איך מזהים הודעות פישינג ומגנים על העסק מפני הונאות דיגיטליות
הודעות מזויפות בשם בנקים, ספקים וחברות שילוח הפכו לשגרה. מדריך לזיהוי ניסיונות הונאה ולהגנה בסיסית על העסק.
כמעט כל מי שמחזיק טלפון או תיבת דואר אלקטרוני קיבל בשנים האחרונות הודעה חשודה: חבילה שמחכה במכס ודורשת תשלום קטן, חשבון בנק שנחסם ״מסיבות אבטחה״, או חשבונית מספק שנראית כמעט אמיתית. ההודעות האלה, שמכונות פישינג, הן אחת הדרכים הנפוצות ביותר לגניבת כסף ומידע. עבור בעלי עסקים קטנים הסיכון כפול: הם מקבלים כמויות גדולות של מיילים מספקים ולקוחות, עובדים תחת לחץ זמן, ולרוב אין להם מחלקת מחשוב שתסנן עבורם את האיומים. הבנה של שיטות הפעולה והקפדה על כמה הרגלים פשוטים יכולות למנוע נזק משמעותי.
מה זה בעצם פישינג
פישינג הוא ניסיון להתחזות לגורם מוכר ואמין כדי לגרום לכם לבצע פעולה: ללחוץ על קישור, להזין סיסמה, להעביר כסף או לפתוח קובץ. המתחזים משתמשים בלוגו של בנק, של רשות ממשלתית, של חברת תקשורת או של ספק שאתם עובדים איתו בפועל. ההודעה יכולה להגיע במייל, בהודעת טקסט, באפליקציות מסרים ואפילו בשיחת טלפון.
המטרה היא כמעט תמיד אחת משתיים: להשיג פרטי גישה לחשבונות, או לגרום להעברת כסף ישירה. בשנים האחרונות ההודעות הפכו מתוחכמות יותר. העברית שבהן תקינה יותר, העיצוב נאמן למקור, ולעיתים הן אפילו מתייחסות לפרטים אמיתיים על העסק שנאספו מהרשת. לכן כבר אי אפשר להסתמך רק על שגיאות כתיב כסימן אזהרה.
סימני אזהרה שכדאי להכיר
למרות התחכום, לרוב ההודעות המזויפות יש מאפיינים משותפים. כדאי לעצור ולחשוב פעמיים כשמופיע אחד או יותר מהסימנים הבאים:
- דחיפות מוגזמת: ״החשבון ייחסם תוך שעה״
- בקשה להזין סיסמה, קוד אימות או פרטי אשראי
- כתובת שולח שנראית דומה למקור אבל שונה בפרט קטן
- קישור שמוביל לכתובת לא מוכרת כשמרחפים מעליו
- בקשה לשנות פרטי חשבון בנק לתשלום לספק
- קובץ מצורף לא צפוי, במיוחד קבצים דחוסים
הכלל המרכזי הוא פשוט: גוף אמין כמעט אף פעם לא יבקש מכם להזין סיסמה או קוד אימות דרך קישור שנשלח בהודעה. אם יש ספק, אל תלחצו. היכנסו לאתר או לאפליקציה באופן עצמאי, או התקשרו למספר שאתם מכירים ממקור אחר.
הונאת החשבונית והספק המזויף
אחת ההונאות המסוכנות במיוחד לעסקים היא התחזות לספק או ללקוח קבוע. המתחזה שולח מייל שנראה בדיוק כמו המיילים הרגילים, ומודיע שפרטי חשבון הבנק השתנו. החשבונית הבאה כבר מופנית לחשבון של הנוכלים. לעיתים ההונאה מתבצעת אחרי שתיבת המייל של הספק האמיתי נפרצה, ואז ההודעה מגיעה אפילו מהכתובת הנכונה.
ההגנה הטובה ביותר כאן היא נוהל קבוע: כל שינוי בפרטי תשלום מאומת בשיחת טלפון לאיש קשר מוכר, במספר שנשמר מראש ולא במספר שמופיע במייל החדש. נוהל כזה לוקח שתי דקות, ויכול למנוע אובדן של אלפי שקלים. כדאי להסביר אותו לכל מי שמטפל בתשלומים בעסק, כולל מנהלי חשבונות חיצוניים.
כדאי גם לשים לב לבקשות חריגות שמגיעות לכאורה ממנהל או משותף בעסק, כמו ״תעביר דחוף סכום לספק חדש, אני בפגישה ולא זמין״. זו שיטה מוכרת שמנצלת את הלחץ ואת ההיררכיה. גם כאן, אימות בערוץ נפרד הוא התשובה.
הגנה על חשבונות: סיסמאות ואימות דו שלבי
גם אם מישהו בעסק נפל בפח והזין סיסמה באתר מזויף, אפשר לצמצם מאוד את הנזק בעזרת אימות דו שלבי. כשהאפשרות הזו מופעלת, כניסה לחשבון דורשת גם קוד נוסף מהטלפון או מאפליקציית אימות, ולכן סיסמה גנובה לבדה לא מספיקה. כדאי להפעיל אימות כזה בכל החשבונות החשובים: דואר אלקטרוני, בנק, רשתות חברתיות, מערכות ניהול האתר ושירותי האחסון בענן.
בנוסף, חשוב לא להשתמש באותה סיסמה בכמה מקומות. מנהל סיסמאות הוא כלי פשוט שמייצר ושומר סיסמאות חזקות וייחודיות לכל שירות, כך שאין צורך לזכור אותן. עבור עסק עם כמה עובדים, מנהל סיסמאות משותף מאפשר גם לשתף גישה בצורה מבוקרת ולבטל אותה כשעובד עוזב.
הדרכת עובדים ותרבות של שאלות
החוליה החלשה בכל מערכת אבטחה היא בדרך כלל האדם, ולא הטכנולוגיה. לכן כדאי להקדיש זמן להדרכה קצרה של העובדים: להראות דוגמאות להודעות מזויפות, להסביר את נוהלי האימות ולתרגל מה עושים כשמשהו נראה חשוד. הדרכה של חצי שעה פעם בכמה חודשים עושה הבדל גדול.
לא פחות חשוב ליצור אווירה שבה מותר לשאול ומותר לטעות. עובד שחושש שינזפו בו אם ידווח שלחץ על קישור חשוד עלול להסתיר את המקרה, ואז הנזק רק גדל. עדיף שידווח מיד, כך שאפשר יהיה להחליף סיסמאות, לחסום כרטיסים ולצמצם את ההשלכות.
מה עושים אם נפלתם בפח
אם הזנתם סיסמה באתר חשוד, החליפו אותה מיד בכל מקום שבו השתמשתם בה, והפעילו אימות דו שלבי. אם מסרתם פרטי אשראי, פנו מיד לחברת האשראי או לבנק כדי לחסום את הכרטיס ולבדוק עסקאות חריגות. אם הועבר כסף לחשבון שגוי, פנו לבנק בהקדם האפשרי. לפעמים ניתן לעצור או להחזיר העברות כשהפנייה מהירה.
כדאי גם לתעד את כל ההודעות והפעולות, ולשקול הגשת תלונה במשטרה. במקרים של נזק משמעותי, או כשמדובר במידע של לקוחות, מומלץ להתייעץ עם איש מקצוע בתחום אבטחת המידע ועם עורך דין, כדי להבין מה החובות של העסק ואיך לפעול נכון. ואחרי שהאירוע נסגר, שווה לעשות בדיעבד חשיבה קצרה: מה אפשר היה לעשות אחרת, ואיזה נוהל כדאי להוסיף.
גיבויים ועדכונים: קו ההגנה האחרון
חלק מהודעות הפישינג נועדו להחדיר תוכנה זדונית למחשב, למשל תוכנת כופר שמצפינה את הקבצים ודורשת תשלום. כאן גיבוי מסודר הוא ההבדל בין אירוע מטריד לאסון. גיבוי קבוע של הקבצים החשובים, רצוי גם בענן וגם בהתקן נפרד שאינו מחובר כל הזמן, מאפשר לשחזר את המידע בלי להתמקח עם עבריינים.
עדכוני תוכנה הם עוד שכבת הגנה שקל להזניח. מערכות הפעלה, דפדפנים ותוכנות משרדיות מקבלים עדכוני אבטחה באופן קבוע, ורבים מהם סוגרים פרצות שמנוצלות בפועל. הפעלת עדכונים אוטומטיים היא צעד פשוט וזול במיוחד.
לסיכום, הגנה מפני פישינג אינה דורשת תקציב גדול, אלא מודעות, נהלים פשוטים ועקביות. מי שמכיר את סימני האזהרה, מאמת שינויים בפרטי תשלום, מפעיל אימות דו שלבי ומקפיד על גיבויים, מקטין משמעותית את הסיכוי שהעסק שלו ייפגע מהונאה דיגיטלית.
