החולשה הכי יקרה בעולם היא טוקן ששכחו לסובב

Read this article in English

אוזמפיק, הזריקה שבזכותה הרבה הופכים לרזים בין לילה. טוקן אחד. שכחו לעשות לו רוטציה ב-GitHub. ותרופה ששווה מיליארדים פשוט יצאה החוצה.

בלי SQL Injection מתוחכם. בלי מתקפה מדינתית עם שלושה צוותי APT. בלי כלום. סתם מפתח שהעלה קוד עם secret בפנים, ואף אחד לא שם לב.

תכל׳ס, זה הסיפור הכי נפוץ שאני רואה בשטח.

עשרים שנה שאני מוצא את אותו דבר

כבר יותר מעשרים שנה שאני עושה בדיקות חוסן, וכמעט בכל פרויקט אני מוצא secrets שאף אחד לא ידע שהם קיימים. טוקנים ישנים שמודבקים בתוך הקוד. סיסמאות שנשכחו ב-repository פנימי. מפתחות API שמישהו שם "רק לרגע" לפני שלוש שנים, וה״רגע" הזה עדיין שם.

וזה קצת מצחיק. כשמדברים על סייבר כולם מדמיינים האקר עם קפוצ׳ון שמפצח הצפנות בחדר חשוך. אבל האמת הרבה יותר משעממת. הפגיעות הכי יקרה בעולם היא לא איזה exploit גאוני. היא טוקן ששכחו לסובב.

תחשבו על זה רגע. חברת תרופות שופכת מיליארדים על מחקר, על פטנטים, על עשור של עבודה. וכל זה נחשף בגלל שורה אחת בקובץ config שהמפתח לא התכוון בכלל שתגיע לאור.

זאת הנקודה שאני מנסה להעביר ללקוחות כבר שנים

חוסן זה לא רק לחפש את המתקפה המתוחכמת ביותר. לפעמים הדבר הכי מסוכן שיש לכם בארגון זה מה שמישהו שכח למחוק.

בשביל למנוע את זה צריך scan אוטומטי אחד על ה-repos, ורוטציה של מפתחות אחת לתקופה. חמש דקות עבודה. חינם כמעט.

ולגלות שהנוסחה של המוצר שלכם מסתובבת חופשי ברשת? אין לזה מחיר.

האבטחה הכי יקרה היא לא זו שקנית. היא זו ששכחת לעשות.

פוסט זה פורסם לראשונה בלינקדאין בתאריך 2026-07-08. — ארז מטולה