- פישינג הוא ניסיון לגרום לעובד למסור סיסמה, ללחוץ על קישור, לפתוח קובץ או להעביר כסף, באמצעות הודעה שנראית אמינה.
- הסימנים הנפוצים: דחיפות, בקשה חריגה, כתובת שולח או קישור שלא תואמים, ובקשה לשנות פרטי תשלום.
- שלוש הגנות שעושות את רוב העבודה: אימות דו-שלבי, סינון דואר, ונוהל אימות טלפוני לכל בקשה כספית.
- מישהו לחץ? לא מתביישים ולא מחכים. מדווחים מיד, מחליפים סיסמה ובודקים את החשבון.
רוב התקיפות על עסקים קטנים לא מתחילות בפריצה מתוחכמת. הן מתחילות במייל. חשבונית "מספק", הודעה "מהבנק", קישור לשיתוף קובץ, או מייל דחוף "מהמנכ"ל" שמבקש להעביר תשלום עוד היום. ההודעות האלה עובדות כי הן נראות כמו יום עבודה רגיל, ונשלחות לאנשים עסוקים.
במדריך הזה נסביר איך נראות ההונאות הנפוצות, איך מלמדים את הצוות לזהות אותן, אילו הגנות טכניות כדאי שיהיו, ומה עושים ברגע שמישהו כבר לחץ.
הסוגים הנפוצים של פישינג בעסקים
גניבת סיסמה דרך דף כניסה מזויף
המייל מודיע ש"שותף איתכם מסמך", ש"תיבת הדואר מלאה" או ש"הסיסמה עומדת לפוג". הקישור מוביל לדף שנראה בדיוק כמו דף הכניסה של Microsoft 365. העובד מקליד סיסמה, והתוקף מקבל אותה. מכאן הוא יכול לקרוא מיילים, לשלוח הודעות בשם העובד ולחפש הזדמנויות להונאה.
הונאת תשלום (BEC)
זו ההונאה היקרה ביותר. התוקף מתחזה לספק, ללקוח או למנהל, ומבקש לשלם חשבונית לחשבון בנק "חדש", או להעביר תשלום דחוף. לפעמים המייל נשלח מתיבה אמיתית של ספק שנפרצה, ולכן הוא נראה אמין לגמרי. לפעמים התוקף כבר נמצא בתיבה של העובד ופשוט עונה בתוך שרשור קיים.
קבצים מצורפים זדוניים
קובץ Word, Excel, PDF או קובץ דחוס, שמבקש "לאפשר תוכן" או להוריד משהו. פתיחה יכולה להתקין קוד זדוני, ולפעמים זו תחילתה של מתקפת כופרה.
הודעות SMS, וואטסאפ וקוד QR
פישינג לא נשאר במייל. הודעות על "חבילה שממתינה", "חיוב חריג" או קוד QR שמוביל לדף כניסה מזויף. בטלפון קשה יותר לבדוק כתובות, ולכן קל יותר ליפול.
"תמיכה טכנית" בטלפון
מישהו מתקשר "מהתמיכה של Microsoft" או "מספק האינטרנט", ומבקש להתקין תוכנת שליטה מרחוק. כלל פשוט: לא מאשרים חיבור מרחוק למי שהתקשר אליכם. הרחבנו על זה במדריך לתמיכה מרחוק.
איך מזהים הודעה חשודה
אין סימן אחד שתופס הכול, אבל השאלות האלה תופסות את רוב המקרים:
- האם יש לחץ? "דחוף", "עד סוף היום", "אחרת החשבון ייחסם". לחץ הוא הכלי המרכזי של התוקף.
- האם הבקשה חריגה? ספק שמעולם לא החליף חשבון בנק, מנהל שמבקש לקנות כרטיסי מתנה, לקוח ששולח קובץ בלי הקשר.
- מי באמת השולח? בדקו את הכתובת המלאה, לא רק את השם שמוצג. שימו לב לשינויים קטנים באותיות או בסיומת.
- לאן מוביל הקישור? במחשב, רחפו עם העכבר מעל הקישור בלי ללחוץ, ובדקו את הכתובת. דף כניסה של Microsoft לא יישב על כתובת לא מוכרת.
- האם ביקשו סיסמה, קוד או אישור? אף גורם לגיטימי לא יבקש את הסיסמה שלכם במייל, ואף אחד לא צריך שתקריאו לו קוד אימות שקיבלתם.
- האם קיבלתם בקשת אישור שלא ביקשתם? התראת אימות דו-שלבי שקופצת סתם היא סימן שמישהו מנסה להיכנס עם הסיסמה שלכם. לא מאשרים, ומדווחים.
שלוש הגנות שעושות את רוב העבודה
1. אימות דו-שלבי
גם אם עובד הקליד סיסמה בדף מזויף, אימות דו-שלבי מקשה מאוד על התוקף להשתמש בה. זה הצעד הכי משתלם שעסק יכול לעשות. המדריך להטמעת אימות דו-שלבי מסביר איך עושים את זה בלי לשגע את הצוות.
2. סינון דואר והגנה על התיבות
סינון טוב עוצר חלק גדול מההודעות לפני שהן מגיעות לעובד: קבצים זדוניים, קישורים מוכרים כמסוכנים והתחזויות. ב-Microsoft 365 יש הגנות מובנות, וב-Business Premium יש שכבה מתקדמת יותר. כדאי גם להגדיר רשומות SPF, DKIM ו-DMARC לדומיין, כדי שיהיה קשה יותר להתחזות לעסק שלכם. ההבדלים בין התוכניות מוסברים במדריך לרישוי Microsoft 365.
3. נוהל אימות לבקשות כספיות
זו ההגנה הכי זולה והכי חשובה מול הונאות תשלום: כל בקשה לשינוי פרטי בנק, או לתשלום חריג או דחוף, מאומתת בשיחת טלפון למספר שכבר מוכר לכם, לא למספר שמופיע במייל. כשהנוהל כתוב ומוכר לכולם, לעובד קל יותר לעמוד בלחץ, ואף אחד לא נעלב כשמתקשרים לוודא.
להדריך את הצוות, בלי להפחיד
הדרכה טובה היא קצרה, מעשית וחוזרת:
- מפגש קצר של חצי שעה, עם דוגמאות אמיתיות מהסוג שהעסק מקבל.
- כלל אחד ברור: בספק, לא לוחצים ושואלים.
- ערוץ דיווח פשוט: למי מעבירים מייל חשוד. ב-Outlook אפשר להשתמש בכפתור הדיווח.
- בלי האשמה. עובד שלחץ ודיווח מיד הוא עובד שעשה את הדבר הנכון. אם עובדים חוששים לדווח, אירוע קטן הופך לגדול.
- רענון פעם בכמה חודשים, ובמיוחד כשמגיעים עובדים חדשים.
לבדוק את עצמכם: תרגיל פישינג
אחת הדרכים הטובות לדעת אם ההדרכה עבדה היא תרגיל: שליחת מייל פישינג מדומה ובטוח לעובדים, ומעקב אחרי מי לחץ ומי דיווח. המטרה היא לא לתפוס אף אחד, אלא ללמוד. תרגיל טוב מסתיים בהסבר קצר לכל מי שלחץ, ובמילה טובה למי שדיווח. כדאי לחזור עליו מדי פעם, ולגוון את סוג ההודעות, כי גם התוקפים מגוונים.
מישהו כבר לחץ. מה עושים?
הדקות הראשונות חשובות. זה הסדר:
- מדווחים מיד לאחראי ה-IT או לספק. לא מחכים "לראות אם קרה משהו".
- אם הוקלדה סיסמה: מחליפים אותה מיד, ובודקים אם אותה סיסמה משמשת במקומות אחרים.
- מנתקים חיבורים פעילים: ב-Microsoft 365 אפשר לנתק את כל החיבורים של המשתמש ולחייב כניסה מחדש.
- בודקים את התיבה: כללי העברה או מחיקה חדשים, מיילים שנשלחו בלי ידיעת העובד, וכניסות ממקומות לא מוכרים.
- אם נפתח קובץ: מנתקים את המחשב מהרשת, ולא מכבים אותו, עד שאיש מקצוע בודק.
- אם הועבר כסף: פונים לבנק מיד. ככל שהפנייה מוקדמת יותר, יש יותר סיכוי לעצור את ההעברה.
- מתעדים: מה קרה, מתי, ומה נעשה.
ניתן גם לדווח על אירוע סייבר למוקד 119 של מערך הסייבר הלאומי.
שאלות נפוצות
מה ההבדל בין ספאם לפישינג?
ספאם הוא דואר שיווקי לא רצוי. פישינג הוא ניסיון הונאה: לגנוב סיסמה, כסף או גישה. סינון דואר מטפל בשניהם, אבל פישינג מתוחכם יכול לעבור את הסינון, ולכן צריך גם עובדים ערניים.
אם יש לנו אנטי-וירוס, אנחנו מוגנים מפישינג?
לא לגמרי. אנטי-וירוס מגן מפני קבצים זדוניים, אבל דף כניסה מזויף או בקשה להעביר כסף לא נראים כמו וירוס. צריך שילוב של סינון דואר, אימות דו-שלבי ונהלים.
מה עושים עם מייל חשוד שעוד לא פתחנו?
לא לוחצים על קישורים ולא פותחים קבצים. מדווחים לאחראי ה-IT ומוחקים. אם ההודעה מתחזה לגורם מוכר, מוודאים מולו בטלפון.
למה התוקפים מכוונים דווקא לעסקים קטנים?
כי לרוב יש בהם פחות שכבות הגנה ופחות נהלים, ובכל זאת יש בהם כסף, מידע של לקוחות וגישה לספקים ולקוחות אחרים.
אימות דו-שלבי עוצר כל פישינג?
הוא עוצר את רוב ניסיונות השימוש בסיסמה גנובה, אבל לא את כולם. יש התקפות שמנסות לגנוב גם את קוד האימות, ולכן חשוב לא לאשר התראות שלא ביקשתם ולשלב הגנות נוספות.
כמה פעמים כדאי להדריך את הצוות?
הדרכה ראשונית, ואחריה רענון קצר כמה פעמים בשנה, וגם בכל קליטה של עובד חדש.
מה עושים אם מייל התחזה לעסק שלנו ונשלח ללקוחות?
מודיעים ללקוחות בערוץ מוכר, בודקים אם אחת התיבות שלכם נפרצה, ומגדירים SPF, DKIM ו-DMARC כדי להקשות על התחזויות בעתיד.
איך ש.מ מחשבים יכולה לעזור
אנחנו מטמיעים אצל עסקים את שכבות ההגנה מפני פישינג: אימות דו-שלבי, סינון והגנה על הדואר, הגדרות דומיין, הדרכת צוות קצרה וליווי ברגע שמשהו קורה. פרטים בעמוד אבטחת מידע לעסקים, ואפשר להתחיל גם מצ'קליסט אבטחת המידע. רוצים שנבדוק את ההגנות אצלכם? השאירו פרטים.