תשובה מהירה: אחרי מאות מקרי שחזור, התמונה שחוזרת אצלנו ברורה: כמעט אף פריצה לא מתחילה בתחכום טכני. היא מתחילה בסיסמה שחוזרת, בקוד אימות שנמסר, בהרשאה שנשארה פתוחה או בהודעה שדחקה לפעול מיד. 15 הכללים כאן הם בדיוק מה שהיה מונע את רוב המקרים שהגיעו אלינו. אם תיישמו רק שלושה — תבחרו את 1, 2 ו-9.
בסיס: מה שומר על החשבון
1. סיסמה ייחודית לכל שירות חשוב
כשמסד נתונים של אתר כלשהו דולף, התוקפים לא מנחשים. הם לוקחים את הצמד מייל+סיסמה שדלף ומריצים אותו אוטומטית מול פייסבוק, גוגל, אינסטגרם והבנק. זה עובד רק בגלל שאנשים חוזרים על אותה סיסמה. אם אתם מתחילים ממקום אחד — תתחילו מהמייל.
2. אימות דו-שלבי, בכל מקום
אימות דו-שלבי הוא ההבדל בין "מישהו יודע את הסיסמה שלי" לבין "מישהו נכנס לי לחשבון". שלוש דקות הפעלה, והוא עוצר את הרוב המוחלט של ניסיונות ההשתלטות. עדיף אפליקציית אימות ולא SMS — קוד SMS אפשר לחטוף בהתקפת SIM Swap. מדריך מלא: אימות דו-שלבי נכון לכל הרשתות.
3. מנהל סיסמאות
אף אחד לא זוכר 20 סיסמאות חזקות, וזה בסדר. מנהל סיסמאות מאפשר סיסמאות ארוכות ושונות בלי לזכור אף אחת. יש לו גם יתרון שרבים לא מכירים: הוא לא ימלא סיסמה באתר מזויף, כי הכתובת לא תואמת — הוא מזהה פישינג טוב מכם. שני תנאים: אימות דו-שלבי על החשבון שלו עצמו, ועותק פיזי של סיסמת המאסטר.
4. המייל הראשי הוא הנכס הכי חשוב
פייסבוק, אינסטגרם, טיקטוק, הבנק — כולם מאפסים סיסמה דרך המייל. מי ששולט במייל שולט בכולם. לכן כשמגיע אלינו מקרה של פריצה, הדבר הראשון שאנחנו בודקים הוא לא הרשת החברתית אלא תיבת הדואר. ודאו: סיסמה ייחודית, אימות דו-שלבי, ומספר וכתובת שחזור מעודכנים — לא מספר ישן שכבר לא בידיכם. אם החשבון כבר נפגע: שחזור חשבון גוגל שנפרץ.
גיבוי: מה שמציל אתכם כשמשהו משתבש
5. הפיקו קודי שחזור ושמרו אותם נכון
אימות דו-שלבי מגן עליכם מפני אחרים, אבל בלי גיבוי הוא נועל גם אתכם בחוץ. קודי שחזור הם רשימת קודים חד-פעמיים שהפלטפורמה מייצרת מראש, וכל אחד מהם מחליף את שלב האימות השני. שמרו אותם מודפסים בבית או בהערה מאובטחת במנהל הסיסמאות — לא בצילום מסך בגלריה, לא בהודעה לעצמכם ולא במסמך בשם "סיסמאות" בענן. אלה המקומות הראשונים שנסרקים. פירוט מלא: מדריך קודי השחזור.
6. בדקו מי מחובר לחשבון
פריצה לא תמיד נראית כמו פריצה. ברוב המקרים התוקף לא משנה סיסמה ולא מוחק כלום — הוא פשוט נשאר מחובר בשקט וקורא. לפעמים חודשים. הבדיקה לוקחת דקה: פייסבוק ← אבטחה וכניסה ← היכן התחברת; אינסטגרם ← סיסמה ואבטחה ← פעילות התחברות; גוגל ← אבטחה ← המכשירים שלך. לא מזהים מכשיר או מיקום? נתקו מיד, ורק אז החליפו סיסמה.
7. עברו על האפליקציות המחוברות
כל "התחבר עם פייסבוק" שלחצתם אי פעם יצר חיבור שממשיך להתקיים — גם אחרי שעזבתם את השירות, וגם אחרי שהחלפתם סיסמה. אסימון גישה שורד החלפת סיסמה, ואימות דו-שלבי לא נדרש כדי להשתמש בו. אפליקציה שנמכרה, ננטשה או נפרצה הופכת לדלת פתוחה. חמש דקות ניקיון פעמיים בשנה: המדריך המלא להרשאות צד שלישי.
8. עדכנו מערכת הפעלה ואפליקציות
רוב העדכונים לא מוסיפים פיצ'רים — הם סוגרים פרצות שהתגלו בגרסה הקודמת. והנה החלק שרבים מפספסים: מהרגע שעדכון יוצא, הפרצה שהוא מתקן הופכת לידועה לכולם, כולל למי שמחפש אותה. מכשיר שלא עודכן חודשיים הוא לא "מכשיר ישן" — הוא מכשיר עם רשימת חולשות פומבית. הכי פשוט: עדכון אוטומטי.
זיהוי: איך לא ליפול בהונאה
9. לעולם אל תמסרו קוד אימות
"שלח לי את הקוד שקיבלת, זה רק כדי לוודא שזה אתה" — מי שכתב לכם את זה מנסה להיכנס לחשבון שלכם ברגע זה. קוד האימות הוא המפתח האחרון בדלת, והוא מיועד להיות מוקלד רק על ידכם ורק באפליקציה או באתר הרשמי. אף נציג אמיתי — לא של פייסבוק, לא של הבנק, לא של חברת הסלולר — לא יבקש קוד. וזה נכון גם כשהבקשה מגיעה מחבר: חשבון שנפרץ שולח בדיוק את ההודעה הזאת לכל אנשי הקשר.
10. הודעה מלחיצה על חסימת חשבון? אל תלחצו
"החשבון שלך ייחסם תוך 24 שעות, לחץ כאן לאימות" — ההודעה הזאת לא נועדה לעדכן אתכם אלא למנוע מכם לחשוב. שלוש בדיקות: מי שלח באמת, לאן הקישור מוביל (לחיצה ארוכה מציגה את הכתובת האמיתית), והאם ההתראה מופיעה גם בתוך האפליקציה עצמה. התראה אמיתית תמיד תופיע שם. דוגמה מקרוב: הונאת ההתחזות "החשבון שלכם יימחק".
11. אל תתחברו לחשבונות חשובים ממחשב ציבורי
מחשב במלון, במשרד משותף או בעמדת שירות שומר סיסמאות אוטומטית, מחזיק עוגיות התחברות פעילות גם אחרי שסגרתם את החלון, ולפעמים יש עליו תוכנה שמתעדת הקלדות. גלישה בסתר מקטינה את הבעיה אבל לא מבטלת אותה. גם נקודת אינטרנט מהטלפון שלכם עדיפה על מחשב זר. נכנסתם בכל זאת? התנתקו ידנית, החליפו סיסמה מהמכשיר שלכם, ונתקו את אותו מחשב מרשימת המכשירים.
12. נפרדים ממכשיר? נקו אותו לפי הסדר
לפני שמוכרים או מוסרים טלפון: התנתקו מהחשבונות בתוך האפליקציות עצמן, הסירו את חשבון גוגל או ה-Apple ID (אחרת המכשיר עלול להישאר נעול), הוציאו SIM וכרטיס זיכרון, ורק אז בצעו איפוס להגדרות יצרן. שתי נקודות שקל לשכוח: אפליקציית האימות לא עוברת אוטומטית למכשיר חדש, ואם המספר משתנה — עדכנו אותו בכל חשבון לפני שהוא מתנתק.
עסקים: מה שמונע השבתה
13. הרשאה מינימלית, לא "מנהל" לכולם
בעמוד עסקי, כל אדם עם הרשאת מנהל יכול להוסיף ולהסיר משתמשים אחרים — כולל אתכם. עובד שעוזב בכעס, ספק שהקשר איתו נגמר או חשבון של מישהו מהצוות שנפרץ הופכים כל אחד לנקודת כשל של העמוד כולו. תנו לכל אדם את ההרשאה שהוא באמת צריך: מפרסם תוכן מקבל יוצר תוכן, עונה להודעות מקבל נציג.
14. אל תסתמכו על משתמש אחד
אם החשבון האישי שמנהל את העמוד ייחסם מחר בבוקר — לפעמים אפילו בטעות, בגלל סימון אוטומטי — מי נכנס לעמוד? אם התשובה היא "אף אחד", יש כאן בעיה שממתינה לקרות. הפתרון: Business Manager על שם החברה ולא על שם אדם, לפחות שני אנשי בעלות מטעם העסק, ובדיקה תקופתית שהעמוד, חשבון המודעות והפיקסל באמת רשומים תחתיו. הרחבה: מי באמת הבעלים של עמוד העסק.
והכלל שחשוב מכולם
15. משהו דוחק בכם לפעול מיד? עצרו
הונאות דיגיטליות כמעט אף פעם לא מצליחות בזכות תחכום טכני. הן מצליחות בזכות דחיפות. "החשבון ייסגר היום", "זוהתה פריצה, אמתו עכשיו", "ההזדמנות נסגרת בחצות", "החבילה תוחזר לשולח". הדחיפות היא לא תופעת לוואי — היא הכלי המרכזי, והיא נועדה למנוע מכם את שלושים השניות שבהן הייתם מבחינים שהכתובת לא נכונה או מתקשרים לבדוק. לכן: כל הודעה שדוחקת בכם למהר היא סיבה לעצור, לא סיבה למהר. עצרו, בדקו במקור, ורק אז פעלו.
שאלות נפוצות
מאיפה מתחילים אם אין זמן לכל 15?
שלושה כללים נותנים את מרבית ההגנה: סיסמה ייחודית למייל (1), אימות דו-שלבי בכל הרשתות (2), וקודי שחזור שמורים במקום בטוח (5). זה לוקח פחות מחצי שעה.
יישמתי הכול ובכל זאת נפרצתי — איך?
הנתיב הנפוץ ביותר במקרה כזה הוא מסירת קוד אימות או הזנת פרטים באתר מזויף, ולא שבירת ההגנות. שווה גם לבדוק אפליקציות מחוברות ומכשירים פעילים — שם נשארת גישה שנוצרה מזמן.
מה עושים ברגע שמגלים פריצה?
מנתקים מכשירים לא מוכרים, מחליפים סיסמה במייל קודם ואז ברשת שנפגעה, מסירים הרשאות של אפליקציות לא מזוהות, ומדווחים לפלטפורמה. אם היה גם נזק כספי — דיווח למערך הסייבר בקו 119. פירוט: המדריך לדיווח ל-119.
איבדתם גישה לחשבון והערעורים לא מתקדמים? ב-CyberGuard משחזרים חשבונות שנפרצו או נחסמו, ואנחנו מטפלים בדיוק במקרים שבהם התמיכה האוטומטית לא עונה. חייגו 052-3001030 לבדיקת זכאות ללא עלות.
