בעיצומה של מגפת הקורונה אנחנו מבלים יותר מאי פעם מול המסך.
איך אפשר ליהנות מכל הטוב של המרחב הווירטואלי, ולהתגונן מפני הסכנות הרבות שאורבות בו? כל ההסברים בכתבה הבאה
מאת: יוסי לטין, מיישם הגנת סייבר ב SQLink
אומרים שביתנו הוא מבצרינו, ולכן לרובנו יש דלת כניסה ממוגנת, סורגים או אפילו מערכת אזעקה בבית. לבצר את הבית זה חשוב, אך השודדים המודרניים לא צריכים להגיע אלינו הביתה ולנסות לפרוץ את הדלת. כדי לגנוב לנו כסף או את הזהות, הם אפילו לא צריכים לקום מהכיסא: ככל שהטכנולוגיה מתקדמת והופכת את החיים שלנו ליותר נוחים, אנחנו חשופים ליותר ויותר פרצות.
הגידול הדרמטי בהיקף הגלישה בתקופת הקורונה מגביר את החשיפה שלנו לסכנות במרחב הדיגיטלי. הסגרים, הבידודים, הלמידה מרחוק והתחזקות מגמת העבודה מהבית, הובילו לזינוק בכמות שעות המסך: עפ"י דוח מצב האינטרנט שפרסמה בזק לשנת 2020, אנחנו מבלים כ-12 שעות בממוצע מדי יום מול המסך. אנחנו קונים יותר ברשת, צורכים יותר שירותי בנקאות דיגיטליים ומשתפים יותר מידע.
והתוצאה? אנחנו חשופים יותר להתקפות סייבר: עפ"י הדוח של בזק, 1 מכל 4 גולשים בישראל חווה פריצה לחשבון האישי ברשת או סבל ממתקפת סייבר, במחשב או בסמארטפון.
לכבוד יום האינטרנט הבטוח ריכזנו את 4 פשעי הסייבר המסוכנים ביותר – ואת הדרכים להתגונן מפניהם בצורה יעילה.
סכנה #1: פישינג – סכנת התחזות
זה קורה לאחרונה בתדירות הולכת וגדלה: אנחנו מקבלים מייל או הודעת SMS תמימה למראה בשם ספק מוכר, כמו למשל חברת הסלולר או הדואר, במסגרתה מבקשים מאיתנו ללחוץ על הלינק המצורף ולעדכן פרטים.
כך למשל נשלחו למאות אלפי ישראלים הודעות כביכול ע"י דואר ישראל, לצורך שחרור חבילה שהזמינו מהמכס. לחיצה על הלינק הובילה לאתר מתחזה, שבו מי שהזין את פרטי האשראי הפך מיידית לקורבן של מתקפת פישינג.
מה זה פישינג? מונח המתאר התחזות לגוף מוכר, במטרה לגנוב פרטים רגישים כמו פרטי האשראי או חשבון הבנק. עפ"י חברת האבטחה Kaspersky, ישראל הפכה למדינה השנייה בעולם למתקפות פישינג, נכון לרבעון השני של 2021.
ישנם 3 סוגים מרכזיים של התקפות פישינג:
- וישינג (Vishing) – חיוג ממספר לא מוכר או לא מזוהה ובקשת פרטים רגישים. על מנת ליצור אמון, כצעד מקדים יישלח לרוב מייל מתחזה לתיבת הקורבן, המכיל את בקשת המידע.
- סמישינג (Smishing) – הונאה המתבצעת באמצעות שליחת הודעת SMS. להודעות אלה יצורף קישור זדוני שמטרתו לגרום לקורבן למסור מידע אישי.
- ספיר פישינג (Spear Phishing) – בשונה מפישינג רגיל המבוסס על שליחת הודעות המוניות, ספיר פישינג מתמקד במשתמשים ספציפיים ושולח להם מייל מקדים על בסיס הכרות מקדימה עמו ועם תחומי העניין שלו.
איך מתגוננים? טיפים מקצועיים:
- אמתו את כתובת המייל של השולח – הסיומת של כתובת המייל תהיה שונה מזו של הגוף הלגיטימי: אם למשל הסיומת של דואר ישראל היא postil.com@, התוקפים יכולים לעשות שימוש בכתובת דומה דוגמת @ilpost.com כדי להטעות, או להשתמש באותה כתובת ולשנות את אחת האותיות לאות דומה דוגמת @postll.com.
- בדקו את הקישור לפני שמקליקים – מהסיבות שפירטנו למעלה, מומלץ לבחון גם את כתובת קישור המצורף להודעה לפני שמקליקים או מבצעים פעולה כלשהי. מיקום העכבר מעל הקישור יציג לנו את הכתובת האמיתית של הקישור.
- הימנעו מפתיחת קבצים לא מוכרים – קיבלתם מייל מגורם לא מוכר המכיל צרופה? קבצים בעלי סיומת zip ו- exe עלולים להיות זדוניים, ויש להתייחס אליהם בחשדנות יתרה.
למשרות דרושים בתחום סייבר / אבטחת מידע >>
סכנה #2: נוזקות – הפורץ הווירטואלי
אם מתקפות פישינג מנסות לגרום לנו למסור פרטים באמצעות התחזות, נוזקות חודרות לנייד או למחשב האישי באמצעות פעולת פריצה מתוחכמת. ישנם מספר סוגי נוזקות, שעלולים לגרום למגוון רחב של נזקים:
- רוגלה (Spyware) – תוכנת ריגול המוחדרת למכשיר ומעבירה מידע רגיש לתוקף, כגון פרטים אישיים ופרטי אמצעי תשלום.
- כופרה (Ransomware) – חדירה למכשיר וחסימת הגישה למידע המאוחסן בו, בתמורה לתשלום כופר. במקרים רבים דרישת הכופר מלווה באולטימטום, הכולל איום למחוק את התכנים.
- רישום הקשות (Keylogging) – נוזקה המתעדת את המקשים שנלחצו ע"י המשתמש, בין היתר לצורך תיעוד סיסמאות.
איך מתגוננים? טיפים מקצועיים:
חדירת נוזקות מתאפשרת באמצעות הפעלת אמצעים מגוונים – מגלישה לאתרים נגועים ועד הורדת קבצים זדוניים. כדי להתגונן ביעילות, מומלץ לנקוט בפעולות הבאות:
- התקינו אנטי וירוס הכולל עדכונים שוטפים – תוכנות אנטי וירוס יכולות בין היתר להתריע בעת הגלישה לאתרים נגועים, ולחסום חדירת נוזקות.
- הימנעו מהורדה ופתיחה של קבצים חשודים.
- גולשים בסמארטפון? הורידו אפליקציות ממקורות אמינים.
סכנה #3: גניבת סיסמאות רגישות
אחת הדרכים הנפוצות ביותר לקבל גישה למידע הרגיש שלנו, היא באמצעות פריצת סיסמאות שעלולות להעניק לתוקפים גישה לחשבונות שלנו במגוון אתרים. אחת הדרכים לפרוץ סיסמאות היא באמצעות Brute Force Attack- מתקפה שבה הפורץ פועל לגילוי הסיסמה באמצעות מעבר שיטתי על סיסמאות אפשריות. לאחר שהסיסמה נפרצה, הפורץ עושה בה שימוש כדי לנסות ולפרוץ גם לחשבונות אחרים.
איך מתגוננים? טיפים מקצועיים:
האנטומיה של סיסמה טובה:
- הגדירו סיסמה באורך 12 תווים לפחות – מחקר שבוצע ע"י Hive Systems מצא שסיסמה שמכילה פחות מ-10 תווים, ניתנת לפריצה תוך פחות משעה. לעומת זאת, כדי לפרוץ סיסמה באורך 12 תווים ומעלה, נדרשת לא פחות משנה.
- הגדירו סיסמה שונה לכל חשבון – כך שגם אם אחד החשבונות ייפרץ, חשבונות אחרים יהיו בטוחים.
- שלבו בסיסמה אותיות קטנות, גדולות, ספרות ותווים מיוחדים.
מכיוון שגם את הסיסמה הכי חזקה אפשר לפרוץ, מומלץ להוסיף שכבת הגנה. כאן נכנס לתמונה אימות דו-שלבי – שכבת הגנה נוספת שגם אחרי הזנת הסיסמה מצריכה אימות נוסף, דוגמת הזנת קוד חד פעמי שנשלח כמסרון.
סכנה #4: גניבת זהות
מקרים שבהם התוקף אוסף מידע כדי להתחזות לאדם אחר, הפכו בשנים האחרונות ליותר ויותר נפוצים בחסות הקורונה. כך למשל בארצות הברית לבדה, חלה בשנת 2020 עלייה של 45% בהיקף גניבת הזהויות. עפ"י חברת המחקר Javelin Strategy בשנת 2021 התופעה הסבה נזקים בשווי 56 מיליארד דולר לקורבנות אמריקאים.
הבעיה היא שלעיתים גם כמות לא גדולה של נתונים דוגמת תעודת הזהות שלנו, כתובת, שם הנעורים של האם וסיסמה מספיקים לצורך גניבת זהות, שעלולה לכלול ביצוע רכישות בכרטיס האשראי, הוצאת הלוואות בשמכם, פנייה למכרים כדי לבקש הלוואות בשמכם או ביצוע פשעים על שמכם.
על מנת לגנוב את זהותכם התוקפים יכולים להפעיל כלים משולבים: מפריצת סיסמאות ושליחת הודעות פישינג – ועד ביצוע פעולות יחסית פשוטות דוגמת איסוף מידע אודותכם ברשת.
איך מתגוננים? טיפים מקצועיים:
- הימנעו משליחת מידע רגיש במיילים או מסרונים, במיוחד לגורמים שאינכם מכירים.
- הפעילו שיקול דעת בעת פרסום מידע ברשת, בדגש על הרשתות החברתיות. המידע הזה עלול לשמש גורמים עוינים.
- נקטו באמצעות הזהירות שפירטנו למעלה – לצורך התגוננות יעילה מפני התקפות פישינג, נוזקות ופריצת סיסמאות.
מגפת הקורונה המחישה עד כמה נחוץ האינטרנט בחיינו, אך באותה נשימה חשפה את הסכנות האורבות בו. הגברת עירנות ונקיטת אמצעי הזהירות הדרושים, יסייעו לכם ליהנות מכל הטוב שמציע המרחב הווירטואלי – במינימום סיכונים.
בואו לקחת חלק בפרויקטים החשובים במדינה באבטחת מידע >>
