כיצד מתגוננים מפעולת פישינג ממוקדת Spear phishing?
מאת: מערכת Telecom News, 6.2.20, 13:08

במסגרת התקפת פישינג ממוקדת נאספים פרטים מקדימים אודותינו כדי לזכות באמון שלנו כשינסו לרמות אותנו, כפי שראינו בעוקץ כביש 6 או בעוקץ קוד האימות של ווטסאפ. 8 המלצות להתגוננות.

פישינג זו פעולה, שמטרתה דליית פרטים אישיים או פיננסיים כדי לרמות ולגנוב זהות או כספים. בעבר, פישינג הייתה פעולה בשיטת "מצליח" במסגרתה התוקפים היו שולחים מסה גדולה של פיתיונות כדי להעלות דג ברשת ולהפיל כמה שיותר קורבנות.
לאחרונה אנו רואים, שהפעולות הפכו ממוקדות יותר, כשהשם המקצועי הוא - Spear phishing.במסגרת התקפת פישינג ממוקדת נאספים פרטים מקדימים אודותינו כדי לזכות באמון שלנו כשינסו לרמות אותנו. 

ראינו בשנה החולפת מספר דוגמאות לכך:
עוקץ כביש 6 - עבריינים התקשרו לאנשים וטענו, שיש להם חוב לכביש 6 וביקשו אמצעי תשלום כדי להסדירו. למעשה התברר, שהאנשים, שקיבלו את השיחות, היו כאלה, שפרסמו את רכבם למכירה בלוחות מכירה ברשת. לרמאים מעבר לקו לא הייתה בעיה להשיג את המידע הזה, שנגיש לכולם, וכך, למעשה, התקשרו כשיש בידם כבר מספר רכב, שם הבעלים וטלפון.

קוד אימות של וואטספ - ישראלים רבים קיבלו הודעת וואטספ האומרת, שמישהו מצטער אבל שלח להם בטעות סמס עם קוד בעל 6 ספרות ומבקשים שישלחו אותו אליהם בחזרה. הנוכלים למעשה נרשמים עם המספר שלכם, וכשמגיע קוד האימות אליכם, הם מבקשים מכם את המספר. למעשה ההודעה נשלחת לאנשי קשר של קורבן, שכבר נפל בפח, וכך יכול להיות, שהוא שמור באנשי הקשר שלכם ואתם תרצו לסייע לו כי זה נראה אדם, שביקש עזרה. אחרי שלעבריינים יש את הפרטים שלכם, אפשרויות הפעולה שלהם כבר מגוונות והם יכולים לבקש מכם כסף בתמורה לשחרור החשבון שלכם.

ניסיון לדלות פרטי קוד אימות של ווטסאפ:  
כיצד ניתן להתגונן ולא ליפול בפח כשהפעולה נראית לגיטימית?
 
חברת האבטחה ESET ממליצה לנקוט את הצעדים הבאים:
קיבלתם בקשה/הודעה מגורם לא מוכר כשלא ציפיתם להודעה הזו? קודם כל הטילו ספק. אין ברירה ובעידן של היום אנו צריכים להיות יותר סקפטיים. כשיש ספק - אין ספק.
הפניה נראית לכם הגיונית, כמו למשל במקרה של כביש 6, שידעו את מספר הרכב והפרטים האישיים? אין בעיה. נתקו את השיחה והתקשרו בעצמכם לספק השירות. במידה וקיבלתם פניה מחבר, מכר או קולגה, תוכלו לשאול אותם האם הפניה הספציפית אכן הגיעה מהם.
באופן דומה, אם קיבלתם הודעה או מייל מספק שירות, שאתם מנויים לו, גשו אל הדפדפן והתחברו אל האתר הרשמי בעצמכם. במידה ואכן ישנה בקשה דומה, בצעו אותה דרך האתר אליו הגעתם בכוחות עצמכם, זה יהיה בטוח יותר.
הסתכלו על השפה - בדקו האם היא נראית תקינה או משובשת, כזו שנעשה בה שימוש בשירותי תרגום אוטומטיים. הודעה שלא מנוסחת היטב, ברוב המקרים תהיה מזויפת וכזו המתורגמת לטובת ההונאה.
השתמשו במנגנון אימות כפול, שיצריך מכם להזין קוד אימות חד פעמי, שישלח אליכם בהודעת טקסט או באמצעות אפליקציה ייעודית. במידה וסיסמה שלכם דלפה החוצה איכשהו, ללא הקוד השני לא ניתן יהיה לעשות איתה כלום. שימוש באימות כפול הופך אתכם לפחות מושכים עבור עברייני רשת, ומאפשר לכם להימנע ממרבית התרמיות.
הקפידו על סיסמאות שונות לשירותים שונים - כך במידה והצליחו להוציא מכם סיסמה לשירות כלשהו, לא יצליחו בעזרתה להשיג גישה לשירותים נוספים בהם אתם משתמשים.
השתמשו במוצר אבטחה, שידע לזהות ולהתריע בפני אתרי פישינג, שנועדו לגנוב את פרטי הגישה לרשתות החברתיות, חשבונות אימייל או שירותים בנקאיים.
לארגונים וחברות מומלץ לשמור על מודעות העובדים - לקיים הדרכות ופעילויות, כאשר העובדים מודעים יותר, הם ישימו לב לפניות העלולות להיות חריגות.