פאסקי ואימות ללא סיסמה: המדריך לעסקים ב-2026

תרחיש לדוגמה: עובדת בהנהלת החשבונות מקבלת מייל שנראה בדיוק כמו דף הכניסה של Microsoft 365. היא מקלידה את שם המשתמש והסיסמה שלה, ו-30 שניות מאוחר יותר תוקף יושב בתיבת הדוא"ל של החברה. הסיסמה שלה הייתה "חזקה": 12 תווים, מספרים, אותיות גדולות, תו מיוחד. לא עזר. מתקפת פישינג לא גונבת סיסמה על ידי ניחוש, היא גורמת לכם להזין אותה מרצון.

לפי דוח Verizon DBIR 2026, שימוש לרעה בפרטי כניסה היה נקודת הכניסה ב-13% מהפרצות שבהן נקודת הכניסה ידועה. לפי אותו דוח, פישינג היה נקודת הכניסה ב-16% מכלל הפרצות. הסיסמה היא חוליה חלשה במערך האבטחה שלכם, לא בגלל שהעובדים רשלנים, אלא כי סיסמאות ניתנות לגנוב, לנחש ולפשר. ב-2026 יש פתרון טוב יותר, ושמו פאסקי.

מי שעובד עם Microsoft 365 יכול לראות בעמוד הטמעת Microsoft 365 לעסק איך האימות משתלב בשאר ההטמעה: שם מוסבר שמגדירים אימות רב-שלבי יחד עם שיטות שחזור וגישה מתאימות, לצד רישוי, הגירה ומדיניות גישה מותנית.

---

מה זה פאסקי ולמה זה שינוי אמיתי?

פאסקי (Passkeys) הם אישורי כניסה מבוססי תקן FIDO2 שמחליפים את הסיסמה. כשמגדירים פאסקי לשירות, נוצר זוג מפתחות: המפתח הציבורי נשמר אצל השירות, והמפתח הפרטי נשאר אצל המשתמש, מוגן בביומטריה או ב-PIN. בכניסה השירות שולח אתגר, והמכשיר חותם עליו במפתח הפרטי אחרי שהמשתמש מאשר בטביעת אצבע, בזיהוי פנים או ב-PIN.

מה שחשוב לעסקים: לפי Microsoft, פאסקי עמידים לפישינג, כי המכשיר משחרר את החתימה רק לשירות שבו הפאסקי נרשם, ולא לאתר שמתחזה אליו. אין סיסמה להזין בדף מזויף, ואין מה לנחש.

יש שני סוגים. בפאסקי שקשור למכשיר, כמו ב-Microsoft Authenticator או במפתח FIDO2, המפתח הפרטי נוצר במכשיר אחד ולא עוזב אותו. בפאסקי מסונכרן, כמו ב-iCloud Keychain של Apple או ב-Google Password Manager, המפתח מוצפן ומסונכרן דרך הענן בין המכשירים של המשתמש. Microsoft Entra ID תומך בשני הסוגים בכל הגרסאות שלו, כולל Microsoft Entra ID Free, בלי רישיון נוסף.

---

לא כל MFA שווה: מה להפעיל ומה להימנע ממנו

אימות רב-גורמי הוא שכבת הגנה חיונית, אבל לא כל הסוגים שווים. CISA מדרגת אותם מהחזק לחלש:

קוד SMS או שיחת טלפון: הרמה הנמוכה. חשוף ל-SIM Swapping, שיטה שבה תוקף משכנע את חברת הסלולר להעביר את מספר הטלפון שלכם לכרטיס SIM שלו. עדיף על כלום, אבל לא מספיק לחשבונות עסקיים קריטיים. ב-Microsoft Entra זה גם משתנה, והמדריך על ביטול אימות ה-SMS ב-Entra מסביר מה לעשות עד פברואר 2027.

אפליקציות TOTP (Authenticator): טובות יותר. קוד שמתחדש כל 30 שניות קשה יותר ליירוט, אבל עדיין חשוף לפישינג בזמן אמת: תוקף שיוצר דף מזויף יכול להעביר את הקוד שלכם הלאה בזמן שהוא עדיין בתוקף.

מפתחות FIDO2 פיזיים (YubiKey): אימות עמיד לפישינג, ברמה העליונה לפי CISA. מכשיר חיצוני שמתחבר ב-USB או ב-NFC ומחזיק פאסקי שלא עוזב אותו. מתאים לחשבונות מנהל מערכת ולתפקידים רגישים.

פאסקי ו-Windows Hello for Business: באותה רמה עליונה. Microsoft מגדירה את Windows Hello for Business כאימות דו-שלבי עמיד לפישינג, שמשלב מפתח ששמור במכשיר עם ביומטריה או PIN.

המלצה: MFA חובה לכל המשתמשים, לפחות ברמת אפליקציה. פאסקי או מפתח פיזי לחשבונות מנהל ולכל מי שיש לו גישה לנתונים רגישים.

---

איך עוברים בשלבים בלי לשבש את העבודה?

אימות חזק לא חייב להאט את העבודה. לפי Microsoft, על בסיס מאות מיליוני משתמשים בחשבונות Microsoft הפרטיים, כניסה עם פאסקי מסונכרן לוקחת 3 שניות, לעומת 69 שניות בסיסמה עם MFA מסורתי.

שלב 1: הפעילו MFA לכל המשתמשים ב-Microsoft Entra ID (לשעבר Azure AD). התחילו בחשבונות המנהלים, והשאירו חשבון חירום מחוץ למדיניות כדי לא לנעול את כולם בטעות.

שלב 2: הגדירו Conditional Access כך שכניסה מחייבת MFA תמיד, בכל מכשיר. מכשירים לא מנוהלים מחייבים אימות חזק יותר.

שלב 3: הפעילו פאסקי ו-Windows Hello for Business. Windows Hello for Business מחליף את הסיסמה במחשב ב-PIN או בביומטריה, וה-PIN לא עוזב את המכשיר.

שלב 4: טפלו בחשבונות השירות. חשבונות אוטומטיים שרצים עם סיסמה קבועה לא יכולים לעבור MFA, ו-Microsoft ממליצה להחריג אותם ממדיניות Conditional Access ולטפל בהם בנפרד. מפו אותם, צמצמו את ההרשאות שלהם, והחליפו סיסמאות קבועות בשיטת אימות שלא תלויה בסיסמה.

---

איך SouliTek עוזרת

בשירות ה-IT המנוהל של SouliTek אנחנו מטמיעים אימות חזק בשלבים, כך שהעבודה השוטפת ממשיכה: מגדירים Conditional Access ב-Microsoft Entra ID, פורסים Windows Hello for Business ומלווים את העובדים במעבר. הגנה בנקודת הכניסה היא חלק ממסגרת רחבה יותר שכוללת גם ניהול הרשאות משתמשים והגנה מפני מתקפות Password Spray על Microsoft 365.

רוצים לעבור לאימות ללא סיסמה? השאירו פרטים ונחזור אליכם

---

שאלות נפוצות

האם פאסקי בטוחות יותר מסיסמה ארוכה עם MFA?

מול פישינג, כן. CISA מדרגת אימות עמיד לפישינג מבוסס FIDO/WebAuthn ברמה העליונה, מעל קודים מאפליקציה, הודעות Push ו-SMS. פאסקי קשורים לשירות שבו נרשמו ולא ניתן להזין אותם בדף מזויף, ואין מאגר סיסמאות שאפשר לגנוב. סיסמה ארוכה עם קוד מאפליקציה עדיין חשופה לדף פישינג שמעביר את הקוד בזמן אמת.

מה קורה אם עובד מאבד את המכשיר?

ב-Microsoft Entra אפשר לנהל פאסקי מרכזית, לבטל גישה למכשיר אבוד ולספק שיטת כניסה חלופית מאומתת. כל זה חלק מתכנון פריסה תקין שמגדירים מראש.

האם המעבר מחייב ציוד חדש?

לא בהכרח. Windows Hello for Business עובד גם עם PIN בלבד, שמוגן במודול האבטחה של המחשב. ביומטריה דורשת חומרה מתאימה, כמו מצלמה לזיהוי פנים או קורא טביעות אצבע. פאסקי ב-Microsoft Authenticator עובדים על הטלפון של העובד, בלי ציוד נוסף.

האם מספיק להפעיל MFA רק על חשבונות מנהל?

לא. Password Spray, למשל, מנסה סיסמה נפוצה על הרבה חשבונות, לא רק על חשבונות מנהל. חשבון רגיל שנפרץ נותן גישה לדואר ולקבצים, ומשם אפשר לנסות לנוע לרוחב (Lateral Movement) לחשבונות עם הרשאות גבוהות. MFA לכל המשתמשים חוסם את הכניסה הראשונה הזאת.

---

הסיסמה לא תיעלם בבת אחת, אבל אפשר להפסיק לסמוך עליה כשכבת ההגנה היחידה. פאסקי זמינים כבר היום בכל הגרסאות של Microsoft Entra ID, בלי רישיון נוסף, והמעבר יכול להתחיל בחשבונות המנהלים.