פרצת אבטחה: מה עושים כשהמידע שלכם דלף

מה בעצם קורה כשהפרטים שלכם דולפים?

פרצת אבטחה היא מצב שבו גורם לא מורשה מקבל גישה למידע שארגון שומר, למשל מאגר לקוחות של חנות, אפליקציה או נותן שירות. מה שדולף משתנה מאירוע לאירוע: לפעמים רק שמות וכתובות מייל, ולפעמים גם מספרי טלפון, מספרי תעודת זהות, סיסמאות או פרטי תשלום. דליפת מידע לא אומרת שמישהו כבר השתמש בפרטים שלכם, אבל היא נותנת למתחזים חומר גלם לניסיונות הבאים. לכן השאלה הראשונה היא לא אם להיבהל, אלא מה בדיוק נחשף ואילו חשבונות קשורים לזה.

הדרך הנכונה לברר את זה היא לפנות לארגון עצמו דרך האתר הרשמי שלו או ערוצי הקשר המוכרים, ולא דרך קישור או מספר טלפון שהגיעו בהודעה. כך ממליץ גם ה-NCSC, מרכז הסייבר הלאומי של בריטניה, במדריך שלו לאנשים שהמידע שלהם דלף. אותו מדריך מזהיר מהודעות שמגיעות זמן מה אחרי שהפרצה מתפרסמת, נשמעות רשמיות ומדברות על פיצוי או על איפוס סיסמה.

איך בודקים ב-Have I Been Pwned אם המייל שלכם נחשף?

Have I Been Pwned הוא שירות חינמי שמרכז מאגרים של דליפות מידע ומאפשר לבדוק אם כתובת מייל הופיעה באחת מהן. מקלידים את הכתובת באתר ומקבלים רשימה של הדליפות שבהן היא נמצאה, ואפשר גם להירשם להתראה שתישלח לאותה כתובת אם היא תופיע בדליפה חדשה. כדאי לזכור שהשירות מכיר רק דליפות שנטענו אליו, ולכן תוצאה נקייה לא מבטיחה שהכתובת מעולם לא נחשפה.

באותו אתר יש גם כלי בשם Pwned Passwords, שבודק אם סיסמה מסוימת הופיעה בדליפות. לפי ההסבר באתר, הסיסמה עוברת גיבוב (hash) בדפדפן, ורק חמשת התווים הראשונים של התוצאה נשלחים לשרת, כך שהסיסמה עצמה לא יוצאת מהמכשיר. אם הסיסמה מופיעה ברשימה, האתר ממליץ לא להשתמש בה יותר. מי שמשתמש במנהל הסיסמאות של גוגל יכול להיעזר גם ב-Password Checkup, שמסמן סיסמאות שנחשפו, סיסמאות חלשות וסיסמאות שחוזרות בכמה חשבונות.

איזה צעד מתאים לאיזה סוג של מידע שדלף?

לא כל דליפה דורשת את אותה תגובה, ולכן כדאי להתאים את הצעדים למה שנחשף בפועל. סיסמה שדלפה דורשת פעולה מיידית, בעוד שכתובת מייל שדלפה לבדה בעיקר מחייבת עירנות להודעות חשודות. הטבלה מרכזת את סוגי המידע העיקריים ואת הצעד הראשון בכל אחד מהם. אם אתם לא יודעים מה בדיוק דלף, התייחסו למקרה כאילו גם הסיסמה נחשפה, כי זו ההנחה הזהירה ביותר.

הסדר חשוב גם בתוך החלפת הסיסמאות. מתחילים בתיבת המייל, כי דרכה אפשר לאפס את הסיסמאות של חשבונות רבים אחרים, ממשיכים לבנק, לחשבונות תשלום ולרשתות החברתיות, ורק אחר כך עוברים לאתרים פחות רגישים. לפי ה-NCSC, תוקפים לוקחים סיסמאות מדליפות ומנסים אותן באתרים אחרים, ולכן סיסמה שחזרה בכמה מקומות צריכה להתחלף בכולם. גם מכשירי רשת בבית, כמו הנתב או מגדיל טווח, מוגנים בסיסמת ניהול, ואם היא זהה לסיסמה שדלפה, הגיע הזמן להחליף גם אותה.

למה סיסמה חזקה כבר לא מספיקה, ומה מוסיפים לה?

סיסמה חזקה היא קודם כול סיסמה ייחודית: ארוכה, לא צפויה, ובעיקר כזו שלא משמשת בשום חשבון אחר. קשה לזכור עשרות סיסמאות כאלה, ולכן מנהל סיסמאות, זה שמובנה בטלפון או אפליקציה נפרדת, הוא הדרך המעשית ליצור אותן ולשמור אותן. עם זאת, גם הסיסמה הטובה ביותר יכולה להיגנב בדליפה או בפישינג, ולכן היא לא מספיקה לבדה בחשבונות החשובים.

אימות דו שלבי מוסיף שלב שני אחרי הסיסמה, כמו קוד באפליקציית אימות או בהודעת SMS. לפי ה-NCSC, הוא ממשיך להגן על החשבון גם כשהסיסמה כבר נגנבה. לא כל השיטות שוות: רשות הסחר הפדרלית בארה״ב (FTC) מציינת שקוד ב-SMS עלול לא לעצור תוקף שהשתלט על מספר הטלפון שלכם, וממליצה על אפליקציית אימות או מפתח אבטחה בחשבונות רגישים.

מפתח גישה, או passkey, נועד להחליף את הסיסמה. לפי ארגון FIDO Alliance, שעומד מאחורי התקן, המפתח הפרטי נשאר במכשיר שלכם והאתר שומר רק מפתח ציבורי, כך שדליפה ממאגר של האתר לא חושפת סיסמה שאפשר לנצל. מאשרים כניסה עם אותה טביעת אצבע, זיהוי פנים או קוד שפותחים בהם את המכשיר, והשיטה עמידה בפני פישינג כי אין סיסמה שאפשר למסור לאתר מזויף. לפי הארגון, היא נתמכת בכל מערכות ההפעלה והדפדפנים המרכזיים, ומי שמתכנן להחליף טלפון ימצא בעמוד סמארטפון מומלץ את השיקולים לבחירת מכשיר.

מה החוק בישראל דורש מהארגון שממנו דלף המידע?

לפי תקנות הגנת הפרטיות (אבטחת מידע) משנת 2017, בעל מאגר מידע שחווה אירוע אבטחה חמור צריך לדווח עליו מיד לרשם מאגרי המידע ולפרט אילו צעדים נקט בעקבותיו. הרשם רשאי להורות לארגון להודיע על האירוע לאנשים שעלולים להיפגע ממנו, אחרי התייעצות עם ראש הרשות הלאומית להגנת הסייבר. כלומר, לפי נוסח התקנות, הודעה אישית לכל מי שנפגע לא נשלחת בהכרח, ולכן אל תחכו להודעה רשמית כדי להתחיל לפעול.

התקנות עוסקות בחובות של הארגון, אבל אתם יכולים לפנות אליו ולשאול אילו פרטים שלכם נחשפו ומה הוא עושה כדי לצמצם את הנזק. הנוסח שמתואר כאן הוא של התקנות כפי שפורסמו ב-2017, והחקיקה בתחום הפרטיות עשויה להשתנות ולהתעדכן. את החובות העדכניות ואת ההנחיות לציבור כדאי לבדוק באתר הרשות להגנת הפרטיות ב-gov.il, כי המידע כאן הוא הסבר כללי ולא ייעוץ משפטי.

על מה לשמור בשבועות שאחרי הדליפה?

הסכנה הגדולה אחרי דליפה היא לא תמיד הדליפה עצמה, אלא השימוש בפרטים כדי לבנות הודעה משכנעת. הודעה שמכירה את השם שלכם, את מספר הטלפון ואולי גם את החנות שבה קניתם נראית אמינה יותר, ולכן כל קישור שמבקש להתחבר, לשלם או לעדכן פרטים צריך לעורר חשד. הכלל הפשוט הוא לא ללחוץ על הקישור, אלא להיכנס לאפליקציה או לאתר בעצמכם.

דליפה של מספר טלפון פותחת גם את האפשרות של החלפת SIM. לפי ה-FTC, בתרחיש הזה התוקף משכנע את החברה הסלולרית להעביר את המספר שלכם לכרטיס SIM שנמצא אצלו, לפעמים בעזרת פרטים אישיים שמצא ברשת, ומאותו רגע השיחות וההודעות, כולל קודי אימות, מגיעות אליו. סימן אזהרה מרכזי הוא טלפון שמאבד פתאום קליטה, שיחות והודעות בלי סיבה נראית לעין, ואז צריך לפנות לחברה הסלולרית מיד. כדאי לשאול את החברה שלכם מראש אם אפשר להגדיר קוד או סיסמה שיידרשו לפני שינויים בקו, וזה רלוונטי גם למי שעבר ל-esim.

• הפעילו באפליקציה של הבנק ושל חברת האשראי התראה על כל חיוב, אם האפשרות קיימת, ועברו על פירוט החיובים גם אם לא קיבלתם התראה.
• אם כסף כבר יצא מהחשבון, פנו לבנק או לחברת האשראי מיד, דרך המספר שמופיע באפליקציה או על גב הכרטיס.
• חשדו בכל שיחה שבה מתבקשים למסור קוד שקיבלתם ב-SMS, גם אם המתקשר מציג את עצמו כנציג רשמי.

אם מתברר שחשבון כבר נפרץ, החליפו בו את הסיסמה מיד והוציאו ממנו את כל המכשירים המחוברים. בדקו גם שכתובת השחזור ומספר הטלפון שמוגדרים בו עדיין שלכם, כי תוקף עלול לשנות אותם. עוד הסברים על הגדרות בטלפון ובמחשב ריכזנו בעמוד מדריכי טכנולוגיה.