הרצאה בבית הועד הישן: "ליפול ברשת": כיצד פורצים למערכות מחשוב של ארגונים

 

אתמול (11.8.2024) הרציתי בחצר בית הועד הישן בשכונת בית הכרם בירושלים על הנושא שבכותרת. 

התכנון המקורי היה להרצות על "ליפול ברשת"? - לא אני. הרצאה המלמדת כיצד אנשים פרטיים (במיוחד אזרחים ותיקים, שזה היה קהל היעד של ההרצאה) צריכים ויכולים להתגונן מפני איומי סייבר והונאות ברשת. 

בגלל קשיים טכניים, שמנעו הצגת מצגת, החלפתי נושא. במקום הרצאה עם דוגמאות, המחייבת מצגת, בחרתי בנושא שבכותרת.

הרצאה לקבוצה לא גדולה במקום פתוח

בהרצאה בחצר בית הועד הישן בבית הכרם ב-11.8.24. אני בחולצה ירוקה בצד ימין קרוב לעצים

כשמרצים ללא שקפים לפני קבוצה לא גדולה בחצר קשה לשמור על המבנה הפורמלי של ההרצאה. אולי זה גם לא רצוי. 

נתתי למשתתפים אפשרות לשאול שאלות במהלך ההרצאה. 

נגעתי בתכנים הנוגעים לשאלות ביחס לפריצה למערכות מחשב של ארגונים בליווי דוגמאות. חלקן דוגמאות אישיות מניסיוני.

פריצה למחשבים של ארגונים לא מה שחשבתם

בעיני אזרחים ותיקים רבים התדמית של פריצה למערכות מחשוב של ארגונים היא של האקרים צעירים בעלי תחכום טכנולוגי המבצעים מתקפות סייבר מחוץ לארגון. 

שמחתי להזים את התדמית הזאת. ההאקרים, צעירים או מבוגרים, הם רק אחת משלוש הקבוצות שפורצות למערכות מחשוב. 

הקבוצה השנייה הם אנשים פנימיים בארגון (עובדי הארגון ועובדי ספקים או שותפים עסקיים). 

כמובן שמדובר בקבוצה קטנה של עובדים שאותה גם אפיינתי במהלך ההרצאה. 

אני הייתי שייך בעבר לקבוצה השלישית. הקבוצה הלא-עבריינית, שעל קיומה לא ידעו מרבית משתתפי ההרצאה. 

אלה הם מומחים לניהול סיכונים ולאבטחת מידע הנשכרים על ידי הארגון במטרה לנסות לפרוץ למערכות. 

המונח הטכני המתאר ניסיונות פריצה הוא Penetration Test.

בין אם הם מצליחים לפרוץ ובין אם לא, הם מגלים נקודות חולשה באבטחת המידע של הארגון.

הם מתארים אותן במסמך מסכם. לפעמים מוסיפים גם הצעות לפיתרון הבעיה. 

התייחסות רגשית לבנקים

בהרצאה בחצר בית הועד הישן בבית הכרם ב-11.8.24. אני בחולצה ירוקה בסוף התמונה.
בקוו ישר משני האדונים בתחילת התמונה

מה שקרה לי כמעט בכל הרצאה כלכלית שבה הזכרתי בנקים קרה גם בהרצאה על פריצה למערכות מחשב. 

הבנקים מעוררים תגובה רגשית קשה אצל לא מעט מהאזרחים הותיקים. 

כהעלתי דוגמה של אבטחת מידע בבנק (לא בארץ) שפרצתי למערכות המחשוב שלו במסגרת עבודתי, היו אנשים שהתגובה הרגשית שלהם הסיטה אותם לכיוון של תיאור מקרים, שבהם לדעתם הבנק שלהם גנב מהם סכומי כסף גבוהים. 

התוצאה: חלק לא קטן מההרצאה כלל התייחסות לנושא ההנאות על ידי אנשים פנימיים בבנקים. 

כמובן שלא נכון שאתיחס למקרים ספציפיים, שבהם נטען על ידי משתתפים שכספם נגנב על ידי הבנק שלהם. 

אין לי מידע שתומך או מאושש את טענתם. 

הסתפקתי במקרה אחד שבו ליוויתי ניצול שואה שהעלה טענות כאלה כלפי סניף הבנק שלו. 

אחרי שבחנתי ביחד עם הבנקאים את התנועות בחשבון הבנק שלו במשך חמש שנים השתכנעתי, שאף לא אחד לא רימה אותו. 

בגלל המעורבות הרגשית של אזרחים תיקים רבים שנתקלתי בה בהרצאות כלכליות יש לי הרצאה יעודית הנקראת: הבנק אויב או אוהב? כיצד להתנהל מול הבנקים. 

אפשר להזמין אותי להרצות אותה באמצעות טלפון: 054-4480616 או באמצעות דוא"ל.

 

תועלות מעשיות להרצאה

1. משתתפי ההרצאה למדו שפריצה למערכות מחשוב של ארגון המחזיק מידע אישי שלהם מסוכנת גם להם. 

2. משתתפי ההרצאה למדו שברוב המקרים החוליה החלשה בשרשרת האבטחה היא אנשים בכלל וחוסר המודעות שלהם לסיכונים בפרט. 

הבאתי את הדוגמה של אתר ההיכרויות Ashly Madison לאנשים נשואים שהבהירה זאת היטב. במקרה זה גם לקוחות החברה וגם מנהלי החברה לא היו מודעים מספיק לסיכונים.

3. משתתפי ההרצאה קיבלו מידע על השירות שאני נותן לאנשים פרטיים בתחום של סיכונים ברשת בשיטת תשלום דאנא המקובלת בהודו.

להתראות בהרצאות הבאות שלי.

"ליפול ברשת"? -אף לא אחד חסין ובכל זאת....

 

תמונה מאת מחבר לא ידוע. זכויות יוצרים במסגרת CC BY-NC

מי מכם נפל קורבן להונאה ברשת? 

מי מכם שמע על אחרים במעגל הקרוב לו שנפלו קורבן להונאה כזו?

להערכתי, כמעט כל הקוראים יענו בחיוב לפחות על אחת מהשאלות הללו.

אפילו אני, שמרצה על הנושא הזה "נפלתי" כמה פעמים בעבר הרחוק.

אף לא אחד חסין מ"נפילה ברשת". 

חשוב לדעת להתגונן מהונאות, תרמיות, וירוסים ואיומים אחרים באינטרנט, בדיגיטל, בטלפון לא חכם.

על מנת שתוכלו להתגונן טוב יותר אחרים ואני מרצים על הנושא.

התועלות של ההרצאה שלי

1. היכרות עם שיטות הונאה ברשת.

2. מודעות לסיכונים. 

לדעתי, ולא רק לדעתי, זהו כנראה הדבר החשוב ביותר.

3. אמצעים להתמודדות עם הנפילה ולמזעור הנזקים.

ההבדל ביני כמומחה, לאחרים שאינם כאלה, היה  שאחרי שטעיתי, ידעתי לתקן את הטעות כמעט ללא   נזקים.

4. יכולת לסייע לחברים וקרובים פחות מיומנים מכם בטכנולוגיית הרשת, ש"נפלו ברשת".

5. מידע רב נוסף בסדרת פוסטים בבלוג שלי על ניהול סיכונים וניהול משברים, שכותרת כל אחד מהם מכילה את הביטוי "ליפול ברשת". 

6. הבנה בסיסית של ניהול סיכונים בהקשר רחב יותר.

מי חשוף יותר לסיכוני הונאה ברשת?

מידת הסיכון של התרחשות אירוע סיכון אינה אחידה לכולם.

הסיכוי של אזרחים ותיקים ליפול קורבן להונאה או לאיומים אחרים ברשת האינטרנט ובטלפונים חכמים ובטלפונים פשוטים, הוא גדול יחסית לקבוצות אוכלוסייה אחרות. 

ההרצאות שלי מיועדות לכל מי שמעוניין, כי כאמור אף לא אחד חסין, אבל הן מיועדות במיוחד לקבוצות אוכלוסייה פגיעות יותר, כמו אזרחים ותיקים.

ההרצאה שלי שונה מהרצאות אחרות על אותו נושא. 

על מנת להסביר את ההבדלים אתחיל ברקע שלי.

ניהול סיכונים ברשת מפגש בין תחומים שונים

התמודדות נכונה עם סיכונים ברשת האינטרנט ובדיגיטל ניזונה משילוב של כמה תחומים. 

במקרה או שלא במקרה, יש לי ידע ומיומנות ברובם או בכולם.

ניהול סיכונים

ניהול סיכונים הוא הבסיס לכל התמודדות עם סיכונים. בין אם מדובר בדברים פשוטים כמו חציית כביש או קנייה במרכול ובין אם מדובר בדברים העלולים להיות מורכבים יותר כמו הונאות ברשת.

יש לי ניסיון עשיר בניהול סיכונים, בעיקר במערכות מחשוב ובכלכלת המשפחה.

כמרצה בקורס להסמכה בינלאומית בניהול סיכונים יש לי גם רקע רחב בנושא.

מחשבים ומערכות מידע

יותר מארבעים שנים במחשוב ובטכנולוגיית המידע הם ניסיון רב. זהו גם ניסיון מגוון בכארבעים ארגונים בארץ ובעולם.

אבטחת מידע

במשך שנות עבודתי במחשבים עסקתי גם באבטחת מידע. 

בין השאר ביצעתי Penetration Test למערכות מחשוב של ארגונים.

ב-Penetration Test מנסים למצוא פרצות במערכות אבטחה של ארגונים ולחדור אליהן. 

ההבדל בין מישהו כמוני לבין עבריין הפורץ למערכות הוא שאני עושה את זה על פי בקשת מנהלים בארגון כעבודה שתכליתה מציאת חולשות באבטחת המידע של הארגון. 

בסיום העבודה מקבלים מנהלי הארגון דוח מפורט על מנת שניתן יהיה לתקן בעיות שנמצאו.

כלכלה בנקאות וביטוח

בלא מעט מקרים ההונאות באות לידי ביטוי בהעברות כספים מחשבונות בנק ו/או חיובי כרטיסי אשראי. 

אני מכיר היטב את עולם הבנקאות מזוויות שונות:

1. כיועץ מחשוב שיעץ לרוב הבנקים בישראל ויעץ גם לגוף בנקאי בחו"ל. היעוץ המשמעותי ביותר בתחום הבנקאות ערך שלוש שנים במשרה מלאה ומעלה לבנק לאומי.

הייתי מעורב כיועץ ב-Endeavor (Endeavor  נבדל מפרויקט בהיקף הגדול יותר ובכך שהוא יותר אסטרטגי לארגון. בדרך כלל כלולים בו מספר פרויקטים שיש קשר ביניהם) בו ניסה הבנק לבנות  מערכות ליבה בנקאיות. זו הייתה יוזמה אסטרטגית ושאפתנית במיוחד הן בהיקף והן בחדשנות. 

בתהליך היו מעורבות חברות מובילות בעולם במחשוב בנקאי. 

במהלך היעוץ למדתי לעומק את הנושא של מערכות ליבה בנקאיות וישבתי עם המומחים המובילים בעולם בתחום. לפעמים ב-4 עיניים, לפעמים ביחד עם מספר קטן של אנשים ולפעמים בקבוצה גדולה יותר של משתתפים. 

במסגרת היעוצים הבנקאיים נגעתי לא מעט בנושאים של אבטחת מידע בבנקאות.

בין השאר נתקלתי בבלא מעט Case Studies של פריצות למערכות מחשוב בנקאיות והאופן בו פרצו העבריינים וגנבו כספים. 

הונאות בהקשר של חברות ביטוח שכיחות פחות מהונאות בהקשר הבנקאי, אבל גם בתחום הזה נדרשת זהירות. 

כיועץ מחשוב היו חברות ביטוח שהייתי מעורב בפרוייקטי ייעוץ בהן. בעיקר ייעוץ מתמשך לחברת ביטוח גדולה בישראל ופרויקט יעוץ גדול לבחרת ביטוח גדולה בחו"ל. 

2. כיועץ לכלכלת המשפחה

כיועץ לכלכלת המשפחה ליוויתי מספר רב של משפחות ויחידים. כמעט בכולם עסקנו גם בחשבונות הבנק שלהם. 

בלא מעט מקרים הגעתי עם הלקוחות לבנק וניסיתי, לפעמים בהצלחה, להקטין את התשלומים שלהם על הלוואות וסוגי אשראי אחרים. 

במקרים אחרים היעוץ עסק בהקשרים אחרים של ניהול חשבון בנק.

פסיכולוגיה

נפילה במלכודות רשת עלולה להיות מושפעת גם מפסיכולוגיה של הקורבן ושל הנוכל או הנוכלים. מעולם לא עבדתי כפסיכולוג המטפל באנשים על אף שסיימתי (בהצטיינות) תואר שני בפסיכולוגיה באוניברסיטה העברית בירושלים.

במה שאני למדתי אני משתמש, בין השאר, ביעוצים בכלכלת המשפחה בהקשרים של כלכלה התנהגותית.

יתרונות נוספים שלי 

בנוסף לניסיון ולידע בתחומים הקשורים בהונאות ברשת יש לי יתרונות נוספים שיוצגו בפסקה זו.

דוגמה אישית

אני עצמי אזרח ותיק המתקרב לגיל 72. אני יודע להתנהל ברשת בלי ליפול למלכודות.

כפי שכתבתי בתחילת הפוסט, אף לא אחד חסין מהונאות ומנפילות אחרות ברשת. גם אני לא. 

לפני מספר רב של שנים היו לי מספר מקרים כאלה. מדובר בהונאות בסכומים קטנים ובוירוס שהוחדר למחשב שלי.

בכל המקרים ידעתי להתמודד עם הבעיה גם אחרי הנפילה ולתקן את המעוות ללא נזק ממשי. 

נסיון עשיר עם אזרחים ותיקים

יש לי היכרות מגוונת עם בני הגיל השלישי בנוסף להשתיכותי לקבוצת אוכלוסייה זו. 

אני מתנדב בפרויקט של חוסן כלכלי לגילאי 60 פלוס של עיריית ירושלים.

אני מתנדב עם ניצולי שואה.

הרציתי לא מעט לאוכלוסיית הגיל השלישי במסגרות שונות. 

כמורה לברידג' לימדתי ואני ממשיך ללמד קבוצות של פנסיונרים. לימדתי גם קבוצות מעורבות של תלמידי תיכון ואזרחים ותיקים. 

ניסיון עשיר כמרצה

על הניסיון שלי כמרצה תוכלו לקרוא בפוסט הרצאות וסדנאות שלי - נכון לינואר 2023.

יש לי ניסיון גם בהרצאות מרחוק באינטרנט, למשל במסגרת "גמלהזום" של עיריית ירושלים בתקופת הקורונה.

גם שיעורי ברידג' מקוונים שהעברתי באינטרנט כללו הרצאות בזום.

יכולת להתאים את ההרצאה לקהל היעד

המרצה הוא כמו זיקית. עליו להתאים את עצמו לקהל היעד. 

אתם מוזמנים לקרוא פוסט בו תיארתי שלוש הרצאות ייחודיות בהן הייתי צריך להתאים את עצמי למשתתפים יוצאי דופן.

גישה שונה: פשוט והגיוני

הגישה שלי הן כמרצה והן כמורה לברידג' היא הדגשת הבנת ההיגיון במקום שינון.

בהקשר של מלכודות ברשת יש חשיבות גדולה במיוחד לגישה. 

המלכודות וסוגי ההונאות משתנים ומתפתחים כל הזמן. לכן, לעניות דעתי, מודעות חשובה יותר מהכרת דוגמאות קונקרטיות.

אולי אביא למאזינים להרצאות שלי פחות דוגמאות מאחרים, אבל אדגיש את החוליות החלשות בהתמודדות שלהם עם האיומים. 

מעוניינים בהרצאה?

צרו איתי קשר באמצעות טלפון: 054-4480-616 או דוא"ל: avi.rosenthal@gmail.com.

חוליה חלשה במאבק בקורונה במדינת ישראל

כבר הזכרתי בפוסטים קודמים שלמגפת הקורונה חשוב להתייחס מזווית של ניהול סיכונים. עסקתי לא מעט בניהול סיכונים ובנושא ספציפי של סיכוני אבטחת מידע. 
אחת התובנות שלי, ולא רק שלי, היא שהמודעות (awareness) של עובדי הארגון לסיכונים היא גורם משמעותי בהתמודדות עם הסיכונים. 
למדתי מחברת Gartner, חברת האנליסטים של מחשוב וטכנולוגיית המידע, המובילה בעולם עד כמה זה חשוב. זה קרה בפרויקט ייעוץ בחו"ל של החברה, לו הייתי שותף כיועץ Free Lancer. למדתי גם ממה שכתב אחד מגדולי המומחים בעולם לאבטחת מידע באותה תקופה ש: The Chain is as strong as the weakest link in the chain. 

בכל ה-Penetration Tests שעשיתי החוליה החלשה בשרשרת הייתה מודעות עובדים לסיכוני אבטחת מידע. ליתר דיוק חוסר מודעות. אנשים נתנו לי מידע שלא היו צריכים לתת לי בגלל חוסר מודעות לאבטחת מידע. 
ההמלצות באבטחת מידע בפרט ובניהול סיכונים בכלל, הן להשקיע במודעות של העובדים בארגון לסיכונים.

הזכרתי את זה בהקשר של חוליה חלשה במדינת ישראל ביחס לקורונה. החוליה החלשה אליה אני מתכוון היא מודעות הציבור. 

את המודעות מנסים להגדיל בעיקר אמצעות ענישה. החלק הלוקה מאוד בחסר הוא הסברה. 

מבחן התוצאה

אני מכבד את החוקים והתקנות בהקשר של הקורונה ופועל לפיהם. כאדם מעל לגיל 60, אני בוחן את ההמלצות של משרד הבריאות באופן אישי לגבי עצמי בהתחשב במצבי הבריאותי התקין.

עד היום המשכתי לעשות ספורט במרחב הציבורי. אני הולך ורץ, גם בימים כתיקונם. אני עושה זאת לבד. אני עושה זאת במקומות שאינם הומים בבני אדם. במהלך ההליכה וההליכה למקום התחלת הריצה אני עובר גם בפארק וליד מגרשי כדורגל וכדורסל לרווחת הציבור. 

אני מקפיד לשמור מרחק של 2 מטר לפחות מכל אדם. אני רואה שם  אנשים וילדים המתנהגים כאילו אין קורונה. הסיבה לכך היא חוסר מודעות.

הבעיות בהסברה

1. אין מספיק הסברה

תשוו את ההסברה להסברה הרבה אפקטיבית בקמפיינים של מלחמה בתאונות דרכים או מחסור במים בישראל שהיו הרבה יותר מקיפים ואפקטיביים. 

2. המסבירים הם האנשים הלא מתאימים

פוליטיקאים כמו ראש הממשלה נתניהו ושר הבריאות (אולי סגן שר בתפקיד שר?) הרב ליצמן אינם יכולים להיות המסבירים.  
רבים לא מאמינים להם. יש המייחסים להם ערבוב של אינטרסים פוליטיים וצריך לזכור כי במשך שנים לא הייתה השקעה מספקת בבריאות הציבורית. היא באה לידי ביטוי בנתונים השוואתיים מול מדינות OECD אחרות, שהגרף בראש הפוסט הוא רק אחד מהם. 
בבוא היום יתכן שהם יצטרכו כאחראים על מערכת הבריאות: מדוע לא הושקעו יותר משאבים במערכת הבריאות הציבורית?

הם לא ממש מתמקדים בנושא וחורגים להיבטים פוליטיים או לאמירות טריוויאליות.

הדרך לשיפור

1. מטה הסברה ייעודי עם תקציבים ויכולות.

2. בראש המטה צריך לעמוד אדם לא פוליטי שתחום התמחותו הוא תחום רפואי רלוונטי.
ראיתי בחדשות בטלוויזיה, כמה אנשים מצוינים כאלה.

3. עדיף שזה יהיה אדם שאינו ממשרד הבריאות וניהל מערכת רפואית גדולה ולכן יש לו גם ראייה כלכלית.
האמון באדם כזה יהיה הרבה יותר גדול ויתייחסו לדבריו ברצינות

4. בשעה מסוימת ביום אותו אדם צריך לדווח בקצרה בכל אמצעי התקשורת על המצב באותו יום ולהוסיף גם הסברה מקצועית. 
מעבר לאותה הופעה יומית ההחלטות כיצד לנהל את מטה ההסברה יהיו שלו. כמובן בעזרת מומחים מקצועיים בהסברה.

רק כך תהיה מודעות גדולה יותר לסיכונים.

הסברה או ענישה

 נדמה לי שהוכח כבר בעבר שהסברה יעילה יותר מענישה. זה לא אומר שלא נדרשת ענישה. ענישה היא רק צעד משלים להסברה.

שני המקרים להלן, שאחד מהם אולי לא היפוטתי, יסבירו את הטעון.

מקרה 1: חולה הקורונה שבורח

חולה קורונה שיודע שהוא חולה והמחלה מדבקת בורח מהמחלקה בבית החולים ומסתובב, ללא שמירת כללי הריחוק, ליד בני אדם שאינם חולים במקומות שונים בבית החולים.

נדמה לי שהעמדה למשפט וענישה הם בהחלט במקום.

מקרה 2: החולה שאביו נפטר

נניח שאחד המבוגרים שפגשתי בפארק בדרכי למקום הריצה הנידח שלי.  היה קרוב למספר רב של ילדים, ששיחקו ביחד עם הילדים שלו. אחד הילדים הזרים הדביק אותו בקורונה. שוטר ניגש אליו והגיש תלונה נגדו ועליו לעמוד במשפט.

האיש, שטרם ידע שחלה הלך לבקר את אביו בן ה-58, שיש לו מחלות אחרות נדבק ממנו וחלה ונפטר. 

האם מישהו יעמיד את האדם למשפט וידרוש עונש מאסר? אם כן, האם בית המשפט לא יפסוק שהאיש כבר נענש דיו?

סיסמאות: החוליה החלשה באבטחת מידע

לפני יותר מ-15 שנה ביצעתי Penetration Test במתקן בנקאי באירופה במסגרת פרויקט ייעוץ של חברת ייעוץ בינלאומית גדולה. באחד מהמקרים עמדתי מאחורי עובד בסניף בנק שנכנס למערכת. העובד היה מורשה להיכנס למערכת אבל ממרחק של כמה מטרים יכולנו אני ויועץ נוסף לדעת בקלות מהי סיסמת הכניסה שלו למערכת. כשהאיש הכניס למערכת את הסיסמה שלו הוא הקיש מספר פעמים על הספרה "1". לא הוקשו ספרות אחרות, אותיות או סימנים אחרים. 
ברגע שידעתי את הסיסמה הייתי יכול, לו רציתי, למצוא הזדמנות ולהיכנס למערכת בשמו, למשל כאשר הוא הולך לדבר עם המנהל שלו או ניגש לשרותים.

אני והיועץ הנוסף לא מהווים בעיה כי Penetration Test הוא ניסיון לחדור למערכת בתשלום ובידיעה של מנהלים בארגון על מנת להפיק דוח של נקודות תורפה והמלצות לתיקונן.
באותה מידה זה היה יכול להיות מישהו אחר שהכוונות שלו טובות פחות.

אחת ההמלצות שלנו הייתה כפיית סיסמאות חזקות יותר במערכת. לא עוד "111111" או "222222", אלא דפוס מורכב יותר של אותיות, מספרים ואולי גם סימנים מיוחדים.

פוסט זה נכתב בעקבות קריאת כתבה של רפאל קהאן ב"כלכליסט" המספר על מחקר של שרות ה-Cyber הבריטי. כותרת הכתבה: הגיע הזמן להחליף סיסמה: גם "ליברפול" ו"רדיוהאד" זה לא מקורי. 

במחקר נותחו מספר רב של סיסמאות מתוך מאגרים של סיסמאות שנפרצו בשנים האחרונות ומצוינים דפוסי סיסמאות קלים לפריצה. 
בפוסט זה אשלב כמה מהממצאים עם תובנות שלי והמלצות שלי.

הדפוס הכי קל לניחוש

הסיסמה הנפוצה ביותר במאגרים מזכירה קצת את מה שראיתי באותה עבודה לפני יותר מ-15 שנים. 
הסיסמה הנפוצה ביותר במאגר לא הייתה "111111", שאני ראיתי, אלא "123456". נמצאה שכיחות גבוהה גם לסיסמאות אחרות קלות לניחוש בסגנון דומה, למשל: "123456789". 

ההמלצה שלי

סיסמאות כאלה הן נחות לזכירה אבל קלות לניחוש. 
הימנעו מסיסמאות המורכבות מספרות בלבד בדפוס פשוט וקל לניחוש.

שמות משמעותיים

במחקר המצוטט ב"כלכליסט" נמצא כי במקרים רבים משתמשים בוחרים כסיסמה שם של קבוצת ספורט אהודה, להקה אהובה או סרט שהתרשמו ממנו במיוחד. 
עברייני רשת יכולים בקלות להגיע לסיסמה כזו. כל מה שהם צריכים זה להיכנס לדף ה-Facebook של אותו אדם. הם יראו שם סמל של הקבוצה האהודה או סרטון מוזיקלי של הלהקה האהובה ולא מעט פוסטים שמחים כשהקבוצה מנצחת או הלהקה מופיעה. 
מכאן ועד לניחוש מושכל של הסיסמה הדרך קצרה. 

הכתבה לא עוסקת בשמות משמעותיים אחרים כסיסמה אבל כשאתם בוחרים כסיסמה את השם שלכם, השם של בת זוגכם האהובה, הבן או הבת הצעירים או חיית המחמד, הדרך לזיהוי הסיסמה דומה למה שתואר לעיל. 

שימו לב שאין בעיה לבחור שם שמשמעותי לכם ומי שנכנס לדף שלכם ברשתות החברתיות לא ימצא עליו דבר.
למשל: שמה של האקסית המיתולוגית לפני 30 או 40 שנה, שמאז לא הייתם איתה בקשר, שמו של דב הפנדה שפגשתם בגן חיות לפני 25 שנים או פילוסוף לא כל כך ידוע שהוזכר בקורס מבוא לפילוסופיה והרשים אותכם בצעירותכם אבל מאז התבגרתם ולא הזכרתם את שמו או את תפיסת העולם שלו.

ההמלצה שלי

הימנעו מבחירת שמות משמעותיים לכם, שאחרים יודעים שהם משמעותיים לכם ו/או עולים בתדירות גבוהה ברשתות החברתיות שלכם או באלבומי התמונות שלכם. 
כשאתם בוחרים שם משמעותי שאינו מופיע שם הוסיפו לו גם כמה ספרות.

OTP

OTP הן ראשי תיבות של: One Time Password. אתם נכנסים לאתר נותנים פרטים מזהים ונשלחת אליכם סיסמה חד פעמית, התקפה לזמן קצר.
לרוב נשלחת הסיסמה באמצעות הודעת SMS. אפשר גם באמצעות הודעת דוא"ל. 

היתרונות הן שמדובר בסיסמה שאינה משמעותית למקבל הסיסמה ולכן קשה לנחש אותה ומשך הזמן הקצר בו היא תקפה.

החיסרון הוא שמישהו שיודע את הפרטים המזהים שלכם ומשום מה נפל לידיו הטלפון הסלולרי שלכם יוכל לבצע פעולות במקומכם וללא ידיעתכם.

ההמלצה שלי    

אין ספק שהיתרונות של OTP עולים על חסרונותיו. השתמשו ב-OLTP כשזה ניתן. העדיפו אותו על פני סיסמאות רגילות.  

הצורך בססמאות למספר גדול של אתרים ויישומים 

בתקופה עמוסת אתרי אינטרנט ואפליקציות צריכים נספר רב של סיסמאות.

מי יכול זכור כל כך הרבה סיסמאות? מי יכול להחליף כל כך הרבה סיסמאות תקופתית?

מי יכול לרשום על דף את כל האתרים והסיסמאות ולמחוק ולשנות בכל פעם שמשנים סיסמה? ואם יגנבו לכם את הדף עם הסיסמאות? 

אחד הפיתרונות של חלק מהאנשים הוא להשתמש באותה סיסמה ברוב המקומות או בכל המקומות, אם זה ניתן. 

אני לא היחיד שיודע את מה שכתבתי כאן. גם אלה שפורצים לאתרים וגונבים סיסמאות ביחד עם פרטים מזהים יודעים את זה. 

כשהם פורצים לאתר כמו Facebook או Linkrdin הם מנסים את הסיסמה והפרטים המזהים גם באתרים אחרים כמו אתרים של כרטיסי אשראי, בנקים ואתר Paypal. 

ב-Facebook הם אולי יכולים להעלות בשמכם תמונות פורנוגרפיות (כמו שקרה לגברת אחת שאני מכיר בשנות ה-70 של חייה). בבנק או באמצעות הפרטים של כרטיס האשראי הם יכולים לגנוב מכם סכומי כסף נכבדים.

ההמלצה שלי   

אם אתם יכולים לנהל סיסמה נפרדת לכל אתר או אפליקציה זהו פיתרון טוב. 

אם אינכם יכולים, לפחות תפרידו בין סיסמאות לאתרים רגישים (בנקים, כרטיסי אשראי וכיו"ב) לבין אתרים פחות רגישים ותקבעו סיסמאות שונות. 

הסיכוי שיגנבו את הססמאות שלכם באתרים הפחות רגישים הוא גדול יותר. הפרדה כזו עשויה להקטין את הנזקים העלולים להיגרם לכם.

הערת שוליים  

לא מיציתי בפוסט זה את כל האפשרויות. בין השאר לא הזכרתי זיהוי ביומטרי במקום ססמאות ושימוש בתוכנה לניהול ססמאות.