מייל שנראה מהבנק? דווקא העובדים הזהירים נופלים בפישינג

בקצרה: התקפות דיוג מצליחות לא בגלל טיפשות אלא בגלל לחץ וזמן, והן נראות היום אמינות יותר מתמיד. עסק קטן מגן על עצמו עם אימות דו-שלבי, נהלים ברורים לאישור תשלומים והרגל פשוט של עצירה לפני לחיצה.

הרבה בעלי עסקים בטוחים שרק תמימים נופלים בהונאות מייל. המציאות הפוכה. דווקא עובד מסור שממהר לענות ללקוח או למנהל הוא היעד הקל ביותר.

קראו גם: בניית אתר לעסקים קטנים – למה זה כל כך חשוב ואיך עושים זאת? · יש לכם גיבוי אחד? אז אין לכם גיבוי · העסק שלכם קטן מכדי לעניין האקרים? דווקא בגלל זה תוקפים אתכם

למה זה עובד עלינו

מתקפת דיוג לא מנסה לפרוץ מחשב, היא מנסה לפרוץ את תשומת הלב שלכם. המייל מייצר תחושת דחיפות: חשבון שיינעל, חבילה שתוחזר, מנהל שמבקש העברה עכשיו. בלחץ הזה המוח מדלג על בדיקות שהיה עושה ברוגע.

הכלים של התוקפים השתפרו. בעבר זיהינו הונאה לפי עברית שבורה, היום מסרים נכתבים בעזרת בינה מלאכותית ונראים תקינים לגמרי. אותם כלי AI חינמיים שעוזרים לעסק הקטן משמשים גם את הצד השני ליצירת מיילים משכנעים.

הסימנים שעדיין מסגירים הונאה

גם מסר מלוטש מכיל רמזים. שווה להכיר את ההבדל בין פנייה אמיתית לניסיון הונאה:

מאפיין	פנייה תקינה	ניסיון דיוג
כתובת השולח	דומיין מדויק של הארגון	אות מוחלפת או דומיין דומה
סגנון הבקשה	ללא לחץ זמן חריג	דחיפות ואיום על סגירת חשבון
קישורים	מובילים לאתר הרשמי	כתובת שונה שמתגלה בריחוף עכבר
בקשת פרטים	לעולם לא סיסמה במייל	בקשה לסיסמה או קוד אימות

מה עסק קטן צריך להטמיע

הגנה טובה היא בעיקר נוהל, לא תוכנה יקרה. כמה צעדים פשוטים חוסמים את רוב ההתקפות:

• הפעילו אימות דו-שלבי על מייל, בנק וכל מערכת ניהול.
• קבעו כלל שכל העברת כסף מאושרת גם בטלפון, לא רק במייל.
• אל תלחצו על קישור במייל, הקלידו את כתובת האתר ידנית.
• בדקו את כתובת השולח המלאה, לא רק את השם המוצג.
• עדכנו את הצוות על תרחישים אמיתיים אחת לרבעון.

גם עם ההגנות האלה, טעות אחת יכולה לקרות. לכן חשוב לזכור שגיבוי אחד הוא לא באמת גיבוי, ושעסק קטן הוא יעד מבוקש בדיוק כמו שהסברנו כשהאקרים תוקפים עסקים קטנים דווקא בגלל ההגנה החלשה שלהם.

לא רק מייל

הונאות דיוג עברו מזמן מעבר לתיבת המייל. הודעות SMS שמתחזות לחברת שילוח או לבנק נפוצות מאוד, כי אנשים בודקים טלפון במהירות ובלי חשד. גם שיחות טלפון שבהן מישהו מתחזה לנציג תמיכה ומבקש קוד אימות הן שיטה מוכרת.

סוג מסוכן במיוחד לעסקים הוא התחזות למנהל. תוקף חוקר את הארגון ברשתות החברתיות, מזהה מי מאשר תשלומים, ושולח בקשה דחופה בשם המנכ"ל. הכלל הפשוט שעוצר את זה הוא אימות בערוץ נוסף לכל בקשה כספית חריגה, גם אם היא נראית לגיטימית.

מה עושים אחרי לחיצה בטעות

אם עובד לחץ על קישור חשוד או מסר פרטים, מהירות התגובה קובעת. מחליפים סיסמה מיד, מנתקים את החשבון מכל המכשירים, ומודיעים לבנק אם נמסרו פרטים פיננסיים. תיעוד של מה שקרה עוזר לזהות אם ההונאה נמשכת.

אל תענישו את מי שדיווח. עובד שמפחד להודות בטעות ישתוק, וזה מסוכן הרבה יותר מהטעות עצמה.

הסבר מלא על שיטות ההונאה מופיע בערך דיוג בוויקיפדיה.

עצרו שנייה לפני כל לחיצה על קישור במייל. השנייה הזאת שווה יותר מכל תוכנת אבטחה.