הונאת פישיניג (Phishing) - מה זה ואיך להזהר

מה זו הונאת פישינג ואיך היא עובדת

הונאת פישינג היא ניסיון של גורם עוין להוציא מכם פרטים רגישים, בדרך כלל שם משתמש וסיסמה או פרטי כרטיס אשראי, באמצעות התחזות לגורם לגיטימי שאתם מכירים וסומכים עליו. בעברית היא נקראת "דיוג", ובאנגלית Phishing, משחק מילים על Fishing (דיג). השם מתאר בדיוק את אופן הפעולה: התוקף זורק פיתיון ומחכה שמישהו יבלע אותו.

המטרה המרכזית של התוקפים היא כמעט תמיד כסף. לכן הם מתמקדים בשירותים מקוונים שאפשר לשלם או להעביר דרכם כספים: חשבונות בנק, חברות כרטיסי אשראי, PayPal, eBay, חנויות מקוונות ושירותי תשלום אחרים. מי שמחזיק את פרטי הכניסה לחשבון כזה יכול לקנות, להעביר ולמשוך בשם בעל החשבון.

מה שהופך את הפישינג להונאה כל כך יעילה הוא רמת האמינות שהוא מצליח לייצר. הודעה מתחזה עשויה להכיל את הלוגו והחתימה של הגורם האמיתי, להגיע מכתובת מייל או ממספר טלפון שנראים כמעט זהים לאלה המקוריים, ולפנות אליכם בשמכם הפרטי או המלא. לעיתים התוקפים משלבים בהודעה פרטים אמיתיים, כמו כתובת מגורים, שמות של בני משפחה או מספרי טלפון נכונים, כדי להגביר עוד יותר את תחושת האמינות.

בגלל רמת התחכום הזו, פישינג מצליח להטעות גם משתמשים זהירים, מנוסים וחשדנים, ולא רק אנשים תמימים. מי שמניח שהוא "לא מהסוג שנופל בזה" נוטה דווקא להוריד את המשמר.

כדי לייעל את העבודה, התוקפים שולחים בדרך כלל כמויות עצומות של הודעות זהות בדואר האלקטרוני. גם אם רק חלק קטן מהנמענים מגיב, בכמויות כאלה מדובר בקורבנות רבים. לצד המייל, פישינג יכול להתבצע בשיחת טלפון, בהודעת טקסט, ברשתות חברתיות ואפילו במפגש פנים אל פנים. בהמשך נפרט כל אחד מהערוצים, נראה איך מזהים כל אחד מהם ומה עושים כדי לצמצם את הסיכון.

פישינג באינטרנט: המייל המתחזה ואתר הדמה

הצורה הנפוצה ביותר של פישינג היא שילוב של מייל מתחזה ואתר דמה. התרחיש הטיפוסי מתחיל בהודעה שמגיעה לכאורה מגורם שיש לכם אצלו חשבון: Facebook, PayPal, eBay, בנק, חברת אשראי, או גוף כמו כביש 6 שאליו משלמים חשבונות באופן קבוע.

תוכן ההודעה משתנה, אבל הוא תמיד בנוי כך שתרצו להגיב מהר. ההודעה עשויה לספר שהסיסמה שלכם עומדת לפוג ויש לחדש אותה, שיש לכם חוב פתוח שצריך להסדיר, שממתינה לכם הודעה חשובה בתיבת ההודעות באתר, שחשבונכם הוקפא, או שזוהתה פעילות חשודה. בכל המקרים מצורף קישור "נוח" שאמור לקחת אתכם ישר לפעולה הנדרשת.

מה קורה אחרי הלחיצה

הקישור מוביל לדף שנראה, אם ההונאה מוצלחת, בדיוק כמו דף הכניסה של האתר המוכר: אותם צבעים, אותו לוגו, אותם שדות לשם משתמש וסיסמה. כשההודעה דיברה על חוב, אחרי הכניסה המזויפת תתבקשו לעיתים גם להזין פרטי כרטיס אשראי כדי "להסדיר" את התשלום.

בפועל אתם נמצאים באתר אחר לחלוטין, וכל פרט שתקלידו בו עובר ישירות לידי התוקף. ברגע שיש לו שם משתמש וסיסמה, הוא יכול להיכנס בשמכם לאתר האמיתי. אם הזנתם פרטי אשראי, גם הם בידיו.

למה רבים לא מבינים שנפלו

אחד המאפיינים המתוחכמים של הונאות מהסוג הזה הוא שאחרי שהקלדתם את הפרטים, אתר הדמה מעביר אתכם בפועל לדף הרשמי של הגורם האמיתי. מבחינתכם, נכנסתם לחשבון כרגיל, אולי אחרי "תקלה" קטנה שחייבה להקליד את הסיסמה פעם נוספת. הפרטים כבר נשלחו לתוקף, אבל שום דבר לא נראה חריג. כך יכולים לעבור ימים ואף שבועות עד שמישהו מבחין בחיוב לא מוכר או בשינוי בחשבון.

מי שמשלם באינטרנט באופן קבוע יכול לצמצם את הנזק הפוטנציאלי באמצעות כרטיס אשראי וירטואלי לרכישות מקוונות, כך שגם אם הפרטים דולפים, הם אינם מובילים ישירות לכרטיס הראשי. כדאי גם להבין איך עובדת סליקה באתר אינטרנט, כי ההבנה הזו מבהירה מדוע גורם רשמי כמעט אף פעם אינו צריך לבקש מכם פרטי כרטיס בהודעה.

פישינג בטלפון, בבית מלון ופנים אל פנים

פישינג אינו מוגבל למסך. חלק מההונאות האמינות ביותר מתבצעות בקול, כשהתוקף מדבר אתכם ישירות ומפעיל לחץ בזמן אמת.

פישינג טלפוני

בשיטה הזו מגיעה שיחה, לכאורה מגורם רשמי. המתקשר יכול להציג את עצמו כנציג מס הכנסה שטוען שיש לכם חוב ומבקש פרטי אשראי כדי להסדיר אותו, כנציג בית הספר של הילדים, או כנציג סוכנות נסיעות שממנה הזמנתם כרטיסי טיסה ו"רק רוצה לוודא את פרטי התשלום". בכל שיחה כזו מומלץ לבקש מהנציג לספק פרטים מזהים עליכם ועל ההזמנה, ולבדוק שמספר הטלפון שממנו התקשרו אכן שייך לגורם שהוא מתיימר לייצג. הדרך הבטוחה ביותר היא לנתק ולחייג בעצמכם למספר הרשמי של הגוף, כפי שהוא מופיע באתר שלו או על גבי הכרטיס.

פישינג בבית מלון

זו גרסה משודרגת ומתוחכמת במיוחד של הפישינג הטלפוני. התוקף עומד מאחוריכם בתור לדלפק הקבלה, שומע את מספר החדר שהוקצה לכם, או עוקב אחריכם עד לחדר. מיד אחרי שסיימתם את הצ'ק-אין, הוא מתקשר לחדר, מטלפון פנימי בבית המלון או מטלפון חיצוני דרך המרכזייה, ומבקש שיעבירו אותו אליכם.

הטלפון בחדר עשוי להראות שהשיחה מגיעה מתוך המלון, נתון שמחזק מאוד את האמינות. המתקשר מספר שהייתה בעיה עם כרטיס האשראי שמסרתם לפני דקות בקבלה, ומבקש לאמת את פרטיו. הוא עשוי אפילו לציין את סוג הכרטיס או פרט אחר שהבחין בו בתור. כל הפרטים מתחברים היטב, ולכן הדרך היחידה להתגונן היא לנתק ולגשת בעצמכם לדלפק הקבלה. מלון שיש לו בעיה אמיתית עם הכרטיס יוכל לטפל בה מול האורח פנים אל פנים.

פישינג פנים אל פנים

במקרים מסוימים התוקף מגיע בעצמו: לבית, למקום ניטרלי כמו בית קפה, או למשרד מזויף שהוקם לשם כך. הוא מתחזה לנציג של בנק, של חברת כרטיסי אשראי או של גוף רשמי אחר, מציע הטבה, עסקה משתלמת במיוחד או "שדרוג" לחשבון, ומפתה בכל דרך אפשרית למסור פרטים מזהים או פרטי כרטיס. הופעה מכובדת, תעודה מודפסת או כרטיס ביקור אינם הוכחה לשום דבר. הבנק אינו שולח נציגים הביתה כדי לאסוף מספרי כרטיסים.

גישה מרחוק: התרחיש המסוכן מכולם

רוב המשתמשים אינם מקלידים סיסמה בכל פעם שהם נכנסים ל-Facebook, לתיבת הדואר או לאתר קניות. הדפדפן שומר את פרטי הכניסה ומתחבר אוטומטית עבורם. זו נוחות גדולה, אבל היא גם יוצרת סיכון: מי שמצליח לשבת "מול" המחשב שלכם, מקבל את כל הכניסות האוטומטיות האלה במתנה.

כאן נכנסים לתמונה שירותי גישה מרחוק, כלומר אפשרות לשלוט במחשב או בטלפון מרחוק, באמצעות תוכנות שליטה מרחוק, שיתוף מסך או Screen Mirroring וכדומה. לשירותים האלה יש שימושים לגיטימיים, למשל תמיכה טכנית או עבודה מהבית. אבל אם רמאי משיג את פרטי הגישה, או משכנע אתכם להתקין תוכנה כזו ולתת לו קוד חיבור, הוא יכול לשלוט במקלדת ובעכבר כאילו ישב מולכם.

מי שמשיג גישה מרחוק למחשב אינו צריך לגנוב אף סיסמה, כי הוא נהנה מכל הכניסות האוטומטיות שכבר שמורות בדפדפן. הוא יכול להיכנס ל-PayPal, לחשבון הבנק, לחנויות מקוונות ולתיבת הדואר, ומשם לאפס סיסמאות של שירותים נוספים.

תרחיש נפוץ הוא שיחה מ"תמיכה טכנית" שמודיעה שזוהה וירוס במחשב, ומבקשת להתקין תוכנה "כדי לעזור". גורם תמיכה אמיתי אינו פונה ביוזמתו בטענה כזו. כמה כללים פשוטים מצמצמים את הסיכון:

• לא מתקינים תוכנת שליטה מרחוק לבקשת מישהו שפנה אליכם ביוזמתו.
• לא מוסרים קוד חיבור או סיסמת גישה מרחוק לאף גורם שזהותו לא אומתה.
• מסירים תוכנות גישה מרחוק שאינן בשימוש.
• שוקלים אם לשמור סיסמאות של חשבונות פיננסיים בדפדפן, או להקליד אותן ידנית.

למידע מקיף יותר על אבטחת המכשירים, כדאי לקרוא את המדריכים שלנו על הגנה על המחשב והמידע שבו ועל הפעולות שמגנות על הטלפון הסלולרי.

מה הנזק שעלול להיגרם

היקף הנזק מפישינג תלוי בשאלה אילו פרטים הגיעו לידי התוקף ולאילו שירותים הם פותחים לו דלת. אפשר לחשוב על זה כעל סולם, מהמקרה המעצבן ועד המקרה ההרסני.

• המקרה הקל יחסית: אתם ננעלים מחוץ לחשבון הדואר האלקטרוני או לחשבון בשירות מסוים, כי התוקף שינה את הסיסמה. זה מעצבן ודורש תהליך שחזור, אבל לא תמיד כרוך בנזק כספי.
• אם בחשבון שמור מידע רגיש, כמו מסמכים, צילומי תעודות או התכתבויות, התוקף נחשף אליו ויכול להשתמש בו.
• כשיש לתוקף גישה לאמצעי תשלום, הוא יכול לרכוש מוצרים ושירותים בכרטיס שלכם או להעביר כספים בשמכם ועל חשבונכם.
• במקרים החמורים ביותר, התוקף מצליב פרטים שאסף מכמה שירותים ומתחזה אליכם גם מחוץ לרשת, למשל פותח חשבון בנק על שמכם. זו גניבת זהות, והטיפול בה מורכב וארוך.

חשבון הדואר האלקטרוני הוא לרוב היעד היקר ביותר, כי ממנו אפשר לאפס את הסיסמאות של כמעט כל שאר השירותים. מי ששולט בתיבת המייל יכול ללחוץ על "שכחתי סיסמה" באתר הבנק, בחנות המקוונת או ברשת החברתית, ולקבל את קישור האיפוס ישירות אליו.

יש לזכור שנזק מפישינג אינו רק כספי. השתלטות על חשבון ברשת חברתית מאפשרת לתוקף לשלוח הודעות מתחזות לחברים ולבני משפחה בשמכם, למשל בקשות דחופות להעברת כסף. כך הונאה אחת מתגלגלת לקורבנות נוספים, שסומכים על השולח כי הם מכירים אותו. לעסקים, דליפת פרטים של לקוחות עלולה לגרור גם חובות דיווח לפי החוק, כפי שמוסבר במאמר שלנו על חובות החוק בניהול מאגר מידע.

איך מזהים הודעה או שיחה מתחזה

אין סימן אחד שמזהה פישינג בוודאות, אבל יש כמה בדיקות שיחד מסננות את רוב הניסיונות. השאלה המרכזית היא תמיד אותה שאלה: האם אפשר לאמת שהפנייה באמת מגיעה ממי שהיא טוענת?

אמתו את מה שאפשר לאמת, והתעלמו מהשאר

בהודעת מייל, בדקו שהיא מגיעה מכתובת מוכרת עם הדומיין הרשמי של הגורם. היזהרו מכתובות שנראות מוזר, ארוכות, לא מזוהות, או כאלה שדומות מאוד לכתובת האמיתית אבל שונות באות אחת. שימו לב גם לקישורים: אחרי הלחיצה, האם הגעתם באמת לאתר הנכון? האם הכתובת בשורת הדפדפן מדויקת, או רק דומה?

פרטים שאי אפשר לאמת, כמו שם השולח שמוצג, מספר טלפון שמופיע בגוף ההודעה או לוגו של חברה, אינם מוכיחים דבר. כל אחד יכול להדביק אותם בהודעה. גם מי שיודע את שמכם המלא, ואפילו מדקלם את מספר תעודת הזהות שלכם, אינו בהכרח מי שהוא טוען. מידע כזה דלף בעבר ממאגרים רבים ונמצא בידי גורמים רבים.

אם זה נשמע טוב מכדי להיות אמיתי

סיפור על קרוב משפחה רחוק בחו"ל שנפטר והשאיר לכם ירושה, היכרות רומנטית שמתחילה פתאום ברשת ("מצאתי את הפרופיל שלך") והופכת לאהבה גדולה תוך יומיים, זכייה בפרס בהגרלה שלא השתתפתם בה. על פניות כאלה אין צורך לחשוד, אפשר פשוט לשלול אותן על הסף. כשיש סיפור כיסוי הזוי ותוך זמן קצר מבקשים כסף או פרטים מזהים, חוסמים את השולח ומתעלמים. דפוס דומה של הבטחה גדולה מדי מופיע גם בהונאות פרמידה. עם זאת, בהרבה מקרים של פישינג אין סיפור כיסוי בכלל, רק בקשה "שגרתית" להיכנס לחשבון ולבצע פעולה, ולכן חשוב לבדוק גם הודעות שנראות משעממות.

סימן ה-@ בתוך כתובת

היזהרו במיוחד מקישורים שבכתובת שלהם מופיע הסימן "@" (שטרודל). זו דרך מוכרת להסוות את היעד האמיתי: הדפדפן מתעלם מכל מה שלפני הסימן ושולח אתכם לכתובת שאחריו. לדוגמה, כתובת בסגנון leumi.co.il@shakoof.org.il נראית כאילו היא מובילה לאתר בנק לאומי, אבל בפועל היא מובילה לאתר shakoof.org.il. לפני הקלדת פרטים מזהים או פרטי אשראי, ודאו שאתם באמת באתר שאתם חושבים שאתם נמצאים בו, במיוחד אם הגעתם אליו דרך קישור.

לגורם הרשמי כבר יש את הפרטים שלכם

גורם רשמי אינו מבקש סיסמה מלאה או מספר כרטיס אשראי מלא בטלפון או במייל, כי אין לו צורך בהם. לצוותי התמיכה של רשתות חברתיות כמו Facebook יש כלים פנימיים לטפל בחשבון בלי הסיסמה שלכם. כשמדובר בשירות שניתן ללא עלות, כמו Gmail, מי שמציג את עצמו כנציג ומבקש פרטי תשלום הוא כמעט בוודאות מתחזה.

גם בשירותים שאתם משלמים עליהם, לא סביר שנציג יבקש שתמסרו לו את פרטי הכרטיס, כי החיובים מתבצעים ברוב המקרים בעמודי סליקה מאובטחים. לכל היותר עשויים לבקש מספר תעודת זהות או את 4 הספרות האחרונות של הכרטיס לצורך זיהוי, וגם במקרה כזה כדאי לחשוד ולבדוק שהשיחה התחילה מכם ולא מהם.

הטבלה מסכמת את דפוסי הפעולה המתוארים במאמר זה.

שכבות הגנה: אזהרות דפדפן, אימות דו-שלבי וזוג עיניים נוסף

זיהוי ידני של הודעות חשודות הוא קו ההגנה הראשון, אבל לא היחיד. כמה כלים פשוטים מוסיפים שכבות שמקשות מאוד על התוקף, גם כשהזהירות האישית מועדת.

אל תתעלמו מאזהרות הדפדפן

דפדפנים מודרניים, ובמיוחד Google Chrome, מזהים בהרבה מקרים אתרי פישינג מוכרים. כשנכנסים לעמוד שסומן כמתחזה, מופיעה על המסך אזהרה בולטת, לרוב במסך אדום. גם שירותי דואר כמו Gmail מסמנים הודעות חשודות באזהרה צהובה או אדומה. האזהרות האלה אינן מופיעות סתם. מי שמקבל אזהרה כזו צריך לסגור את העמוד, ולא ללחוץ על "המשך בכל זאת".

אימות דו-שלבי

אימות דו-שלבי מוסיף שלב נוסף לכניסה, אחרי הקלדת שם המשתמש והסיסמה. לדוגמה, אחרי שמקלידים את פרטי הכניסה לתיבת הדואר, מתקבלת לטלפון הנייד הודעת טקסט עם קוד חד-פעמי שתקף רק לכניסה הנוכחית, או בקשת אישור באפליקציה. מי שאין לו גישה לטלפון שלכם אינו יכול להשלים את הכניסה, גם אם יש בידיו הסיסמה.

אימות דו-שלבי הוא כנראה ההגנה האפקטיבית ביותר שמשתמש פרטי יכול להפעיל, כי הוא הופך סיסמה גנובה לחסרת ערך כמעט לגמרי. מומלץ להפעיל אותו בכל שירות שמאפשר זאת, ובראש ובראשונה בתיבת הדואר, בחשבונות הבנק ובשירותי התשלום. ההגנה יעילה לא רק נגד פישינג אלא גם נגד הונאות רבות אחרות. חשוב לזכור דבר אחד: את הקוד החד-פעמי לא מוסרים לאף אחד. תוקף שמתקשר ומבקש "את הקוד שקיבלתם עכשיו" מנסה בדיוק לעקוף את ההגנה הזו.

זוג עיניים נוסף

מי שקיבל הודעה או שיחה שעוררה חשד אינו חייב להחליט לבד. אפשר להראות את ההודעה לבן משפחה, לחבר או למכר, ולבדוק יחד. פעמים רבות אדם שאינו נתון ללחץ של הרגע מזהה מיד את מה שנראה אמין לנמען. ההונאות בנויות על דחיפות ועל בידוד; עצירה קצרה ושיחה עם מישהו נוסף מנטרלות את שניהם. אצל הורים מבוגרים, כדאי לסכם מראש שכל בקשה לכסף או לפרטים עוברת קודם בדיקה משותפת.

מה עושים אם כבר מסרתם פרטים

גם לאנשים זהירים זה קורה. החדשות הטובות הן שתגובה מהירה מצמצמת משמעותית את הנזק, ולכן חשוב לפעול מיד ולא לחכות לראות אם משהו יקרה.

1. פרטי כרטיס אשראי: פונים מיד לחברת האשראי או לבנק במספר הרשמי, מבקשים לחסום את הכרטיס ולהנפיק חדש, ובודקים חיובים אחרונים.
2. סיסמה לשירות: נכנסים לשירות האמיתי (בהקלדה ישירה של הכתובת, לא דרך קישור) ומחליפים סיסמה. אם אותה סיסמה משמשת בשירותים נוספים, מחליפים גם בהם.
3. תיבת הדואר: אם התוקף נכנס אליה, מחליפים סיסמה, מנתקים מכשירים לא מוכרים ובודקים אם הוגדרו כללי העברה אוטומטית של הודעות.
4. גישה מרחוק: מנתקים את המחשב מהרשת, מסירים את התוכנה שהותקנה, ומחליפים מסיסמאות ממכשיר אחר ובטוח.
5. מעקב: עוקבים בימים הקרובים אחרי פירוטי החיובים בכרטיס ובחשבון הבנק, ומדווחים על כל פעולה לא מוכרת.

הפעולה הראשונה והדחופה ביותר אחרי מסירת פרטי אשראי היא חסימת הכרטיס, עוד לפני כל בירור אחר. כרטיס חסום אינו מאפשר חיובים חדשים, והטיפול בחיובים שכבר בוצעו נעשה מול חברת האשראי. כדאי גם לבדוק אילו הוראות קבע ומנויים היו מחוברים לכרטיס הישן, כדי לעדכן אותם בכרטיס החדש.

בנוסף, מומלץ לדווח על ההודעה המתחזה. רוב שירותי הדואר מאפשרים לסמן הודעה כפישינג, וחברות רבות מפעילות כתובת ייעודית לקבלת דיווחים על התחזות. דיווח כזה עוזר לחסום את ההונאה עבור משתמשים אחרים. כשמדובר בהתחזות בשם בעל חשבון ברשת חברתית, כדאי גם להודיע לחברים ולבני המשפחה שלא להגיב להודעות חריגות שנשלחו בשמכם. מי שמשתמש בכרטיסים מודרניים יכול גם לבחון את יתרונות האבטחה של כרטיס האשראי החכם בתשלומים פיזיים.

מקורות

• ויקיפדיה העברית - פישינג
• Google - הימנעות מהודעות פישינג ודיווח עליהן ב-Gmail
• Google - הפעלת אימות דו-שלבי בחשבון Google
• Apple - זיהוי והימנעות מהודעות פישינג ומפניות מתחזות