הודעות פישינג הן ברוב המקרים, המגע הראשון של פושעי סייבר עם עסקים קטנים ובינוניים. מדובר בפרקטיקת ההונאה הכי נפוצה בעולם: לפי נתוני חברת שירותי המחשוב AGG, בכל יום נשלחות בעולם 3.34 מיליארד הודעות פישינג באמצעות המייל לבדו. כשמוסיפים לכך את ניסיונות הפישינג בפייסבוק ובכלי צ'ט כמו ווטסאפ, מגיעים למספר אסטרונומי: יש בעולם הרבה יותר מתקפות כאלה מאנשים שמחוברים לאינטרנט. הפופולריות הזו מבוססת על התחכום של המהלך לצד פשטות הביצוע שלו: פישינג הוא הונאה פסיכולוגית, קוד זדוני, לינק או קובץ שמסתתר בתוך פניה פשוטה בהודעה שנראית הכי לגיטימית שיש.
מה שהופך את הודעות הפישינג למהלך מצליח כל כך מבחינת התוקפים, הוא שהם יודעים בדיוק על אילו כפתורים ללחוץ כדי להפיל בפח אתכם ואת העובדים שלכם. מדריך זה יציג את השיטות בהן התוקפים משתמשים כלפי עסקים קטנים ובינוניים, יסביר מה לעשות כדי להתגונן מפניהן וכיצד לשפר משמעותית את רכיבי ונהלי אבטחת המידע של העסק.
מה זה בעצם פישינג?
"מתקפת פישינג" הוא שם קצת מטעה: פישינג ("דיוג", לחובבי עברית צחה) כשלעצמו אינו מתקפה אלא וקטור חדירה, שיטה של פושעי סייבר להשיג גישה למערכות ולמכשירים של העסק שלכם דרך המשתמשים. הרעיון הוא ליצור קשר עם העובדים באמצעות אפיק תקשורת ישיר כמו מייל אישי, הודעת ווטצאפ ועוד, כדי להטעות אותם לחשוב שמדובר בהודעה חשובה מגורם לגיטימי. מטרת ההודעה היא לגרום להם לבצע פעולה שעל פניו נראית הגיונית כגון לחיצה על לינק, פתיחה והורדה של קובץ ולעיתים התחזות למוקד תמיכה ובקשה לשליחה של פרטי משתמש כולל סיסמה לאור בעיות ביוזר, עדכוני מערכת, תמיכה וכו'.
לאחר שהעובדים ינגסו בפיתיון ויבצעו את הפעולה, התוקפים בעצם יקבלו גישה לחדירה למערכות העסק. לאחר מכן הם יוכלו לעשות כל מה שירצו: לגנוב כסף, לגנוב מידע ולמכור אותו למתחרים, להצפין את מערכות העסק ולדרוש כופר מהבעלים תמורת שחרורן, או למחוק ולהשחית מידע ממקום של ונדליזם וטרור.
איך האקרים מפילים בפח עסקים קטנים ובינוניים?
ניתוח של מתקפות סייבר נפוצות על עסקים בישראל שהתבצעו באמצעות פישינג, מציג מספר שיטות עיקריות שחוזרות על עצמן, בעיקר בפניות אל מייל של עסק, או אל אדם שזוהה כמקושר לעסק:
תרמית המכתב הרשמי
ההאקרים בונים אתר מזויף שנראה זהה לאתר מוכר ולגיטימי של מותג גדול ואמין – בנק, חברת ביטוח, ספק שירותי מחשוב, או פלטפורמה גדולה כמו גוגל ומיקרוסופט. הונאת הפישינג תתבסס על פניה ובה דחיפה לביצוע של פעולה שגרתית, אך חשובה: עדכון פרטי אשראי, התקנת עדכון לרכיב תוכנה, או עדכון תנאי שימוש שצפוי להעלות מחירי שירות כלשהו בגלל שדרוג תשתית. ברגע שהזנתם פרטים פיננסיים, לחצתם על קישור נגוע או התקנתם בשוגג תכנה זדונית, התוקפים הצליחו לבצע חדירה מוצלחת למערכות העסק.
הונאת הפחדה
ההאקרים יפנו אליכם תוך התחזות לגורם אחר, ויזהירו אתכם מפני משהו שעלול לגרום לכם נזק מיידי, אם לא תבצעו פעולה מאוד פשוטה. למשל, הודעה מטעם פייסבוק שמגדירה שמעכשיו, כל התמונות של העסק שלכם יהיו זמינות לשימוש כל המתחרים שלכם, מתוך מדיניות חדשה של פתיחות ותחרות שוויונית. כל שעליכם לעשות יהיה להגדיר שאינכם מעוניינים – וההודעה תציג לכם לינק נוח בו תוכלו לעשות זאת; כמובן שהלינק נגוע והכתובת מזויפת.
הונאה מותאמת אישית
כאן מדובר בפניה פשוטה מאוד, שמייצרת אמינות באמצעות שילוב פריטי מידע על העסק שלכם או עליכם אישית, שאפשר למצוא בקלות ברשת. למשל, לשלוח לאדם ספציפי בחברה מייל עם תמונה שלו שנלקחה מפייסבוק, עם הכיתוב "זה אתה? התמונה הזאת הופיעה באתר של בעלי חוב" ולהוסיף גם את הקובץ וגם לינק לעמוד מזויף, שניהם נגועים. פרקטיקות אלה יכולות להשתלב במתקפות יותר מתקדמות ומסוכנות, בווקטור שמכונה Spear Phishing – כלומר, מתקפה שנבנתה ספציפית למידותיו ומאפייניו של גורם אחד המשמש כמטרה, מה שהופך אותה גם ליעילה יותר. הפריצה למכשיר האישי של עובד בחברה יכולה להוות גשר וגישה לחדירה לרשת הארגונית.
פיתוי
לצערנו, לעיתים יכולים פושעי סייבר להפיל ישראלים בפח בקלות מפתיעה. תרבותית, נוטים ישראלים לחפש את הדיל הכי טוב, את הקומבינה, לקבל כמה שיותר בחינם או בזול. לכן משתמשים האקרים בהונאות שמנצלות חולשה זאת ("מתנה לעובדי החברה לכבוד ט"ו בשבט – היכנסו ללינק ובחרו את המתנה שלכם") או כאלה שמספקות הצצה לדילים של אחרים ("נחשף דירוג החברות שמשלמות הכי הרבה על אינטרנט/דלק/חניה").
מבט מבפנים: איך בנויה מתקפת הודעות פישינג?
תשתית שיגור ושליטה
ראשית, התוקפים צריכים למצוא תשתית טכנולוגית באמצעותה יוכלו לבצע את המתקפה בלי שיוכלו לאתר אותם. התשתית יכולה להיות שרתי תקשורת שנועדו להפיץ הודעות נגועות במייל, SMS, או להעביר אותן לחשבונות פרוצים ברשתות חברתיות. טכנולוגית, השרתים לא שונים מהותית מפלטפורמות שיווק מקוון וספאם, אך התוקפים ישתמשו בכתובות בעלות חתימה שמקשה על פלטפורמות מייל כמו ג'ימייל לזהות אותם כמפוקפקים, או יעברו תדיר בין כתובות. בשנים האחרונות התרבו פושעי הסייבר שמציעים שירותי תשתיות תקיפה כשירות מנוהל לפושעים אחרים, ומשכירים אותם לביצוע מתקפות. השיטה פישטה והוזילה משמעותית את ההפצה, ותרמה לזינוק בפופולריות הפישינג.
הרכבת רשימת מטרות
אל תשתית ההפצה נכנסים כמה רכיבי מתקפה, שהראשון הוא בחירת המטרות עצמן אליהן תישלח הודעת הפישינג – כתובות מייל, מספרי טלפון, שמות חשבון ברשתות חברתיות ועוד. את הפרטים הללו משיגים הפושעים ממקורות אחרים כמו כנופיות שמתמחות בהרכבה ופילוח של רשימת מטרות. הרזולוציה יכולה להיות עולמית, או מאוד ממוקדת – למשל, בתי עסק בתחום המזון בישראל, חברות קטנות בירושלים, קבלנים בתל אביב או ישראלים שפתחו בעבר הודעה נגועה ותועדו כמטרה קלה לתקיפה חוזרת. עם זאת, חשוב לזכור שרוב המתקפות מתבצעות באמצעות רשימות רחבות מאוד של מיילים או מספרי טלפון, ולא בהכרח מופנות באופן ממוקד לעסקים מסוימים. לכן, עסקים קטנים ובינוניים טועים לחשוב שהם לא נמצאים על הרדאר של התוקפים מכיוון שהם לא נחשבים "מטרה גדולה", כאשר בפועל כל אחד מהעובדים שלהם יכול להיכלל באותה רשימת תפוצה רחבה מאוד.
פניה אישית בהתאמה כללית
לאחר שנבחרו המטרות ונאסף עליהם מידע, צריך לייצר את הודעת הפישינג האפקטיבית ביותר. התוקפים יכולים לנסח הודעה שתפנה ישירות אל הגורם הספציפי – גם בשמו, גם בשם העסק שלו וגם מטעם ספק שירות פופולרי. למשל, להתחזות להודעה מבנק כלשהו, שמציע הלוואה בתנאים מדהימים למצטרפים חדשים, ולשלוח אותה לעסקים קטנים שזוהו בעבר כבעלי חובות. ניסוח ההודעה ייראה אישי למדי עבור העסק, בעוד התוקפים כתבו הודעה כללית מאוד, בה מתחלפים רק רכיבי השם, הכתובת ולעיתים עיצוב ההודעה.
ביצוע הונאה וחדירה למערכות
כשהכל מוכן, ישגרו התוקפים את קמפיין הפישינג שלהם, שיכול להיות מכוון אל מאות, אלפי ומאות אלפי כתובות מייל ואפיקי תקשורת אחרים. בימים שלאחר מכן ייחשפו הנמענים לפנייה, וחלקם ייפול בהונאה. לאחר שיבצעו את הפעולה שמבקשים ההאקרים – הזנת פרטים, התקנת אפליקציה, הורדת קובץ ועוד – הקוד הזדוני יופעל ויקבל גישה למערכת שלכם.
המלכודת הפסיכולוגית: מה כל כך מסוכן פה?
מערכות אבטחת מידע נמצאות במתח קבוע מול הפעילות הלגיטימית של כל ארגון: הרי אי אפשר לחסום לחלוטין כניסה של תקשורת מהרשת או הוצאה של מידע לגורמים חיצוניים – רק כי חוששים מפריצה או גניבת מידע. ללא תקשורת של מערכות הארגון עם גורמים חיצוניים – העסק שלכם יפסיק לתפקד.
זה האתגר הכי גדול של רשת ההגנה בכל עסק קטן ובינוני, כמו גם בתאגידים. הפתרון לרוב נמצא במערכות להגנה על נקודות קצה, כדוגמת רכיבי סריקה כמו אנטי וירוס, EDR, מערכות יעודיות לזיהוי ומניעה של מתקפות פישיניג, הגנות מתקדמות על ערוץ המיילים או פילטרים כמו חומת אש (FW) שממוקמים בין הרשת הפנימית והאינטרנט ועוד. כל אלה צריכים לזהות בזמן אמת מתקפות פישיניג, ועבור כל פעולה האם מדובר בפעולה חשודה שיכולה לגרום נזק או שזו פעולה לגיטימית של עובד.
מה שהופך את הונאת הפישינג לאמצעי תקיפה כל כך מסוכן – זה שהיא מבוססת על הטעיה פסיכולוגית של הגורם האנושי בארגון שלכם, קרי העובדים, ולא הגורם הטכנולוגי. קל לשכוח שהגורם האנושי תמיד יהיה החולייה החלשה ביותר. ההטעיה מניעה את העובדים לבצע פעולה שנראית להם לגיטימית ואף דחופה – אך בפועל מורידה את כל מחסומי אבטחת המידע ומאפשרת חדירה של גורם זדוני למערכות העסק.
במצב כזה, מערכות ההגנה על נקודות הקצה אמורות לזהות את הנוזקה ולעצור אותה באמצעות איתור חתימת קוד מחשידה, כתובת שולח חשודה, הפניית לינק לדף נחיתה מפוקפק , כתובת אתר חדש שעלה לאוויר וכו'. אך אם הן כשלו מלעשות זאת באופן מיידי – היא תנוע ותתקדם בתוך הרשת שלכם כרצונה. כאן נכנסים לתמונה כלים שמחפשים התנהגות חשודה בתוך מערכות העסק והתקשורת. עם זאת, תוכנות הפריצה מאוד חמקמקות, ותוכננו למצוא ולהפעיל הרשאות כמו סיסמאות ושמות משתמש, שיגרמו לפעולה שלהן להיראות אולי לא שגרתית אבל גם לא מסוכנת, מה שיאפשר לתוקפים להשיג את מטרתם.
עסקים קטנים ובינוניים: טרף קל להאקרים
האפקט בישראל הוא מסיבי: לפי נתוני רשות הסייבר הלאומית, בקיץ 2024 הוערכו נזקי מתקפות הסייבר למשק הישראלי ב-12 מיליארד שקלים לפחות. בנוסף, כ-20% מכלל העסקים בישראל נפגעו באופן משמעותי ממתקפות הסייבר, כך לפי דו"ח שפרסמה הסוכנות לעסקים קטנים ובינוניים בשנת 2024. נראה שהנתון הזה צפוי לזנק בשנת 2025: מערך הסייבר הלאומי התריע לאחרונה על עלייה בתחכום ובתדירות של מתקפות מבוססות הודעות פישינג, במיוחד מצד גורמים איראניים, המכוונות לארגונים בישראל. בנוסף, המדינה נכנסת למשבר כלכלי מורכב, וכנופיות האקרים עתידות לנצל זאת עם ניסיונות הונאה מבוססי שירותים פיננסיים כמו הנחות, התראות גביה והצעות מפתות למוצרים ושירותים.
על אף שהיקף המתקפות על כלל העסקים בישראל הוא משמעותי – עסקים קטנים ובינוניים הם הטרף הקל והפגיע ביותר, מכמה סיבות. ראשית, הם אינם משקיעים מספיק באמצעי אבטחת מידע, בגלל המחשבה המוטעית שהם אינם מהווים מטרה משמעותית עבור התוקפים, במיוחד לעומת התאגידים הגדולים והעשירים. לפי סקר נרחב שערכו מומחי Cybiz, נמצא כי בקרב עסקים בעלי 1 עד 30 עובדים – פחות מ-10% סבורים כי הם חשופים למתקפות רשת בסבירות גבוהה. עוד נמצא בסקר, כי ב-50% מהעסקים הקטנים וב-39% מהבינוניים לא הטמיעו פתרונות אבטחה כלל. ניתן לראות כי מחשבה מוטעית זאת גורמת לעסקים קטנים ובינוניים להיות חשופים אף יותר למתקפות, ולהוות יעד קל להשגה בעיני התוקפים.
סיבה נוספת שהופכת אותם לטרף קל, היא כי נזק כלכלי של מתקפה על תאגידים גדולים ומבוססים אינו משתווה להיקף הנזק שאותה מתקפה עלולה לגרום לעסק קטן ובינוני. בשל כך, עסקים קטנים ובינוניים נוטים לעשות או לשלם לתוקפים כל מה שנדרש על מנת לסיים את המתקפה – מה שהופך אותם למטרה קלה ואף מגביר את הסיכוי שהתוקפים יתקפו אותם שוב.
איך להגן על העסק מפני הודעות פישינג?
בניית מערך מוצרי הגנה
הגנה טובה מתחילה ממוצרי אבטחת מידע מתקדמים, מקיפים ומותאמים לצרכי העסק שלכם. המומחים שלנו ב-Cybiz ניתחו אינספור מתקפות בישראל בהן בוצעה חדירה למערכות עסקים באמצעות הודעות פישינג, ולמדו את כל הדרכים האפקטיביות ביותר להגן על עסקים קטנים ובינוניים בישראל. חבילת Cybiz Defense הינה חבילת הגנת סייבר מקיפה שתוכננה לתת מענה להתמודדות עם פישינג: תמצאו בה הגנה ייעודית על נקודות הקצה למניעת חדירה למערכות, ואף מערכות אנטי-פישינג מתקדמות הכוללות רכיבי סריקה חכמים שיודעים לאתר גם נוזקות שמגיעות דרך פרצות שלא תועדו בעבר בתעשיית האבטחה (מתקפת Zero Day). החבילה כוללת גם כלים לניתוח ונטרול איומים מבוססי למידת מכונה, הגנה ייעודית למכשירים ניידים וגילוי פרואקטיבי של דליפות מידע. כל מה שעסק קטן או בינוני בישראל צריך כדי להגן על עצמו.
הכנת העובדים לקראת האיום
חשוב לזכור שמוצרי אבטחה ונהלי אבטחה לא מחליפים אלה את אלה. בסופו של דבר, צריך עובד אחד שטועה פעם אחת בלבד כדי לסכן את החברה כולה. צמצום הסיכון שהגורם האנושי בארגון שלכם מייצר הינו הכרחי באותה מידה כמו הגנה על מערכות העסק עצמן מפני מתקפות המתבצעות באמצעות הודעות פישינג.
השליטה של מומחי Cybiz בעולם אבטחת המידע לעסקים קטנים ובינוניים בישראל מבטיחה שתקבלו מענה טוב יותר לאיומים, באמצעות מגוון שירותי הגנת הסייבר שלנו. שירותי המוכנות והכשירות שלנו לדוגמה, כוללים הדרכות מודעות לעובדים, קמפיינים של פישיניג להעלות את רמת הידע והבשלות הארגונית לצד שיפור יכולות ההתמודדות והכשירות של העסק, ובכך הם מקטינים את גורם הסיכון האנושי במתקפות על העסק. דרך משמעותית נוספת לשפר את אפקטיביות מוצרי ההגנה, היא שירותי סקר סיכונים ומבדקי חדירות, במסגרתם המומחים שלנו ינתחו את כל נקודות התורפה המסכנות את העסק שלכם ויגישו לכם המלצות לשיפור הנהלים ומערכות ההגנה.
