אימות דו־שלבי והודעות פישינג: כך תגנו על החשבונות הדיגיטליים שלכם

כמעט כל אחד מאיתנו קיבל לפחות פעם אחת הודעה שנראית רשמית לגמרי: חבילה שממתינה במכס ודורשת תשלום קטן, חשבון בנק שנחסם, חשבון חשמל שלא שולם או חשבון ברשת חברתית שעומד להימחק. מאחורי רבות מההודעות האלה עומדים ניסיונות פישינג, כלומר דיוג, שמטרתם לגרום לנו למסור סיסמה, קוד או פרטי אשראי. החדשות הטובות הן שהגנה בסיסית אינה דורשת ידע טכני מתקדם. שני הרגלים פשוטים, הפעלת אימות דו־שלבי וזיהוי הודעות חשודות, מצמצמים מאוד את הסיכון.

מה זה פישינג ולמה הוא מצליח

פישינג הוא ניסיון להתחזות לגורם אמין, כמו בנק, חברת שילוח, רשות ממשלתית או אפילו חבר, כדי לגרום לקורבן לבצע פעולה. ההודעה מגיעה בדרך כלל עם קישור לאתר שנראה כמעט זהה לאתר האמיתי, ושם מתבקש הגולש להזין פרטים. ברגע שהפרטים הוזנו, הם עוברים ישירות לידי המתחזים.

השיטה מצליחה כי היא משחקת על רגשות: לחץ, פחד, דחיפות או סקרנות. ״החשבון שלך ייחסם תוך 24 שעות״ גורם לנו לפעול מהר ולא לחשוב. ההודעות הפכו מתוחכמות יותר, עם עברית תקינה, לוגו מדויק ולעיתים אפילו שם השולח שנראה מוכר. לכן ההגנה הטובה ביותר היא הרגל של עצירה ובדיקה.

סימני אזהרה שכדאי להכיר

יש כמה סימנים שחוזרים כמעט בכל ניסיון הונאה. כשאחד מהם מופיע, זה הזמן לעצור ולבדוק לפני שלוחצים על משהו.

• דחיפות מוגזמת ואיומים בחסימה, קנס או מחיקה
• בקשה להזין סיסמה, קוד חד־פעמי או פרטי אשראי דרך קישור
• כתובת אתר שנראית דומה למקור אבל שונה באות או בסיומת
• תשלום קטן ולא צפוי, למשל דמי משלוח או מכס
• הודעה מחבר או מבן משפחה שמבקש כסף בדחיפות ממספר חדש

הכלל הפשוט הוא שגורם רשמי כמעט אף פעם לא יבקש קוד אימות שקיבלתם בהודעה. אם מישהו מבקש מכם להקריא לו קוד, גם אם הוא מציג את עצמו כנציג בנק, כמעט בוודאות מדובר בהונאה.

אימות דו־שלבי: שכבת ההגנה החשובה ביותר

אימות דו־שלבי מוסיף שלב נוסף לכניסה לחשבון. מלבד הסיסמה, נדרש גם אישור ממכשיר שנמצא ברשותכם, למשל קוד שנשלח בהודעה, קוד מאפליקציית אימות או לחיצה על התראה בטלפון. המשמעות היא שגם אם הסיסמה דלפה או נגנבה, מי שמחזיק בה לבדה לא יוכל להיכנס.

כדאי להפעיל אימות דו־שלבי קודם כול בחשבונות הקריטיים: תיבת הדואר הראשית, שדרכה אפשר לאפס סיסמאות לכל השאר, חשבונות בנק ותשלומים, אפליקציות מסרים ורשתות חברתיות. ברוב השירותים האפשרות נמצאת בהגדרות האבטחה, והתהליך לוקח כמה דקות בלבד.

הודעת טקסט, אפליקציה או מפתח פיזי

לא כל שיטות האימות שוות. קוד שנשלח בהודעת טקסט עדיף בהרבה על כלום, אבל הוא חשוף יחסית לשיטות כמו התחזות לחברת הסלולר והעברת המספר לכרטיס סים אחר. אפליקציית אימות, שמייצרת קודים מתחלפים על גבי המכשיר עצמו, נחשבת בטוחה יותר.

רמת ההגנה הגבוהה ביותר מגיעה ממפתחות אבטחה פיזיים או ממפתחות גישה דיגיטליים שמבוססים על המכשיר, שמחליפים את הסיסמה כמעט לגמרי. עבור רוב המשתמשים הפרטיים, אפליקציית אימות בשילוב סיסמאות חזקות היא איזון טוב בין נוחות לביטחון. חשוב לשמור את קודי הגיבוי שהשירות מספק במקום בטוח, למקרה שהטלפון יאבד.

סיסמאות חזקות ומנהל סיסמאות

אחת הסיבות הנפוצות לפריצה היא שימוש באותה סיסמה בכמה אתרים. כשאתר אחד נפרץ והסיסמאות דולפות, המתחזים מנסים אותן גם בשירותים אחרים. הפתרון הוא סיסמה שונה לכל שירות, וכדי לא להשתגע, להיעזר במנהל סיסמאות שזוכר אותן בשבילכם.

סיסמה טובה היא ארוכה, ולא בהכרח מסובכת. משפט קצר שקל לזכור, עם כמה מילים לא קשורות, חזק יותר מצירוף קצר של אותיות ומספרים. מנהל הסיסמאות גם עוזר לזהות אתרי פישינג, משום שהוא לא ימלא אוטומטית את הסיסמה באתר מזויף שכתובתו שונה מהמקור.

מה עושים אם כבר נפלתם

גם אנשים זהירים נופלים לפעמים, ואין בכך בושה. הדבר החשוב הוא לפעול מהר. אם הזנתם פרטי אשראי, פנו מיד לחברת האשראי או לבנק כדי לחסום את הכרטיס. אם מסרתם סיסמה, החליפו אותה מיד בשירות הרלוונטי ובכל שירות אחר שבו השתמשתם באותה סיסמה, והפעילו אימות דו־שלבי.

כדאי גם לבדוק בהגדרות החשבון אילו מכשירים מחוברים ולנתק את מי שלא מוכר, ולעקוב בשבועות הקרובים אחרי פעולות חריגות. במקרה של נזק כספי או חשד לגניבת זהות, מומלץ לפנות לגורמי האכיפה ולהתייעץ עם איש מקצוע.

להגן גם על בני המשפחה

הגנה דיגיטלית היא עניין משפחתי. ילדים ובני נוער נחשפים להודעות ולהצעות מפתות במשחקים וברשתות, והורים מבוגרים הם לעיתים קרובות יעד מועדף למתחזים, בעיקר בהודעות שמתחזות לבנק, לקופת החולים או לנכד שזקוק לעזרה. שיחה פתוחה ופשוטה, בלי הפחדה, על הסימנים המחשידים יכולה לחסוך נזק גדול.

כדאי לקבוע במשפחה כלל ברור: לפני כל העברת כסף בעקבות הודעה, מתקשרים לבן המשפחה במספר המוכר ומוודאים. אפשר גם לעזור להורים להפעיל אימות דו־שלבי בחשבונות שלהם, להגדיר מנהל סיסמאות ולהסביר להם שאין שום סיבה להקריא קוד לאיש. עשר דקות של הדרכה כזו שוות הרבה יותר מכל תוכנת אבטחה.

אבטחה דיגיטלית היא לא פרויקט חד־פעמי אלא הרגל. עצירה של כמה שניות לפני לחיצה על קישור, אימות דו־שלבי בחשבונות החשובים וסיסמה שונה לכל שירות הם שלושה צעדים פשוטים שמגנים על הכסף, על הפרטיות ועל השקט הנפשי של כל המשפחה.