# אתר שנפרץ, מה עושים? מדריך תגובה לבעלי עסקים

> אתר שנפרץ, מה עושים? הסדר הנכון של הפעולות בשעות הראשונות, איך מנקים בלי למחוק ראיות, ומה צריך לשנות כדי שזה לא יקרה שוב.

- כתובת: https://npcoding.co.il/blog/ahtar-shnpratz-ma-osim-madrich-tguva-lbaaley-asakim/
- פורסם: 14 בנובמבר 2026 (2026-11-14)
- כתיבה: צוות NPCoding – צוות הפיתוח, העיצוב וניהול המוצר
- קטגוריה: פיתוח אתרים
- זמן קריאה: 4 דקות

אתר שנפרץ, מה עושים? זו שאלה שמגיעה אלינו בדרך כלל בלחץ: לקוח כתב שגוגל מזהיר מהכניסה לאתר, או שהדף הראשי פתאום מפרסם קזינו, או שמישהו שם לב שהטפסים נשלחים למקום אחר. ברגע כזה הדחף הוא למחוק, לשחזר ולהמשיך הלאה. זה בדיוק הדחף שצריך לעצור, כי הסדר שבו פועלים קובע אם תסגרו את האירוע או תחזרו אליו בעוד שבועיים.

## קודם עוצרים את הנזק, אחר כך מנקים

המטרה בשעות הראשונות היא לא לתקן. המטרה היא שהפרוץ לא ימשיך לפגוע במי שנכנס. אם האתר מציג תוכן זדוני, מפנה גולשים או אוסף פרטים, הוא פוגע בלקוחות שלכם בכל דקה שהוא פתוח.

לכן הצעד הראשון הוא להעלות דף תחזוקה פשוט או לחסום גישה מהחוץ, דרך חברת האחסון או ה-DNS. לפני שאתם נוגעים בקבצים, תעתיקו הצידה את מה שיש: קבצי האתר, מסד הנתונים והלוגים של השרת. זה נראה מיותר כשהכול בוער, אבל בלי העותק הזה אין דרך להבין איך נכנסו. ומי שלא מבין איך נכנסו, יפרצו לו שוב.

## להחליף גישות, ובסדר הנכון

אחרי שהאתר סגור, עוברים על כל המפתחות. סיסמת הניהול של האתר, חשבון האחסון, FTP או SSH, מסד הנתונים, חשבון הדומיין, מפתחות API של תשלומים ודוא"ל. אם אחד מאלה היה בידי התוקף, ניקוי האתר לא עוזר.

יש כאן פרט שמפספסים: מחליפים סיסמאות ממחשב שאתם סומכים עליו. אם הפריצה התחילה בנוזקה במחשב של מי שמנהל את האתר, הסיסמה החדשה נחשפת מיד. ואם אותה סיסמה משמשת גם בשירותים אחרים, צריך להחליף גם שם. כדאי גם לעבור על רשימת המשתמשים באתר ולמחוק כל חשבון מנהל שאף אחד לא מכיר. תוקפים משאירים לעצמם דלת כזאת.

## מה הם עשו שם בעצם?

כאן מתחילה העבודה האמיתית. שינוי בעמוד הראשי הוא החלק הגלוי. מתחתיו יכולים להיות קבצים מוסתרים בתיקיות של העלאות, קוד שנוסף לקבצי התצורה, משימות מתוזמנות בשרת, או שורות בטבלאות של מסד הנתונים שמזריקות סקריפטים לכל עמוד.

מה בודקים קודם:

- קבצים ששונו לאחרונה, בעיקר כאלה שאף אחד לא ערך ביודעין
- קבצי הרצה בתיקיות שאמורות להכיל רק תמונות
- משתמשים חדשים עם הרשאות גבוהות
- הפניות חשודות בקובץ ההגדרות של השרת
- גישות חריגות בלוגים סביב התאריך שבו הבעיה התגלתה, ולפניו

באתר וורדפרס, המקור השכיח הוא תוסף או ערכת עיצוב שלא עודכנו. כתבנו על זה בהרחבה ב[מאמר על תוספים בוורדפרס ומה חשוב לדעת על התקנה והסרה שלהם](https://npcoding.co.il/blog/wordpress-plugin-what-is-important-to-know-about-plugins-and-removing/). בשלב הזה מה שחשוב הוא לזהות איזה רכיב היה פתוח לפריצה, ולא רק להסיר את מה שנראה חשוד.

## ניקוי ידני או שחזור מגיבוי?

שתי הדרכים לגיטימיות, ולכל אחת מחיר. שחזור מגיבוי מהיר ונקי, אבל רק אם הגיבוי באמת מלפני הפריצה. אם התוקף ישב באתר שבועות לפני שהתגלה, הגיבוי של אתמול מכיל אותו גם. ואז שחזרתם את הבעיה.

ניקוי ידני שומר על נתונים עדכניים, כמו הזמנות והרשמות שנכנסו מאז הגיבוי, אבל דורש ידע ואיפוק. קל להחמיץ קובץ אחד, והוא מספיק כדי שהכול יחזור.

מה היינו בוחרים? אם יש גיבוי נקי וברור לגבי התאריך, נעדיף להקים אתר מחדש מקוד נקי, להחזיר אליו את התוכן והנתונים אחרי בדיקה, ולא לנסות לנקות מערכת ישנה שלא סומכים עליה. כשאין גיבוי אמין, עובדים ידנית ומשווים מול הגרסה הרשמית של כל רכיב.

## לא תמיד מדובר באתר תוכן

אם נפרצה אפליקציה או מערכת שיש בה משתמשים, חשבונות ותשלומים, השאלות שונות. צריך להבין אילו נתונים היו נגישים, האם טוקנים של משתמשים נחשפו, והאם צריך לאלץ התחברות מחדש לכולם. כאן הפריצה היא לרוב לא "מישהו שינה לי דף", אלא גישה שקטה למידע, ולפעמים היא מתגלה רק אחרי זמן. [אבטחת מידע באפליקציות](https://npcoding.co.il/blog/application-information-security/) היא נושא שכדאי להכיר לפני שזה קורה, וגם אחרי.

## מה צריך להגיד ללקוחות ולמי לפנות

אם יש סיכוי שפרטים אישיים נחשפו, אי אפשר לשבת על זה בשקט. יש חובות דיווח ופרטיות, והן תלויות בסוג המידע ובהיקף. פנו ליועץ משפטי שמכיר את התחום לפני שאתם מנסחים הודעה. הודעה כנה וקצרה, שמסבירה מה קרה, מה נחשף ומה כדאי לעשות, פוגעת פחות באמון מהסתרה שמתגלה אחר כך.

כדאי גם לבדוק אם האתר סומן ברשימות חסימה, למשל בדפדפנים ובמנועי חיפוש, ולבקש בדיקה מחדש רק אחרי שאתם בטוחים שהוא נקי. בקשה מוקדמת מדי שנדחית רק מעכבת.

## מה משנים כדי שזה לא יחזור

זה החלק שדוחים, ובטעות. אחרי שהאתר עלה, חוזרים לשאלה איך נכנסו ועונים עליה. אם זה תוסף ישן, מוחקים אותו או מחליפים בחלופה מתוחזקת. אם הסיבה סיסמה חלשה, מוסיפים אימות דו־שלבי. אם הרשאות הקבצים פתוחות מדי, סוגרים אותן.

עוד כמה דברים שאנחנו מסתכלים עליהם:

- **עדכונים.** מי אחראי עליהם, ומתי בפעם האחרונה מישהו באמת עשה אותם?
- **הרשאות.** כל משתמש צריך את המינימום שנדרש לתפקיד שלו.
- **גיבויים.** כאלה שנשמרים מחוץ לשרת, ושמישהו בדק פעם שאפשר לשחזר מהם.
- **ניטור.** התראה על שינוי בקבצים או על התחברות חריגה.

לעוד על הבסיס, כתבנו על [מה חשוב לבצע כדי לאבטח את האתר שלכם](https://npcoding.co.il/blog/abtcht-atr-lma-chshob-labtch-at-hatr-shlch/).

## כשהבעיה עמוקה יותר מהתוסף

לפעמים הפריצה חושפת משהו מבני: אתר שנבנה על קוד שאף אחד לא מבין, מערכת שאין לה בעלים, או התאמות אישיות שנכתבו בלי שיקול של אבטחה. ניקוי נקודתי כאן יהיה זמני. במקרים כאלה כדאי לשקול לבנות מחדש את החלק הבעייתי כ[פיתוח תוכנה](https://npcoding.co.il/services/software-development/) מסודר, או לעבור ל[אפליקציית ווב](https://npcoding.co.il/services/web-apps/) שנבנית עם הרשאות ובקרה מההתחלה. ואם מדובר באתר תדמית של עסק, [אתר תדמית](https://npcoding.co.il/services/corporate-websites/) פשוט ומתוחזק עדיף על אתר עמוס תוספים שאף אחד לא עוקב אחריהם.

ולמי שחושב שזה לא יקרה לו כי העסק קטן: תוקפים לא בוחרים לפי גודל. סורקים אוטומטיים מחפשים גרסאות ישנות ופרצות ידועות בכל אתר שהם מוצאים. אתר קטן ולא מתוחזק הוא יעד קל יותר, לא פחות.

## שאלות נפוצות

### האם כדאי לכבות את האתר מיד כשמגלים פריצה?

ברוב המקרים כן, או לפחות להציג דף תחזוקה פשוט. אתר פרוץ יכול להמשיך לגנוב פרטים מגולשים, לשלוח דואר זבל או להדביק מבקרים. לפני הכיבוי כדאי לשמור עותק של האתר ושל הלוגים, כדי שיהיה מה לנתח אחר כך.

### האם מספיק לשחזר גיבוי ישן?

לא תמיד. גיבוי שחזרתם בלי להבין איך נכנסו הוא בעצם הזמנה לאותה פריצה שוב. צריך לוודא שהגיבוי נקי מלפני הפריצה, ולסגור את הפרצה עצמה, בין אם זו תוסף ישן, סיסמה חלשה או הרשאה פתוחה מדי.

### צריך לדווח ללקוחות על פריצה?

אם נחשפו פרטים אישיים של לקוחות או משתמשים, כנראה שכן, ויש גם חובות חוק בנושא. כדאי להתייעץ עם יועץ משפטי שמכיר פרטיות לפני שמנסחים הודעה, ולא להמתין עם זה יותר מדי.

### איך יודעים שהאתר באמת נקי אחרי הטיפול?

בודקים שאין קבצים וחשבונות שלא הכרתם, שהקוד תואם לגרסה הנקייה, שכל הסיסמאות והמפתחות הוחלפו, ושהלוגים לא מראים פעילות חשודה במשך תקופה. אתר שנראה תקין מבחוץ עדיין יכול להכיל דלת אחורית.

---

NPCoding · צוות AI במיקור חוץ לעסקים: פיתוח תוכנה, ניהול אתר ושרתים, קמפיינים בגוגל ובפייסבוק, סושיאל, ניוזלטרים ו־SEO – ממקום אחד. דשבורד אחד, דוח כל בוקר ומנהל אחד שאחראי לתוצאה. · https://npcoding.co.il/