פישינג הוא הודעה שמתחזה לשולחת או לשולח שאתם סומכים עליהם, כמו בנק, חברת משלוחים, המעסיק או חבר, כדי שתלחצו על קישור, תפתחו קובץ או תמסרו סיסמה. הוא מגיע בדוא״ל, בהודעות טקסט, באפליקציות מסרים ובשיחות טלפון. ההודעות לרוב משכנעות, אבל יש להן כמה מאפיינים משותפים.
מה הודעת פישינג בדרך כלל רוצה?
כמעט כל הודעת פישינג רוצה אחד משלושה דברים. היא רוצה שתתחברו בדף ששולח ההודעה שולט בו, שתפתחו קובץ מצורף שמתקין משהו מזיק, או שתשלחו כסף או מידע בגלל בעיה בדויה. הסיפור סביב הבקשה משתנה, אבל המטרה נשארת זהה.
סיפורים נפוצים הם חשבון נעול, משלוח שלא נמסר, חשבונית שלא שולמה, החזר כספי שלא ציפיתם לו, פרס, או קרוב משפחה שנקלע לצרות וזקוק לעזרה מיידית. התייחסו לכל הודעה שמבקשת סיסמה, קוד אימות, תשלום או העתק של תעודה מזהה כאל דבר שצריך לאמת לפני שפועלים.
אילו סימנים מסגירים הודעת פישינג?
אף סימן בודד אינו מוכיח שההודעה מזויפת, וזיופים טובים יכולים להימנע מכולם. עם זאת, כדאי לבדוק את הדברים הבאים בכל פעם:
לחץ. ההודעה אומרת שיש לכם כמה שעות, שהחשבון ייסגר או שמשהו רע יקרה אם תמתינו.
כתובת שולח שדומה לאמיתית אך שגויה, למשל עם אות שהוחלפה או מילה נוספת בדומיין.
קישור שהטקסט הנראה שלו אינו תואם ליעד שלו. במחשב אפשר לרחף מעליו עם העכבר, ובטלפון אפשר ללחוץ לחיצה ארוכה כדי לראות את הכתובת.
קובץ מצורף לא צפוי, במיוחד קובץ zip, חשבונית שלא ביקשתם או קובץ שמבקש להפעיל מאקרו.
בקשה לשלם בכרטיסי מתנה, במטבע קריפטוגרפי או בהעברה בנקאית לחשבון חדש.
מה כדאי לעשות לפני שלוחצים?
עצרו והאטו. לחץ הוא הכלי שהשולח נשען עליו, ולכן כמה דקות של מחשבה מפחיתות ממנו חלק גדול מהיתרון. אל תשיבו, אל תתקשרו למספר שבהודעה ואל תפתחו את הקישור או את הקובץ המצורף.
לאחר מכן בדקו את הטענה בדרך שכבר אתם סומכים עליה. פתחו את האפליקציה של החברה או הקלידו בעצמכם את כתובתה בדפדפן, וחפשו את אותה התראה בחשבון שלכם. התקשרו למספר המודפס על הכרטיס או באתר הרשמי של החברה. אם נראה שההודעה מגיעה מעמית לעבודה או מקרוב משפחה, פנו אליו בדרך אחרת, למשל בשיחת טלפון, ושאלו אם שלח אותה.
מדוע הודעות טקסט ושיחות הן גם חלק מפישינג?
פישינג אינו מוגבל לדוא״ל. הודעות טקסט על חבילות, אגרות כבישים או התראות מהבנק נפוצות, וכך גם שיחות ממי שמציג את עצמו כעובד הבנק שלכם או מוקד תמיכה. מי שמתקשר יכול לגרום למספר שמופיע במסך להיראות כמעט כמו כל מספר, ולכן המספר המוצג אינו מוכיח דבר.
בנק אמיתי לא יבקש מכם להעביר כסף ל״חשבון בטוח״, ומוקד תמיכה אמיתי לא יבקש קוד שנשלח זה עתה לטלפון שלכם. אם המתקשר יוצר דחיפות, נתקו וחייגו בחזרה למספר שמצאתם בעצמכם. כך גם לגבי הודעות קוליות והודעות מחשבון שנפרץ של חבר שמבקשות כסף.
מה אם כבר לחצתם או הזנתם סיסמה?
זה קורה גם לאנשים זהירים, ופעולה מהירה משנה באמת. עברו על השלבים לפי הסדר:
נתקו את הבעיה. אם פתחתם קובץ ואתם חושבים שהוא הריץ משהו, כבו את חיבור הרשת במכשיר והשאירו אותו כבוי עד שייבדק.
החליפו את הסיסמה של החשבון המעורב, עדיף ממכשיר אחר. אם השתמשתם באותה סיסמה במקום נוסף, החליפו אותה גם שם.
הפעילו אימות דו־שלבי, עדיף עם מפתח גישה (passkey) או אפליקציית אימות, והתנתקו מהפעלות אחרות בהגדרות החשבון.
פנו מיד לבנק אם מסרתם פרטי כרטיס או חשבון. בקשו לחסום את הכרטיס או לעקוב אחר פעילות חריגה.
חפשו שינויים שלא ביצעתם, כמו כללי העברה חדשים בדוא״ל, כתובות שחזור חדשות או התחברויות לא מוכרות.
דווחו על ההודעה לשירות שבשמו התחזתה, וספרו לאנשי הקשר שלכם אם החשבון שלח הודעות בשמכם.
איך אפשר להקטין את הנזק של פישינג מראש?
אי אפשר למנוע מכל הודעה להגיע אליכם, ולכן המטרה היא להגביל את הנזק כשאחת מהן עוברת. השתמשו בסיסמה שונה לכל חשבון ושמרו אותן במנהל סיסמאות, שגם עוזר בכך שלא ימלא סיסמה באתר עם כתובת שגויה. מפתחות גישה הולכים רחוק יותר, כי אי אפשר להקליד אותם בדף מזויף בכלל.
שמרו על הטלפון והאפליקציות מעודכנים, והיזהרו מאפליקציות וקבצים מחוץ לחנויות הרשמיות. הגבילו את מה ששומרים במקומות שסיסמה גנובה אחת יכולה לפתוח. העתקים של דרכון, מסמכי מס או חוזים לא חייבים לשכב בתיבת הדוא״ל, שבה הודעת פישינג מוצלחת אחת עלולה לחשוף את כולם.
כאן Revault יכולה לעזור. היא שומרת תמונות, מסמכים וקבצים בכספת מוצפנת במכשיר שלכם, בלי חשבון Revault שאפשר להונות. זה לא מונע משליחת הודעה מזויפת אליכם, אבל שומר את הקבצים הרגישים ביותר מחוץ לתיבת הדוא״ל ולחשבונות הענן. שום כלי לא מחליף שיקול דעת, ולכן ההרגל שמגן עליכם הכי הרבה הוא הפשוט: כשהודעה דורשת משהו דחוף, אמתו אותו קודם בדרך אחרת.