רוצים לדוג אתכם

עד לפני זמן לא ארוך, הדאגה העיקרית של המשתמשים היו וירוסים, אבל בשנתיים האחרונות נכנס לחיינו אויב חדש – הדייגים. לא, אין הכוונה לתושבי טבריה החביבים אלא לפושעים הזוממים להשתלט על חשבונות של משתמשים תמימים באמצעות תרגיל המכונה "פישינג", או Phishing באנגלית (שגיאת הכתיב מכוונת).

תופעת הפישינג היא פועל יוצא של התפתחות המסחר האלקטרוני בעולם. חברות כמו eBay ואמאזון מגלגלות מיליארדי דולרים בשנה, וחברות כמו PayPal, eTrade המשמשות כשתשתיות למסחר הפעיל מהוות מטרה גדולה, נוחה וקבועה להתקפות שמטרתן גניבת כספים מגולשים בלתי זהירים. תרגילי פישינג החלו כבר בשנות ה-90, ומשתייכים לתחום המכונה "הנדסה חברתית" (Social Engineering) בעולם ההאקרים. תחום זה מבוסס על ניצול חולשות פסיכולוגיות וחברתיות המאפיינות את רוב בני האדם, למטרות פליליות. בדרך כלל, טכניקות של האקינג וקראקינג מבוססות על ניצול חולשות של תוכנות ומערכות הפעלה, אך תרגילי הנדסה חברתית מכוונים כלפי אנשים. טכניקה מפורסמת של הנדסה חברתית היא כאשר אדם מקבל שיחת טלפון מאדם המזדהה כנציג חברת כרטיסי האשראי שלו, ומבקש ממנו למסור את הקוד הסודי למטרת "בדיקת אבטחה". בצורה דומה, במהלך תרגיל פישינג יוצר הפושע קשר באמצעות דואר אלקטרוני עם אדם, כאשר ההודעה מתחזה בנאמנות רבה לכזו שמגיעה מגוף רציני שעליו סומך האדם. ההודעה מבקשת מהאדם להכנס לאתר כלשהו ולהזין בו את פרטיהם.

פישינג נקרא כך מכיוון שהוא נכשל, בדרך כלל. בדיוק כמו שדייג נדרש לשבת, לעיתים, במשך שעות עד שהוא תופס דג, כך גם פישר צריך "לתקוף" הרבה מאוד אנשים כדי להצליח "לדוג" אדם קל להשפעה. התוקפים מבססים את ההודעות שלהם על מבנה קבוע המועתק מזה שבו משתמשת החברה המקורית, אך מפנה את המשתמש לאתר חלופי (שגם הוא דומה מאוד לאתר המקורי) שבו הפרטים שמזין המשתמש (שמו, סיסמתו וכו') נקלטים במערכת בשליטת התוקף. במידה ונפל משתמש כלשהו בפח והזין את פרטיו, מקבל התוקף הודעה על כך, ושולף את הפרטים מהמערכת לשימושו האישי.

בשלב זה משתמש הפושע בפרטים כדי לעשות כסף קל. אם הפרטים שהושגו הם של חשבון PayPal, eTrade או בנק מקוון אחר, יכול התוקף לחלץ את הכסף ישירות לחשבון אחר או אפילו במזומן. במקרה של חשבון של eBay או אמאזון, המשך התרגיל מבוסס לרוב על ביצוע מכירה מפוברקת של פריטים מבוקשים, כגון טלוויזיות פלזמה או משחקי טלוויזיה מבוקשים, כאשר הכסף מהמכירה מועבר לחשבון אישי של התוקף ומשם ישירות לארנק. הפריטים שנמכרו לא נשלחים אל הקונה לעולם, כמובן. מזימות כאלה נחשפות תוך כמה ימים, כמובן, והחשבונות נחסמים, אך בינתיים יש לפושע לא-מעט זמן לפעול והוא מסוגל לחלוב מהסיפור כמה אלפי דולרים לפחות.

כאמור, רובם הגדול של המשתמשים מבחינים מייד בכך שההודעה מזויפת. לרוב היא מנוסחת בצורה אסטתית, אך התוקפים לרוב מפספסים בפרטים קטנים המסגירים את הבעייתיות. לפעמים אלו שגיאות כתיב או ניסוח, או טקסט שאינו מתאים לתוכן ההודעה. בתמונה, למשל, תוכלו לראות כי ההודעה היא כביכול מאת קונה שלא קיבל את הפריט ששילם עליו, אך הטקסט מתאר אותו כ – Seller ולא כ-Buyer. ההודעה גם חתומה על ידי eBay, ולא על ידי השולח, כביכול. שני אלה סימנים ברורים לכך שמדובר בזיוף, אך יש מקרים שבהם הזיוף מקצועי יותר וקשה מאוד להבדיל. אז מה בכל זאת עושים?

חברת eBay, שהיא החברות שלקוחותיה בין המותקפים ביותר, פיתחה מערכת תקשורת פנימית משלה, המשולבת באתר. החברה מנחה את לקוחותיה לקחת בערבון-מוגבל כל הודעה המגיעה בקשר ל-eBay, ולסמוך רק על הודעות "רשמיות", שאותן אפשר לראות דרך מערכת התקשורת באתר eBay. עבור חברות אחרות ובנקים מקוונים, אנו ממליצים להיזהר ובאופן גורף לא ללחוץ על קישורים בתוך הודעות המגיעות מגופים בעלי אופי-כלכלי/פיננסי. אם, למשל, קיבלת הודעה מחברת PayPal המורה לך להכנס לחשבון שלך ולעדכן את פרטיך (נוסח החוזר על עצמו בהרבה הודעות פישינג), יתכן שאכן יש צורך בזה, אך לחיצה על הקישור המופיע בהודעה הוא סכנה. הדרך הנכונה היא לפתוח באופן עצמאי את הדפדפן שלך, ולהקליד ידנית את כתובתו של אתר החברה (או להגיע אליו דרך המועדפים שלך) ולבצע הזדהות. במידה ויש אכן משהו הדורש את טיפולך, האתר כבר ידאג להודיע לך על כך מייד. במידה ובכל זאת עליכם ללחוץ על הקישור בדואר, משום מה (ושוב – אין לזה שום סיבה סבירה!), שימו לב לדף האינטרנט שבו עליכם להקיש את פרטי הזיהוי שלכם. בתחתית הדף, בצד ימין, אמור להופיע מנעול קטן המורה על כך שהתקשורת מוצפנת. לחיצה כפולה על המנעול תציג בפניכם את זהותו האמיתית של האתר. אם זהות זו אינה תואמת למה שרשום בתחילת שורת הכתובת בדפדפן, סביר מאוד שמדובר בפישינג, וכך הוא המצב גם אם המנעול אינו מופיע כלל.

נכון לעכשיו, אגב, הודעות הפישינג הן כולן באנגלית, אך ייתכן ויגיע יום בו גם חברות ישראליות יהיו קורבנות להתקפות וירטואליות. אם, למשל, תקבלו יום אחד הודעה מאת שירות התשלומים המקוון וואלה!פיי, או מאתר האינטרנט של בנק הפועלים או אחד הבנקים האחרים בישראל, ייתכן שזו תוצאה של סנוניות פישינג ישראליות ראשוניות. אגב, אל דאגה – אנחנו לא "נותנים רעיונות" להאקרים. פישינג מתבצע על ידי ארגוני פשע גדולים שלא צריכים לחפש הצעות בוואלה!מחשבים.

אף אחד אינו מושלם, ויכול להיות שיגיע יום ובו גם אתם תהיו קורבן להונאת פישינג מוצלחת. גם עבדכם הנאמן, על אף הניסיון הרב, נפל בפח פעם-פעמיים ברגע של היסח דעת. אם לאחר ביצוע הזדהות, שמתם לב פתאום כי האתר מזויף, אין צורך להכנס לפאניקה. סגרו את הדפדפן ופתחו אותו מחדש, הפעם על הכתובת האמיתית של האתר שאליו הפנתה אתכם הודעת הפישינג. בצעו הזדהות וגשו לתהליך החלפת הסיסמא. עשו זאת בהקדם האפשרי, לפני שהפושעים יספיקו להכנס לחשבונכם ולעשות בו את זממם. לאחר החלפת הסיסמא, לא יוכלו הפושעים להתחבר אליו ומזימתם סוכלה בטרם החלה. אם עבר יותר מדי זמן עד שגיליתם את המצב, פנו להנהלת האתר או החברה המפעילה את האתר ודווחו על המצב בלי בושה. עשו זאת מוקדם ככל האפשר. לפעמים ייקח לצוות האתר כמה ימים להגיע אליכם, אך לפחות בקשתכם תהיה "רשומה" למקרה של סכסוך משפטי על גורלו של הכסף. במידת האפשר, נסו להגיע להנהלת החברה בטלפון במקום, אם כי זה עלול להיות אתגר גם כן. נקיטה באמצעי זהירות ותגובה אלה יגנו עליכם לאורך זמן ותוכלו לשכוח מהאיום, לאט לאט.