הודעות פישינג: איך לזהות ומה עושים אם לחצתם

הודעות פישינג הן הודעות שמתחזות לגוף שאתם סומכים עליו — הבנק, חברת שילוח, ספק האחסון, מערכת הפרסום של הרשת החברתית, רשות ממשלתית ולפעמים אפילו לקוח קיים — ומגיעות ב-SMS, בוואטסאפ או למייל העסקי. המטרה שלהן תמיד אותה מטרה: להביא אתכם ללחוץ על קישור ולהקליד במסך מזויף שם משתמש וסיסמה, פרטי אשראי או קוד אימות חד-פעמי. לבעל עסק זה מסוכן יותר מאשר למשתמש פרטי, כי מאחורי אותה סיסמה יושבים גם העמוד העסקי, גם חשבון פרסום עם אמצעי תשלום פעיל, וגם רשימת הלקוחות.

הדרך המהירה לזהות הודעת פישינג היא לא לנתח את הניסוח אלא לבדוק שלושה דברים קבועים: מי באמת שלח (הכתובת המלאה, לא שם התצוגה), לאן באמת מוביל הקישור (הדומיין המלא, לא הטקסט שמופיע), ומה בדיוק מבקשים מכם. סיסמה, פרטי אשראי וקוד אימות הם שלושה דברים שאף גוף לגיטימי לא מבקש בתוך הודעה נכנסת. אם כבר לחצתם והקלדתם משהו, הסעיף על השעה הראשונה בהמשך הוא זה שקובע כמה נזק בפועל ייגרם.

איך מזהים הודעות פישינג ומה עושים עם הודעה חשודה

למה דווקא בעלי עסקים קטנים הם יעד נוח

עסק קטן מייצר סביבו הרבה תקשורת שנראית בדיוק כמו פישינג גם כשהיא אמיתית: אישורי משלוח, חשבוניות מספקים, התראות מחברת הסליקה, הודעות ממערכת הדיוור, פניות מלקוחות שלא מכירים. תיבת המייל של בעל עסק פתוחה כל היום, הטלפון שלו מפורסם באתר וברשתות, והוא רגיל ללחוץ מהר כי כל הודעה עשויה להיות לקוח. התוקף לא צריך לפרוץ שום דבר — הוא רק צריך שההודעה שלו תיראה כמו עוד אחת מהשגרה הזו.

הנכס שמעניין את התוקף הוא לרוב לא הכסף שבחשבון הבנק אלא הגישה: חשבון מנהל של עמוד עסקי, גישה לחשבון הפרסום, או תיבת המייל שדרכה אפשר לאפס סיסמאות לכל השאר. תיבת המייל היא המפתח הראשי, ולכן היא גם ההודעה שהכי משתלם לזייף.

הסימנים שחוזרים כמעט בכל הודעת פישינג

ההודעות משתנות בניסוח, אבל המבנה שלהן כמעט לא משתנה. שלושת הסימנים הבאים הם אלה שמופיעים שוב ושוב, וזיהוי של אחד מהם מספיק כדי לעצור.

דחיפות מלאכותית עם חלון זמן

"החשבון ייחסם תוך 24 שעות", "המשלוח יוחזר לשולח", "זוהתה פעילות חריגה — אשרו מיד". הלחץ הזה הוא לא קישוט, הוא הכלי המרכזי: הוא נועד למנוע מכם את שתי הדקות שבהן הייתם בודקים. גופים אמיתיים כן שולחים התראות, אבל הם כמעט אף פעם לא תולים חסימה מיידית בלחיצה על קישור מתוך SMS.

הקישור לא מוביל לאן שכתוב בו

הטקסט של הקישור הוא סתם טקסט וניתן לכתוב בו כל דבר. מה שקובע הוא הדומיין האמיתי, ובעיקר החלק שמופיע ממש לפני הלוכסן הראשון. תוקפים משתמשים בתת-דומיין שנראה נכון על דומיין זר, בהחלפת תו בתו דומה, בסיומת אחרת מהמוכרת, ובמקצרי קישורים שמסתירים את היעד לגמרי. בהודעת SMS, שבה אין ריחוף עם עכבר, ההנחה הנכונה היא שכל קישור מקוצר הוא קישור שלא נבדק.

בקשה לקוד אימות או לפרטים שהגוף כבר מחזיק

הבנק יודע מה מספר החשבון שלכם, חברת האשראי יודעת מה מספר הכרטיס, והרשת החברתית לא צריכה שתקלידו לה את הסיסמה בטופס שהגיע בהודעה. בקשה לקוד חד-פעמי היא הסימן החד ביותר שקיים: הקוד הזה נועד בדיוק כדי למנוע כניסה של מי שכבר יודע את הסיסמה שלכם, ולכן מי שמבקש אותו כנראה כבר מחזיק בסיסמה וחסר לו רק השלב האחרון.

שווה גם לוותר על סימן זיהוי אחד שרבים עדיין נשענים עליו: שגיאות כתיב ועברית עילגת. פעם זה היה סימן טוב, היום הודעות פישינג רבות כתובות בעברית תקינה לגמרי, עם לוגו נכון, עיצוב מוכר וחתימה מסודרת. הודעה שנראית מקצועית היא לא הודעה שנבדקה — היא רק הודעה שהושקע בה יותר. מה שנשאר יציב הוא הבקשה עצמה והיעד של הקישור, ולכן שם צריך להסתכל.

איך זה נראה בכל ערוץ בנפרד

אותה מתקפה לובשת צורה שונה בכל ערוץ, והבדיקה המהירה משתנה בהתאם. הטבלה מסכמת את מה שחוזר בפועל בתיבות של בעלי עסקים.

הערוץ שהכי קשה לבעלי עסקים הוא וואטסאפ, מפני שהוא ערוץ המכירה. פנייה מ"לקוח" שמבקש לראות קטלוג בקישור, או ממי שמציג את עצמו כנציג ומבקש לאמת את החשבון העסקי, מגיעה בדיוק לתוך ההרגל של לענות מהר ובשירותיות. הכלל הפשוט שעובד שם: לקוח אמיתי לא צריך שתקלידו סיסמה או קוד כדי לקנות מכם, ואף פנייה עסקית לגיטימית לא מתחילה בבקשה לקוד שהגיע אליכם בהודעה נפרדת.

נוהל של דקה אחת לכל הודעה חשודה

במקום לנסות להכריע בכל פעם מחדש אם ההודעה אמיתית, הפעילו נוהל קבוע. הוא מהיר מספיק כדי שתשתמשו בו בפועל, וזו כל התכלית שלו.

1. עצרו לפני הלחיצה. אם ההודעה מייצרת בכם דחיפות — זו הסיבה הראשונה לעצור, לא סיבה למהר.
2. בדקו את זהות השולח המלאה: כתובת המייל במלואה ולא שם התצוגה, ומספר הטלפון מול אנשי הקשר.
3. בדקו את הדומיין של הקישור, ובעיקר את מה שמופיע ממש לפני הלוכסן הראשון. קישור מקוצר נחשב לא נבדק.
4. שאלו מה מבקשים מכם. סיסמה, פרטי אשראי או קוד אימות — עצרו כאן, בלי קשר לכמה ההודעה משכנעת.
5. אמתו בערוץ עצמאי: הקלידו את כתובת האתר בעצמכם, או התקשרו למספר שמופיע באתר הרשמי — לא למספר שמופיע בהודעה.
6. אם ההודעה נוגעת לחשבון עסקי משותף, עדכנו את השותף או העובד לפני שאתם פועלים. מתקפה שמכוונת לבעלים מכוונת בדרך כלל גם למי שעובד לצידו.

אם כבר לחצתם: מה לעשות בשעה הראשונה

לחיצה בלבד היא לרוב לא סוף העולם. מה שקובע הוא מה הוקלד אחריה. פעלו לפי מה שנמסר בפועל, לפי הסדר.

אחרי הפעולות המיידיות יש שלב שנוטים לדלג עליו והוא החשוב ביותר: לבדוק מה התוקף הוסיף, ולא רק מה הוא שינה. כתובת מייל לשחזור, מספר טלפון נוסף, אפליקציית אימות חדשה, כלל העברה אוטומטית בתיבת המייל, או מנהל שנוסף לעמוד העסקי — כל אחד מאלה מחזיר לתוקף את הגישה גם אחרי שהחלפתם סיסמה. החלפת סיסמה בלי לנקות את אלה היא הסיבה הנפוצה לכך שחשבון "נפרץ שוב" יומיים אחר כך.

אם ההודעה הובילה בסופו של דבר לאובדן גישה לחשבון עצמו, הטיפול כבר לא נוגע להודעה אלא לשחזור: מה שקובע הוא כמה מהר מוגשת הפנייה הנכונה ובאילו הוכחות בעלות היא מלווה. התהליך הזה מפורט בנפרד עבור שחזור חשבון אינסטגרם שנפרץ ועבור שחזור גישה לחשבון פייסבוק. וחשוב לומר בכנות: תהליך הערעור מנוהל אצל הפלטפורמה, לא אצלכם ולא אצל מי שמלווה אתכם, ולכן אפשר להגיש נכון ומהר — אבל לא להבטיח תוצאה.

איך מקטינים את הסיכון מראש

אי אפשר להפסיק לקבל הודעות פישינג, אפשר רק לצמצם את מה שהן מסוגלות לעשות. ההגדרות הבאות הן ברובן חד-פעמיות:

• אימות דו-שלבי על תיבת המייל קודם כל, ואחריה על החשבונות החברתיים ועל מערכות הסליקה. עדיף אפליקציית אימות או מפתח פיזי על פני קוד שמגיע ב-SMS.
• סיסמה שונה לכל חשבון, במנהל סיסמאות. יש לזה יתרון שקט: מנהל סיסמאות פשוט לא ימלא פרטים באתר מזויף, כי הדומיין לא תואם — בדיקה שקורית מעצמה בלי שתחשבו עליה.
• הפרדת חשבונות: חשבון אישי לגלישה יומיומית, חשבון נפרד לניהול העסק והפרסום. פישינג שתופס את האישי לא אמור להגיע לכספים.
• הרשאות במקום סיסמאות: עובד או ספק מקבל הרשאה בשם עצמו במערכת הניהול ולא את הסיסמה שלכם. כך גם אפשר להסיר את הגישה ביום שהוא מסיים.
• קודי שחזור שמורים מחוץ למכשיר, מודפסים או בכספת סיסמאות. הערך שלהם מתגלה בדיוק ברגע שאין לכם גישה לשום דבר אחר.
• נוהל אחד קבוע בעסק: שינוי פרטי בנק של ספק מאושר רק בשיחת טלפון למספר מוכר. זה סוגר את התרחיש היקר ביותר, שבו חשבונית מזויפת נשלחת בדיוק בזמן הנכון.

מתי כדאי לערב גורם מקצועי

רוב הודעות הפישינג נגמרות במחיקה, וזה המצב הרצוי. יש שלושה מצבים שבהם עדיף לא להתמודד לבד: כשאיבדתם גישה לחשבון סושיאל עסקי שמייצר הכנסה, כשחשבון הפרסום ממשיך להוציא כסף על קמפיין שלא אתם הפעלתם, וכשהחשבון חזר לידיכם אבל אתם לא בטוחים אילו מנהלים, הרשאות ואמצעי אימות נוספו לו בזמן שהתוקף היה בפנים. בכל אחד מהמצבים האלה הזמן פועל נגדכם, וסדר הפעולות חשוב לא פחות מהפעולות עצמן.

הליווי במקרים כאלה נוגע לחשבונות הסושיאל והפרסום: מיפוי של מה נפגע, ניקוי ההרשאות והמנהלים שהתוקף הוסיף, הגשת פנייה לפלטפורמה בערוץ הנכון עם ההוכחות המתאימות, וסגירת הפרצה כדי שאותה הודעה לא תעבוד פעם שנייה. תיבת המייל העסקית עצמה מטופלת מול ספק המייל או האחסון שלכם, והיא הדבר הראשון לסגור לפני שממשיכים הלאה. אפשר לראות את מכלול השירותים לעסקים ולפנות עם תיאור קצר של מה שקרה ומתי — התזמון הוא הפרט הראשון שנשאל עליו.

ולסיום, הכלל שמכסה גם הודעות פישינג שעדיין לא הומצאו: שום גוף לגיטימי לא ייפגע מכך שסגרתם את ההודעה ופניתם אליו בעצמכם דרך המספר או האתר שאתם מכירים. תוקף כן ייפגע מזה. זו כל הבדיקה.