באוקטובר 2026 פורסם בוואלה, בעקבות תחקיר של ה-Wall Street Journal, כי מערך הסייבר הלאומי אישר שבין אפריל 2025 לאפריל 2026 נפרצו בישראל יותר מ-250 מצלמות אבטחה בעלות רגישות ביטחונית. בין היעדים: מצלמות ליד מתקנים אסטרטגיים, צירי תנועה ואזורים שבהם פועלים כוחות הביטחון.
מדובר בנתון שצריך להדליק נורה אדומה אצל כל מי שמתכנן, מתקין או מפעיל מערכת מצלמות בישראל: בעלי עסקים, מנהלי אבטחה, רשויות מקומיות, מוסדות חינוך, אינטגרטורים, וגם לקוחות פרטיים. המצלמה שנועדה להגן עלינו יכולה, אם לא בחרנו והגדרנו אותה נכון, לשמש בדיוק את מי שאנחנו רוצים להתגונן מפניו.
מה קרה בפועל?
אחד המקרים שתוארו בכתבה ממחיש היטב את הבעיה: מצלמת אבטחה שהותקנה בלול תרנגולות בצפון הארץ נפרצה. מיקום המצלמה, שנועדה רק לשמור על הלול, אפשר לצפות בתנועת כוחות הביטחון סמוך לגבול לבנון. הבעלים שם לב ששפת הממשק באפליקציית הצפייה התחלפה פתאום לערבית, פנה למערך הסייבר, ושם זיהו את הפריצה ועצרו את החשיפה.
לפי מערך הסייבר, המצלמה הייתה מתוצרת סין. אין ייחוס ודאי לגורם מסוים, אך יש אינדיקציות למעורבות של אחד מאויבי ישראל. הכותרת בוואלה מדברת על חשד למבצע ריגול איראני.
זה גם לא המקרה הראשון. בדצמבר 2025 סיפר ראש מערך הסייבר, יוסי כרדי, שהאקרים איראנים השיגו גישה למצלמת רחוב שצופה על מכון ויצמן ברחובות, לפני שטיל איראני פגע במכון ביוני של אותה שנה. לפי הכתבה, לא הוכח שהמצלמה שימשה לכיוון התקיפה, אבל עצם הגישה מדגימה את הפוטנציאל.
תופעה עולמית, לא רק ישראלית
לפי ה-Wall Street Journal, יש כיום בעולם כ-1.2 מיליארד מצלמות המחוברות לאינטרנט. חלקן מוגנות היטב, אבל רבות אחרות פועלות עם סיסמאות חלשות או עם תוכנה שלא עודכנה שנים. בעיני גורם עוין, זו רשת עצומה של "עיניים" שמוכנה לשימוש.
הכתבה מזכירה דיווחים קודמים לפיהם גם ישראל השתמשה במצלמות תנועה פרוצות בטהרן כדי לעקוב אחר בכירים איראנים, ומקרה מאוקראינה שבו האקרים שפעלו עם הצבא השתלטו על מצלמה בחצי האי קרים, עקבו אחר מסוקים רוסיים וסייעו לאתר בסיס אווירי שהותקף בהמשך. המסקנה ברורה: בעימות מודרני, מצלמות אזרחיות הן חלק משדה הקרב המודיעיני.
מצלמה ביתית היא כבר לא "רק מצלמה"
רוב האנשים בוחרים מצלמה לפי מחיר, רזולוציה ואיכות ראיית לילה. כמעט אף אחד לא שואל מי ייצר את הרכיבים, איפה נשמר הווידאו, ודרך איזה שרת עובר החיבור לאפליקציה. אבל בזמן מלחמה, כל מצלמה שמחוברת לאינטרנט יכולה להפוך לעין של האויב.
זה לא נוגע רק לבסיסים ולמתקנים ממשלתיים. מצלמה בחצר של בית, בחניון של עסק, בשער של מפעל או על עמוד בכביש, שבמקרה צופה על ציר תנועה, על כניסה למתקן או על אזור התכנסות, היא נכס מודיעיני. ככל שמספר המצלמות גדל, גם שטח התקיפה גדל.
כאן נכנס תקן NDAA
תקן NDAA (National Defense Authorization Act) הוא חוק אמריקאי האוסר על גופים פדרליים בארה"ב להשתמש בציוד מעקב ותקשורת שרכיבים משמעותיים בו מיוצרים על ידי Hikvision, Dahua, Hytera, ZTE, Huawei והחברות הקשורות אליהן. הסיבה לאיסור היא בדיוק התרחיש שתואר בכתבה: חשש שציוד מעקב יהפוך לכלי איסוף מודיעין בידי גורם זר.
מאז חקיקתו, התקן הפך לאמת מידה גם מחוץ לארה"ב ומחוץ למגזר הממשלתי. יותר ויותר מכרזים ופרויקטים, גם בישראל, דורשים מצלמות העומדות בתקן, ויש ארגונים שאף מחליפים מצלמות תקינות לחלוטין רק כי אינן עומדות בו.
חשוב לדייק: הכתבה לא מציינת את שם היצרן של המצלמה שנפרצה, ואין בה טענה שהפריצה נבעה מרכיב מסוים. אבל היא ממחישה למה ארגונים, רשויות ולקוחות פרטיים בישראל צריכים לשאול מי ייצר את המצלמה, מה יש בתוכה, ולאן היא מתקשרת, לפני שהם מתקינים אותה מול נכס רגיש.
בחירה במצלמות העומדות בתקן NDAA מוציאה מהמשוואה את היצרנים שממשלת ארה"ב הגדירה כסיכון. זו נקודת פתיחה הכרחית, במיוחד כשמדובר במצלמות שצופות על תשתיות, צירים ראשיים או מתקנים רגישים.
NDAA לבד לא מספיק
כפי שכתבנו במאמר קודם על תקן NDAA, התקן הוא הצהרתי ואינו מגדיר רמת אבטחת מידע. הוא אומר ממי אסור לקנות, אבל לא אומר דבר על הצפנה, על ניהול סיסמאות או על אופן החיבור מרחוק.
והפריצות שתוארו בכתבה מנצלות בעיקר בדיוק את הנקודות האלה: סיסמאות ברירת מחדל או סיסמאות חלשות, תוכנה לא מעודכנת, ומצלמות שחשופות ישירות לאינטרנט. מצלמה העומדת בתקן NDAA, אבל מותקנת עם הסיסמה שהגיעה מהמפעל ופתוחה לרשת, עדיין פגיעה. לכן חשוב לבחור יצרן שמתייחס לאבטחת סייבר ברצינות, מעבר לדרישות התקן.
איך IDIS מתמודדת עם האתגר
מערכות IDIS עומדות בתקן NDAA, ובנוסף נבנו מלכתחילה עם דגש על אבטחת מידע:
- הצפנה מקצה לקצה - הווידאו משודר מוצפן בין המצלמות למכשיר ההקלטה ונשמר מוצפן באחסון, כך שגם גישה פיזית לדיסק לא חושפת את התיעוד
- חיבור ישיר ללא ענן של היצרן - הגישה מרחוק מתבצעת ישירות לציוד שלכם, בלי וידאו שעובר או נשמר בשרתי היצרן במדינה אחרת
- ארכיטקטורת DirectIP® - המצלמות מתחברות ישירות למכשיר ההקלטה, כך שהן אינן חייבות להיות חשופות לרשת החיצונית
- ניהול מרכזי - עדכוני תוכנה והגדרות מנוהלים מתוך מכשיר ההקלטה, מה שמקל על שמירת המערכת מעודכנת
פרטים נוספים בעמוד אבטחת סייבר.
המלצות מערך הסייבר
במקביל לבחירת ציוד נכון, מערך הסייבר הלאומי פרסם מספר המלצות פשוטות שכל בעל מצלמה יכול ליישם כבר היום:
- להחליף סיסמאות ברירת מחדל בסיסמאות חזקות וייחודיות ולהפעיל אימות דו-שלבי
- להתקין עדכוני אבטחה באופן קבוע
- לוודא שהמצלמה אינה נגישה ישירות מהאינטרנט ולהגביל גישה מרחוק
- אם המצלמה צופה על מתקן ביטחוני, כביש ראשי או אזור רגיש, לשנות את הזווית או להגדיר מיסוך פרטיות
- לבדוק מצלמות ישנות ולוודא שרק מורשים צופים בתיעוד
- לדווח על חשד לפריצה או גישה חריגה למוקד 119 של מערך הסייבר, הפועל 24/7
שאלות שכדאי לשאול לפני רכישת מצלמות
בין אם אתם מנהלי פרויקט, אנשי רכש או בעלי עסק קטן, הנה רשימת שאלות שכדאי להציג לספק או למתקין לפני שמחליטים:
- האם הציוד עומד בתקן NDAA? בקשו הצהרה כתובה מהיצרן, ולא רק מהמשווק
- מי היצרן בפועל? מצלמות רבות נמכרות תחת שמות מותג שונים, אך מיוצרות על ידי אותם יצרנים גדולים
- האם הווידאו מוצפן? גם בשידור בין המצלמה למכשיר ההקלטה וגם באחסון
- איך מתבצע החיבור מרחוק? ישירות לציוד שלכם, או דרך שרת ענן של היצרן? ואם דרך ענן, באיזו מדינה הוא נמצא?
- איך מתקבלים עדכוני אבטחה? באיזו תדירות היצרן מפרסם עדכונים, וכמה שנים הוא ממשיך לתמוך בדגם?
- מי מקבל הרשאות צפייה? האם ניתן להגדיר משתמשים עם הרשאות שונות ולתעד מי צפה ומתי?
ספק רציני ידע לענות על כל השאלות האלה בבירור. אם התשובות מעורפלות, זה כבר סימן.
ומה עם מערכת קיימת?
לא כל מערכת קיימת צריכה החלפה מיידית, אבל כל מערכת צריכה בדיקה. התחילו במיפוי: אילו מצלמות מותקנות, מי היצרן של כל אחת, אילו מהן מחוברות לאינטרנט, ומה הן רואות. מצלמות שצופות על ציר תנועה, על שער של מתקן או על אזור רגיש אחר דורשות טיפול בעדיפות ראשונה.
לאחר מכן, החליפו סיסמאות, עדכנו תוכנה, וסגרו גישה ישירה מהאינטרנט. מצלמות ישנות שהיצרן כבר לא תומך בהן, או מצלמות של יצרנים שאינם עומדים בתקן NDAA ומותקנות מול נכס רגיש, כדאי לשקול להחליף. החלפה מתוכננת עדיפה בהרבה על גילוי בדיעבד שהמצלמה שלכם שימשה מישהו אחר.
השורה התחתונה
250 מצלמות פרוצות בשנה אחת הן לא סטטיסטיקה, הן תמרור אזהרה. בחירת מצלמה היא כבר לא רק החלטה טכנית או תקציבית, אלא גם החלטה ביטחונית. התחילו בציוד העומד בתקן NDAA, בחרו יצרן שמשקיע באבטחת מידע אמיתית, והקפידו על הגדרות נכונות ועדכונים שוטפים. אם יש לכם מערכת קיימת ואתם לא בטוחים במצבה, זה הזמן לבדוק.