Dedicated Leak Site (DLS)

אתר דליפה ייעודי, או DLS, הוא אתר שמפעילה קבוצת כופרה ובו היא מפרסמת את הארגונים שלטענתה פרצה אליהם, ומעלה את הנתונים שנגנבו מהם אם הכופר לא שולם. כך הופכים נתונים גנובים למנוף לחץ. MITRE ATT&CK מזכיר אותו פעם אחת בלבד, בתוך T1657 Financial Theft, תחת טקטיקת Impact.

סביר שנתקלתם במונח ב-advisory או בדוח ספק, ומיד מתחתיו במספר: קורבנות ברבעון, קבוצות פעילות השנה, שינוי באחוזים. המספר הזה כמעט בוודאות הגיע מהאתרים האלה. משם מגיע גם חלק גדול ממה שהתעשייה מדווחת על היקפי כופרה.

העמוד הזה מסביר מהו אתר דליפה ייעודי, איך מודל הסחיטה סביבו עובד, ואז מתמקד בחלק שאף אחד לא מפרסם: עד כמה אפשר לסמוך על נתונים מאתרי דליפה, ומה הארגון שלכם צריך להחליט לפני שהשם שלו מופיע באחד מהם.

הערת היקף לפני הכול. הביטוי "leak site" משמש גם לאגרגטורים של תוכן למבוגרים שאין להם קשר לנושא. העמוד הזה עוסק אך ורק בתשתית סחיטה של כופרה.

הסבירו לי כאילו אני בן 10

דמיינו שמישהו מעתיק לכם את המחברות, ואז תולה את השם שלכם על לוח מודעות ציבורי עם צילום של עמוד אחד ותאריך לידו. הפתק אומר שכל השאר עולה בתאריך הזה אם לא תשלמו. המחברות כבר לא אצלכם. לוח המודעות הוא לא הדרך שבה לקחו אותן; הוא הדרך שבה דוחפים אתכם לשלם כדי שאף אחד לא יקרא אותן. אתר דליפה ייעודי הוא לוח המודעות הזה, שמפעילים מי שלקחו את המחברות.

איך מודל הסחיטה עובד

הרצף עקבי מספיק כדי ש-advisory ממשלתי של שש סוכנויות יתאר אותו במשפט אחד. ב-#StopRansomware: Gunra Ransomware, שפורסם ב-10 באוגוסט 2026 על ידי CISA, ה-FBI, DC3, ה-NSA, השירות החשאי האמריקאי ומשטרת קוריאה הדרומית, המודל הוא: גורמי האיום "leverage a double-extortion model, both encrypting data and threatening to publish exfiltrated data to a dedicated leak site (DLS) if the ransom is not paid". ה-advisory מתעד שהקבוצה "quickly established a DLS on the Tor network to list victims and publish exfiltrated data".

שלושה דברים ב-advisory הזה ראויים להפרדה, כי אלה החלטות תכנון ולא עובדות טבע.

• מועד היעד מתוכנן במכוון. הקורבנות מופנים לפורטל משא ומתן, "מקבלים Client ID וסיסמה ראשונית", ונדרשים לנהל משא ומתן "בתוך חמישה עד שבעה ימים". ספירה לאחור היא מנגנון לחץ, ומסמך ממשלתי ראשוני מתעד אותה ככזו.
• פרסום הוא לא התקרה. אותו advisory מציין שאם הכופר לא משולם, התוקפים "מאיימים למכור את נתוני הקורבן ב-DLS". אחרי הפרסום מגיעה המכירה הפומבית.
• זה עסק עם ספקים. Gunra "הרחיבה את פעילותה דרך תוכנית שותפים מובנית של ransomware-as-a-service (RaaS) שפורסמה בפורומים בדארק ווב", על בסיס קוד מקור שדלף ממשפחה קודמת.

המודל גם התרחק מהצפנה. Palo Alto Networks מדווחת שסחיטה מבוססת הצפנה ירדה ב-15% לעומת השנה הקודמת, כשתוקפים "מדלגים על הצפנה ועוברים ישר לגניבת נתונים ולשיבוש", ודוח Verizon 2026 Data Breach Investigations Report מתעד שבחלק מהמקרים גורמי האיום "פשוט מסתמכים על סחיטה בלבד ולא מפעילים הצפנה של הנתונים". אתר הדליפה הוא מה שהופך סחיטה מבוססת גניבה בלבד לבת-קיימא: בלי איום פרסום אמין, נתונים גנובים אינם מנוף לחץ.

היקף התופעה עצמה אינו מוטל בספק, יהיו אשר יהיו בעיות הספירה בהמשך. אותו דוח Verizon מתעד שכופרה עלתה שוב ל-48% מכלל הפריצות, מ-44% בשנה הקודמת - זה חלק יחסי מפריצות בתוך מערך הנתונים ההוא, מדידה שונה מכל מה שאתר דליפה מייצר, ואין לצטט את שני המספרים כאילו הם אותו דבר.

עד כמה אמינים נתונים מאתרי דליפה ייעודיים?

זה החלק שחשוב אם אתם עומדים לצטט מספר.

אתרי דליפה הם המקור לסטטיסטיקות הכופרה של התעשייה. Unit 42 מתארת את הפרקטיקה שלה בפשטות: חוקרים "משתמשים לעיתים קרובות בנתונים האלה כדי לקבוע רמות כוללות של פעילות כופרה ולזהות את התאריך שבו קבוצת כופרה מסוימת הייתה פעילה לראשונה". זה קו המגמה. הוא נבנה מניטור אתרים שהעבריינים בונים, ממלאים ושולטים בהם.

הצוות שבונה אחד ממערכי הנתונים האלה מפרסם בעצמו את ההסתייגות. מגינים צריכים "להשתמש בנתוני אתרי דליפה בזהירות כי הם לא תמיד משקפים את המציאות". מצבי הכשל ספציפיים, וכל אחד מהם שייך למי שתיעד אותו.

סוכנות הסייבר של האיחוד האירופי היא המקור שכדאי לקרוא ישירות בנושא. ב-Threat Landscape 2025 שלה נותחו 4,875 תקריות מ-1 ביולי 2024 עד 30 ביוני 2025, "בעיקר על בסיס מידע ממקורות פתוחים", והיא קובעת שמקורות פתוחים ומידע ששותף מרצון "אינם מהווים תמונה מלאה של נוף איומי הסייבר". האנליסטים שלה ערכו את מערך הנתונים, במילותיהם, "כדי להימנע מניפוח האיום". ENISA גם מציינת שכופרה נמנית עם האיומים ש"לעיתים קרובות נטענים ישירות על ידי המפעילים שלהם", וזו בדיוק התכונה שהופכת אותה לנראית ובו בזמן לבלתי אמינה.

המספר שמראה את גודל הפער

Group-IB, שהעמוד שלה מדורג ראשון למונח הזה בשני מנועי החיפוש המרכזיים, מעמידה את הרישומים באתרי דליפה על כ-10% מכלל קורבנות הכופרה, בנימוק שרוב הקורבנות משלמים כדי שהנתונים שלהם לא יפורסמו. שלוש הסתייגויות נלוות למספר, והשמטת כל אחת מהן משנה את משמעותו: זו טלמטריה של ספק אחד, אין מתודולוגיה מפורסמת בעמוד, והנתון הוא מ-2023.

#### המתח שכדאי לציין במקום ליישב

הנתון הזה נמצא במתח מול מערך נתונים עדכני יותר. דוח Verizon 2026 DBIR מדווח ש-69% מקורבנות הכופרה לא שילמו, עם תשלום חציוני של 139,875 דולר. אם רוב הקורבנות מסרבים, יותר מהם אמורים להופיע ברשימות, לא פחות. אלה מערכי נתונים שונים, חלונות זמן שונים והגדרות שונות, והעמוד הזה לא הולך למצע אותם למספר שלישי שלא שייך לאף אחד. הקריאה הכנה היא שגודל הפער בין רישומים לתקריות שנוי במחלוקת, בעוד שעצם קיום הפער אינו שנוי במחלוקת.

שום דבר מזה לא הופך את הנתונים לחסרי ערך, ומקור ההסתייגות אומר זאת באותו קטע: "למרות החסרונות האלה, נתונים שנשלפים מאתרי דליפה של כופרה מספקים תובנה חשובה על מצב פעילות הכופרה." התגובה של ENISA היא הבוגרת - לערוך את מערך הנתונים, לציין את השיטה, ולהמשיך להשתמש בו. התיקון כאן הוא על כיול, לא על ביטול. התעשייה מודדת את נוף הכופרה עם סרגל שהעבריינים מדפיסים, והתגובה השימושית היא להכיר את הסרגל.

איזו טכניקת ATT&CK מכסה אתר דליפה ייעודי?

אין טכניקה משלו, וזה מפתיע מי שמחפש.

Impact היא הטקטיקה שבה ATT&CK ממקם את התוצאות שיריב פועל להשיג - במילות המסגרת עצמה, היריב "מנסה לתפעל, לשבש או להשמיד את המערכות והנתונים שלכם". סחיטה יושבת שם כי שם נמצא הכסף.

המונח עצמו מופיע בסעיף בודד בתוך T1657 Financial Theft: "Adversaries may use dedicated leak sites to distribute victim data." ל-T1657 אין תת-טכניקות, הוא יושב תחת טקטיקת Impact, ונמצא בגרסה 1.2, עודכן לאחרונה ב-12 במאי 2026.

עכשיו קראו את אסטרטגיית הזיהוי שלו. `DET0495` נושא חמישה analytics, והם מתארים גישה חריגה ל"יישומים פיננסיים, סשנים בנקאיים בדפדפן או מערכות ERP ארגוניות", חיבורים יוצאים לצמתי מטבעות קריפטוגרפיים, גישה ל"יישומי תשלום, תוספי דפדפן או שירותי Apple Pay", פעילות לא מורשית ב"מערכות SaaS פיננסיות (למשל QuickBooks, Workday, SAP S/4HANA cloud)", ו"חשבוניות מזויפות, התחזות לספקים או הפניות תשלום בסגנון BEC".

אף אחד מהם לא צופה בפרסום סחיטה. המסגרת מסווגת אתרי דליפה תחת הטכניקה שבה נמצא הכסף, ותוכן הזיהוי שלה הוא מפרט של הונאת תשלומים. המסקנה, פעם אחת: לחץ סחיטה אינו שורת זיהוי. זו תוצאה ששאר החדירה מייצרת, ולכן הבקרות שמשנות אותה יושבות במעלה השרשרת, לפני הרישום.

המסגרת כן מכירה בכך שהכפייה חורגת מפרסום. מיטיגציה M1017 ממליצה להכשיר משתמשים על נהלים "למניעה ותגובה ל-swatting ול-doxing, מעשים שקבוצות בעלות מניע כלכלי מפעילות יותר ויותר כדי להגביר את הכפייה על קורבנות". והפער ניכר גם בדוגמאות ה-procedure של ATT&CK עצמו, שבהן קבוצה מתועדת כמי ש"סחטה קורבנות תמורת מפתחות פענוח של כופרה וכדי למנוע פרסום של נתונים שהוצאו לאתר הדליפה שלהם ב-Tor" - מסווגת תחת טכניקה שה-analytics שלה עוקבים אחרי תוכנות הנהלת חשבונות.

מי היה ראשון, והאם תאריך הייסוד מחזיק?

לתחום יש סיפור ייסוד: כופרת Maze השיקה את אתר הדליפה הייעודי הראשון בדצמבר 2019. העמוד של Group-IB קובע זאת במילים האלה, והטענה חוזרת בהרחבה.

אותו עמוד נושא גם סעיף בכותרת "The First Dedicated Leak Sites: Snatch and Maze", ושורת גוף שקוראת "Since Snatch and Maze introduced the model". שלוש טענות בעמוד אחד, והן לא מסכימות אם קבוצה אחת או שתיים התחילו את זה.

הגרסה הזהירה

צוותי מחקר אחרים זהירים יותר. Unit 42 כותבת שאתרי דליפה "הופיעו לראשונה ב-2019, כשכופרת Maze החלה להשתמש בטקטיקת double extortion", ומכנה את Maze "קבוצת הכופרה הראשונה הידועה שהקימה אתר דליפה". שנה, לא חודש. ידועה, לא ראשונה.

העמדה שניתן להגן עליה צרה: Maze ו-2019 יציבים, החודש הספציפי שנוי במחלוקת בין מקורות, ולא אותר מקור ראשוני של אכיפת חוק או אקדמיה שקובע את התאריך עבור המאמר הזה. ההבחנה הזו חשובה כאן יותר מאשר במקומות אחרים. עמוד שטוען שמספרי אתרי דליפה דורשים provenance לא יכול לחזור על תאריך ייסוד בלי לבדוק אותו.

מה רישום מוכיח, ומה הוא לא מוכיח

רישום מבסס שני דברים: קבוצה טוענת שהיא מחזיקה בנתונים השייכים לארגון מזוהה, והיא מוכנה לפרסם חלק מהם כדי להוכיח את הטענה.

כשלעצמו, הוא לא מבסס את גודל מערך הנתונים, את האותנטיות שלו, האם בוצעה הצפנה, או אפילו שהארגון המזוהה הוא המקור לנתונים - נתונים שנלקחו מספק או מלקוח יכולים להירשם תחת השם המוכר יותר. ההיגיון הזה נובע מההסתייגויות למעלה ולא ממקור שקובע אותו במפורש, ויש להתייחס אליו כהיגיון ולא כממצא מצוטט, אבל זו הסיבה שרישום הוא קצה חוט לאימות ולא עובדה לפעולה.

לוח מודעות פלילי הפך לערוץ גילוי

עבור ארגונים רבים, רישום הוא הפעם הראשונה שבה הם, הלקוחות שלהם או הרגולטור שלהם לומדים משהו בכלל. מודל הסחיטה הפך לוח מודעות פלילי לערוץ גילוי, ולאף ארגון אין אפשרות לצאת מזה.

בשאלה שכולם שואלים אחר כך, העמוד הזה מצטט ועוצר. הסוכנויות שחיברו את ה-advisory על Gunra כותבות שהן "אינן מעודדות תשלום כופר שכן תשלום אינו מבטיח שקבצי הקורבן ישחזרו", ומוסיפות שתשלום "עלול גם לעודד יריבים לתקוף ארגונים נוספים", והן קוראות לדיווח מיידי ל-FBI, ל-USSS או ל-CISA בין אם הארגון משלם ובין אם לאו. Group-IB מדווחת את המקבילה המעשית מהקצה השני: "גם כשקורבנות משלמים, מחיקה אינה מובטחת. קישורים לקבצים שנפרצו נשארו נגישים אחרי ששולם הכופר." ההחלטה אם לשלם היא משפטית, ביטוחית ותלוית שיפוט, והמאמר הזה לא מציע אחת.

מה להחליט לפני שהשם שלכם מופיע

כל עמוד מתחרה שנאסף למאמר הזה מסתיים בניטור, והתשובה ש-Google עצמה מייצרת נסגרת בהצעה שלו. ניטור הוא קטגוריית בקרה סבירה, אבל הוא לא מה שקובע איך ייראו 48 השעות הבאות. אלה כן, ואת שלושתן אפשר לסגור כששום דבר לא קורה.

• עמדת התקשורת. מי מדבר, אל מי, ובאיזה סדר, אם ההודעה הראשונה היא רישום פומבי ולא התראה פנימית. הרצף שעובד כשאתם מגלים ראשונים הוא לא הרצף שאתם צריכים כשעיתונאי של לקוח מגלה ראשון.
• העמדה המשפטית והרגולטורית. איזה יועץ משפטי מוזעק, אילו שעוני דיווח מתחילים על איזה טריגר, ובאילו שיפוטים. רישום עלול להפעיל שעון שתקרית לא מפורסמת לא הייתה מפעילה. זו החלטה שצריך לקבל מראש, לא ייעוץ משפטי לקחת מעמוד מילון מונחים. ההנחיה של הסוכנויות עצמן צרה וקלה יותר ליישום: דווחו על התקרית במהירות ל-FBI, לשירות החשאי האמריקאי או ל-CISA, ועשו זאת בין אם הארגון ישלם בסוף ובין אם לאו.
• עמדת הראיות. מה נשמר, על ידי מי, ואיך מתעדים את עצם הרישום בלי שאף אחד בארגון יאלתר ביקור באתר כדי להסתכל. החליטו מי הבעלים של זה, ואיך, לפני היום שבו זה נדרש.

נקודה מבנית אחת יושבת מתחת לשלושתן. הרישום הוא הצעד האחרון בשרשרת שהתחילה בגישה והמשיכה בהוצאת נתונים (exfiltration). כל מה שמשנה את התוצאה - עצירת החדירה, זיהוי ה-staging, חסימת הנתונים לפני שהם יוצאים - קורה מוקדם יותר. ברגע ששם מופיע באתר, ההחלטות שנשארו הן על תגובה, לא על מניעה.

מה אנחנו לא יודעים

אין ספירה עצמאית של פעילות אתרי דליפה. כל נתון מפורסם שאותר למאמר הזה, מספק או מסוכנות, נגזר מקריאת האתרים של העבריינים עצמם. אין מרשם חיצוני, אין פיד מחייב, ואין שלב אימות בין הרגע שבו עבריין מפרסם שם לבין הרגע שבו השם הזה הופך לנקודת נתון בדוח שנתי של מישהו.

חודש הייסוד אינו מוכרע, כפי שהמקורות למעלה מראים.

והמשמעת חלה גם על העמוד הזה. כל נתון שצוטט למעלה הגיע ממערך נתונים של מישהו אחר, ושלושת החשובים ביותר - השיעור היחסי, שיעור התשלום וחלק הפריצות - הופקו על ידי שני ספקים ודוח אחד עם שיטות שונות, חלונות זמן שונים והגדרות שונות של קורבן. אף אחד מהם לא אומת באופן עצמאי עבור המאמר הזה, כי אין מול מה לאמת אותם באופן עצמאי.

ולעמוד הזה יש גבול מכוון. הוא לא מציין שמות קורבנות, לא מציין ולא ממקם אתרים, ולא מסביר איך ניטור מגיע אליהם. זו בחירה, לא השמטה: עמוד שהיה עוזר למישהו למצוא את החומר הזה היה מבצע סבב נזק שני לאנשים שלא הסכימו לראשון.

שאלות נפוצות

האם רישום באתר דליפה הוא הוכחה שפריצה התרחשה? לא. זו טענה של עבריין שיש לו תמריץ להגזים. התייחסו אליה כאל קצה חוט לאימות ולא כעובדה מאושרת, והיו זהירים לגבי ההבדל כשהארגון שצוין הוא לקוח או ספק ולא אתם.

האם כל קורבנות הכופרה מגיעים לאתר דליפה? לא, והחריגים הם כל בעיית הכיול. קורבנות שמשלמים מהר עלולים לא להופיע ברשימה לעולם, חלק מהקבוצות פועלות בלי אתר, ואחרות מפרסמות באופן סלקטיבי. ספירת רישומים היא ספירה של מה שהעבריינים בחרו לפרסם.

האם יש טכניקת ATT&CK לאתרי דליפה? אין טכניקה משלהם. המונח מופיע בסעיף בודד בתוך T1657 Financial Theft, תחת טקטיקת Impact, וה-analytics לזיהוי של הטכניקה הזו מתארים הונאת תשלומים ולא פרסום סחיטה.

אם משלמים, האם הרישום יורד? אין הבטחה. הסוכנויות המחברות קובעות שתשלום אינו מבטיח שחזור, ומקור ספק מדווח שקישורים לקבצים גנובים נשארו נגישים אחרי ששולם הכופר. תשלום קונה הבטחה מעבריין.

למה מספרים מדוחות שונים חולקים זה על זה כל כך? כי כל אחד נבנה מפרוסה אחרת של אותו משטח שמפרסם היריב, עם חלונות זמן שונים, כללי עריכה שונים והגדרות שונות של קורבן. אי-הסכמה בין שני דוחות כופרה היא בדרך כלל הבדל מתודולוגי, לא סתירה.

איך להשתמש במונח הזה נכון

ארבעה מהלכים, לפי הסדר, כל אחד נשען על המקורות למעלה.

1. כשאתם מצטטים מספר שמקורו באתר דליפה, ציינו של מי מערך הנתונים, איזה חלון זמן הוא מכסה, ואיך הוא נערך. ENISA מפרסמת את שלושתם עבור הנתונים שלה; רוב הדוחות לא.
2. התייחסו לרישום כטענה שיש לאמת, לא כפריצה מאושרת - במיוחד כשהשם עליו אינו הארגון שלכם.
3. סגרו מראש את עמדות התקשורת, המשפט והראיות. זה החלק היחיד כאן ששייך להחלטה שלכם.
4. זכרו מאיפה הגיע מנוף הלחץ. הנתונים יצאו מהרשת לפני שכל זה היה נראה, ושם חיות הבקרות שחשובות.

החיישן שימושי, והעבריינים מפעילים אותו. שני חלקי המשפט הזה צריכים לשרוד גם על השקף.