תקופת חגי תשרי מביאה איתה לא מעט קניות: מתנות למשפחה, בגדים, מוצרי חשמל, שוברים וכמובן שלל מבצעים והנחות. אלא שבזמן שהישראלים מחפשים את הדיל המשתלם ביותר, יש מי שמנצלים בדיוק את העומס הזה כדי לנסות ולגנוב פרטי אשראי, סיסמאות ואפילו חשבונות ברשתות החברתיות.
אושר כהן, מומחה סייבר ומייסד Yo Secure, מזהיר כי דווקא בתקופה שבה אנחנו קונים יותר, ממהרים יותר ומוצפים בהודעות על מבצעים - קל יותר לגרום לנו ללחוץ על הקישור הלא נכון.
המבצע נראה אמיתי? זה עדיין לא אומר שהוא כזה
השיטה יכולה להתחיל בהודעה תמימה לחלוטין. SMS, הודעת וואטסאפ, מייל או אפילו מודעה ברשת שמציעים 50% הנחה לחג, שובר מתנה או מבצע שזמין לזמן מוגבל.
אלא שלדברי כהן, מאחורי חלק מההצעות האלה מסתתר למעשה ניסיון פישינג. הקישור מוביל לאתר שמחקה חנות או חברה מוכרת ומבקש מהגולשים להזין פרטים אישיים. המטרה פשוטה: לגרום לקורבן למסור בעצמו פרטי אשראי, סיסמה או קוד אימות.
והבעיה היא שהיום כבר הרבה יותר קשה לזהות את הזיוף. האתרים המתחזים יכולים להיראות כמעט זהים למקור, עם לוגו, צבעים ומוצרים מוכרים. לפעמים ההבדל נמצא דווקא בפרט קטן בכתובת האתר - אות שהשתנתה, סיומת לא מוכרת או קישור מקוצר. לכן, מדגיש כהן, לא מספיק להסתכל על העיצוב של האתר, אלא חשוב לבדוק היטב לאיזו כתובת נכנסתם.
לא רק כרטיס האשראי בסכנה
וזה לא נגמר באתרי קניות. כהן מספר כי קיימים גם ניסיונות התחזות לאינסטגרם, טיקטוק, פייסבוק ווואטסאפ. במקרה הזה ההודעה יכולה להתריע שהחשבון שלכם עומד להיחסם, להציע לכם אימות כחול, לבקש "לאשר בעלות" על החשבון או אפילו להציע שיתוף פעולה מסחרי.
מסירת שם המשתמש והסיסמה, ובמיוחד קוד האימות, עלולה לאפשר לתוקפים להשתלט על החשבון בתוך דקות.
עבור בעלי עסקים ויוצרי תוכן הנזק עלול להיות משמעותי במיוחד. חשבון ברשת החברתית הוא כבר מזמן לא רק פרופיל: הוא מכיל לקוחות, הודעות, קמפיינים, מוניטין ולעיתים שנים של עבודה.
אז איך אפשר לזהות את המלכודת?
הכלל הראשון של כהן הוא פשוט: קיבלתם הודעה עם מבצע חריג וקישור? אל תמהרו ללחוץ עליו. במקום זאת, היכנסו בעצמכם לאתר או לאפליקציה הרשמית של החברה וחפשו שם את המבצע. אם הוא אמיתי, סביר שתמצאו אותו גם שם.
לפני הזנת פרטי אשראי חשוב לבדוק את כתובת האתר עצמה ולא להסתמך על הלוגו או המראה שלו. בנוסף, כהן מדגיש כי אסור למסור קוד אימות לאדם אחר - גם אם הוא מציג את עצמו כנציג תמיכה או כגורם רשמי. לדבריו, קוד האימות הוא למעשה המפתח לחשבון.
גם הודעות שמבקשות לחבר את חשבון האינסטגרם, הטיקטוק או הפייסבוק למערכת חיצונית צריכות להדליק נורה אדומה, במיוחד כאשר מדובר במערכת שאינכם מכירים.
לחצתם וכבר מסרתם פרטים? עדיין אפשר לפעול
אם כבר הזנתם פרטי אשראי באתר שמעורר חשד, כהן ממליץ לפנות מיד לחברת האשראי, לעבור על החיובים האחרונים ובמידת הצורך לחסום את הכרטיס.
אם מסרתם פרטי התחברות לחשבון דיגיטלי, מומלץ להחליף את הסיסמה, להפעיל אימות דו-שלבי, לבדוק אילו מכשירים מחוברים לחשבון ולנתק אפליקציות ושירותים שאינכם מזהים.
בסופו של דבר, כהן מסביר כי הצלחת ניסיונות הפישינג לא נובעת מחוסר הבנה, אלא דווקא מהרגעים שבהם כולנו פחות זהירים: הלחץ שלפני החג, הרצון להספיק לקנות, הפחד לפספס הנחה טובה או הודעה מלחיצה שמתריעה שהחשבון שלנו עומד להיחסם.
"התוקפים לא תמיד צריכים לפרוץ למחשב. לפעמים הם פשוט גורמים לנו לפתוח להם את הדלת", הוא מסכם.
והמסר שלו לקראת החגים ברור: אין סיבה להפסיק לקנות באינטרנט, אבל רגע לפני שמזינים אשראי, סיסמה או קוד אימות - כדאי לעצור ולבדוק איך בכלל הגענו לאותו אתר. כי כפי שמזהיר כהן, לפעמים מה שנראה כמו מבצע חגיגי הוא בסך הכול מלכודת עם לוגו יפה.