איך לזהות מיילים של פישינג ולהגן על עצמכם

מתקפות פישינג הן אחד האיומים הנפוצים ביותר על עסקים ופרטיים בישראל. התוקפים השתכללו - המיילים כבר לא מגיעים עם שגיאות כתיב וכתובות מוזרות. הם נראים מקצועיים לחלוטין, מגיעים מכתובות מוכרות, ולפעמים אפילו כוללים קבצים שעוברים את פילטרי האבטחה.

מה זה פישינג?

פישינג הוא ניסיון להוציא מכם מידע רגיש - סיסמאות, פרטי כרטיס, גישה לחשבונות - על ידי התחזות לגוף מהימן. ההודעה מגיעה בדרך כלל במייל, אבל גם ב-SMS ובוואטסאפ. המטרה: לגרום לכם ללחוץ על קישור ולהזין פרטים בדף מזויף.

5 סימנים שמייל הוא פישינג

• דחיפות מוגזמת - 'החשבון שלך יוקפא', 'זימון לבית משפט', 'חייבים לפעול תוך 24 שעות'. תוקפים מנצלים לחץ רגשי כדי שתפעלו בלי לחשוב.
• קישור או קובץ לא צפוי - לא ציפיתם לקובץ ולא ביקשתם קישור? עצרו. בדקו.
• השולח חשוד - גם אם מוכר - לעיתים המייל מגיע מחשבון של חבר שנפרץ. אם לא ציפיתם לקובץ - התקשרו לוודא שהוא שלח.
• קובץ מגיע דרך פלטפורמת שיתוף חיצונית - Jumbo Mail, WeTransfer, Dropbox וכד' הם לגיטימיים, אבל שולח לא מוכר שמצרף קובץ דחוף? סימן אזהרה.
• דף כניסה שנפתח לאחר לחיצה - אם נפתח דף התחברות לגוגל או לאאוטלוק, בדקו את ה-URL. אם הוא לא google.com או microsoft.com - סגרו מיד ואל תזינו דבר.

שיטת תקיפה מתוחכמת: פישינג דרך קבצים

שיטה נפוצה כיום מנצלת פלטפורמות שיתוף קבצים לגיטימיות כדי לעקוף פילטרי אבטחה. כך זה עובד:

1. מגיע מייל דחוף עם נושא כמו 'תביעה משפטית' או 'חשבונית לתשלום'.
2. מצורף PDF שמגיע מדומיין אמין - הפילטרים של Gmail ו-Outlook מאפשרים לו לעבור.
3. ה-PDF נראה תקין. בתוכו קישור שמוביל לדף כניסה מזויף של גוגל.
4. הקורבן מזין סיסמא. התוקף גונב אותה ומשתמש בחשבון כדי לתקוף אנשים נוספים.

המאפיין המשותף: הכל נראה לגיטימי. לכן כלי ההגנה הטוב ביותר הוא אימות דו-שלבי.

למה אימות דו-שלבי הוא קריטי

גם אם תוקף הצליח לגנוב את הסיסמא שלכם - בלי הגורם השני הוא לא יכול להיכנס לחשבון. אימות דו-שלבי הוא הקו שמפריד בין 'הסיסמא נגנבה' לבין 'החשבון נפרץ'.

סוגי האימות - מהחלש לחזק:

• SMS - נוח, אבל ניתן לעקוף בסוגי תקיפות מסוימים.
• אפליקציית אימות (כמו Google Authenticator) - טוב יותר, דורש סמארטפון.
• מפתח אבטחה פיזי (FIDO2) - ההגנה הגבוהה ביותר. לא ניתן לגנוב מרחוק, לא ניתן לשכפל. עובד גם ללא סמארטפון, כולל לבעלי טלפון כשר.

5 צעדים מעשיים - עכשיו

1. הפעילו 2FA על כל החשבונות - גוגל, מייל, רשתות חברתיות, בנק. זה דקות בודדות שיכולות לחסוך נזק גדול מאוד.
2. לא ציפיתם לקובץ? התקשרו לשולח - לפני פתיחת קובץ שהגיע ללא הודעה מוקדמת, אמתו בטלפון שהוא אכן שלח.
3. בדקו את ה-URL לפני כל הזנת סיסמא - לא רק בתחילתו אלא את כל הכתובת.
4. השתמשו בתצוגה מקדימה בענן - לפני הורדת קובץ, צפו בו ישירות בדפדפן.
5. ניהול ארגוני עם מדיניות אבטחה - Google Workspace מאפשר לאכוף 2FA על כל המשתמשים, לחסום גישה מכתובות חשודות ועוד.