איך לזהות פישינג ולא למסור את הסיסמה שלכם לידי נוכלים

פישינג תוקף את האדם, והשרת לא קשור: משכנעים אתכם להזין בעצמכם סיסמה, קוד SMS או פרטי כרטיס בדף מזויף. הוא נשאר סוג הפריצה הנפוץ ביותר מסיבה אחת: הוא זול. שליחת אלפי הודעות כמעט לא עולה דבר, וקורבן אחד מחזיר הכול. החדשות הטובות: גם ההגנה זולה, תשומת לב ועוד כמה הרגלים.

איך פישינג נראה היום

הקלאסיקה היא הודעה מ«הבנק» או מ«שירות הדואר» שמבקשת לאשר חשבון בדחיפות. אליה הצטרפו מסרים ו-SMS עם קישורים ל«מעקב משלוח», דפי התחברות מזויפים מאחורי מודעות בחיפוש, קודי QR על עלונים והודעות מ«עמיתים» עם קבצים מצורפים. רשתות נוירונים העלימו את הסימן העיקרי של פעם: שפה עילגת. הטקסט עכשיו תקין והלוגואים מדויקים, לכן הסתכלו על סימנים טכניים והתעלמו מהסגנון.

עשרה כללים שסוגרים כמעט הכול

1. היכנסו לשירותים חשובים מסימנייה או בהקלדת הכתובת, והימנעו מקישורים בהודעות.
2. בדקו את הדומיין בשורת הכתובת אות אחר אות לפני הזנת הסיסמה.
3. הפעילו אימות דו-שלבי בכל מקום שיש: סיסמה גנובה בלי הגורם השני כמעט חסרת ערך. הסברנו איך זה עובד במאמר על אימות דו-שלבי.
4. איפה שאפשר עברו למפתחות גישה: המפתח קשור לדומיין ובאתר מזויף הוא פשוט לא יעבוד.
5. השתמשו במנהל סיסמאות. הוא ממלא סיסמה רק בדומיין האמיתי, כך ששתיקת המילוי האוטומטי באתר מוכר היא כבר אזהרה.
6. אל תפתחו קבצים מצורפים לא צפויים, גם מכתובות מוכרות: ייתכן שהשולח נפרץ.
7. קראו במלואם קודי SMS ואישורי פוש: כתוב בהם איזו פעולה אתם מאשרים.
8. פתחו תיבה נפרדת להרשמות חד-פעמיות ולניוזלטרים, ושמרו את הראשית לבנקים ולמסמכים.
9. עדכנו את הדפדפן: רשימות האתרים המסוכנים המובנות בו תופסות חלק ניכר מהזיופים עוד לפני טעינת הדף.
10. ספרו על השיטות האלה לקרובים: הקורבן הוא לרוב בן משפחה של מי שקורא מאמרים כאלה.

פישינג לא מגיע רק בדואר

הדואר הוא רק הערוץ הוותיק ביותר. אותן שיטות פועלות באפליקציות מסרים: «הצביעו לאחיינית שלי», «יש לכם חבילה, שלמו על המשלוח», חשבון פרוץ של חבר שמבקש הלוואה. הגרסה הטלפונית היא שיחה מ«אבטחת הבנק» שדוחקת בכם להקריא קוד SMS. קודי QR על שולחנות ובמודעות מובילים לאותם דפים מזויפים, רק שאת הכתובת אתם לא רואים כלל. צרה נפרדת היא מודעות בתשלום בחיפוש, שבהן הזיוף מופיע מעל האתר האמיתי. הכלל זהה לכל הערוצים: הערוץ לא מוכיח מי מדבר, רק הדומיין בשורת הכתובת והגורם השני מוכיחים.

זה עובד גם על אנשים מנוסים, כי זה פוגע במצב שלכם ולא בידע: עייפות, חיפזון, פחד לאבד כסף. הנוכל יוצר מחסור בזמן שבו בדיקה נראית מיותרת. לכן הכללים למעלה בנויים לעבוד אוטומטית, בלי מחשבה.

אם הודעה חשודה אבל אין ודאות

נתחו אותה טכנית. פתחו את מקור ההודעה וקראו את כותרות השירות: מאיפה היא יצאה באמת והאם עברה את בדיקות אימות השולח. מנתח כותרות הדואר שלנו מציג את שרשרת השרתים ואת תוצאות SPF, ‏DKIM ו-DMARC בלי קריאה ידנית. את הדומיין מהקישור אפשר להעביר דרך בדיקת DNS: לדומיינים חד-פעמיים שנרשמו זה עתה כמעט אין היסטוריה.

הסיסמה כבר הוזנה: חצי השעה הראשונה

1. החליפו סיסמה באתר האמיתי. אם השתמשתם בה במקום נוסף, החליפו גם שם.
2. סיימו את כל הסשנים בהגדרות האבטחה של החשבון: בסיסמה גנובה משתמשים לרוב בדקות הראשונות.
3. בדקו דואר וטלפון מקושרים, כללי העברה וקודי גיבוי: פורצים אוהבים להשאיר לעצמם כניסה חלופית.
4. אם הזנתם פרטי כרטיס, חסמו אותו דרך הבנק. זה מספיק, והנפקה מחדש תפתור את השאר.
5. עקבו אחרי החשבון כמה ימים. הרשימה המלאה של סימני גישה זרה ושלבי השחזור נמצאים במאמר על פריצה לחשבון.

מה פישינג לא יודע לעשות

כדאי להכיר גם את גבולות ההתקפה, כדי לא לפחד מיותר. פתיחת הודעה לא גונבת סיסמה בעצמה: הסכנה מתחילה בדף המזויף או בקובץ שהופעל. גלישה באתר ב-HTTPS לא מוסרת לנוכל את הסיסמאות שלכם בשירותים אחרים. ואת מפתח הגישה או מפתח החומרה אי אפשר «להזין במקום הלא נכון» אפילו בכוונה, כי הדפדפן לא יציג אותו לדומיין זר. ככל שיותר חשבונות מוגנים כך, פחות משמעות יש בעבורכם לכל תעשיית הדפים המזויפים.

פישינג נשען על הטייס האוטומטי שלכם: ההודעה לוחצת בדחיפות, והיד הולכת לקישור. הפסקה של עשר שניות עם השאלה «זה הדומיין הנכון?» מפילה את כל התרגיל. ההרגל זול יותר משחזור הגישה.