לסמוך או לסמוך על אבטחת המידע של הבנקים? - לאן נעלם אתר אמריקאי של הונאות שבוצעו על ידי בנקאים?

 

היום (2.4.25) הרציתי בזום את ההרצאה ששמה מופיע בכותרת. 

את ההרצאה "לסמוך או לא לסמוך על אבטחת המידע של הבנקים?" כבר העברתי מספר פעמים. 

הפעם גיליתי בהכנה להרצאה משהו מוזר. 

לא הצלחתי להפעיל קישור לאתר חשוב של הממשל האמריקאי העוסק בהונאות של בנקים. 

בפעמים קודמות שהרציתי לא הייתה בעיה כזו.

 

במה עוסקת ההרצאה?

ההרצאה עוסקת בסיכונים במערכות מידע של בנקים. התפיסה היא שיש סיכונים חיצוניים (למשל: התקפות סייבר) ויש סיכונים פנימיים (למשל: גניבת כספי לקוחות על ידי עובד בנק). 

קל לי להביא דוגמאות לסיכונים פנימיים ממדינת ישראל. למשל: משבר מניות הבנקים בשנת 1983 בו הורשעו מנכ"לים של בנקים בישראל.

מדינת ישראל איננה לבד. הבאתי דוגמאות גם מבנקים בארצות הברית.  

האתר שלא הצלחתי להתחבר אליו

שקף ממצגת "לסמוך או לא לסמוך? - אבטחת מידע של הבנקים" 
זכויות יוצרים: אבי רוזנטל

המקור הטוב ביותר לגניבות כספים על ידי בנקאים, בחלקם בכירים, בארצות הברית היה אתר SIGTARP. זהו אתר ממשלתי בארצות הברית. שקף מהמצגת שלי שמופיע בתחילת פיסקה זו מתאר אותו בקצרה. 

באתר מופיעים מקרים של בנקאים, חלקם בתפקידים בכירים, שהורשעו בבית משפט בגניבת כספי לקוחות. 

לכל מקרה מופיעים הפרטים הבאים:

1. שם הבנק

2. שם המורשע או המורשעים ותפקידו או תפקידיהם בבנק.

3. העבירה או העבירות שבוצעו.

4. סכום הכסף שנגנב.

סכומי הכסף שהוחזרו על ידי בנקאים שהורשעו הם אינדיקציה טובה להיקף האדיר של הכספים שנגנבו. 

על פי האתר, הוחזרו 11 מיליארד דולר.  

חשוב לציין שלא כל הכספים שנגנבו החוזרו. בלא מעט מקרים, הגנב משתמש ברוב הכספים. אחרי שהשתמש כבר אינו יכול להחזיר את הכספים.

מדוע לא הצלחתי להתחבר לאתר?

אין להוציא מכלל אפשרות שזו טעות טכנית שלי, אבל ההסתברות לכך נמוכה. 
עשיתי מספר ניסיונות להתחבר. עם מספר כתובת URL לדפים באתר שהועתקו מהמצגת שלי. 

בנוסף עשיתי חיפושים ב-Google של כניסות עם שם האתר וכניסות עם מילות מפתח שהיו מביאות אותי לאתר, לו הוא היה זמין. 

לא סביר שכתובת האתר שונתה מבלי שהכתובת הקודמת תישמר וישאר בה קישור לאתר החדש ביחד עם הודעה על שינוי כתובת האתר. 

ההשערה שלי

במסגרת תפקידו החדש של איילון מאסק במממשל של נשיא ארצות הברית דונלד טראמפ, מאסק מחסל תפקידים ופונקציות ממשלתיות. הוא גם סוגר אתרי אינטרנט ממשלתיים. 

מאסק נותן אוטונומיה לעובדים צעירים בחברתו לביצוע "התייעלות". 

יתכן שעובד בן 17 או עובד בן 20 בחברה פרטית של מאסק החליט על דעת עצמו למחוק את האתר הזה משום שחשב שאין בו צורך.

יתכן שאיילון מאסק היה זה שחשב שהאתר מיותר והורה לעובד שלו למחוק אותו.

יתכן שהיוזם היה מישהו בממשל טראמפ. 

קצת פחות סביר שהנשיא טראמפ בעצמו ירד לפרטים קטנים וביצע זאת בעצמו, אלא אם כן התבקש לעשות זאת על ידי בעל הון שטראמפ חפץ ביקרו. 

השורה התחתונה

מי שישמע את ההרצאה שלי יבין כמה חשוב אתר כזה. 

הוא עשוי להרתיע עובדי בנק שמתכננים לגנוב כספים מהבנק בו הם עובדים.

הוא עשוי להגדיל את המודעות של לקוחות בנקים ועובדי בנקים לסיכונים.

להזמנת ההרצאה ניתן להתקשר אלי באמצעת טלפון: 054-4480616. 

קישורים  

לסמוך או לא לסמוך על אבטחת מידע של בנקים?

דרישות הכופרה מ"שירביט": מה צריכים לעשות לקוחות החברה על מנת להגן על עצמם?

 

העיסוק בתקשורת בדרישות הכופרה מחברת הביטוח שירביט הוא בשאלות הפחות חשובות ללקוחות החברה. החברה מצוטטת כמי שטוענת, שמי שעשה את זה כנראה היה גורם עוין לישראל שביצע מתקפת סייבר על מדינת ישראל ובחר באתר של החברה. מרבית המומחים שצוטטו אינם חושבים כך. הם חושבים שמדובר בהאקרים, כנראה ישראלים, שפרצו למערכות החברה. אני נוטה להסכים עם המומחים. דעתי היא שהפריצה דווקא לשירביט היא בגלל אבטחת מידע לא מספיק טובה של החברה ו/או כישרון יוצא דופן של ההאקרים.

השאלה שבאמת חשובה ללקוחות היא כיצד הם יוכלו למזער את הנזק האישי והכלכלי שלהם, אם יפורסמו נתונים שלהם?

פוסט זה יעסוק בשאלה זו. 

ההבדל באבטחת מידע בין בנקים לחברות ביטוח

השורה התחתונה היא שאבטחת מידע בבנקים טובה יותר מאשר בחברות ביטוח.

יש לזה סיבות טובות שהעיקרית שבהן היא גודל הנזק העלול להיגרם לחברה וללקוח. 

דפוס העבודה של לקוחות בנקים הוא שהם מבצעים פעולות של משיכת והעברת כספים גם באמצעות ערוצי שירות עצמי. 

מי שהשתלט על פרטי חשבון בנק של מישהו אחר ופועל בחשבון יכול למשוך או להעביר לחשבון אחר סכומי כסף גבוהים. הוא לא בהכרח יעשה את זה בהעברה אחת. הוא עשוי לבצע את זה במספר פעולות לאורך זמן. 

 קו המוצרים הקלאסי של חברות ביטוח הוא ביטוח. על מנת לקבל כסף צריך להגיש תביעה. חברות הביטוח לא מעוניינות לשלם ולכן הן יבדקו היטב את התביעה לפני שהן יעבירו את הכסף ללקוח. 

קו מוצרים נוסף הוא השקעות וחסכונות. משיכה ממוצרים של חיסכון פנסיוני, שהם רוב החסכונות וההשקעות של הציבור בחברות ביטוח, נדרש תהליך של מילוי טפסים, בדיקת חבות מס ועוד לפני ביצוע משיכה הונית. 

גם משיכה מפוליסות חיסכון ומתיקי השקעות, המנוהלים על ידי חברות ביטוח, היא תהליך ביורוקרטי. 

ההבדל בפוטנציאל הנזק גורם לרגולציה מחמירה יותר באבטחת מידע בבנקים ולנכונות של הבנקים להשקיע יותר באבטחת מערכות המידע שלהם. 

הנזקים העלולים להיגרם ללקוחות שירביט

1. סיסמאות

אם ללקוח שירביט יש סיסמה וקוד משתמש קבועים,  עליו להניח שהפרטים האלה חשופים לכל אחד. 

כפי שהבנתם מהפסקה הקודמת הסיכון של משיכת כספים מהחשבון שלו באמצעות התחזות אינו גדול. 

הסיכון המהותי הוא במקרה שהלקוח בחר באותה סיסמה גם באתרים אחרים, למשל: חשבון בנק או חשבון Paypal.

לצערנו, יש לא מעט לקוחות הבוחרים באותה סיסמה באתרים שונים.

במקרה כזה ניתן יהיה להתחזות אליו גם בחשבון הבנק שלו וכפי שהבנתם מהפסקה הקודמת זה כבר יותר מסוכן.

פעולה נדרשת: אם אתם לקוחות שירביט ובחרתם באותה סיסמה באתרים רגישים דאגו לסיסמה שונה מהסיסמה בשירביט באותם אתרים.

2. מידע רפואי

חברות ביטוח מבטחות גם ביטוחים רפואיים, ביטוחי חיים, ביטוחים סיעודיים וביטוחי נסיעות לחו"ל. 

רמת הסיכון של החברה תלויה במצבו הרפואי של המבוטח ולכן הוא נדרש לדווח על מצבו הרפואי באמצעות טפסים שהוא ממלא. יהיו מקרים שהחברה תבטח אותו תמורת פרמיה גבוהה יותר. יהיו מקרים בהם תבצע החרגה לביטוח ויהיו מקרים שבהם החברה לא תבטח אותו. 

חשיפת הפרטים האלה למי שאינו צריך לדעת אותם עלולה לגרום נזק ללקוח. למשל, הוא יתקשה למצוא עבודה והכנסתו תיפגע.
אני בהחלט מתייחס כאן גם למקרים בהם אין שום קשר בין התפקוד שלו בעבודה לבין בעיית הבריאות.

פעולה נדרשת: אין לי פיתרון לבעיה הזו. 

3. חשיפת פרטים אישיים ופרטי כרטיס אשראי 

מהדיווחים בתקשורת הבנתי שנחשפו פרטי כרטיסי אשראי ופרטים מזהים של לקוחות.

שמירת פרטי כרטיסי אשראי של לקוחות במאגרי מידע של חברות היא נוהג נפסד. שמירתם ללא הצפנה חמורה יותר. 

מישהו עלול לעשות שימוש בכרטיס האשראי באמצעות התחזות ללקוח.

פעולה נדרשת: לדווח לחברת כרטיסי האשראי שפרטי הכרטיס נחשפו בעקבות הפריצה למערכות של שירביט.

4. חשיפת מידע אישי אחר

עלולים להיות מצבים שבהם ייגרם ללקוח נזק בגלל חשיפת מידע אישי.

פעולה נדרשת: אין מה לעשות. אם ייגרם נזק, אפשר לדרוש פיצוי מהחברה.

בינינו, בעולם הדיגיטלי והאינטרנטי התזזיתי שלנו כמעט שלא ניתן לשמור על פרטיות, ללא קשר לחברת שירביט.

5. חשיפת מידע פיננסי על הלקוח

אם ללקוח יש השקעות כספיות בחברת ביטוח, כגון: תיק השקעות, פוליסת חיסכון, קופות גמל וקרנות השתלמות, המידע הזה נחשף לכל. 

אני יכול לחשוב על תסריטים שבהם ייגרם ללקוחות מסוימים נזק.

פעולה נדרשת: לחברת שירביט אין פעילות בקווי עסקים אלה, לפיכך להערכתי זה לא רלוונטי.

6. גניבת זהות

במקרים קיצוניים של עבריינים מתוחכמים ייתכן שימוש בתעודת זהות שהוצגה בפומבי על ידי הפורצים ולא רק בפרטי הזיהוי שמופיעים בה. הדרך להגן מפני מקרים כאלה היא החלפת תעודת הזהות. במקרה כזה ישתנה תאריך ההנפקה של התעודה שהוא אחד מהאינדיקטורים לזיהוי בחלק מאתרי האינטרנט.

לסיכום

טפלו מידית בסיסמאות שלכם ודווחו לחברות כרטיסי האשראי.

חוליה חלשה במאבק בקורונה במדינת ישראל

כבר הזכרתי בפוסטים קודמים שלמגפת הקורונה חשוב להתייחס מזווית של ניהול סיכונים. עסקתי לא מעט בניהול סיכונים ובנושא ספציפי של סיכוני אבטחת מידע. 
אחת התובנות שלי, ולא רק שלי, היא שהמודעות (awareness) של עובדי הארגון לסיכונים היא גורם משמעותי בהתמודדות עם הסיכונים. 
למדתי מחברת Gartner, חברת האנליסטים של מחשוב וטכנולוגיית המידע, המובילה בעולם עד כמה זה חשוב. זה קרה בפרויקט ייעוץ בחו"ל של החברה, לו הייתי שותף כיועץ Free Lancer. למדתי גם ממה שכתב אחד מגדולי המומחים בעולם לאבטחת מידע באותה תקופה ש: The Chain is as strong as the weakest link in the chain. 

בכל ה-Penetration Tests שעשיתי החוליה החלשה בשרשרת הייתה מודעות עובדים לסיכוני אבטחת מידע. ליתר דיוק חוסר מודעות. אנשים נתנו לי מידע שלא היו צריכים לתת לי בגלל חוסר מודעות לאבטחת מידע. 
ההמלצות באבטחת מידע בפרט ובניהול סיכונים בכלל, הן להשקיע במודעות של העובדים בארגון לסיכונים.

הזכרתי את זה בהקשר של חוליה חלשה במדינת ישראל ביחס לקורונה. החוליה החלשה אליה אני מתכוון היא מודעות הציבור. 

את המודעות מנסים להגדיל בעיקר אמצעות ענישה. החלק הלוקה מאוד בחסר הוא הסברה. 

מבחן התוצאה

אני מכבד את החוקים והתקנות בהקשר של הקורונה ופועל לפיהם. כאדם מעל לגיל 60, אני בוחן את ההמלצות של משרד הבריאות באופן אישי לגבי עצמי בהתחשב במצבי הבריאותי התקין.

עד היום המשכתי לעשות ספורט במרחב הציבורי. אני הולך ורץ, גם בימים כתיקונם. אני עושה זאת לבד. אני עושה זאת במקומות שאינם הומים בבני אדם. במהלך ההליכה וההליכה למקום התחלת הריצה אני עובר גם בפארק וליד מגרשי כדורגל וכדורסל לרווחת הציבור. 

אני מקפיד לשמור מרחק של 2 מטר לפחות מכל אדם. אני רואה שם  אנשים וילדים המתנהגים כאילו אין קורונה. הסיבה לכך היא חוסר מודעות.

הבעיות בהסברה

1. אין מספיק הסברה

תשוו את ההסברה להסברה הרבה אפקטיבית בקמפיינים של מלחמה בתאונות דרכים או מחסור במים בישראל שהיו הרבה יותר מקיפים ואפקטיביים. 

2. המסבירים הם האנשים הלא מתאימים

פוליטיקאים כמו ראש הממשלה נתניהו ושר הבריאות (אולי סגן שר בתפקיד שר?) הרב ליצמן אינם יכולים להיות המסבירים.  
רבים לא מאמינים להם. יש המייחסים להם ערבוב של אינטרסים פוליטיים וצריך לזכור כי במשך שנים לא הייתה השקעה מספקת בבריאות הציבורית. היא באה לידי ביטוי בנתונים השוואתיים מול מדינות OECD אחרות, שהגרף בראש הפוסט הוא רק אחד מהם. 
בבוא היום יתכן שהם יצטרכו כאחראים על מערכת הבריאות: מדוע לא הושקעו יותר משאבים במערכת הבריאות הציבורית?

הם לא ממש מתמקדים בנושא וחורגים להיבטים פוליטיים או לאמירות טריוויאליות.

הדרך לשיפור

1. מטה הסברה ייעודי עם תקציבים ויכולות.

2. בראש המטה צריך לעמוד אדם לא פוליטי שתחום התמחותו הוא תחום רפואי רלוונטי.
ראיתי בחדשות בטלוויזיה, כמה אנשים מצוינים כאלה.

3. עדיף שזה יהיה אדם שאינו ממשרד הבריאות וניהל מערכת רפואית גדולה ולכן יש לו גם ראייה כלכלית.
האמון באדם כזה יהיה הרבה יותר גדול ויתייחסו לדבריו ברצינות

4. בשעה מסוימת ביום אותו אדם צריך לדווח בקצרה בכל אמצעי התקשורת על המצב באותו יום ולהוסיף גם הסברה מקצועית. 
מעבר לאותה הופעה יומית ההחלטות כיצד לנהל את מטה ההסברה יהיו שלו. כמובן בעזרת מומחים מקצועיים בהסברה.

רק כך תהיה מודעות גדולה יותר לסיכונים.

הסברה או ענישה

 נדמה לי שהוכח כבר בעבר שהסברה יעילה יותר מענישה. זה לא אומר שלא נדרשת ענישה. ענישה היא רק צעד משלים להסברה.

שני המקרים להלן, שאחד מהם אולי לא היפוטתי, יסבירו את הטעון.

מקרה 1: חולה הקורונה שבורח

חולה קורונה שיודע שהוא חולה והמחלה מדבקת בורח מהמחלקה בבית החולים ומסתובב, ללא שמירת כללי הריחוק, ליד בני אדם שאינם חולים במקומות שונים בבית החולים.

נדמה לי שהעמדה למשפט וענישה הם בהחלט במקום.

מקרה 2: החולה שאביו נפטר

נניח שאחד המבוגרים שפגשתי בפארק בדרכי למקום הריצה הנידח שלי.  היה קרוב למספר רב של ילדים, ששיחקו ביחד עם הילדים שלו. אחד הילדים הזרים הדביק אותו בקורונה. שוטר ניגש אליו והגיש תלונה נגדו ועליו לעמוד במשפט.

האיש, שטרם ידע שחלה הלך לבקר את אביו בן ה-58, שיש לו מחלות אחרות נדבק ממנו וחלה ונפטר. 

האם מישהו יעמיד את האדם למשפט וידרוש עונש מאסר? אם כן, האם בית המשפט לא יפסוק שהאיש כבר נענש דיו?

סיסמאות: החוליה החלשה באבטחת מידע

לפני יותר מ-15 שנה ביצעתי Penetration Test במתקן בנקאי באירופה במסגרת פרויקט ייעוץ של חברת ייעוץ בינלאומית גדולה. באחד מהמקרים עמדתי מאחורי עובד בסניף בנק שנכנס למערכת. העובד היה מורשה להיכנס למערכת אבל ממרחק של כמה מטרים יכולנו אני ויועץ נוסף לדעת בקלות מהי סיסמת הכניסה שלו למערכת. כשהאיש הכניס למערכת את הסיסמה שלו הוא הקיש מספר פעמים על הספרה "1". לא הוקשו ספרות אחרות, אותיות או סימנים אחרים. 
ברגע שידעתי את הסיסמה הייתי יכול, לו רציתי, למצוא הזדמנות ולהיכנס למערכת בשמו, למשל כאשר הוא הולך לדבר עם המנהל שלו או ניגש לשרותים.

אני והיועץ הנוסף לא מהווים בעיה כי Penetration Test הוא ניסיון לחדור למערכת בתשלום ובידיעה של מנהלים בארגון על מנת להפיק דוח של נקודות תורפה והמלצות לתיקונן.
באותה מידה זה היה יכול להיות מישהו אחר שהכוונות שלו טובות פחות.

אחת ההמלצות שלנו הייתה כפיית סיסמאות חזקות יותר במערכת. לא עוד "111111" או "222222", אלא דפוס מורכב יותר של אותיות, מספרים ואולי גם סימנים מיוחדים.

פוסט זה נכתב בעקבות קריאת כתבה של רפאל קהאן ב"כלכליסט" המספר על מחקר של שרות ה-Cyber הבריטי. כותרת הכתבה: הגיע הזמן להחליף סיסמה: גם "ליברפול" ו"רדיוהאד" זה לא מקורי. 

במחקר נותחו מספר רב של סיסמאות מתוך מאגרים של סיסמאות שנפרצו בשנים האחרונות ומצוינים דפוסי סיסמאות קלים לפריצה. 
בפוסט זה אשלב כמה מהממצאים עם תובנות שלי והמלצות שלי.

הדפוס הכי קל לניחוש

הסיסמה הנפוצה ביותר במאגרים מזכירה קצת את מה שראיתי באותה עבודה לפני יותר מ-15 שנים. 
הסיסמה הנפוצה ביותר במאגר לא הייתה "111111", שאני ראיתי, אלא "123456". נמצאה שכיחות גבוהה גם לסיסמאות אחרות קלות לניחוש בסגנון דומה, למשל: "123456789". 

ההמלצה שלי

סיסמאות כאלה הן נחות לזכירה אבל קלות לניחוש. 
הימנעו מסיסמאות המורכבות מספרות בלבד בדפוס פשוט וקל לניחוש.

שמות משמעותיים

במחקר המצוטט ב"כלכליסט" נמצא כי במקרים רבים משתמשים בוחרים כסיסמה שם של קבוצת ספורט אהודה, להקה אהובה או סרט שהתרשמו ממנו במיוחד. 
עברייני רשת יכולים בקלות להגיע לסיסמה כזו. כל מה שהם צריכים זה להיכנס לדף ה-Facebook של אותו אדם. הם יראו שם סמל של הקבוצה האהודה או סרטון מוזיקלי של הלהקה האהובה ולא מעט פוסטים שמחים כשהקבוצה מנצחת או הלהקה מופיעה. 
מכאן ועד לניחוש מושכל של הסיסמה הדרך קצרה. 

הכתבה לא עוסקת בשמות משמעותיים אחרים כסיסמה אבל כשאתם בוחרים כסיסמה את השם שלכם, השם של בת זוגכם האהובה, הבן או הבת הצעירים או חיית המחמד, הדרך לזיהוי הסיסמה דומה למה שתואר לעיל. 

שימו לב שאין בעיה לבחור שם שמשמעותי לכם ומי שנכנס לדף שלכם ברשתות החברתיות לא ימצא עליו דבר.
למשל: שמה של האקסית המיתולוגית לפני 30 או 40 שנה, שמאז לא הייתם איתה בקשר, שמו של דב הפנדה שפגשתם בגן חיות לפני 25 שנים או פילוסוף לא כל כך ידוע שהוזכר בקורס מבוא לפילוסופיה והרשים אותכם בצעירותכם אבל מאז התבגרתם ולא הזכרתם את שמו או את תפיסת העולם שלו.

ההמלצה שלי

הימנעו מבחירת שמות משמעותיים לכם, שאחרים יודעים שהם משמעותיים לכם ו/או עולים בתדירות גבוהה ברשתות החברתיות שלכם או באלבומי התמונות שלכם. 
כשאתם בוחרים שם משמעותי שאינו מופיע שם הוסיפו לו גם כמה ספרות.

OTP

OTP הן ראשי תיבות של: One Time Password. אתם נכנסים לאתר נותנים פרטים מזהים ונשלחת אליכם סיסמה חד פעמית, התקפה לזמן קצר.
לרוב נשלחת הסיסמה באמצעות הודעת SMS. אפשר גם באמצעות הודעת דוא"ל. 

היתרונות הן שמדובר בסיסמה שאינה משמעותית למקבל הסיסמה ולכן קשה לנחש אותה ומשך הזמן הקצר בו היא תקפה.

החיסרון הוא שמישהו שיודע את הפרטים המזהים שלכם ומשום מה נפל לידיו הטלפון הסלולרי שלכם יוכל לבצע פעולות במקומכם וללא ידיעתכם.

ההמלצה שלי    

אין ספק שהיתרונות של OTP עולים על חסרונותיו. השתמשו ב-OLTP כשזה ניתן. העדיפו אותו על פני סיסמאות רגילות.  

הצורך בססמאות למספר גדול של אתרים ויישומים 

בתקופה עמוסת אתרי אינטרנט ואפליקציות צריכים נספר רב של סיסמאות.

מי יכול זכור כל כך הרבה סיסמאות? מי יכול להחליף כל כך הרבה סיסמאות תקופתית?

מי יכול לרשום על דף את כל האתרים והסיסמאות ולמחוק ולשנות בכל פעם שמשנים סיסמה? ואם יגנבו לכם את הדף עם הסיסמאות? 

אחד הפיתרונות של חלק מהאנשים הוא להשתמש באותה סיסמה ברוב המקומות או בכל המקומות, אם זה ניתן. 

אני לא היחיד שיודע את מה שכתבתי כאן. גם אלה שפורצים לאתרים וגונבים סיסמאות ביחד עם פרטים מזהים יודעים את זה. 

כשהם פורצים לאתר כמו Facebook או Linkrdin הם מנסים את הסיסמה והפרטים המזהים גם באתרים אחרים כמו אתרים של כרטיסי אשראי, בנקים ואתר Paypal. 

ב-Facebook הם אולי יכולים להעלות בשמכם תמונות פורנוגרפיות (כמו שקרה לגברת אחת שאני מכיר בשנות ה-70 של חייה). בבנק או באמצעות הפרטים של כרטיס האשראי הם יכולים לגנוב מכם סכומי כסף נכבדים.

ההמלצה שלי   

אם אתם יכולים לנהל סיסמה נפרדת לכל אתר או אפליקציה זהו פיתרון טוב. 

אם אינכם יכולים, לפחות תפרידו בין סיסמאות לאתרים רגישים (בנקים, כרטיסי אשראי וכיו"ב) לבין אתרים פחות רגישים ותקבעו סיסמאות שונות. 

הסיכוי שיגנבו את הססמאות שלכם באתרים הפחות רגישים הוא גדול יותר. הפרדה כזו עשויה להקטין את הנזקים העלולים להיגרם לכם.

הערת שוליים  

לא מיציתי בפוסט זה את כל האפשרויות. בין השאר לא הזכרתי זיהוי ביומטרי במקום ססמאות ושימוש בתוכנה לניהול ססמאות.

מי זכאי לגשת למידע הפיננסי שלכם?

בפוסט קודם: רשימות שחורות רשימות לבנות התיחסתי לנושא של פרטיות מידע פיננסי אישי, בהקשר של פרויקט יעוץ בחו"ל שבוצע על ידי חברת יעוץ בינלאומית גדולה. אני הייתי שותף לפרויקט כיועץ Freelancer מטעם אותה חברה.
הפרויקט היה מחשוב של רשימה לבנה של אשראי שלקחו משקי בית וגורמים אחרים. 
אחד הנושאים המהותיים היה שמירה על פרטיות המידע של אותם אנשים. 
נושא זה הרבה פחות מהותי לגבי הרשימה השחורה שמוחשבה באותו ארגון. אלה שנכללו בה לא עמדו בהחזר האשראי שלקחו והחוק באותה המדינה התיר לפרסם את פרטיהם על מנת שיוכלו להימנע מלתת להם אשראי.

בעידן ה-Cyber גדל החשש משימוש לרעה במידע הפיננסי האישי מצד גורמים, שאינם מורשים וניצלו פרצות אבטחה, על מנת לגשת למידע הזה ולבצע פעולות.

ההגדרה של גורמים מורשים וגורמים לא מורשים להשתמש במידע היא הרבה פחות חדה ממה שנדמה לחלק מהקוראים.

גורמים בגוף הפיננסי הנותן שירותים פיננסיים

ברור שיש עובדים בגוף המנהל פעולות פיננסיות או נכסים פיננסיים החייבים לגשת למידע של לקוחות על מנת לבצע עבורם פעילויות פיננסיות ו/או דיווחים.
הבעיות בהקשר זה עלולות להיות:
1. גישה למידע וביצוע פעולות על ידי עובדים של אותו גוף פיננסי, שאינם מורשים לעשות זאת.
2. שימוש לרעה בהרשאות על ידי עובדים מורשים.

ההיקף של גישת עובדי בנקים לחשבונות ומשיכת כספי לקוחות שלא כדין, יותר גדול ממה שהקורא הממוצע משער.
בהרבה מקרים בנקים בעולם ובארץ מעדיפים לפצות את הלקוחות הנפגעים בשקט ולא לפרסם את מה שקרה.
פרסום עלול לגרום ללקוחות לנטוש אותם לטובת בנקים אחרים.

העברת מידע לגורמים אחרים שלא ברשות
העברת מידע פיננסי של לקוח על ידי גוף מנהל לגורמים עסקיים אחרים עלולה להיות בעיתית במקרה בו הלקוח לא מאשר את העברת המידע או לא מודע להעברת המידע.
לצערי העברות מידע כאלה מתרחשות. זה לא חיב להיות הארגון המנהל את המידע. זה יכול להיות גם עובד המבצע את זה על דעת עצמו.

בכתבה בחדשות ערוץ 2 התיחס עו"ד דן חי לשימוש בפרטי לקוח המופיעים על צ'ק שלו, שלא למטרות פדיון הצ'ק. במקרה הספציפי, ניסיון לשכנע את הלקוח הפוטנציאלי להעביר את החשבון שלו לבנק הפונה. אינני עורך דין, אבל עו"ד חי חושב שזו עבירה פלילית שהעונש עליה עלול להגיע למספר שנות מאסר.

העברת מידע ברשות הלקוח
סוג אחר של דילמה היא העברת מידע פיננסי או משיכת מידע פיננסי באישורו של הלקוח.
הלקוח אולי מעונין להעביר את המידע הבנקאי שלו לבנק אחר על מנת שיציע לו תנאים משופרים. 
מקרה אחר הוא רצונו של לקוח לרכז את כל המידע הבנקאי או הפיננסי שלו במקום אחד, למשל: מידע משני חשבונות בנקים ומחברת כרטיסי אשראי.
ריכוז המידע ולפעמים גם ניתוח שלו עשויים לעזור למשק הבית להתנהל טוב יותר.
פיננדה (Finanda) היא דוגמה פיתרון ממוחשב המרכז מידע פיננסי ומאפשר דיווח וניתוח שלו. הלקוח יכול לבחור סוגי דיווח מתוך סט הדיווחים הקיימים במוצר.

ברמה העקרונית אני לא רואה בעיה בזה שלקוח של גוף הנותן שירותים פיננסיים יאפשר, מרצונו הטוב, העברת מידע לגוף אחר הנותן לו שירותים או עשוי לתת לו שירותים.
באופן עקרוני הוא היה יכול לגשת לנתונים להדפיס אותם ולמסור אותם לאותו גורם.
הדפסה כזו היא ללא ספק הרבה פחות יעילה מהעברת מידע ממוחשבת סדירה.

הבעיה היא שהבנקים לא ממש אוהבים העברת מידע כזו. זה עלול לגרום ללקוח להעביר את הכספים שלו לניהולו של מתחרה זול יותר.
הם מערימים קשיים על העברת מידע כזה. לפעמים הרגולציה עוזרת להם להקשות על העברת מידע כזה.

כמעט לכל קושי יש פיתרון. גם לקושי בהעברת מידע. הפיתרון שבו בחרו בנקים וגופים אחרים בעבר נקרא Screen Scraping. נתוני הלקוח בבנק המסרב לשתף מידע נשלפים ממסך דיווח של הבנק. לטכניקה הזו יש בעיות טכניות אבל גם בעיה אחת מהותית.
על מנת לבצע דיווח כזה היישום הממוחשב זקוק לשם משתמש וסיסמה של הלקוח בבנק. 

הצירוף של שם משתמש וסיסמה אינו מוגבל רק לדיווחים: הוא מאפשר גם ביצוע פעולות. זוהי פירצה קשה באבטחת מידע של הנתונים.
  
מי שמספק את שם המשתמש והסיסמה מרצונו הטוב הוא הלקוח. זה יוצר בעיה נוספת. פחות חמורה מהבעיה המסומנת באדום לעיל. הבנק אוסר על הלקוח לתת את שם המשתמש והסיסמה שלו למישהו אחר.

כשהלקוח עושה זאת ומספק אותם ליישום, הבנק עלול להסיר מעצמו כל אחריות במקרה של פריצה לחשבון.

שיתוף נתונים במאגר חיצוני לבנקים
רגולטורים במדינות שונות, כולל ישראל, מחפשים פיתרון לבעיה של חשיפת נתונים, באישור הלקוח, לצורך תחרות. כשבו זמנית נחסך הצורך בשימוש בסיסמה ושם משתמש.
פיתרון אםשרי הוא מאגר ציבורי של נתונים בנקאים לקריאה בלבד. כמובן שהגוף שינהל אותו חיב למנוע גישה של אנשים לא מורשים למידע.
מאגר כזה ישמש את האנשים שהמידע מתיחס אליהם וגופים הרוצים להציע להם את שירותיהם.

הבעיה שנותרה היא אותה בעיה שהוצגה קודם: הבנקים יעשו כל שביכולתם שלא לתת את הנתונים משום שהלקוחות עשויים לגלות פיתרונות תחליפיים לשירותים שהם מציעים.
  

שיתוף מידע פיננסי

עולם השירותים הפיננסיים עובר בשנים האחרונות שינויים מהותיים. קראו למשל את הפוסטים הבאים:
שירותים פיננסיים חלופיים מנישה שולית למרכז (Mainstream) 
מה תעשה כשתהיה גדול: בנקאי או איש Fintech? 
התבגרות הפינטק 

שני הפוסטים האחרונים עוסקים בשחקנים חדשים בשוק השירותים הפיננסיים: חברות ה-Fintech.

לאחרונה נתקלתי במאמר העוסק ביוזמה של מספר גופי Fintech בארה"ב מנסה להגדיר API סטנדרטי, כלומר: ממשק סטנדרטי, להעברת מידע פיננסי בין גופים שונים. ארה"ב אינה הראשונה. בריטניה וסינגפור מקדימות אותה.

לפרטים על המיזם קראו: 

US Fintech firms join forces to push data sharing via APIs. 

מיזם זה ומיזמים דומים בארצות אחרות ובגופי תקינה יביאו בשלב כלשהו להגדרת סטנדרט להעברת פרטים פיננסיים אישיים ונתונים אחרים ביו נותני שירותים פיננסיים. 
מבחינה טכנולוגית הוא עשוי להקל על העברת מידע בין נותני שירותים כאלה.

בהקשר זה חשוב להביא בחשבון שני דברים:

1. איומי Cyber ואבטחת מידע.

2. העברה אפשרית של נתונים ללא הרשאה מבעל הנתונים, כלומר: הלקוח.
בהקשר של השני יש לזכור שהרגולציה ביחס ל-Fintech במקרה טוב היא בחיתוליה ובמקרה הפחות טוב אינה קיימת כלל. 

איך להפסיד 177,222 דולר בשניה במשך 45 דקות?

נתקלתי בפוסט באנגלית שכתב Richard Gowin בינואר 2015. את כותרת הפוסט שלו תרגמתי מילה במילה ככותרת של הפוסט הנוכחי בעברית.

מי שמעונין לקרוא את פרטי האירוע הטכני שגרם להפסד הגדול כתוצאה מבאג בתוכנת מסחר שפעלה מול הבורסה של ניו יורק מוזמן ללחוץ על הקישור:   How to lose $172,222 a second for 45 minutes. לדברי הכותב מכל הבאגים שהוא מכיר באג זה גרם לנזק הכספי הגדול ביותר. 

לא כל אחד רוצה ולא כל אחד יכול להבין את פרטי האירוע. למי שאינו מעוניין לקרוא את הפוסט הטכני באנגלית אתמצת את הנקודות העיקריות:

1. הבאג נגרם עקב שינוי בתוכנה שיושם לא נכון באחד מתוך 8 שרתים.

2. הוא נגרם בגלל טיפול לא נכון בחלק לא פעיל מהתוכנה.

3. הצטרפו לזה נהלים ותהליכים לקויים של טיפול בשינויי תוכנה ובדיקת שינויי תוכנה ותפיסה שגויה של טיפול בבעיות בזמן אמת.

את מי שהפסיד סכומי כסף גדולים זה ממש לא מענין מדוע זה קרה? 

האירוע ממחיש את הסיכונים במסחר במניות בבורסה המתנהל כמעט כולו באופן אוטומטי על ידי מערכות ממוחשבות המתחברות למחשבי הבורסה בניו יורק ובמקומות אחרים.

לקחים מאורע כזה

ככל שעולמנו נעשה ממוחשב יותר ומערכות מטפלות בנושאים קריטיים יותר, גדלה החשיבות של תהליכים נכונים של פיתוח ובדיקת מערכות ותרחישים של התמודדות מהירה עם תקלות בזמן אמת.

תחשבו לרגע על באג קשה בתוכנת מכונית הנוהגת בעצמה.

באותה מידה גדלה גם החשיבות של אבטחת מידע. ללא אבטחת מידע נאותה, מישהו יכול לחבל במתכוון בתוכנת המערכות וליצר באגים ו/או שינויים פונקציונאליים (למשל העברת כספים לחשבונו)

זהירות: נחשפו מספר רב של סיסמאות ב-Linkedin

חברת אבטחת המידע Kaspersky פירסמה ב-18 במאי 2016 אזהרה לפיה נפרצו  סיסמאות של הרשת המקצועית Linkedin (לפי הפורץ מדובר על 117 מיליון שמות משתמש וסיסמאות). חברת האבטחה ממליצה למשתמשי הרשת המקצועית לשנות מיד את סיסמתם ברשת Linkedin.  

לקריאת ההודעה של Kaspersky קראו:

Change your Linkedin password NOW

אני מצטרף להמלצת חברת האבטחה. היות שבלוג זה עוסק בכלכלת המשפחה, אתמקד בנזקים הכלכליים העלולים להיגרם לכם אם לא תשנו את הסיסמה.

פרטי הפריצה וגניבת הסימאות
מדובר בפריצה שנעשתה בשנת 2012. ההערכה הייתה שמספר זיהויי משתמש וסיסמאותיהם שנחשפו אינו גדול והכל חזר למסלול הרגיל. אלא שבימים אלה פירסם ההאקר שהוא מעוניין למכור 117 מיליון שמות משתמש וסיסמאות.      

השוואה לפריצת ססימאות אחרות עליה כתבתי

בעבר פרסמתי פוסט על פריצת סיסמאות לכרטיסי אשראי: כרטיסי האשראי שנחשפו על ידי האקרים באינטרנט. בפוסט הקודם לא הייתי צריך להסביר מדוע פריצת סיסמאות עלולה להסב לכם נזק כלכלי.

ידיעת הסיסמה שלכם ברשת חברתית או מקצועית, לכאורה, לא יכולה להסב לכם נזק כלכלי ישיר ולכן אסביר מדוע עלול להיגרם לכם נזק.

נזקים ישירים ברשת Linkedin

עלולים להיגרם לכם נזקים כלכליים גם משימוש בזהות שלכם ברשת חברתית.

1. גניבת זהות

מישהו יכול להשתמש בזהות שלכם ב-Linkedin לביצוע תרגילי עוקץ ניגרי ועוקצים דומים.

המנגנון: מישהו פונה אליכם עם סיפור על קרוב משפחתו שהוא מנהיג אפריקאי או כבנקאי כביכול שלקוח ערירי ועשיר שלו נפטר. בשני המקרים מוצג כאילו יש הרבה כסף. הוא מציע לכם אחוזים מהכסף. התנאי לכך הוא שתאפשרו העברת כל הכסף לחשבון הבנק שלכם. ברגע שתתנו לו את מספר חשבון הבנק שלכם לא ייכנס כסף לחשבון שלכם. במקום זאת יימשך כסף.

גונב הזהות שלכם יציע בשמכם את העסקה הזו ל-connections שלכם. קרוב לודאי שמי שיעלה על התרמית מיד יפסיק להיות Connection שלכם. 

מי שייעקץ, יראה בכם אשמים בתרמית על לא עוול בכפיכם (למעט חוסר זהירות ואי שינוי מידי של סיסמתכם).

2. פחות הצעות עבודה

אם אתם עצמאים או מחפשי עבודה או מוכנים להחליף את מקום עבודתכם במקום עבודה אטרקטיבי יותר, עלול להיגרם לכם נזק כלכלי גדול.

מי שיודע את הסיסמה שלכם, עלול לשנות את הפרופיל המקצועי שלכם ב-Linkedin או אפילו למחוק אותו.

בעולם של היום לפעמים הפרופיל המקצועי שלכם ב-Linkedin חשוב יותר מקורות החיים שתשלחו למקומות עבודה פוטנציאליים. את קורות החיים לא בטוח שיקראו. את הפרופיל שלכם כנראה שכן.

עוד לא הזכרתי פניות יזומות אליכם של כאלה שקוראים את הפרופיל שלכם ב-Linkedin ועשויים ביוזמתם להציע לכם עבודה.

אני קיבלתי לא מעט פניות כאלה. כמובן שפניה אליכם אינה מבטיחה בהכרח עבודה, אבל היא נקודת פתיחה טובה. 

3. וירוסים, תולעים ודיוג (Phishing)

כל אלה עלולים להתבצע כביכול על ידכם, אם יבוצעו על ידי הפורצים תחת שמכם.

מי שידויג או ייפגע מוירוס טרויאני או תולעת, לא ממש יחוש ידידות והערכה כלפיכם.

אגב, גם הקשרים עם מי שיאבחן זאת כדיוג, וירוס או תולעת ולא ייפגע עלולים להידרדר.

4. Networking

בעולם של היום Networking הוא דבר חשוב ומשמעותי מבחינה חברתית וחשוב אף יותר מבחינה מקצועית. 

ממה שתיארתי לעיל אתם בודאי מבינים את פוטנציאל הפגיעה האפשרית במיצוב שלכם בעולם ה-Networking. 

נזקים עקיפים ומשמעותיים הרבה יותר

1. אם אתם משתמשים באותה סיסמה גם באתרים אחרים, כמו שהרבה משתמשים עושים, אתם עלולים להיחשף לחדירה גם לאתרים אחרים שלכם.

כשמישהו ישתמש, חס וחלילה, בזהות שלכם באתר הבנק שלכם, אתר כרטיסי האשראי שלכם או אתר Paypal, עלול להיגרם לכם נזק כלכלי ישיר ומשמעותי. זהו הסיכון הגדול והמשמעותי ביותר.

2. אם יש לכם דפוס קל לזיהוי של מבנה סיסמה למי שיודע את סיסמת ה-Linkedin שלכם יהיה קל יותר לפצח את הסיסמה שלכם בבנק או בחברת כרטיסי האשראי או באתר עסקי אחר.

גם זה סיכון משמעותי במיוחד.

לסיכום

בכל מצב בו יש לכם רושם שמישהו יודע  את הסיסמה שלכם לאתר אינטרנט, עדיף להחליף מיד סיסמה.

לא תמיד תדעו להעריך את פוטנציאל הנזק. כמעט תמיד תעריכו אותו בהערכת חסר.

כשלא אתם פרסמתם את המידע שפורסם בשמכם באינטרנט

עידן האינטרנט והטלפונים החכמים משפיע על מצבנו הכלכלי בהיבטים רבים למשל: חשיפת יתר לפרסומות, אפשרות לקנות יותר בזול דרך האינטרנט ואפשרות להציע או לקבל שירותים מבוססי מיקום. 

אין שום אפשרות מעשית להבטיח פרטיות למידע ששמתם באינטרנט. ברגע ששמתם אותו גם אם תמחקו אותו, כבר לא תוכלו למחוק אותו. מישהו אחר אולי העתיק אותו או הפיץ אותו. רוצים להבין יותר מדוע? קראו: Your private Data is Unforgettable.

המידע עליכם באינטרנט ישמש גם לדברים, שאתם לא רוצים שיעשו בו שימוש. המקרה הקלאסי הוא שיווק על ידי יצרני מוצרים או ספקי שירותים, שאולי לא שמעתם עליהם ואולי אינכם מעוניינים בסוג המוצרים, שהם מנסים למכור לכם (לפעמים באגרסיביות יתרה).

עבודה

אתם מחפשים מקום עבודה חדש. שלחתם קורות חיים. בכלל לא בטוח שיקראו אותם. אם אתם, לכאורה מועמדים רלוונטיים, יותר סביר שיקראו עליכם דברים אחרים באינטרנט. 

למשל את הפרופיל שלכם ב-Linkedin. את האופן בו אתם מציגים את עצמכם ב-Facebook. את הפוסטים שהעלתם. מי הם החברים שלכם ברשת החברתית או הקשרים שלכם ברשת המקצועית, למה עשיתם Like, למה עשיתם Share וכיו"ב.

זה בהחלט יכול להשפיע על קבלת ההחלטה: האם להעסיק אתכם או לא?

ההמלצה היא להיזהר כשאתם מעלים מידע כלשהו לאינטרנט. זה כולל גם מידע לא כתוב כמו תמונות.

כנראה שכמה שתיזהרו, תמיד יהיה עליכם לא מעט מידע באינטרנט. 

ניתוח האופי שלכם וכיצד לפעול באינטראקציה איתכם 

לפני זמן לא רב נתקלתי בכתבה בעיתון כלכלי. הכתבה עוסקת בתוכנה חדשה ושנויה במחלוקת. אתם מזינים פרטים של אדם. התוכנה מבצעת חיפוש, עיבוד וניתוח מידע עליו באינטרנט. אתם תקבלו את התכונות שלו, את האופן שבו הוא פועל והמלצות כיצד לפעול מולו או בשיתוף פעולה איתו.

הכתב השתמש בתוכנה עם שמותיהם של כמה פוליטיקאים מובילים בישראל והציג בכתבה את הניתוח ואת המלצות של התוכנה.

זה לא חשוב האם הניתוח נכון או סביר. חשוב אם ישתמשו בה ויחשבו שהניתוח לפחות סביר.

מידע שפורסם בשמכם - מקרה פרטי

הבוקר התקשרה אלי גברת בגיל מבוגר להודות לי. כש"טיילתי" אתמול בקבוצת Facebook שמתמחה בברידג', מצאתי פוסטים שפורסמו בשם הגברת. תוכנם של הפוסטים היה תמונות פורנוגרפיות. היות שהיה ברור לי לחלוטין שלא היא פרסמה אותן, כתבתי לה ב-Facebook וסיפרתי לה על פרסום התמונות בשמה. היום היא התקשרה להודות לי.

היא טיפלה במצב בסיוע מומחה מחשוב שעזר למחוק את הבושה. 

מידע שפורסם בשמכם ברמה העקרונית

זהו מקרה קיצוני ולכן גם קל לאתר אותו. תארו לכם שימשהו ישתלט על הזהות הדיגיטלית שלכם או חלק מהזהות הנ"ל ויפרסם דברים בשמכם.

ייתכן מאד שלא יאתרו את זה, שלא אתם הם אלה שפרסמתם.

לכו תדעו מה יקרה כשתחפשו עבודה. ייתכן שיפסלו אתכם רק בגלל משהו, שמי ש"גנב" את הזהות הדיגיטלית שלכם פרסם בשמכם.

כיצד להתגונן?

עליכם לנסות להיות ערים לסכנה ולהתגונן בפניה. הדרך להתגונן היא להכיר את הדרכים השכיחות לגניבת זהות דיגיטלית או שימוש בזהות דיגיטלית שאולה. 

שלוש הדרכים השכיחות שאציג כאן:

1. מתן הרשאות לאפליקציות

חלק גדול מהאפליקציות הממוחשבות באינטרנט, אינן דורשות מכם סיסמה וקוד משתמש או מאפשרות לכם במקביל דרך חליפית לסיסמה וקוד משתמש. הדרך החליפית היא לתת לאפליקציה הרשאות לגשת למידע שלכם, כולל סיסמה ב-Facebook או ב-Google. לכם זה יותר נוח. גם ככה אתם "טובעים" בים הסיסמאות, שמבקשות מכם אפליקציות האינטרנט בהם אתם משתמשים (בנקים, חברות ביטוח, קופת חולים, המחשב, אתרי אינטרנט, מועדוני צרכנים וכיו"ב). 

השאלה היא: למי אתם נותנים הרשאות כאלה? 

אם תתנו הרשאות כאלה למשחק חדש שאתם לא מכירים, ייתכן שזו תוכנה זדונית, במקום המשחק או בנוסף למשחק.

כשאני נותן הרשאה כזו ל-Feedly אין לי בעיה. זו תוכנה שאני יודע מהי ואני משתמש בה לקבלת RSS לתכנים בנושאים המעניינים אותי מאתרים שאני מכיר היטב.

המלצה: בדקו היטב לםני שאתם מאפשרים לתוכנה לגשת להרשאות שלכם ב-Facebook  או ב-Google.

2. דיוג (Phishing)

אתם מקבלים הודעה מהבנק שלכם, מ-PayPal או מגורם אחר שאתם עובדים בו. בהודעה בקשה להזין שוב את הסיסמה וקוד המשתמש שלכם, במסגרת עדכון תקופתי של הבנק או החברה.

סמל הבנק או החברה יופיע בדף האינטרנט.

חדי העין מביניכם, יבחינו שזו אינה אותה כתובת אינטרנט (URL), שבדרך כלל משתמש בה הבנק או משתמשת החברה.

בקיצור, הבנק או PayPal לעולם לא יבקשו מכם את הסיסמאות שלכם דרך האינטרנט (למעט לצורך כניסה לאתר הבנק או החברה). מישהו התחזה לבנק שלכם וקיבל את פרטי ההזדהות שלכם.

שלא כמו בדוגמה בסעיף "מידע שפורסם בשמכם - מקרה פרטי", אני לגמרי בטוח, שבמקרה זה הוא לא ישתמש במידע על מנת לפרסם תמונות פורנוגרפיות. הוא ישתמש במידע על מנת למשוך כסף מחשבון הבנק שלכם או לרכישת מוצרים באמצעות ה-PayPal שלכם או כרטיס האשראי שלכם.

3. אל תפעילו תולעים וסוסים (טרויאנים)

אתם מקבלים הודעה עם קישור ולוחצים על הקישור. אם אתם לא מכירים את מי ששלח את ההודעה או אם נראה לכם מוזר שזה מה שהאדם שאתם מכירים ישלח לכם, ובכל זאת לחצתם ייתכן שהתקנתם תוכנה זדונית במחשב שלכם.

ההמלצה פשוטה: אל תלחצו על קישורים כאלה. 

לתוכנה הזדונית הזו עשויים להיות שמות שונים: תולעת, סוס טרויאני, וירוס.

השם פחות מעניין. מה שמעניין זה מה התוכנה תעולל לכם. אחד הדברים הפחות חמורים, הוא משלוח הודעות עם תמונות פורנוגרפיות בשמכם.

לחסוך בלי לדעת

מקור התמונה: דף הבית של Digit

לפני כמה עשורים, כשהאינטרנט עוד לא היה נפוץ ואף לא אחד דיבר על Cyber ועל Cyber Crime, נולד המושג פשעי מחשב. כמומחה למחשבים, שפה ושם עסק גם באבטחת מידע, התחלתי להתעניין בנושא.

אחד העבריינים המורשעים הראשונים היה מתכנת מחשבים בבנק בארה"ב, שכשנתפס נשלח לכמה שנים בבית סוהר.

כיצד גנב אותו מתכנת כסף?

המתכנת פתח חשבון בנק שהוא בעליו, כשהוא מתחזה לאחר, בעל שם משפחה המתחיל באותיות ZY. הרעיון היה שבכל מיון החשבונות לפי שם בעל החשבון, חשבון זה יהיה החשבון האחרון ברשימה. 

במקביל שינה את תוכנת ניהול חשבונות העובר ושב של הבנק כך שתעביר אוטומטית מחשבונות לקוחות סנטים בודדים לחשבון האחרון הנ"ל. למשל: מחשבונו של לקוח בנק שבחשבונו הייתה יתרה של 5,042.71  דולר, הועברו 71 סנט לחשבון האחרון ברשימת חשבונות הבנק. 

לקוחות הבנק לא התלוננו על ההעברה של סכומים זעירים מחשבונם. רובם כנראה לא הבחינו בכך. מי שכן הבחין בכך, אם בכלל, לא טרח להתלונן. 

בחשבונו של הנוכל הצטברו סכומים ניכרים אותם משך. 

התקלה אירעה אחרי מספר שנים. לבנק הצטרף לקוח חדש. שמו האמיתי היה כזה שהפך אותו לחשבון האחרון (אולי התחיל שם משפחתו באותיות ZZ).

הסנטים הבודדים עברו לחשבונו של הלקוח החדש במקום לחשבונו של הנוכל. הלקוח החדש בחר להתלונן על הכספים שנכנסים לחשבונו. חקירת המשטרה מצאה את הנוכל ואת אופן פעולתו.

המנגנון של Digit דומה 

Digit היא תוכנה חדשנית העוסקת בניהול כספים. הרעיון דומה לרעיון של פושע המחשב, שתואר בפסקה הקודמת. 
כמו במקרה של המתכנת הנוכל, גם במקרה של Digit, הלקוחות אינם שמים לב לכסף הנלקח מחשבונם.

יש הבדל מהותי: הסכומים הקטנים שהיא מעבירה מחשבונם, אינם נגנבים מהלקוחות. הם מופקדים כחיסכון בבנק על שם הלקוח. הרעיון הכללי הוא חיסכון של סכומים קטנים שהלקוח יכול להרשות לעצמו בלי להיכנס לאוברדרפט.

הלקוח נותן הרשאה לתוכנת Digit לגשת לחשבון הבנק שלו ולבצע פעולות. התוכנה משתמשת בטכניקות של בינה עסקית על מנת לנתח את דפוסי ההתנהלות של חשבון הבנק ועל פיהם מחליטה מתי לחסוך.
האלגוריתם של Digit גמיש מספיק, על מנת לא לחסוך במצבים בהם יש חריגה מדפוסי ההתנהלות הקבועים.


המפתח להצלחה
המפתח להצלחה הוא ניתוח נכון של דפוסי ההתנהלות של חשבון הבנק של הלקוח. ניתוח לא טוב מספיק עלול לגרום לחיסכון במצבים בהם אין זה נכון לחסוך. 

למי זה מתאים?
Digit מתאים בעיקר לצעירים במצב כלכלי טוב, למשל: עובדי היי-טק  צעירים. מחקרים מראים באופן עקבי, שצעירים נוטים לחסוך פחות מהדורות הקודמים. Digit עוזרת להם להתמודד עם ההתנהלות הכלכלית השגויה הזו.

רווק בן 25 ששכרו מהיי-טק גבוה, עלול להצטער שלא חסך אם וכאשר יתחתן ויהיו לו ילדים וההוצאות שלו יהיו גבוהות יותר (למשל: ירכוש דירה וישלם משכנתה). הוא יצטער אפילו יותר, אם וכאשר יפוטר בגיל 40 או בגיל מאוחר יותר ויתקשה למצוא עבודה.

סיכונים ומגבלות

1. סיכון מהותי הוא הצורך לתת את פרטי חשבון הבנק ל-Digit. הפרטים האלה נכנסים לתוכנה באופן אוטומטי.
החברה מודעת לסיכון. באתר החברה כתוב שהיא משתמשת בטכניקות המתקדמות ביותר של אבטחת מידע על מנת להגן על הפרטים שמסרתם. 

Digit אינה האפליקציה היחידה המבקשת מכם את פרטי חשבון הבנק שלכם, כולל סיסמה. ברוב המקרים אין דליפת מידע כזה, משום שאבטחת המידע היא טובה. 

ההסתברות לדליפת הסיסמה שלכם נראית לי נמוכה, אבל אם חס וחלילה זה יקרה, מי שידע אותם עלול לגרום לכם נזק רב.

2. נכון לעכשיו, ניתן להשתמש בתוכנה רק בארצות הברית. התוכנה עובדת עם כמאה בנקים בארצות הברית.

3. להיכן הולך החיסכון?
לא בטוח שאפיק החיסכון שנבחר על ידי התוכנה הוא אופטימלי. התוכנה אינה מערכת מומחה להשקעות בשוק ההון. אנשי Digit מודעים למגבלה זו וממליצים לחוסכים ללא ידיעתם, לבדוק מדי פעם כמה הצטבר ולהעביר את זה למסלול חיסכון או השקעה מתאים לדעתם.

4. העלות
השימוש בתוכנה הוא ללא תשלום, אבל התוכנה מעבירה לחברת Digit חלק מרווחי החיסכון.

5. התוכנה אינה מתאימה לרוב משקי הבית בישראל. 
לו הייתה התוכנה זמינה בישראל, היא לא הייתה מתאימה לרוב משקי הבית:

א. אלה שנמצאים באוברדרפט או באוברדרפט כרוני
על פי כתבה שפורסמה לאחרונה בכלכליסט, כ-41% ממשקי הבית נמצאים באוברדרפט וכמעט 69% באוברדרפט כרוני.

ב. אלה שהבנקים אינם מוכנים לתת להם אוברדרפט
אם אני זוכר נכון, ראיתי נתונים לפיהם הבנקים אינם מוכנים לתת אישור למשיכת יתר, לכמה עשרות אחוזים ממשקי הבית. הסיבה היא: הכנסות נמוכות והיקף נמוך של נכסים פיננסיים.

ג. אלה ש"חיים על הקצה"
כלומר: אינם באוברדרפט, אבל חיים בצמצום ואינם מסוגלים לחסוך.

השורה התחתונה
רעיון יפה וחדשני, המנסה לפתור חלק מההתנהלות הכלכלית הלא נכונה של משפחות, באופן אוטומטי, ללא צורך בתהליך הסברה ושינוי התנהגות.
מתאים רק למשפחות עם דפוסים מסוימים של התנהלות חשבון הבנק.

הערת שוליים
אם קראתם את הפוסט: בכל זאת אוברדרפט וחיסכון יש דרך טובה יותר, הבנתם שיש מצבים בהם אני מציע לחסוך למרות שנמצאים באוברדרפט. הבנתם שיש גם שיש דרך טובה יותר. Digit הוא אחד המימושים של דרך טובה יותר.  

מידע נוסף
בסרטון של החברה How it Works