הונאות פישינג ועסקים קטנים: איך מזהים הודעה מזויפת לפני שזה עולה כסף
הודעות מתחזות לבנק, לספק או לחברת שילוח הפכו מתוחכמות מתמיד. כך תזהו ניסיונות הונאה ותבנו הגנה בסיסית לעסק.
הודעה מגיעה לתיבת הדואר של העסק: ״חשבונית מספק — נדרש תשלום דחוף״. או הודעת טקסט לטלפון: ״החבילה שלך מעוכבת, יש להסדיר תשלום מכס״. לפעמים זו הודעה בוואטסאפ ממספר לא מוכר שמציג את עצמו כמנהל הבנק. כל אלה הן דוגמאות להונאות פישינג, ניסיונות לגרום לנו ללחוץ על קישור, למסור פרטים או להעביר כסף. עסקים קטנים הם מטרה מועדפת, כי לרוב אין להם מחלקת אבטחת מידע, והבעלים מטפל בעשרות הודעות ביום תחת לחץ. הכרת הסימנים וכמה הרגלים פשוטים יכולים למנוע נזק כבד.
מה זה פישינג ולמה הוא עובד
פישינג הוא ניסיון להתחזות לגורם אמין, כמו בנק, רשות ממשלתית, ספק, לקוח או חברת שילוח, כדי לגרום לנו לבצע פעולה שמשרתת את התוקף. הפעולה יכולה להיות לחיצה על קישור שמוביל לאתר מזויף, הזנת שם משתמש וסיסמה, הורדת קובץ זדוני או העברת תשלום לחשבון של הנוכלים.
הסיבה שהשיטה הזו עובדת היא שהיא פונה לרגש ולא להיגיון. ההודעות יוצרות תחושת דחיפות, פחד או סקרנות: החשבון ייחסם, יש חוב פתוח, מחכה לכם זיכוי. כשאנחנו לחוצים ועסוקים, אנחנו נוטים לפעול מהר בלי לבדוק.
בשנים האחרונות ההודעות הפכו מתוחכמות הרבה יותר. העברית רהוטה, העיצוב נאמן למקור, ולעיתים התוקפים משתמשים בפרטים אמיתיים על העסק שאספו מהרשתות או מדליפות מידע קודמות. לכן אי אפשר להסתמך רק על שגיאות כתיב כסימן אזהרה.
הסימנים שצריכים להדליק נורה אדומה
למרות התחכום, יש סימנים שחוזרים על עצמם ברוב ניסיונות ההונאה. כדאי להכיר אותם וללמד גם את העובדים לזהות אותם:
- דחיפות קיצונית ואיום בהשלכות, כמו חסימה מיידית או קנס
- בקשה להזין סיסמה, קוד אימות או פרטי אשראי דרך קישור
- כתובת שולח שנראית דומה למקור אבל שונה באות או בסיומת
- בקשה לשנות את פרטי חשבון הבנק של ספק קבוע
- קובץ מצורף לא צפוי, במיוחד קבצים דחוסים או קבצים שמבקשים להפעיל פקודות
- פנייה ממנהל או משותף שמבקש העברה דחופה וחשאית
גם הודעה שנראית אמינה לחלוטין יכולה להיות מזויפת. הכלל הפשוט הוא: אם ההודעה מבקשת כסף, פרטים או פעולה חריגה, עוצרים ובודקים.
הונאת שינוי פרטי הספק
אחת ההונאות המזיקות ביותר לעסקים היא זו שבה הנוכלים מתחזים לספק קבוע ומודיעים על שינוי בפרטי חשבון הבנק. ההודעה יכולה להגיע מתיבת דואר שנפרצה אצל הספק עצמו, ולכן היא נראית אמיתית לגמרי, כולל היסטוריית התכתבות. העסק מעביר את התשלום הבא לחשבון החדש, והכסף נעלם.
ההגנה מפני תרחיש כזה פשוטה יחסית: כל שינוי בפרטי תשלום מאמתים בשיחת טלפון למספר שכבר מוכר לכם, ולא למספר שמופיע בהודעה עצמה. כדאי לקבוע את זה כנוהל קבוע בעסק, גם כשמדובר בספק ותיק ובהודעה שנראית שגרתית.
באופן דומה, בקשה דחופה מ״המנהל״ להעביר כסף או לרכוש כרטיסי מתנה צריכה תמיד להיבדק בערוץ נפרד. נוכלים מנצלים את הנטייה של עובדים לציית במהירות להוראות מהבעלים.
הגנות טכניות בסיסיות
לצד הערנות האנושית, יש כמה צעדים טכניים שכל עסק קטן יכול וצריך ליישם. החשוב שבהם הוא אימות דו שלבי בכל החשבונות החשובים: דואר אלקטרוני, בנק, רשתות חברתיות ומערכות ניהול. גם אם סיסמה נגנבת, התוקף יתקשה להיכנס בלי הקוד הנוסף.
סיסמאות חזקות וייחודיות לכל שירות הן הבסיס. מנהל סיסמאות מקל מאוד על המשימה וחוסך את הצורך לזכור עשרות סיסמאות. כדאי גם לעדכן באופן קבוע את מערכת ההפעלה, הדפדפנים והתוכנות, משום שעדכונים רבים סוגרים פרצות אבטחה.
גיבוי קבוע של המידע החשוב, במקום נפרד שלא מחובר כל הזמן למחשב, יכול להציל את העסק במקרה של מתקפת כופרה. בעסקים עם כמה עובדים, כדאי להגביל את ההרשאות כך שכל אחד יגיע רק למה שהוא צריך.
להדריך את הצוות
החוליה החלשה בשרשרת האבטחה היא לרוב האדם, ולכן ההדרכה היא אחד הכלים האפקטיביים ביותר. שיחה קצרה עם העובדים, שמציגה דוגמאות להודעות מזויפות ומסבירה מה עושים כשמשהו נראה חשוד, יכולה למנוע טעות יקרה.
חשוב ליצור תרבות שבה מותר לשאול ולעצור. עובד שחושש שיינזף על כך שעיכב תשלום כדי לבדוק אותו, עלול לוותר על הבדיקה. לעומת זאת, עובד שיודע שבדיקה כזו מוערכת, יעדיף להיות זהיר.
כדאי גם לקבוע נוהל ברור: למי מדווחים על הודעה חשודה, ומה עושים אם מישהו כבר לחץ על קישור או מסר פרטים. תגובה מהירה יכולה לצמצם את הנזק באופן משמעותי.
מה עושים אם נפלתם בפח
גם הזהירים ביותר טועים לפעמים. אם מסרתם פרטי כניסה, החליפו מיד את הסיסמה בשירות הרלוונטי ובכל שירות אחר שבו השתמשתם באותה סיסמה, והפעילו אימות דו שלבי. אם מסרתם פרטי אשראי או בנק, פנו מיד לחברת האשראי או לבנק כדי לחסום את האמצעי ולבדוק פעולות חשודות.
אם הועבר כסף לחשבון של נוכלים, הזמן קריטי. פנו לבנק בהקדם האפשרי, ושקלו להגיש תלונה במשטרה. ניתן גם לדווח על ניסיונות הונאה לגורמי הסייבר הלאומיים, שמרכזים מידע על מתקפות ומפרסמים אזהרות. במקרים של פריצה למערכות העסק, כדאי להיעזר באיש מקצוע בתחום אבטחת מידע כדי לוודא שהתוקף לא השאיר דלת אחורית.
גם פרסום מוגזם של מידע על העסק ברשתות, כמו שמות עובדים, תפקידים ופרטי ספקים, עלול לסייע לנוכלים לבנות הודעות משכנעות. כדאי לחשוב פעמיים לפני ששותפים מידע פנימי בפומבי.
לסיכום, הונאות פישינג הן איום ממשי על כל עסק, גדול כקטן. הכרת הסימנים, אימות של כל בקשה חריגה בערוץ נפרד, אימות דו שלבי, גיבויים והדרכת הצוות יוצרים יחד שכבת הגנה חזקה. כמה דקות של זהירות יכולות לחסוך לעסק נזק של אלפי שקלים.
