פישינג באינטרנט: מה זה וכיצד נזהרים ממנו?
ניסיונות פישינג (Phishing), או "דיוג" בעברית, הפכו בשנים האחרונות לאחת הדרכים הנפוצות ביותר לביצוע הונאות באינטרנט. מדובר בהונאה שבה תוקפים מנסים לדלות מהמשתמש מידע רגיש – סיסמאות, מספרי כרטיסי אשראי, פרטים מזהים – באמצעות התחזות לגופים מוכרים.
במדריך הבא נסקור מהם סוגי הפישינג הנפוצים כיום, איך מתגוננים מפניהם, מה עושים אם נתקלנו בניסיון פישינג – ולמי מדווחים.
איך להתגונן מפני ניסיון פישינג?
הדרך הטובה ביותר להתמודד עם פישינג היא מניעה. ברוב המקרים ניתן לזהות סימנים מקדימים שיכולים להעיד על ניסיון הונאה – ולעצור אותו לפני שנגרם נזק.
הנה כמה כללים חשובים להגנה עצמית:
- אין למסור סיסמאות, פרטים אישיים או פרטי אשראי בעקבות פנייה לא יזומה.
- יש לוודא שהאתר אליו מפנים אתכם מאובטח (HTTPS + מנעול).
- מומלץ להפעיל אימות דו-שלבי בכל חשבון שבו הדבר מתאפשר.
- מומלץ לא ללחוץ על קישורים חשודים או מקוצרים, במיוחד אם הם מופיעים בהודעות דוא"ל או SMS.
- יש לשים לב לניסוחים לא שגרתיים, שגיאות כתיב, ואיומים ("החשבון ייחסם תוך 24 שעות").
המלצות כלליות נוספות:
- איש לא אמור לבקש מכם את הפרטים האישיים שלכם. במיוחד לא סיסמה ולא פרטי כרטיס אשראי. לכן, יש להמנע באופן מוחלט ממסירת מידע זה, אלא אם כמובן, אתם רוכשים באינטרנט או נרשמים לשירות מיוזמתכם. קראו את המדריך שלנו על קניות ברשת למידע נוסף.
- קיבלתם מייל שנראה לכם חשוד – הסתכלו על כתובת השולח ועל כתובת הקישור אליה הוא מפנה, וחפשו בה בעיות. לדוגמא, האקרים יסוו את עצמם בצורה הבאה: [email protected]. (שימו לב שה-URL הוא hackerurl, והם פשוט הכניסו לשם עמוד בשם bankhapoalim).
- אל תורידו קבצים הנשלחים ממקור לא מוכר או שאתם לא מצפים לקבל ממנו קובץ. היזהרו במיוחד מקבצי exe המבקשים לעשות שינוי במחשב.
- התקינו מוצרי אבטחה איכותיים במחשב ובסמארטפון. הם יוכלו להגן עליכם מפני מתקפות Phishing רבות.
- מומלץ להפעיל אימות דו-שלבי (Two Factor Authentication) בכל שירות שבו הדבר מתאפשר, כחלק משכבת ההגנה הבסיסית.
מה לעשות במקרה של ניסיון פישינג?
אם זיהיתם ניסיון פישינג, או חלילה פעלתם בהתאם להנחיות שבהודעה חשודה – חשוב לפעול במהירות.
במקרה שהוזנו הפרטים שלכם:
- אם הוזנו פרטים אישיים או פרטי תשלום, יש להחליף מיד את הסיסמאות, לדווח לחברת האשראי, ולבצע סריקה מקיפה של המכשיר באמצעות תוכנת אבטחה.
- אם נפתחה קובץ או הורדה שבוצעה – יש לנתק את המכשיר מהרשת ולבדוק אפשרות לפגיעה.
אם זוהה ניסיון פישינג אך לא בוצעה פעולה מצדכם – עדיין חשוב לדווח כדי למנוע את הפגיעה באחרים.
בכל מקרה של חשש או בלבול, מומלץ לפנות לקו הסיוע לאינטרנט בטוח, שם ניתן לקבל תמיכה ראשונית, הדרכה והכוונה להמשך פעולה.
מה לעשות אם נפלתי קורבן?
ראשית, צריך להבין מה בדיוק עשיתם ואילו פרטים נתתם.
אם נלחץ הקישור אך לא הוזנו פרטים – הסבירות לפגיעה נמוכה, אך עדיין מומלץ לבצע סריקה במכשיר. בכל מקרה, אנו ממליצים להתקין מוצר אבטחה איכותי במחשב ובסמארטפון, ולא יזיק להריץ סריקה לאחר שנכנסתם ללינק.
הכנסתם פרטים כמו שם משתמש וסיסמא?
החליפו באופן מיידי את שם המשתמש והסיסמא של השירות אליו חשבתם שנכנסתם.
האם שם המשתמש והסיסמא הללו משמשים אתכם גם לשירותים נוספים? אם כן – בצעו את השינוי גם בהם.
אם עדיין לא הגדרתם אימות דו-שלבי (Two Factor Authentication)? – עכשיו זה הזמן.
נתתם פרטי כרטיס אשראי? בטלו את כרטיס האשראי באופן מיידי, וכן ודאו שלא נעשה בו שימוש.
הורדתם קובץ כלשהו מהאתר? אל תפתחו אותו! זו עלולה להיות נוזקה. אם פתחתם אותו:
נתקו את המחשב מהאינטרנט.
הריצו סריקה של האנטי-וירוס.
במידה ואתם חושדים שהותקנה נוזקה/כופרה על המחשב/סמארטפון, פעלו לפי ההמלצות שלנו במדריכי העזרה הראשונה:
מה לעשות אם פרצו לי לסמארטפון?
מה לעשות אם פרצו לי למחשב?
מה לעשות אם הותקפתי ע"י כופרה?
מה עושים אם נמסרו פרטים לאתר חשוד?
לדווח לחברת האשראי:
- לאומי קארד: 03-5723666
- ויזה כאל/ דיינרס: 03-5723666
- ישראכרט/מסטרקארד: 03-6364400
להודיע לסניף הבנק שלך.
סוגים של ניסיונות פישינג
פישינג הוא מונח כללי שמתאר שיטה לגניבת מידע רגיש דרך התחזות – אך בפועל, קיימים סוגים רבים ושונים של ניסיונות פישינג, שכל אחד מהם פועל בדרך מעט אחרת.
חלק מההונאות מבוססות על הודעות מייל שנראות לגיטימיות, אחרות מגיעות ב-SMS, באפליקציות מסרים, ברשתות החברתיות – ויש גם מקרים מתוחכמים במיוחד שבהם התוקף אוסף מראש מידע אישי על הקורבן כדי ליצור אשליה של פנייה אמינה.
בואו נכיר את הסוגים השונים:
חטיפת SIM
חטיפת SIM היא אחת משיטות הפישינג המתוחכמות והמסוכנות ביותר. במקרה זה, התוקף מצליח להעביר את מספר הטלפון של הקורבן לכרטיס SIM אחר, לרוב באמצעות התחזות לחברת הסלולר.
ברגע שהמספר עובר לשליטתו, התוקף יכול לקבל הודעות SMS וקודי אימות חד-פעמיים, לשחזר סיסמאות, ולהשתלט על חשבונות בנק, דואר אלקטרוני ורשתות חברתיות. במקרים רבים, פעולה זו מאפשרת עקיפה של אימות דו-שלבי, שנחשב לאמצעי אבטחה חזק.
אחד הסימנים הבולטים לחטיפת SIM הוא ניתוק פתאומי של הטלפון מהקליטה הסלולרית, ללא סיבה ברורה. במקרה כזה, יש לפנות מיד לחברת הסלולר ולבדוק את העניין.
פישינג במייל
פישינג באמצעות דואר אלקטרוני הוא מהשכיחים ביותר. הודעות מסוג זה נשלחות לרוב בשם גופים מוכרים ואמינים – בנקים, חברות אשראי, אתרי קניות, רשויות ממשלתיות או ספקי שירותים.
המייל יכלול בדרך כלל בקשה ללחוץ על קישור, להזין פרטים אישיים או לעדכן סיסמה, ולעיתים גם איום מרומז בחסימת החשבון אם לא תתבצע פעולה מיידית.
כדי לזהות פישינג במייל, חשוב לשים לב לכתובת השולח, לכתובת הקישור שאליה מפנים, ולניסוח ההודעה. ניסוחים לא תקניים, שגיאות כתיב או תחושת לחץ לפעולה מהירה – הם סימני אזהרה נפוצים.
ספיר פישינג (Spear Phishing)
ספיר פישינג הוא סוג ממוקד במיוחד של פישינג, שבו ההונאה מותאמת באופן אישי לקורבן. התוקף אוסף מראש מידע על האדם – שמו, תפקידו, מקום עבודתו, קשרים מקצועיים או אישיים – ומשתמש בו כדי ליצור פנייה שנראית אמינה ומוכרת.
הודעות מסוג זה עלולות להיראות כמו פנייה ממנהל, קולגה, ספק או גורם מקצועי אחר, ולכן הן מסוכנות במיוחד. תחושת ההיכרות והאמינות גורמת לרבים לפעול מבלי לבדוק לעומק את מקור ההודעה.
דווקא בגלל רמת התחכום הגבוהה, חשוב לזכור שגם פנייה אישית לכאורה אינה ערובה לכך שמדובר בגורם לגיטימי. בכל בקשה חריגה, במיוחד כזו שכוללת קישורים או בקשת מידע – מומלץ לעצור ולבדוק.
פישינג ב-SMS
פישינג באמצעות הודעות SMS הפך לנפוץ מאוד בשנים האחרונות. הודעות אלו נשלחות בדרך כלל בשם בנקים, חברות משלוחים, גופים ממשלתיים או ספקי שירותים, וכוללות קישור לאתר מתחזה.
ההודעות מנוסחות לרוב בצורה קצרה ולוחצת, למשל התרעה על חשבון חסום, חבילה שלא נמסרה או צורך בעדכון פרטי תשלום. הלחץ לפעולה מיידית נועד לגרום לקורבן ללחוץ על הקישור מבלי לבדוק את אמינותו.
במקרה של הודעת SMS חשודה, מומלץ לא ללחוץ על הקישור, אלא להיכנס ישירות לאתר הרשמי של הגוף המוזכר – או לפנות אליו דרך ערוץ אחר.
פישינג דרך רשתות חברתיות
פישינג יכול להגיע גם ממישהו שאתם מכירים, אם האקרים פרצו לפרופיל שלו. קיבלתם הודעה מוזרה מחבר כמו מסמך וורד בפייסבוק/וואטסאפ מהחבר מהתיכון שלא דיברתם איתו 5 שנים? חשדו בפישינג.
קיבלתם הודעה מהרשת החברתית או מכל שירות אחר המתריעה שחשבונכם ייחסם אם לא תמסרו פרטים? זה כנראה ניסיון פישינג. שימו לב ל-URL אליו אתם מופנים (למשל facebook.hackerurl.com – האתר הוא של ההאקר, ולעמוד בתוכו הוא קרא "facebook").
אם אתם לא בטוחים אם אתם מתמודדים עם פישינג – שלחו הודעה לתמיכה הטכנית (למשל בפייסבוק [email protected]).
למידע נוסף על פישינג בפייסבוק, ניתן להיכנס לעמוד הבא.
למידע נוסף על פישינג ב-Whatsapp, ניתן להיכנס לעמוד הבא.
למידע נוסף על פישינג ב-Linkedin, ניתן להיכנס לעמוד הבא.
למידע נוסף על פישינג ב-Instagram, ניתן להיכנס לעמוד הבא.
אם אתם משתמשים ברשת חברתית אחרת – חפשו את העמוד שלה בנושא.
למי מדווחים על ניסיונות פישינג?
שאלה שעולה הרבה פעמים היא: למי מדווחים על פישינג באינטרנט? דיווח על ניסיון פישינג הוא לא רק צעד חשוב להגנה אישית – הוא גם מסייע למנוע פגיעה באחרים.
ניתן לדווח על ניסיון פישינג לגורמים הבאים:
חברות האשראי:
ישראכרט / מסטרקארד – 03-6364400
כאל / דיינרס / לאומי קארד – 03-5723666
הבנק שלכם – יש לעדכן את הסניף ולהפעיל מעקב על תנועות חריגות.
ניתן גם לפנות לקו הסיוע לאינטרנט בטוח – הגוף המרכזי לטיפול, ייעוץ וליווי בנושאי פישינג, הונאות רשת, חדירה לפרטיות ונזקים דיגיטליים.
לסיכום
ניסיונות פישינג הפכו לחלק בלתי נפרד מהמרחב הדיגיטלי שבו כולנו פועלים – בין אם מדובר בדוא"ל, בהודעות טקסט, בשיחות טלפון או בפלטפורמות חברתיות. הדרך היעילה ביותר להגן על עצמנו היא מודעות: לזהות את הסימנים המוקדמים, להבין מה עושים במקרה של ניסיון פישינג, ולדעת למי מדווחים כדי לצמצם את הנזק – גם לנו וגם לאחרים.
הכלל החשוב ביותר הוא פשוט: אם משהו מרגיש לא תקין – עוצרים, בודקים, ומתייעצים. במקרה של חשד לפישינג, מומלץ לפנות מיד לקו הסיוע לאינטרנט בטוח, ולקבל ליווי מקצועי בהתאם לצורך.
