אם ה-Token נגנב כשהוא עדיין בתוקף, מישהו (גורם זר) עלול להשתמש בו כאילו כבר עבר את ההזדהות.
אותו גורם זר כבר לא באמת צריך היה לדעת את הסיסמה המורכבת שלכם.
Tokens משמשים מאחורי הקלעים במייל, בענן, במערכות מסמכים, בשירותי SaaS, בכלי AI ועוד. לכן גניבה של Token עלולה לפתוח גישה למידע רגיש של לקוחות, וזאת מבלי שהסיסמה עצמה נחשפה.
מה השתנה?
ב-15.9.2026 פרסם NIST (מכון התקנים הלאומי של ארה"ב) את הגרסה הסופית של IR 8587, שעוסקת בהגנה על Tokens ואישורי גישה במערכות מודרניות, כולל ענן, API וכלי AI שפועלים בשם משתמשים.
נשאלות השאלות:
- לאן זה פותח דלת? לאילו מערכות ולכמה מידע ה-Token מאפשר גישה?
- לכמה זמן? כמה זמן הוא נשאר תקף, ומתי הוא מתבטל?
- איך עוצרים? אם יש חשד לגניבה או שעובד עזב, האם אפשר לבטל מיד את הגישה בכל המערכות?
- איך יודעים? האם ניתן לזהות שימוש חריג ולבדוק לאיזה מידע נעשתה גישה?
ומה לגבי AI?
אם כלי AI או אוטומציה פועלים בשם משתמש, בדקו לאילו מערכות הם מורשים להיכנס ומה הם רשאים לעשות. מבחינת הסיכון, גם להם יכול להיות "כרטיס כניסה".
אז מה מומלץ לעשות?
לבצע Token Security Review ממוקד למערכות המייל, הענן, ה-SSO וה-AI, ולהוסיף לתרגיל אירוע אבטחה תרחיש של גניבת Token (מי הגורמים המטפלים, איך מבטלים את האישור, ניתוק חיבורים פעילים ובדיקת היקף הנזק ומה נחשף).
בדיקה של דקה
בחרו מערכת אחת במשרד שבה אינכם מקלידים סיסמה בכל פעולה.
שאלו את איש המחשוב שלכם, אם "כרטיס הכניסה" שלה נגנב, איך אנחנו מבטלים אותו וכמה זמן זה לוקח?
מקורות
למי שמעוניין להעמיק ברמה הטכנית מוזמן לקרוא את מסמך NIST IR 8587, Final, 15.9.2026.
csrc.nist.gov/pubs/ir/8587/final(נפתח באתר חיצוני)
התוכן נועד להעשרה מקצועית ואינו מהווה ייעוץ משפטי או תחליף לו.
