- אימות דו-שלבי (MFA) הוא אחד הצעדים האפקטיביים ביותר להגנה על חשבונות, אבל לא כל השיטות חזקות באותה מידה.
- לפי הנחיות CISA, סוכנות הסייבר האמריקאית, SMS ושיחה קולית הן השיטות החלשות. אפליקציה עם התאמת מספרים טובה יותר, ומפתחות אבטחה ו-Passkeys עמידים לפישינג.
- התקפת "הפצצת התראות" (MFA fatigue) מנצלת עובדים שמאשרים התראה רק כדי שתפסיק. התאמת מספרים נועדה לחסום אותה.
- ההמלצה לעסק קטן: אפליקציה עם התאמת מספרים לכולם, ושיטה עמידה לפישינג למנהלים ולחשבונות רגישים. את ההטמעה עצמה מסביר מדריך ההטמעה לעובדים.
אם כבר הפעלתם אימות דו-שלבי בעסק, עשיתם את הצעד החשוב ביותר. אם עוד לא, התחילו מהמדריך להטמעת אימות דו-שלבי לעובדים, שמסביר איך מפעילים אותו בלי להשבית את המשרד.
המאמר הזה לא עוסק ב"איך מפעילים", אלא בשאלה איזו שיטה לבחור: מה ההבדל בין השיטות, מה חזק יותר, ואיזו שיטה מתאימה לאיזה חשבון. זה חשוב, כי תוקפים כבר למדו לעקוף את השיטות החלשות.
למה בכלל משנה איזו שיטה
אימות דו-שלבי מוסיף שכבה מעבר לסיסמה: משהו שיש לכם (טלפון, מפתח) או משהו שאתם (טביעת אצבע). רוב ההתקפות על חשבונות מתחילות בסיסמה שנגנבה, ולכן גם שיטה בסיסית חוסמת הרבה.
אבל תוקפים מתאימים את עצמם. שלוש טכניקות נפוצות:
- דף כניסה מזויף בזמן אמת: העובד מקליד סיסמה וקוד בדף שנראה בדיוק כמו של Microsoft, והתוקף מעביר אותם מיד לאתר האמיתי. קוד חד-פעמי לא עוצר את זה.
- הפצצת התראות: התוקף, שכבר יודע את הסיסמה, מנסה להתחבר שוב ושוב. העובד מקבל עשרות בקשות אישור, ובסוף מאשר אחת רק כדי שזה ייגמר.
- השתלטות על מספר טלפון: התוקף משכנע את חברת הסלולר להעביר את המספר לכרטיס SIM שלו, ומקבל את קודי ה-SMS.
השיטות, מהחלשה לחזקה
SMS ושיחה קולית
קוד נשלח בהודעה או מוקרא בשיחה. זה עדיף על סיסמה בלבד, אבל לפי CISA זו השיטה החלשה ביותר: היא חשופה לדפי פישינג, להשתלטות על מספר ולהפניית הודעות. מתאימה רק כגיבוי, או כשאין אפשרות אחרת.
קוד מאפליקציה (TOTP)
אפליקציית אימות מייצרת קוד שמתחלף כל כמה שניות. טובה מ-SMS, כי היא לא תלויה ברשת הסלולר. אבל עובד שמקליד את הקוד בדף מזויף עדיין מוסר אותו לתוקף.
התראת אישור באפליקציה
העובד מקבל התראה ולוחץ "אישור". נוח מאוד, ובדיוק לכן חשוף להפצצת התראות.
התראה עם התאמת מספרים
במסך הכניסה מופיע מספר, והעובד צריך להקליד אותו באפליקציה. מי שלא מנסה להתחבר כרגע לא יודע איזה מספר להקליד, ולכן הפצצת התראות כמעט לא עובדת. ב-Microsoft Authenticator, התאמת מספרים מופעלת לכל המשתמשים מאז 2023. CISA ממליצה עליה כשלב ביניים, אבל מציינת שהיא עדיין לא עמידה לפישינג.
מפתחות אבטחה ו-Passkeys (FIDO2)
אלה השיטות ש-CISA מגדירה כעמידות לפישינג. המפתח או ה-Passkey מזהים את כתובת האתר האמיתית, ופשוט לא יעבדו מול דף מזויף. אין קוד להקליד ואין מה למסור. Passkey יכול להיות שמור בטלפון או במחשב, ומפתח אבטחה הוא התקן פיזי קטן שמחברים או מקרבים.
Windows Hello for Business
כניסה למחשב Windows עם טביעת אצבע, זיהוי פנים או PIN שקשור למכשיר. במחשבים מנוהלים, זו דרך נוחה לקבל אימות חזק בלי התקן נוסף.
מה Microsoft כבר מחייבת
Microsoft מחייבת בהדרגה אימות דו-שלבי לכניסה לפורטלי הניהול שלה. החל מ-2024 האכיפה חלה על פורטל Azure, מרכז הניהול של Microsoft Entra ומרכז הניהול של Intune, ומפברואר 2025 גם על מרכז הניהול של Microsoft 365. כלומר, מי שמנהל את Microsoft 365 של העסק כבר צריך אימות דו-שלבי. זו הזדמנות טובה לבדוק שגם כל שאר המשתמשים מוגנים.
איזו שיטה לאיזה חשבון
הטבלה היא נקודת התחלה. ההחלטה תלויה גם ברישוי, במחשבים ובמערכות שהעסק משתמש בהן.
איך יודעים איזו שיטה מופעלת אצלכם היום
לפני שמחליטים על שינוי, כדאי לדעת מה המצב:
- אילו שיטות מותרות במדיניות? ב-Microsoft 365 זה מוגדר במדיניות שיטות האימות ב-Microsoft Entra.
- מה העובדים רשמו בפועל? במרכז הניהול יש דוחות שמראים לכל משתמש אילו שיטות רשומות. כך רואים מי עדיין על SMS בלבד.
- מי בלי אימות דו-שלבי בכלל? לרוב אלה חשבונות משותפים, ספקים או עובד ותיק שביקש לדחות.
- האם יש פרוטוקולים ישנים פתוחים? פרוטוקולי מייל ישנים שלא תומכים באימות מודרני יכולים לעקוף את האימות הדו-שלבי.
איך עוברים לשיטה חזקה יותר
המעבר עצמו הוא פרויקט הטמעה: הודעה לצוות, הפעלה בקבוצות, עזרה ביום ההפעלה ונוהל לעובד שמחליף טלפון. את כל זה מסביר המדריך להטמעת אימות דו-שלבי לעובדים. שני כללים ששייכים דווקא לבחירת השיטה:
- לכל עובד לפחות שתי שיטות רשומות, כדי שאיבוד טלפון לא יוביל ל"ביטול זמני" של האימות.
- כלל אחד לכל הצוות: בקשת אישור שלא ביקשתם? לא מאשרים, ומדווחים מיד. זה סימן שמישהו כבר יודע את הסיסמה. בשילוב מנהל סיסמאות, החשבונות מוגנים טוב בהרבה.
חמש טעויות שאנחנו רואים בשטח
- "הפעלנו MFA" רק לחלק מהמשתמשים: לרוב חסרים ההנהלה או עובד ותיק שביקש לדחות. תוקפים מחפשים בדיוק את החשבונות האלה. בתיבות משותפות (כמו office@) חוסמים כניסה ישירה, והעובדים ניגשים אליהן מהחשבון האישי שלהם, שמוגן ב-MFA.
- SMS לכולם, לתמיד: הוגדר בזמנו כפתרון זמני ונשאר. כדאי לקבוע תאריך למעבר לאפליקציה.
- אישור אוטומטי מתוך הרגל: עובדים שמאשרים כל התראה בלי לקרוא. התאמת מספרים והדרכה קצרה פותרות את רוב הבעיה.
- אין שיטה שנייה: עובד שאיבד את הטלפון נתקע, ומישהו מבטל לו את האימות "רק להיום". עדיף שתהיה מראש שיטת גיבוי רשומה.
- ספקים מחוץ לתמונה: ספק תוכנה או רואה חשבון חיצוני עם חשבון בסביבה שלכם, בלי אימות דו-שלבי. גם הם חלק מהמדיניות.
שאלות נפוצות
SMS זה כבר לא בסדר?
זה עדיף בהרבה על סיסמה בלבד. אבל כשאפשר, עדיף לעבור לאפליקציה עם התאמת מספרים, ולהשאיר SMS רק כשיטת גיבוי.
מה ההבדל בין Passkey למפתח אבטחה?
שניהם עובדים באותו תקן (FIDO2) ועמידים לפישינג. מפתח אבטחה הוא התקן פיזי נפרד. Passkey יכול להיות שמור בטלפון או במחשב, כך שלא צריך לשאת עוד דבר.
צריך לקנות מפתח אבטחה לכל עובד?
לא בהכרח. בעסק קטן אפשר להתחיל במנהלים ובחשבונות רגישים, ולהשתמש ב-Passkeys בטלפון או ב-Windows Hello לשאר.
עובד לא רוצה להתקין אפליקציה בטלפון הפרטי. מה עושים?
אפשר לתת לו מפתח אבטחה פיזי, או להשתמש ב-Windows Hello במחשב העבודה. העיקר שאין משתמש בלי אימות דו-שלבי.
קיבלתי בקשת אישור שלא ביקשתי. מה לעשות?
לא לאשר, ולדווח מיד לאחראי ה-IT. כנראה שהסיסמה שלכם ידועה למישהו, וצריך להחליף אותה ולבדוק את החשבון.
אימות דו-שלבי עוצר כופרה?
הוא חוסם את אחת הדרכים הנפוצות להיכנס לרשת, חשבון שנפרץ. הוא לא מחליף גיבוי והגנה על מחשבים.
איך ש.מ מחשבים יכולה לעזור
אנחנו מטמיעים אימות דו-שלבי ב-Microsoft 365 בהדרגה: מיפוי משתמשים, מעבר לאפליקציה עם התאמת מספרים, שיטות עמידות לפישינג לחשבונות רגישים, חסימת פרוטוקולים ישנים והדרכה קצרה לצוות. פרטים בעמוד אבטחת מידע לעסקים ובעמוד Microsoft 365 לעסקים.