קיבלתם הודעת סמס, טלפון או מייל שמתריע על קרוב עשיר שרוצה לשלוח לכם כסף? זכיתם באייפון ואתם רק צריכים למלא פרטים כדי לקבלו? מבקשים את דעתכם בסקר רשמי חשוב במיוחד? רוב הסיכויים שנפלתם קורבן למתקפת פישינג, וישינג או סמישינג, ועליכם לפעול בזהירות כדי שלא יגרם לכם שום נזק. הנה מה שאתם צריכים לדעת על המתקפות הללו, מדוע הן מתרחשות, ומה בעצם הקשר לתקופת הבחירות המתקרבת.
מה זה בעצם פישינג ומה המטרה?
פישינג, או בעברית – "דיוג", היא התקפה מקטגוריית ההנדסה החברתית – התקפה באמצעי תקשורת שונים שאינה דורשת שום תוכנה או קודים, אלא מתבססת על מניפולציה שהתוקף מפעיל על הקורבן על מנת לשכנע אותו לעשות משהו. במסגרת ההתקפה הזו, גורמים עברייניים מתחזים לגופים אמינים, כמו למשל הבנק, הדואר, חברת הסלולר וכדומה, במטרה לקבל מידע רגיש ולעשות בו שימוש למטרות של גניבה – הן גניבה כספית והן גניבת זהות, סחיטה, מכירת הנתונים לגורם שלישי ועוד.
פישינג, וישינג וסמישינג – מה ההבדל?
פישינג, וישינג וסמישינג, הן כולן דרכים שבאמצעותן הגורמים העברייניים מנסים לדלות מהקורבנות שלהם פרטים:
- פישינג – מדובר באחת הטקטיקות הנפוצות ביותר של האקרים כיום לגנוב פרטים אישיים. הפישינג מתבצע באמצעות התחזות לגורם שאנו סומכים עליו, כמו למשל נטפליקס. במקרה כזה, הקורבן יקבל דואר אלקטרוני לכאורה מנטפליקס, שמודיע לו על כך שהמנוי שלו הסתיים ומכיל כפתור עם כיתוב כמו "לחידוש המנוי". ברגע שהקורבן לוחץ על אותו כפתור, ההאקר מקבל גישה למחשב של הקורבן ויכול להתקין בו תוכנה זדונית, ללא ידיעתו של הקורבן. התרמית הזו נחשבת לאפקטיבית מאוד בייחוד בארגונים, כיוון שדי בכך שעובד אחד ילחץ על הקישור – וההאקר יוכל לפרוץ לארגון כולו ולקבל גישה למידע רגיש.
- וישינג – וישינג דומה מאוד לפישינג, אלא שבמקרה הזה, ההונאה מתבצעת באמצעות שיחת טלפון ולא באמצעות האימייל. התוקף מתחזה לגוף שהקורבן סומך עליו, כמו למשל לקוח, הבנק, עובד בחברה שמנסה לקבל תמיכה טכנית וכדומה. מדובר בהונאה שלעיתים קשה יותר לעלות עליה, כיוון שהגורמים העברייניים יכולים לעשות שימוש בטכניקה שנקראת ID spoofing, שמאפשרת להם לבצע שיחות ממספרים שנראים מקומיים ולגיטימיים.
- סמישינג – סמישינג היא הונאה שמתבצעת באמצעות הודעות טקסט, לכאורה מגופים לגיטימיים. בהודעות כאלה ייתכנו בקשות לכל מיני פרטים אישיים, אזהרות מפני גישה לא מורשית לחשבון הבנק (ובקשה לנקיטת פעולה כלשהי, כמו למשל לחיצה על קישור) וכדומה. לרוב, מדובר בהודעות שנראות אותנטיות ומכילות מלל כמו "הנה קישור לקבלה עבור הרכישה שלכם", "חבילת הסלולר שלכם עומדת להסתיים – חדשו אותה במחיר נמוך בלחיצת כפתור" וכדומה. לאחר הכניסה לקישור, הקורבן יידרש לאמת את המידע האישי שלו באמצעות הזנת תעודת הזהות שלו או כל פרט אחר. ברגע שלהאקר יש את המידע הזה, הוא יכול לעשות בו שימוש למגוון של צרכים שונים.
מה הקשר לבחירות?
מטבע הדברים, בתקופת הבחירות אנשים רבים מקבלים יותר הודעות טקסט, טלפונים ומיילים מהרגיל. בעקבות סעיף מסוים בחוק הספאם, המאפשר תעמולה שיש בה מסרים פוליטיים, חברי כנסת יכולים לשלוח לנו הודעות סמס כאוות נפשם, בכל תדירות ובכל מועד, מבלי שתהא זו עבירה כלשהי על החוק, ולכן במיוחד בתקוות בחירות, אנו מקבלים הודעות השכם וערב המבקשות מאיתנו למסור מידע, לגייס תרומות ולענות על סקרים שיתנו תמונה רחבה יותר לגבי תוצאות הבחירות הצפויות.
התדירות הגבוהה, לצד העובדה כי הודעות אלו מותרות על פי חוק, מקלות משמעותית על התוקפים, שכן הם יכולים להתחזות לגופים ממשלתיים ולבקש מהקורבן לענות, למשל, על סקר – שדורש ממנו להזין בין היתר גם פרטים אישיים, או לבצע תרומה למועמד או מפלגה בה הוא תומך. בשל העובדה שבקשות מהסוג הזה נתפסות כהגיוניות ולגיטימיות בתקופות של בחירות, הקורבן לא בהכרח ייטה לחשוב שמדובר בהונאה, ויהיה נאות יותר לעקוב אחר ההנחיות ולמסור מידע או פרטים רגישים, בעיקר בטלפון ובהודעות סמס.
איך מזהים ניסיון פישינג, סמישינג או וישינג?
באופן כללי, רצוי מאוד לחשוד בכל דבר לא רגיל, שדורש מכם לנקוט בפעולה או למסור פרטים אישיים. סימנים מזהים שיכולים לסייע לכם הם עברית לא מדויקת, ניסוח שנראה כמו תרגום מגוגל טרנסלייט, פנייה כללית או לא מדויקת, כתובת לא מדויקת לגמרי של השולח וכדומה. בתחילת שנת 2022, למשל, גורמים עברייניים התחזו לדואר ישראל, ושלחו לאנשים הודעות סמס עם הנוסח "החבילה שלך ממתינה למשלוח, על מנת לאשר את התשלום לחץ על הלינק". כאשר אנשים נכנסו ללינק, הייתה שגיאה קלה בכתובת שלו, ובמקום IsraelPost, הכתובת הייתה IsrealPost (האותיות e ו-a במילה "ישראל" הוחלפו ביניהן). בנוסף, אם אתם סמוכים ובטוחים שאין סיבה לקבל הודעה מסוג מסוים, כמו למשל מייל מנטפליקס שתוכנו "אנחנו מצטערים להיפרד, אם תרצו לחדש את המנוי לחצו פה" – כשאתם לא זוכרים שביטלתם את המנוי, כנראה שהזיכרון שלכם לא מתעתע בכם ושאכן מדובר בפישינג. וישינג עשוי להיות מעט יותר מתעתע, אך בכל מקרה – אם אתם מתבקשים למסור פרטים רגישים או אישיים, אז גם כאשר השיחה מתבצעת ממספר לגיטימי ומוכר – יש לחשוד בה.
מה לעשות ולא לעשות?
הכלל הבסיסי והחשוב ביותר שיש להקפיד עליו, הן בטלפון והן בהודעות טקסט או במיילים, הוא לא למסור לעולם פרטים אישיים כמו פרטי אשראי, תעודת זהות או כל פרט רגיש אחר שלכם. כמו כן, רצוי מאוד שלא ללחוץ על קישורים לא מוכרים. אם אתם מקבלים שיחת טלפון בה אתם מתבקשים לתת פרטים אישיים – נתקו את השיחה, התקשרו למשרדים של הארגון שיצר איתכם קשר לכאורה וודאו עמם שהם אכן אלה שיצרו איתכם קשר מלכתחילה. כאשר אתם מקבלים הודעות שנראות לכם חשודות, היכנסו לאתר המקורי של הגוף שממנו קיבלתם לכאורה את ההודעה, והשוו את הכתובת באתר הזה לכתובת בקישור שהתבקשתם למלא בו פרטים.
אם במקרה כבר לחצתם על קישור לא מוכר או מילאתם פרטים אישיים, ולאחר מכן קיבלתם הודעה שדורשת מכם כופר או הודעה דומה בסגנון – נתקו מיד את המחשב מהרשת והתקשרו למוקד הסייבר של משטרת ישראל.
באם תרצו לוודא שהארגון, העסק או החברה שלכם מוגנים באופן מלא מפני תקיפות, אתם מוזמנים לפנות אל מומחי הסייבר שלנו, המתמחים בפתרונות הגנה ואבטחת מידע ונשמח לתת לכם וודאות, ביטחון ושקט נפשי והגנה מלאה, לכל אורך הדרך.
