמידות של המערכת בפני ניסיון השבתה הפכה לתכונה קריטית לא פחות מיכולת הזיהוי שלה.
זו שאלה שכדאי לשאול כל ספק: מה קורה כשמשתמש עם הרשאות מנהל מנסה לעצור את השירות. האם יש הגנה בשכבת הליבה, האם נדרשת סיסמה נפרדת, והאם ניסיון ההשבתה עצמו מייצר התראה.
מה שמערכת רואה ובני אדם מפספסים
היכולת שמבדילה בין זיהוי מאוחר למוקדם היא קישור בין אירועים שכל אחד מהם תמים בנפרד.
חשבון שירות שמתחבר לשרת שהוא מעולם לא ניגש אליו הוא אירוע יחיד. הרצה של כלי ניהול מובנה היא אירוע יחיד. מחיקת עותקי צל היא פעולה שמנהל מערכת עושה לפעמים באופן לגיטימי. שלושת האירועים האלה יחד, ברצף, בתוך עשרים דקות, הם דפוס שאין לו הסבר תמים.
אף אחד מהם לא היה מפעיל התראה בכלי שבודק קבצים. הרצף מפעיל התראה במערכת שבודקת רצפים.
ומה לגבי הדרך שבה זה מתחיל
מכיוון שהשלב הראשון קובע את כל השאר, כדאי לדעת מה מוביל אליו כרגע. לפי אותו דוח, זיהויי ClickFix - הטכניקה שבה דף אינטרנט משכנע את המשתמש להעתיק ולהדביק פקודה בעצמו, יותר מהוכפלו בין המחצית השנייה של 2025 למחצית הראשונה של 2026.
מה שהופך את הטכניקה הזאת ליעילה הוא שהיא לא מנסה לעקוף את ההגנה, אלא את המשתמש. אין קובץ מצורף לסרוק, ומי שמריץ את הפקודה הוא בעל ההרשאות הלגיטימי.
מה זה אומר על מה שצריך לוודא
השאלה "האם המערכת מזהה כופר בזמן אמת" צריכה להתפרק לארבע שאלות מדויקות יותר.
• האם היא מזהה גישה ראשונית ותנועה לרוחב, ולא רק הצפנה
• האם היא עמידה בפני ניסיון השבתה בידי משתמש עם הרשאות מנהל
• האם היא מתריעה על מחיקת עותקי צל ועל שינוי במדיניות הגיבוי
• האם יש מי שיראה את ההתראה בשלוש לפנות בוקר, או שהיא תמתין לבוקר
השאלה הרביעית היא זו שקובעת את התוצאה בארגונים בינוניים. זיהוי מוקדם ללא מענה מוקדם הוא תיעוד מדויק של מה שקרה, לא מניעה שלו. זו הסיבה שארגון בלי ניטור מסביב לשעון צריך לשקול שכבה מנוהלת מעל המערכת, ולא רק את המערכת.
מה שהמספרים מרמזים על הכיוון
יש בדוח נתון אחד מעודד: שיעור הקורבנות שבוחרים לשלם כופר נמצא בירידה. זה קורה כשארגונים מגיעים לאירוע עם גיבויים שהתוקף לא הצליח להגיע אליהם ועם יכולת לשחזר בלי לנהל משא ומתן.
היכולת הזאת נבנית לפני האירוע, בשלב שבו איש עדיין לא לחוץ.