החלפת סיסמה בכל החשבונות: באיזה סדר ולמה זה משנה
למה מייל וטלפון קודמים לכל השאר, ולמה החלפת סיסמה בלי ניתוק מכשירים כמעט לא עוזרת.
החלפת סיסמה בכל החשבונות: הסדר הוא כל העניין
אחרי פריצה, או אחרי הודעה שסיסמה שלכם דלפה, התגובה הטבעית היא לפתוח אפליקציה
אחרי אפליקציה ולהחליף סיסמאות בזו אחר זו. זה מרגיש יעיל, וזה בדרך כלל מבוזבז —
כי כל עוד מי שנכנס עדיין מחזיק בתיבת המייל שלכם, הוא יכול לאפס בחזרה כמעט כל
סיסמה שהחלפתם, דקה אחרי שהחלפתם אותה.
המדריך הזה עוסק בהגנה על החשבונות שלכם עצמכם: באיזה סדר לעבור עליהם, מה עוד
לבדוק בכל אחד מהם חוץ מהסיסמה, ומתי בכלל צריך לעשות את זה.
למה הסדר קובע את התוצאה
חשבונות אינם רשימה שטוחה — הם עץ. לכל חשבון יש ערוץ שחזור, וערוץ השחזור הוא
הדרך לעקוף את הסיסמה. תיבת המייל היא ערוץ השחזור של כמעט הכול, ומספר הטלפון הוא
לרוב ערוץ השחזור של תיבת המייל. מכאן נובע שסדר העבודה חייב להתחיל בשורש ולא
בעלים.
| שלב | מה כולל | למה דווקא כאן |
|---|---|---|
| 1. הטלפון והסים | נעילת המכשיר, קוד לכרטיס הסים, חשבון היצרן | זה ערוץ השחזור של המייל עצמו |
| 2. תיבת המייל הראשית | סיסמה, ניתוק מכשירים, כללי העברה | דרכה אפשר לאפס את כל השאר |
| 3. מנהל הסיסמאות | סיסמה ראשית ואימות דו־שלבי | הוא מחזיק את כל היתר |
| 4. חשבונות פיננסיים | בנק, אשראי, ארנקים דיגיטליים | שם הנזק מיידי ובלתי הפיך |
| 5. חשבונות עסקיים וסושיאל | מנהל עסקים, עמודים, חשבונות מודעות | הם מחזיקים אמצעי תשלום וקהל |
| 6. כל השאר | חנויות, מנויים, פורומים | נזק מוגבל, וזמן רב יותר לטפל |
אם יש לכם זמן לשלושה חשבונות בלבד, עשו את שלושת הראשונים. הם מגנים על כל
היתר; היתר לא מגנים על כלום.
החלפת סיסמה בלי ניתוק מכשירים כמעט לא עושה דבר
זו הנקודה שהכי הרבה אנשים מפספסים, והיא טכנית ופשוטה כאחד. כשמישהו מחובר
לחשבון, המכשיר שלו מחזיק אסימון התחברות שנשאר תקף בפני עצמו. בחלק מהשירותים
החלפת סיסמה אינה מבטלת אותו אוטומטית — ולכן אפשר להחליף סיסמה,
להרגיש בטוחים, ומי שנכנס פשוט ממשיך לגלול בחשבון כאילו כלום.
לכן כל החלפת סיסמה צריכה להיות משולשת:
- להחליף את הסיסמה.
- לנתק את כל המכשירים המחוברים — לרוב יש פעולה שמנתקת את כל
ההתחברויות בבת אחת. שמות האזורים בממשק שונים בין הפלטפורמות ומתעדכנים מעת לעת,
ולכן חפשו במרכז העזרה של השירות את הניהול של מכשירים או התחברויות פעילות. - לבטל הרשאות של אפליקציות צד שלישי שחיברתם פעם ושכחתם. הרשאה
כזו היא גישה שאינה עוברת דרך הסיסמה כלל, ולכן החלפתה לא נוגעת בה.
מה עוד לבדוק בכל חשבון בדרך
מי שנכנס לחשבון לרוב משאיר לעצמו דרך לחזור. חמש הנקודות האלה הן המקומות
שבהם הדלת האחורית מסתתרת, וכדאי לעבור עליהן בזמן שאתם כבר בפנים:
- כתובת מייל ומספר טלפון לשחזור. שינוי שלהם הוא השיטה הנפוצה
ביותר לשמור על גישה. אם מופיעה שם כתובת שאינכם מכירים, זו הממצא החשוב ביותר
בכל הבדיקה. - כללי העברה וסינון בתיבת המייל. כלל שמעביר עותק של כל הודעה
לכתובת אחרת, או שמוחק אוטומטית הודעות מהבנק, ממשיך לפעול גם אחרי החלפת
סיסמה. - שיטת האימות הדו־שלבי וקודי הגיבוי. ודאו שהשיטה היא שלכם ולא
של מישהו אחר, והנפיקו קודי גיבוי חדשים. - מכשירים והתחברויות פעילות. מכשיר או מיקום שאינכם מזהים.
- אמצעי תשלום שמורים בחשבונות מודעות ובחנויות.
אם מצאתם חיוב שאינכם מזהים בדרך, זה כבר מסלול נפרד עם לוח זמנים משלו — הוא
מפורק בהמדריך לפנייה לבנק אחרי חיוב שלא ביצעתם.
סיסמאות שאפשר באמת לתחזק
התכונה היחידה שבאמת משנה היא ייחודיות. סיסמה חוזרת היא מה
שהופך דליפה אחת באתר אקראי לעשרה חשבונות פרוצים, כי התוקף פשוט מנסה את אותו
צירוף בכל מקום. סיסמה מורכבת שחוזרת בחמישה מקומות חלשה מסיסמה פשוטה שמופיעה
פעם אחת.
- אורך לפני מורכבות. צירוף של כמה מילים שאין ביניהן קשר קל
לזכור וקשה לפצח, יותר מרצף קצר של סימנים. - מנהל סיסמאות פותר את הבעיה מהשורש, כי הוא מאפשר סיסמה שונה
לכל שירות בלי שתזכרו אף אחת מהן. אם אתם לא רוצים כלי כזה, מחברת פיזית שנשמרת
במקום סגור עדיפה על שימוש חוזר. - אל תחליפו סיסמאות לפי לוח זמנים סתם. החלפה תקופתית בלי סיבה
מובילה לסיסמאות דומות עם ספרה מתחלפת, וזה חלש יותר מסיסמה אחת חזקה שנשארת. - אימות דו־שלבי חשוב יותר מאורך הסיסמה. העדיפו אפליקציית אימות
או מפתח פיזי על קוד ב־SMS. הפירוט לחשבון עסקי נמצא באבטחת חשבון עסקי ואימות דו־שלבי.
מתי באמת צריך לעבור על הכול
סבב מלא הוא עבודה של שעות, ואין טעם לעשות אותו בלי סיבה. ארבעה מצבים מצדיקים
אותו: פריצה מאומתת לתיבת המייל או למנהל הסיסמאות; תוכנה זדונית שהתגלתה על מכשיר;
הודעה על דליפה של סיסמה שהשתמשתם בה גם במקומות אחרים; ומכשיר שאבד או נגנב.
מצב חמישי, שקט יותר, הוא עזיבה של מי שהייתה לו גישה — עובד, פרילנסר או ספק.
שם לא צריך סבב מלא, אלא סקירת הרשאות ממוקדת בחשבונות שאליהם הייתה לו גישה.
ומצב אחד שנראה כמו סיבה ואינו: הודעה שמבקשת מכם להחליף סיסמה בדחיפות. הודעות
כאלה הן דפוס פישינג מוכר, וההנחיה הבטוחה היא לא ללחוץ על הקישור שבהודעה אלא
להיכנס לשירות בעצמכם, מהדרך שאתם מכירים. הסימנים המלאים מפורטים בזיהוי הודעות פישינג.
אחרי שסיימתם
שלוש פעולות סוגרות את התהליך. ראשית, הפעילו התראות התחברות בחשבונות המרכזיים,
כדי שהפעם הבאה תיוודע לכם תוך דקות. שנית, בדקו את החשבונות העסקיים בעין — לא רק
שהסיסמה הוחלפה, אלא שהתוכן, ההרשאות ואמצעי התשלום נראים כפי שהשארתם אותם; מה
לחפש שם מפורט בטעויות האבטחה שחושפות חשבון עסקי. ושלישית, רשמו מה עשיתם ומתי.
שורה תחתונה: התחילו במייל ובטלפון, נתקו מכשירים בכל מקום שבו החלפתם סיסמה,
בדקו כתובות שחזור וכללי העברה, ורק אז המשיכו הלאה. אם השלמתם רק את השלבים
הראשונים, עשיתם את רוב העבודה. הרקע הרחב על שחזור חשבון שנפרץ נמצא במדריך השחזור לחשבון שנפרץ.
שאלות נפוצות
באיזה חשבון להתחיל?
בטלפון ובתיבת המייל הראשית, בסדר הזה. חשבונות אינם רשימה שטוחה אלא עץ: לכל חשבון יש ערוץ שחזור שמאפשר לעקוף את הסיסמה, תיבת המייל היא ערוץ השחזור של כמעט הכול, ומספר הטלפון הוא לרוב ערוץ השחזור של המייל. כל עוד מי שנכנס מחזיק במייל שלכם, הוא יכול לאפס בחזרה כל סיסמה שהחלפתם. אם יש לכם זמן לשלושה חשבונות בלבד — טלפון, מייל ומנהל סיסמאות — עשיתם את רוב העבודה.
החלפתי סיסמה והחשבון עדיין נראה פרוץ. איך זה ייתכן?
כנראה בגלל אסימון התחברות פעיל. מכשיר שכבר מחובר לחשבון מחזיק אסימון שנשאר תקף בפני עצמו, ובחלק מהשירותים החלפת סיסמה אינה מבטלת אותו אוטומטית. לכן כל החלפת סיסמה צריכה להיות מלווה בניתוק כל המכשירים המחוברים ובביטול הרשאות של אפליקציות צד שלישי — הרשאה כזו אינה עוברת דרך הסיסמה כלל. בדקו במקביל גם את כתובת המייל וטלפון השחזור, שם מסתתרת הדרך הנפוצה ביותר לחזור.
כל כמה זמן צריך להחליף סיסמאות?
לא לפי לוח זמנים. החלפה תקופתית בלי סיבה מובילה בפועל לסיסמאות כמעט זהות עם ספרה מתחלפת, וזה חלש יותר מסיסמה אחת חזקה וייחודית שנשארת במקומה. מה שכן מצדיק החלפה הוא אירוע: פריצה מאומתת, תוכנה זדונית על מכשיר, הודעה על דליפה של סיסמה שהשתמשתם בה גם במקום אחר, או מכשיר שאבד. עדיף להשקיע את אותו מאמץ בהפעלת אימות דו־שלבי ובהסרת סיסמאות חוזרות.
מה עדיף — מנהל סיסמאות או מחברת?
שניהם עדיפים בהרבה על שימוש חוזר באותה סיסמה, וזו ההשוואה שבאמת חשובה. מנהל סיסמאות נוח יותר ומאפשר סיסמה שונה לכל שירות בלי לזכור אף אחת, ולכן הוא הפתרון המעשי לרוב האנשים — ובלבד שהסיסמה הראשית שלו חזקה ומוגנת באימות דו־שלבי. מחברת פיזית שנשמרת במקום סגור היא חלופה סבירה למי שלא רוצה כלי דיגיטלי. מה שאסור הוא קובץ סיסמאות לא מוגן במחשב או בענן.
