פישינג לא מה שחשבתם

 

בפוסט כלכלה בישראל 2023: תחזית פסימית, התייחסתי בקצרה לספרם של ג'ורג' אקרלוף ורוברט שילר, "תורת ההונאה -מניפולציות והולכת שולל בתחום הכלכלי". 

בפוסט זה אתיחס בעיקר לחלק מאוד משמעותי, מספר זה. 

שני חתני פרס נובל כותבים לא מעט על פישינג (Phishing). 

עד שהתחלתי לקרוא את הספר, חשבתי כמו כל אנשי המחשבים, וכמו כמעט כל מי שמכיר את המושג ואינו מומחה מחשבים, שדיוג רלוונטי רק למערכות מחשוב מקוונות. 

כותבי הספר מצטטים את ההגדרה של מילון אוקספורד על פיה, המושג נטבע בשנת 1996. על פי ההגדרה Phishing היא: "הונאה באינטרנט שמטרתה להשיג מאנשים מידע אישי, בעיקר תוך התחזות לחברה בעלת מוניטין. תרמית מקוונת הנעשית דרך "דיג" של מידע אישי תוך כדי התחזות".

ההגדרה של כותבי הספר היא רחבה יותר. הם מרחיבים אותה מעבר לתחום של מחשבים. ההגדרה שלהם מדברת על "דייגים" הגורמים לאנשים לעשות דברים התואמים את האינטרס של ה"דייגים" ולא את האינטרס של הקורבנות. 

הקורבנות הם "פריירים" על רקע של מידע מוטעה או חלקי או על רקע של הטיות פסיכולוגיות. 

בהגדרה הרחבה הזו, אין הכרח להתחזות לחברה בעלת מוניטין. חברה בעלת מוניטין עלולה לנצל את המוניטין שיש לה על מנת "לדוג" פריירים.

 

קפיטליזם ודיוג

 

שני הכלכלנים מצהירים שהם תומכים במודל קפיטליסטי, אבל מבינים שהמודל יוצר כמעט הכרח לשימוש בדיוג. גם חברות הוגנות נאלצות לפעמים לעשות שימוש בטכניקה הלא הוגנת הזאת. 

בסופו של דבר צריך להיווצר שיווי משקל של דיוג. עודף בשימוש בטכניקה הזו עלול להרוס את המוניטין של החברה ולמנוע ממנה בעתיד שימוש בדיוג.

 

הדיוג עובר לטלפונים החכמים

דיוג או באנגלית Phishing הוא השגת מידע אישי של משתמשים תמימים באמצעות תרמית אינטרנטית. הטכניקה דומה לטכניקות דייג. הדג חושב שיש מזון בקצה החכה ומנסה לזכות בו. הוא צודק, אכן יש מזון, אבל כך הוא גם נתפס על ידי הדייג. 

כבר פרסמתי פוסטים העוסקים ב-Phishing באינטרנט. אתם מקבלים הודעה בשם אחד הבנקים הגדולים שיש צורך מידי בשינוי הסיסמה שלכם. מצורף קישור לאתר הבנק, כביכול,.
הלוגו הוא אותו לוגו. המראה החיצוני כמעט זהה רק שהכתובת היא לא באתר של הבנק. אתם מזינים קוד משתמש, פרטים אישיים וסיסמה ישנה וסיסמה חדשה שתחליף אותה. מקבלים הודעה בשם הבנק שתהליך שינוי הסיסמה עבר בהצלחה. "הדייג" דג את הסיסמה הנוכחית שלכם, את קוד המשתמש ופרטים נוספים עליכם.

כל מה שנותר לו זה להיכנס לחשבון האמיתי שלכם בבנק ולהעביר כסף לחשבונות אחרים.
בעבר כתבתי מספר פוסטים על דיוג באינטרנט, למשל: כשלא אתם פרסמתם את המידע שפורסם בשמכם באינטרנט. 

שיטה פרימיטיבית יותר לדיוג היא הודעת דוא"ל שקיבלתם ממישהו מניגריה, סקוטלנד או מדינה כלשהי אחרת. "הדייג" מציע להעביר לחשבונכם כסף שלו אסור להוציא ממולדתו. אתם תתחלקו בו איתו. כל מה שאתם צריכים לשלוח לו בדוא"ל את פרטי חשבון הבנק שלכם. בלא מעט מקרים תקבלו הודעה בעברית עילגת, שמקורה בתרגום האוטומטי של Google. במקרים רבים אחרים האנגלית היא זו שתהיה עילגת.

הדיוג בעקבות הטכנולוגיה

העולם הממוחשב עבר בשנים אחרונות מהפכה של טלפונים חכמים. יש יותר טלפונים חכמים ממחשבים אישיים. אתם מקבלים יותר הודעות SMS והודעות Whatsapp מאשר הודעות דוא"ל. 
גם "הדייגים" "עלו כיתה" טכנולוגית: הם שולחים הודעות דיוג באמצעות SMS או Whatsapp. 
שוב אתם מתבקשים בשם גוף גדול ומכובד לתת את פרטי כרטיס האשראי שלכם או את פרטי חשבון הבנק שלכם. שוב הקישור אינו לאתר אותו גוף אלא לאתר המתחזה. 

בימים האחרונים רבו ניסיונות הדיוג בישראל. הדיוג נעשה בשם כללית שרותי בריאות ובשם חברות הסלולאר. תמיד יש אנשים תמימים הנופלים במלכודת. כנראה שגם הפעם.

מה צריך לעשות?

ראשית, צריך להבין שאף חברה המכבדת את עצמה לא תבקש מכם להזין את פרטי כרטיס האשראי לצורך שינוי סיסמה או לצורך שינוי תעריף תשלום או לצורך מבצע חדש.

שנית, צריך להתעלם באופן שיטתי מהודעות כאלה ולא להזין פרטים. הימנעו מלחיצה על קישור כלשהו בהודעה כזו. לפעמים זה לא דיוג אלא סתם תולעת או ווירוס שיפגעו במחשב שלכם. 

זהירות: נחשפו מספר רב של סיסמאות ב-Linkedin

חברת אבטחת המידע Kaspersky פירסמה ב-18 במאי 2016 אזהרה לפיה נפרצו  סיסמאות של הרשת המקצועית Linkedin (לפי הפורץ מדובר על 117 מיליון שמות משתמש וסיסמאות). חברת האבטחה ממליצה למשתמשי הרשת המקצועית לשנות מיד את סיסמתם ברשת Linkedin.  

לקריאת ההודעה של Kaspersky קראו:

Change your Linkedin password NOW

אני מצטרף להמלצת חברת האבטחה. היות שבלוג זה עוסק בכלכלת המשפחה, אתמקד בנזקים הכלכליים העלולים להיגרם לכם אם לא תשנו את הסיסמה.

פרטי הפריצה וגניבת הסימאות
מדובר בפריצה שנעשתה בשנת 2012. ההערכה הייתה שמספר זיהויי משתמש וסיסמאותיהם שנחשפו אינו גדול והכל חזר למסלול הרגיל. אלא שבימים אלה פירסם ההאקר שהוא מעוניין למכור 117 מיליון שמות משתמש וסיסמאות.      

השוואה לפריצת ססימאות אחרות עליה כתבתי

בעבר פרסמתי פוסט על פריצת סיסמאות לכרטיסי אשראי: כרטיסי האשראי שנחשפו על ידי האקרים באינטרנט. בפוסט הקודם לא הייתי צריך להסביר מדוע פריצת סיסמאות עלולה להסב לכם נזק כלכלי.

ידיעת הסיסמה שלכם ברשת חברתית או מקצועית, לכאורה, לא יכולה להסב לכם נזק כלכלי ישיר ולכן אסביר מדוע עלול להיגרם לכם נזק.

נזקים ישירים ברשת Linkedin

עלולים להיגרם לכם נזקים כלכליים גם משימוש בזהות שלכם ברשת חברתית.

1. גניבת זהות

מישהו יכול להשתמש בזהות שלכם ב-Linkedin לביצוע תרגילי עוקץ ניגרי ועוקצים דומים.

המנגנון: מישהו פונה אליכם עם סיפור על קרוב משפחתו שהוא מנהיג אפריקאי או כבנקאי כביכול שלקוח ערירי ועשיר שלו נפטר. בשני המקרים מוצג כאילו יש הרבה כסף. הוא מציע לכם אחוזים מהכסף. התנאי לכך הוא שתאפשרו העברת כל הכסף לחשבון הבנק שלכם. ברגע שתתנו לו את מספר חשבון הבנק שלכם לא ייכנס כסף לחשבון שלכם. במקום זאת יימשך כסף.

גונב הזהות שלכם יציע בשמכם את העסקה הזו ל-connections שלכם. קרוב לודאי שמי שיעלה על התרמית מיד יפסיק להיות Connection שלכם. 

מי שייעקץ, יראה בכם אשמים בתרמית על לא עוול בכפיכם (למעט חוסר זהירות ואי שינוי מידי של סיסמתכם).

2. פחות הצעות עבודה

אם אתם עצמאים או מחפשי עבודה או מוכנים להחליף את מקום עבודתכם במקום עבודה אטרקטיבי יותר, עלול להיגרם לכם נזק כלכלי גדול.

מי שיודע את הסיסמה שלכם, עלול לשנות את הפרופיל המקצועי שלכם ב-Linkedin או אפילו למחוק אותו.

בעולם של היום לפעמים הפרופיל המקצועי שלכם ב-Linkedin חשוב יותר מקורות החיים שתשלחו למקומות עבודה פוטנציאליים. את קורות החיים לא בטוח שיקראו. את הפרופיל שלכם כנראה שכן.

עוד לא הזכרתי פניות יזומות אליכם של כאלה שקוראים את הפרופיל שלכם ב-Linkedin ועשויים ביוזמתם להציע לכם עבודה.

אני קיבלתי לא מעט פניות כאלה. כמובן שפניה אליכם אינה מבטיחה בהכרח עבודה, אבל היא נקודת פתיחה טובה. 

3. וירוסים, תולעים ודיוג (Phishing)

כל אלה עלולים להתבצע כביכול על ידכם, אם יבוצעו על ידי הפורצים תחת שמכם.

מי שידויג או ייפגע מוירוס טרויאני או תולעת, לא ממש יחוש ידידות והערכה כלפיכם.

אגב, גם הקשרים עם מי שיאבחן זאת כדיוג, וירוס או תולעת ולא ייפגע עלולים להידרדר.

4. Networking

בעולם של היום Networking הוא דבר חשוב ומשמעותי מבחינה חברתית וחשוב אף יותר מבחינה מקצועית. 

ממה שתיארתי לעיל אתם בודאי מבינים את פוטנציאל הפגיעה האפשרית במיצוב שלכם בעולם ה-Networking. 

נזקים עקיפים ומשמעותיים הרבה יותר

1. אם אתם משתמשים באותה סיסמה גם באתרים אחרים, כמו שהרבה משתמשים עושים, אתם עלולים להיחשף לחדירה גם לאתרים אחרים שלכם.

כשמישהו ישתמש, חס וחלילה, בזהות שלכם באתר הבנק שלכם, אתר כרטיסי האשראי שלכם או אתר Paypal, עלול להיגרם לכם נזק כלכלי ישיר ומשמעותי. זהו הסיכון הגדול והמשמעותי ביותר.

2. אם יש לכם דפוס קל לזיהוי של מבנה סיסמה למי שיודע את סיסמת ה-Linkedin שלכם יהיה קל יותר לפצח את הסיסמה שלכם בבנק או בחברת כרטיסי האשראי או באתר עסקי אחר.

גם זה סיכון משמעותי במיוחד.

לסיכום

בכל מצב בו יש לכם רושם שמישהו יודע  את הסיסמה שלכם לאתר אינטרנט, עדיף להחליף מיד סיסמה.

לא תמיד תדעו להעריך את פוטנציאל הנזק. כמעט תמיד תעריכו אותו בהערכת חסר.

כשלא אתם פרסמתם את המידע שפורסם בשמכם באינטרנט

עידן האינטרנט והטלפונים החכמים משפיע על מצבנו הכלכלי בהיבטים רבים למשל: חשיפת יתר לפרסומות, אפשרות לקנות יותר בזול דרך האינטרנט ואפשרות להציע או לקבל שירותים מבוססי מיקום. 

אין שום אפשרות מעשית להבטיח פרטיות למידע ששמתם באינטרנט. ברגע ששמתם אותו גם אם תמחקו אותו, כבר לא תוכלו למחוק אותו. מישהו אחר אולי העתיק אותו או הפיץ אותו. רוצים להבין יותר מדוע? קראו: Your private Data is Unforgettable.

המידע עליכם באינטרנט ישמש גם לדברים, שאתם לא רוצים שיעשו בו שימוש. המקרה הקלאסי הוא שיווק על ידי יצרני מוצרים או ספקי שירותים, שאולי לא שמעתם עליהם ואולי אינכם מעוניינים בסוג המוצרים, שהם מנסים למכור לכם (לפעמים באגרסיביות יתרה).

עבודה

אתם מחפשים מקום עבודה חדש. שלחתם קורות חיים. בכלל לא בטוח שיקראו אותם. אם אתם, לכאורה מועמדים רלוונטיים, יותר סביר שיקראו עליכם דברים אחרים באינטרנט. 

למשל את הפרופיל שלכם ב-Linkedin. את האופן בו אתם מציגים את עצמכם ב-Facebook. את הפוסטים שהעלתם. מי הם החברים שלכם ברשת החברתית או הקשרים שלכם ברשת המקצועית, למה עשיתם Like, למה עשיתם Share וכיו"ב.

זה בהחלט יכול להשפיע על קבלת ההחלטה: האם להעסיק אתכם או לא?

ההמלצה היא להיזהר כשאתם מעלים מידע כלשהו לאינטרנט. זה כולל גם מידע לא כתוב כמו תמונות.

כנראה שכמה שתיזהרו, תמיד יהיה עליכם לא מעט מידע באינטרנט. 

ניתוח האופי שלכם וכיצד לפעול באינטראקציה איתכם 

לפני זמן לא רב נתקלתי בכתבה בעיתון כלכלי. הכתבה עוסקת בתוכנה חדשה ושנויה במחלוקת. אתם מזינים פרטים של אדם. התוכנה מבצעת חיפוש, עיבוד וניתוח מידע עליו באינטרנט. אתם תקבלו את התכונות שלו, את האופן שבו הוא פועל והמלצות כיצד לפעול מולו או בשיתוף פעולה איתו.

הכתב השתמש בתוכנה עם שמותיהם של כמה פוליטיקאים מובילים בישראל והציג בכתבה את הניתוח ואת המלצות של התוכנה.

זה לא חשוב האם הניתוח נכון או סביר. חשוב אם ישתמשו בה ויחשבו שהניתוח לפחות סביר.

מידע שפורסם בשמכם - מקרה פרטי

הבוקר התקשרה אלי גברת בגיל מבוגר להודות לי. כש"טיילתי" אתמול בקבוצת Facebook שמתמחה בברידג', מצאתי פוסטים שפורסמו בשם הגברת. תוכנם של הפוסטים היה תמונות פורנוגרפיות. היות שהיה ברור לי לחלוטין שלא היא פרסמה אותן, כתבתי לה ב-Facebook וסיפרתי לה על פרסום התמונות בשמה. היום היא התקשרה להודות לי.

היא טיפלה במצב בסיוע מומחה מחשוב שעזר למחוק את הבושה. 

מידע שפורסם בשמכם ברמה העקרונית

זהו מקרה קיצוני ולכן גם קל לאתר אותו. תארו לכם שימשהו ישתלט על הזהות הדיגיטלית שלכם או חלק מהזהות הנ"ל ויפרסם דברים בשמכם.

ייתכן מאד שלא יאתרו את זה, שלא אתם הם אלה שפרסמתם.

לכו תדעו מה יקרה כשתחפשו עבודה. ייתכן שיפסלו אתכם רק בגלל משהו, שמי ש"גנב" את הזהות הדיגיטלית שלכם פרסם בשמכם.

כיצד להתגונן?

עליכם לנסות להיות ערים לסכנה ולהתגונן בפניה. הדרך להתגונן היא להכיר את הדרכים השכיחות לגניבת זהות דיגיטלית או שימוש בזהות דיגיטלית שאולה. 

שלוש הדרכים השכיחות שאציג כאן:

1. מתן הרשאות לאפליקציות

חלק גדול מהאפליקציות הממוחשבות באינטרנט, אינן דורשות מכם סיסמה וקוד משתמש או מאפשרות לכם במקביל דרך חליפית לסיסמה וקוד משתמש. הדרך החליפית היא לתת לאפליקציה הרשאות לגשת למידע שלכם, כולל סיסמה ב-Facebook או ב-Google. לכם זה יותר נוח. גם ככה אתם "טובעים" בים הסיסמאות, שמבקשות מכם אפליקציות האינטרנט בהם אתם משתמשים (בנקים, חברות ביטוח, קופת חולים, המחשב, אתרי אינטרנט, מועדוני צרכנים וכיו"ב). 

השאלה היא: למי אתם נותנים הרשאות כאלה? 

אם תתנו הרשאות כאלה למשחק חדש שאתם לא מכירים, ייתכן שזו תוכנה זדונית, במקום המשחק או בנוסף למשחק.

כשאני נותן הרשאה כזו ל-Feedly אין לי בעיה. זו תוכנה שאני יודע מהי ואני משתמש בה לקבלת RSS לתכנים בנושאים המעניינים אותי מאתרים שאני מכיר היטב.

המלצה: בדקו היטב לםני שאתם מאפשרים לתוכנה לגשת להרשאות שלכם ב-Facebook  או ב-Google.

2. דיוג (Phishing)

אתם מקבלים הודעה מהבנק שלכם, מ-PayPal או מגורם אחר שאתם עובדים בו. בהודעה בקשה להזין שוב את הסיסמה וקוד המשתמש שלכם, במסגרת עדכון תקופתי של הבנק או החברה.

סמל הבנק או החברה יופיע בדף האינטרנט.

חדי העין מביניכם, יבחינו שזו אינה אותה כתובת אינטרנט (URL), שבדרך כלל משתמש בה הבנק או משתמשת החברה.

בקיצור, הבנק או PayPal לעולם לא יבקשו מכם את הסיסמאות שלכם דרך האינטרנט (למעט לצורך כניסה לאתר הבנק או החברה). מישהו התחזה לבנק שלכם וקיבל את פרטי ההזדהות שלכם.

שלא כמו בדוגמה בסעיף "מידע שפורסם בשמכם - מקרה פרטי", אני לגמרי בטוח, שבמקרה זה הוא לא ישתמש במידע על מנת לפרסם תמונות פורנוגרפיות. הוא ישתמש במידע על מנת למשוך כסף מחשבון הבנק שלכם או לרכישת מוצרים באמצעות ה-PayPal שלכם או כרטיס האשראי שלכם.

3. אל תפעילו תולעים וסוסים (טרויאנים)

אתם מקבלים הודעה עם קישור ולוחצים על הקישור. אם אתם לא מכירים את מי ששלח את ההודעה או אם נראה לכם מוזר שזה מה שהאדם שאתם מכירים ישלח לכם, ובכל זאת לחצתם ייתכן שהתקנתם תוכנה זדונית במחשב שלכם.

ההמלצה פשוטה: אל תלחצו על קישורים כאלה. 

לתוכנה הזדונית הזו עשויים להיות שמות שונים: תולעת, סוס טרויאני, וירוס.

השם פחות מעניין. מה שמעניין זה מה התוכנה תעולל לכם. אחד הדברים הפחות חמורים, הוא משלוח הודעות עם תמונות פורנוגרפיות בשמכם.