בדיקת דליפת סיסמאות: איך לבדוק ומה עושים אחרי

בדיקת דליפת סיסמאות: מה נבדק בפועל, ומול מה

כשחשבון נלקח, ההסבר הנפוץ הוא לא וירוס ולא פריצה לשרתים של מטא. ברוב המקרים הסיסמה כבר הייתה מחוץ לידיים שלכם הרבה קודם: היא נחשפה באתר צד שלישי שנפרץ — פורום ישן, חנות קטנה, אפליקציה שהתקנתם פעם — ומשם עברה לרשימות שנסחרות ומופצות. בדיקת דליפת סיסמאות היא הפעולה שמגלה את זה בעודכם בשליטה, במקום לגלות זאת מהודעת "מישהו התחבר מהתקן חדש".

המנגנון פשוט. קיימים מאגרים שמרכזים כתובות מייל, שמות משתמש וסיסמאות שהופיעו בהדלפות מתועדות. שירות הבדיקה משווה את הפרט שלכם מול המאגרים האלה ואומר אם הוא מופיע שם. שימו לב למה שהוא לא אומר: הוא לא קובע שהחשבון שלכם מאובטח או פרוץ. הוא עונה על שאלה אחת צרה — האם הפרט הזה כבר פומבי.

איך בדיקה תקינה עובדת בלי לראות את הסיסמה שלכם

החשד המתבקש נכון: למה שאקליד סיסמה פעילה לאתר זר? התשובה היא שכלי בדיקה רציני לעולם לא מקבל את הסיסמה עצמה. הדפדפן שלכם מחשב ממנה טביעת אצבע חד-כיוונית, שולח לשרת רק את התווים הראשונים של הטביעה, ומקבל בחזרה את כל הטביעות שמתחילות באותם תווים. ההשוואה הסופית מתבצעת מקומית, אצלכם. השרת לא יודע איזו סיסמה נבדקה ולא יודע אם נמצאה התאמה.

זו גם אמת המידה הפשוטה ביותר להבחין בין כלי אמין לדף שמתחזה לכלי. אם דף מבקש סיסמה מלאה, שולח אותה לשרת שלו, ולעיתים גם מבקש "לאמת" מול שם משתמש — הרגע הזה הוא עצמו ההדלפה. הדפים האלה קיימים והם פועלים בדיוק כמו כל דף פישינג אחר: הם מבטיחים בדיקת ביטחון וגובים אותה בפרטים.

שלושה סוגי בדיקה, ולא כולם מספרים את אותו סיפור

רוב האנשים מבצעים סוג אחד וחושבים שכיסו את הנושא. בפועל כל סוג עונה על שאלה אחרת, והפער ביניהם הוא בדיוק המקום שבו נופלים.

ההבדל המעשי: בדיקת מייל מחזירה תמונת עבר. בדיקת סיסמה מחזירה תמונת הווה. ניטור מחזיר תמונת עתיד. מי שמסתפק בראשונה יודע שהוא הופיע בהדלפה מלפני שנים, ולא יודע שהסיסמה שהוא הקליד הבוקר נמצאת ברשימה.

התוצאה חיובית. מה עושים, ובאיזה סדר

הסדר כאן אינו עניין של טעם. פעולה נכונה בסדר שגוי מבוזבזת, כי התוקף פשוט מאפס אותה דרך הערוץ שנשאר פתוח.

קודם תיבת המייל, ורק אחר כך הרשתות

המייל הוא מפתח האב. כל שאר החשבונות שולחים אליו קישורי איפוס, ולכן החלפת סיסמה באינסטגרם לפני שהמייל מאובטח היא החלפה שאפשר לבטל בלחיצה. התחילו במייל: סיסמה חדשה, שכבה שנייה, ובדיקה של כללי הפניה אוטומטית בהגדרות — כלל שמעביר עותק של כל הודעה נכנסת לכתובת זרה הוא הדרך השקטה ביותר לשמור על גישה גם אחרי שהחלפתם הכול.

מחליפים בכל מקום שבו אותה סיסמה שימשה

אם המחרוזת נמצאה, היא שרופה — בכל שירות שבו השתמשתם בה, גם באלה שנראים חסרי חשיבות. שינוי בשירות אחד בלבד משאיר את הדלת פתוחה בשאר. זה גם הרגע להפסיק עם וריאציות: סיסמה שהוחלפה בתוספת ספרה בסוף היא מבחינת רשימות מוכנות אותה סיסמה.

מנתקים את כל ההתקנים המחוברים

החלפת סיסמה אינה מסלקת מי שכבר מחובר. בכל פלטפורמה קיים מסך של הפעלות פעילות או התקנים מחוברים, ושם מוציאים את כולם ומתחברים מחדש. אם דילגתם על השלב הזה, הדפדפן של מי שנכנס נשאר מחובר עם הסיסמה החדשה שלכם. ההליך המלא לצד פייסבוק מתואר כאן.

מוסיפים שכבה שנייה, ולא זו שבמסרון

אימות דו-שלבי הוא ההבדל בין סיסמה שדלפה לבין חשבון שנלקח. אפליקציית אימות או מפתח פיזי עדיפים על קוד ב-SMS, שחשוף להעברת מספר. כך מפעילים אימות דו-שלבי באינסטגרם, וההיגיון זהה בשאר הפלטפורמות. שמרו את קודי הגיבוי במקום שאינו החשבון עצמו.

למה סיסמה שדלפה מסוכנת גם כשאף אחד לא "פרץ" לכם

השיטה הנפוצה היום אינה ניחוש. לוקחים זוגות של כתובת מייל וסיסמה מהדלפה אחת ומנסים אותם אוטומטית מול עשרות שירותים אחרים, בהנחה הסבירה שאותו אדם חזר על עצמו. אין כאן פריצה לשום מערכת — יש התחברות רגילה לגמרי, עם הפרטים הנכונים. לכן שום מערכת לא מתריעה, ולכן חשבון שלא נגעתם בו שנתיים יכול להילקח בלי אירוע חריג אחד.

זה גם מסביר למה ההודעה שמגיעה בסוף היא לרוב "התחברות מוצלחת ממכשיר חדש" ולא "ניסיון חשוד נחסם". מבחינת הפלטפורמה, אתם התחברתם.

מה בדיקת דליפת סיסמאות לא תגלה לכם

• הדלפות שטרם פורסמו. מאגר מכיל את מה שהגיע אליו. פער של חודשים בין דליפה לפרסום הוא שגרתי, ותוצאה נקייה היא היעדר ידיעה ולא הוכחת ביטחון.
• מידע שנגנב מהמכשיר שלכם. תוכנה שאוספת סיסמאות מהדפדפן לא מייצרת "הדלפה" ציבורית שמישהו מפרסם.
• הרשאות שכבר ניתנו. אפליקציה חיצונית שחיברתם פעם לחשבון ממשיכה לפעול גם אחרי החלפת סיסמה, עד שתסירו אותה ידנית.
• גישה של אנשים אמיתיים. מנהל עמוד לשעבר או ספק שקיבל הרשאה הם סיכון תפעולי שאף מאגר לא רואה. בהגדרות מנהל העסקים זה הפרק שנוטים לדלג עליו.

איך מורידים את הסיכון לפעם הבאה

המסקנה המעשית מהבדיקה אינה סיסמה חזקה יותר, אלא סיסמה ייחודית. אורך עוזר מול ניחוש; ייחודיות עוזרת מול רשימות, וזה האיום שקיים בפועל. שני הרגלים עושים כאן את רוב העבודה: מנהל סיסמאות שמייצר מחרוזת שונה לכל שירות, כך שדליפה במקום אחד נשארת שם, ובדיקה תקופתית קבועה — פעם ברבעון, בתאריך קבוע, במקום כשמשהו כבר קרה.

הוסיפו לזה ניקיון: חשבונות ישנים שאינכם משתמשים בהם עדיין מחזיקים את כתובת המייל שלכם בבסיס נתונים שאתם כבר לא זוכרים. סגירה של חשבון מיותר מקטינה את מספר המקומות שיכולים לדלוף בשמכם.

לעסק: זה נוהל, לא אירוע

בעסק שמנהל עמוד או חשבון מודעות, הבדיקה צריכה לכלול כל כתובת מייל שיש לה גישה — כולל מייל של עובד שעזב וכתובת כללית ששימשה פעם להרשמות. חשבון פרטי של מנהל שנפגע הוא לרוב הדלת האמיתית אל הנכס העסקי, מפני שהעמוד עצמו אינו נפרץ ישירות: נלקחת הזהות שמחזיקה בו הרשאת ניהול.

שלושה דברים כדאי לכתוב בנוהל: מי מבצע את הבדיקה ומתי, מה עושים בתוצאה חיובית ומי מוסמך להחליט, ואיפה מתועדת רשימת בעלי ההרשאות. הרשימה הזאת מתיישנת מהר יותר מכל דבר אחר, וסקירה שלה במקביל לבדיקה שווה יותר מהבדיקה עצמה.

ולבסוף, כלל אחד שחוסך את רוב הצרות: אף אחד — לא נציג פלטפורמה, לא "מומחה שחזור" שפנה אליכם בהודעה, ולא מי שמציע לבדוק לכם את החשבון — לא זקוק לסיסמה שלכם או לקוד האימות שהגיע למכשיר. בקשה כזאת היא בעצמה התקיפה.