לפני שאתם מקליקים על האי-מייל הבא...

הייטק וטכנולוגיה :  | Believe | 29/8/2017

דרוג:

מאת: אילן סגלמן, סמנכ"ל מכירות ופיתוח עסקי ב-Power Communications ומנהל פעילות Sophos בישראל
 

עומס תשדורות האימייל הבלתי נדלה בבית ובעבודה טומן בחובו סיכוני סייבר לא קטנים אם לא שמים לב על מה מקליקים. כולנו ממהרים, כולנו רוצים לגשת לעניין ביעילות ולא להתעכב על זוטות, ועל כך בדיוק מתקפות ה"פישינג" סומכות.

פושעי הסייבר שולחים אימיילים המתחזים לאימיילים לגיטימיים על מנת לשכנע אתכם לבצע פעולה לא בטיחותית. המטאפורה של ה"פישינג" (מאנגלית "דייג", למרות שהיא כתובה כך - phishing), מתייחסת לעובדה שהפושע (שמכונה גם "Phisher") מנסה להעלות אתכם בחכתו. אגב, התקפות פישינג לא שמורות לאימיילים בלבד, הן יכולות להגיע גם בצורה של SMS, דרך הרשתות החברתיות או כל תשדורת אלקטרונית אחרת.

טריק מס' 1: חשבונית פיקטיבית

אתם עשויים לקבל חשבונית שמתארת עסקת רכישה מרשת ידועה, כולל לוגו ועיצוב שהועתק מחשבוניות מוכרות של אותה רשת. האימייל מבקש מכם להקליק על כפתור כדי לבדוק את הרכישה. אתם יודעים שלא ביצעתם רכישה כזאת, אז אתם מיד רוצים לבדוק את הנושא ולהקליק – וזאת טעות נפוצה. ברגע שלחצתם על הכפתור הגעתם לדף נחיתה שמבקש מכם למלא פרטים וסיסמא, וכך אתם למעשה מאפשרים לפושע לגנוב את הפרטים האישיים שלכם ולבצע עסקאות על חשבונכם מכאן והלאה.

טריק מס' 2: מבקשי עבודה

אתם עלולים לקבל אימייל ממישהו שמגיש מועמדות לתפקיד במקום העבודה שלכם. יכול להיות שהתפקיד הזה אפילו מתפרסם באתר החברה, כך שהפניה נראית לגיטימית לחלוטין. מצורף לאימייל קובץ שנראה כמו מסמך קורות חיים – אולם הקלקה עליו מובילה אתכם למלכודת שמאפשרת לפושע להשתיל נוזקה במחשב שלכם.

 

טריק מס' 3: ניוזלטר

אתם מקבלים מידי פעם ניוזלטרים שמפרסמים מחקרים, מאמרים או פרסומים של חברות שונות. ביניהם, אתם עשויים לקבל ניוזלטר שמציע לכם למלא סקר בתמורה לקופון, סמארטפון או חופשה ללא תשלום. ה"סקר" עשוי לבקש מכם למלא פרטים אישיים שבדרך כלל לא הייתם משתפים, כמו תאריך יום הולדת, כתובת מגורים ומספר כרטיס אשראי - וזאת רק עוד מלכודת חכמה.

 

אז איך אפשר להימנע ממתקפות פישינג?
 

קשה לזהות מתקפת פישינג. התוקפים פועלים בחוכמה ובערמומיות. הם הרבה פעמים פונים אליכם בשמכם בפרטי ומשתמשים באלמנטים עיצוביים לגיטימיים. הפניה שלהם מנוסחת היטב ונראית מכובדת למדי.

אז איך אפשר בכל זאת להימנע? הנה כמה טיפים חשובים:
 

1.      הביטו היטב בכתובת השולח: פעמים רבות הכתובת לא תואמת את התוכן. לדוגמה, אימייל אודות חשבון מ- pay-pal עשוי להישלח מכתובת דוגמת [email protected] – ברור מאיליו שכתובת זאת לא הגיונית כשמדובר בחברה או ארגון. אף ארגון לא ישלח אימייל מכתובת ג'ימייל, הוט מייל או כל שרות אימיילים חינמי אחר.
 

2.      אל תמלאו סיסמאות אישיות בדפי נחיתה שמופיעים אחרי שהקלקתם על לינק באימייל.
 

3.      הימנעו מפתיחת קבצים באימיילים שהגיעו מאנשים אינכם מכירים.
 

4.      הגדירו כתובת אימייל בארגון שלכם של "שאל את המומחה", שנותנת לעובדים אפשרות לקבל תשובות מהירות וייעוץ במקרים של אימיילים לא צפויים ועינייני אבטחת מידע בסיסיים.
 

5.      אם יש ספק – אז אין ספק! אל תמסרו פרטים אישיים. זה לא שווה שום הגרלה לאייפון שעורכת חברה שלא שמעתם עליה.

 

כאן העניינים מתחילים להסתבך. פישינג ממוקד, או spear phishing, אינו מופץ באופן נרחב לאוכלוסייה רחבה אלא מתמקד באדם ספציפי. ההתקפה במקרה זה מבוססת על מודיעין שנאסף אודות הקורבן, לאחר שהתוקף ברר היטב מיהם קרובי המשפחה והחברים שלו ומהם תחומי העניין שלו.

התוקף מתחזה לקרוב משפחה או חבר של הקורבן, במקרים רבים אפילו משתלט על האימייל שלהם, או על הזהות שלהם ברשתות החברתיות, בפייסבוק או בווטצאפ, ושולח דרכם הודעה אישית לקורבן, שכוללת גם מידע שמעניין אותו. לדוגמה, אם הקורבן הוא חובב סרטים, התוקף עשוי לשלוח הודעה מחבר שמציע לו להזמין כרטיסים לסרט אם יקליק על לינק כלשהו.

במקרים כאלו קשה מאד לזהות מראש שמדובר בהתקפת פישינג, שכן ההודעות עשויות להראות תמימות לחלוטין והן גם נשלחות מכתובת לגיטימית לחלוטין.

התוקפים משתמשים בטקטיקה זאת כאשר הם מחפשים אנשי מפתח דרכם הם יכולים לחדור למידע ארגוני רגיש. אגב, אלו לא תמיד האנשים הבכירים ביותר בארגון, לעיתים דווקא מדובר באנשים טכניים שיש להם גישה למידע.

 

שורה תחתונה, מניעה היא התרופה הטובה ביותר. יחד עם זאת, שמרו על ערנות ודאגו מראש למערכות תומכות בארגון, שיכולות לספק הגנה למקרים בהם המניעה לא צלחה.