מיתוסים זה לא רק במיתולוגיה, וסיפורים זה משהו שאנחנו מספרים לעצמנו, ולא רק לילדים לפני השינה • אז מה התפיסות השגויות הנפוצות ביותר בתחום אבטחת המידע, ואיך אפשר להפוך אותן לנחלת העבר?

• זה לא יכול לקרות לי, האקרים תוקפים רק אנשים מפורסמים.

המחדל הנפוץ ביותר הוא העובדה שאנחנו אומרים לעצמנו “האינטרנט הוא מקום כל כך גדול, אף אחד לא באמת ירצה לסמן אותי כמטרת תקיפה. ואפילו אם מישהו ינסה לתקוף את המערכת שלי, הוא לא ימצא בה מידע חיוני לגנוב”. ברוב המקרים, המשתמש שמאמץ את התפיסה הזאת, לא באמת רוצה לאבד זמן או כסף בשביל לגשת בכלל אל בעיות האבטחה במערכת.
הבעיה העיקרית הנובעת מגישה זו היא שלא ייקח יותר מדי זמן לתוקף לחסום את המערכת שלך על ידי שימוש באחת מפרצות האבטחה בה. הסיבה לכך היא שהעיקר הוא לא המידע המאוחסן על המחשב שלך, אלא רמת האבטחה בו. באמצעות כלים אוטומטיים, עברייני רשת בודקים מערכות לאיתור מחשבים ורשתות פגיעים על מנת להשתלט עליהם.
המידע האישי הוא לא הדבר היחידי אשר אחריו רודפים האקרים, גם מערכות חיבור האינטרנט הוא נכס חשוב שאיתו ניתן לבצע את פעולותיהם הזדוניות. גם אם אתם חושבים שאין כל מידע אישי חשוב או מידע בנקאי על המערכת, עדיין ניתן להשתמש גם במידע מועט על מנת לגלות ולקשר אותו למידע אחר הנלקח ממקורות אחרים על מנת לקבל תמונה כוללת.

• התקן את תכנת האבטחה הבאה והכל יהיה בסדר.

משתמש המשלם עבור תוכנת אבטחה כלשהי, מרגיש מוגן ומצפה לכך שכל מערכת ההפעלה שלו כעת מכוסה לגמרי על ידי סך הכל התקנה של אותה תכנת אבטחה אותה רכש. מיתוס זה מייצג תמונה עגומה למדי של משמעות אבטחת המידע במערכת ההפעלה. הביטחון בתכנת אבטחה אחת לכיסוי כללי ומקיף של כלל מערכת ההפעלה, פעולותיכם ברשת, הגנה מפני גניבת מידע, ושאר וקטורי התקפה, משמעותו אמונה יתרה בקו הגנה אחד ויחיד.
כשרוכשים אנטי-וירוס או כל תוכנת אבטחה אחרת, אי אפשר להניח שהיא תספק כיסוי מלא וכולל של של כל אבטחת האינטרנט, למרות שישנם מספר מנועי אנטי-וירוס שיוצרים את הרושם שאכן כך הדבר. כדי באמת לקבל כיסוי מלא ונרחב על המערכת ופעולות הרשת, צריך להשתמש בתכנת אנטיוירוס שמגנה עליכם מפני התקפות “קלאסיות”, כגון וירוסים, תולעים, סוסים טרויאנים, או פישינג. בו בזמן, יש צורך גם בפתרון נגד ספאם, גניבת מידע, בקרת מבוגרים וחומת אש טובה. יותר מהכל, יש להתעדכן בכל האבטחות והחדשות האחרונות ולדחות על הסף כל סיפור שקרי שמנסים למכור לכם המבטיח הגנה מלאה וכוללת על ידי התקנת תכנת אבטחה בודדת.

• אני לא צריך תוכנות אבטחה מכיוון שאינני גולש באתרים מסוכנים.

מכירים את החבר הזה שמאמין באמרה הפשוטה שכל מה שצריך על מנת להישמר מפני פוגענים, וירוסים, ספאם, פישינג, גניבת מידע, התקפות מקוונות וכו’, זה פשוט להפעיל הגיון פשוט? כמה פעמים שמעתם מישהו שאומר: “אני לא צריך הגנת אנטיוירוס, אני חכם מכדי ליפול בטריקים הללו!”
כאשר מדובר בצרופות להודעת דוא”ל, אתרים מסוכנים ופרסומות, ייתכן וזה נכון. אבל האם זה הכל? מה לגבי תקיפות של פוגענים? פרצות אבטחה שקשה מאוד לאתר? או אולי קוד זדוני החבוי במעמקי אתר לגיטימי?
להישאר בטוח ברשת מאוד דומה לנהיגה ברכב. יכול מאוד להיות שיש לכם הגיון בריא ותשומת לב מירבית מפני סכנות פוטנציאליות, אבל האם תוכלו תמיד לחזות מה הסובבים אתכם עושים?

• הגדרתי סיסמאות חזקות ומורכבות לכל החשבונות שלי, אז אני אהיה בסדר.

אין חדש תחת השמש. כמובן שהמלצה מאוד שכיחה היא להגדיר סיסמא חזקה עבור כל משתמש. הסיסמאות צריכות להיות באורך של 10 או 20 תווים ולהכיל מגוון אותיות ומספרים. בחירת סיסמא ארוכה ומורכבת תיצור קשיים עבור אדם המנסה לשבור אותה.
בפועל, סיסמאות שכאלו יוצרות קושי על המשתמש, כי הן אינן נוחות ולא תמיד פשוט לזכור אותן. זה שמוביל לכך שהמשתמש רושם את הסיסמא על דף נייר או בקובץ במחשב, מה  שבתורו מעלה את הסיכון לגישה לא רצונית על מערכת ההפעלה. בממד האנושי, ניתן להגיד שמשתמשים לא מחבבים סיסמאות חזקות וארוכות ומתייחסים לזה כאל נטל.
בדרך כלל, גולשי האינטרנט משתמשים בסיסמאות קלות לשינון עבור חשבונותיהם ולכן גם קל לנחשן. הסיסמא הנפוצה ביותר בשנים האחרונות היא “123456” או ווריאציה אחרת שלה, הכוללת יותר או פחות ספרות.
לכן, רוב הסיסמאות ופרטי ההתחברות, שאפילו משמשים לכניסה לחשבונות בנק, למעשה לא מצליחות להיפרץ. עובדה מוכרת נוספת היא שרוב המשתמשים מגדירים את אותה סיסמא במספר חשבונות שונים, מה שמקל על עבודת התוקף.

• אבטחת האינטרנט יקרה.

ניתן להגיד כמעט בוודאות שרובכם מבזבזים את זמנם ברשת בהרצת מגוון פעולות, בין אם זה שליחת הודעות ברשתות חברתיות, רכישת מגוון מוצרים באתרי הקניות השונים וכמובן גם כניסה לחשבון הבנק שלכם על מנת לבצע העברות מזומנים. אם כך, האם הגלישה באינטרנט היא פשוט דרך כיפית להעביר את הזמן? או שמא, נהפכה כבר לחלק בלתי נפרד משגרת היום יום שלכם?
כמה קשה לעבריין סייבר להשתמש במידע מחשבון הפייסבוק שלכם ולמזג אותו עם מידע מתכנה זדונית, שכבר נמצאת על המחשב שלכם על מנת ליצור תמונה מלאה על חייכם? והחל מהנקודה הזו, כמה זמן ייקח אתם סבורים שייקח עד שזהותכם תיגנב ותמוחזר עבור כוונות זדוניות?

בוודאי כבר שמעתם על מקרים בהם זהות של אדם נגנבה ממנו וכל כספו הועבר מחשבונו האישי. מה שלא שמעתם, הוא שההתאוששות מפגיעה שכזו אורכת זמן, אפילו שנים. מכיוון שהמתקפה יכולה להגיע מכל מקום בעולם, העבריינים כמעט ואף פעם לא מגיעים אל בית המשפט. השאלה שנשאלת היא כזו – לאחר שנחשפתם למידע הנ”ל, האם באמת כדאי לקחת סיכון?

• אני פותח רק דוא”ל שנשלח מחבריי, לכן אהיה בסדר.

אם תישאלו את השאלה “כמה מכם קיבלו פעם דוא”ל חשוד מחבר או מכר?” כנראה שתעבור לכם בראש המחשבה “בוודאי שלא אני”. אבל האם אתם יודעים כמה קל לזייף כתובת דוא”ל על מנת להציג שם של כל אחד בתור שולח?
במקרה בו אתם מכירים את הטריקים הללו, יתכן ואתם מוגנים מפני לחיצה על קישורים הנמצאים בגוף הודעת הדוא”ל, או לחלופין להוריד קובץ מצורף ממנה. אבל, מישהו פחות מיומן באבטחת אינטרנט, נמצא מרחק קליק אחד מתוכנה זדונית העלולה להדביק את המחשב שלו. לחיצה על קישור עלול לשלוח את המשתמש אל אתר זדוני הנשלט על ידי עבריינים, והורדת הצרופה בהודעת הדוא”ל, יכולה בקלות להתקין על המערכת פוגענים המשמשים לצורך פריצת חשבונות בנק, שעלולים להישאר על המחשב באופן חבוי מפני המשתמש גם שנים ארוכות ללא ידיעתו.
הודעות מסוג זה לעתים מגיעות אפילו ממוסדות ידועים ומוכרים ובכך יכולים להראות מספיק אמינים על מנת להפיל את הקורבן בפח. במקרה שכזה, במידה ויש לכם כל ספק שהוא במקור הדוא”ל, פשוט צרו קשר ישיר עם המוסד הנ”ל או החבר ושאלו אותם על ההודעה.

• אני מוריד תכנים ומידע ממקורות מאובטחים בלבד, זה שומר על בטחוני.

רובנו מאמינים כי אכן כך הדבר – אם נשתמש רק באתרים מאובטחים, נישאר בטוחים.
המציאות מעט שונה מכך. גם אם תיגשו אל מקור אמין, אתם עדיין חשופים לסכנות מקוונות, והכוונה היא לא לוירוסים, תולעים או כל פוגען “רגיל” אחר. במקרה הספציפי הזה, מדובר על סכנה נרחבת יותר: תכנה זדונית הפותחה על ידי עברייני סייבר שמטרתה העיקרית היא לדלות מידע פרטי מן המשתמש והרשאות בנקאיות. תכנה מסוג זה נשארת חבויה מפני סריקת אנטיוירוס רגילה.

סוג זה של פוגען, מתפשט בדרך כלל באמצעות דוא”ל שככל הנראה מגיע ממוסד פיננסי מאובטח כלשהו (או חבר), דרך הורדות Drive-By, תוכן זדוני הממוקם באתרים מאובטחים ויורד אל מחשבכם, או פשוט דרך מודעת פופ-אפ שהושתלה על ידי עבריינים באותם אתרים הנחשבים למאובטחים. על מנת להישמר מפני סכנה זו, תיאלצו להשתמש בתכנה שפותחה במיוחד כדי להגן עליכם מפני תוכנות לגניבת הרשאות בנקאיות וגניבת מידע. סוג כזה של תוכנה, מציע שכבת הגנה כוללת יותר שאנטי-וירוס פשוט, לא מסוגל לספק.

• הרשתות החברתיות שלי הן מקום בטוח. חברים ישארו חברים.

האמנם? שרותי הרשת החברתית, כמו פייסבוק או טוויטר, חיברו כל כך הרבה אנשים בשנים האחרונות כך שקשה למצוא היום מישהו שאין לו לפחות חשבון אחד בהם.
מכיוון שכל כך הרבה אנשים מחוברים אחד לשני באופן זה, עברייני סייבר כבר פיתחו שיטות וסביבות על מנת לסמן את רשתות אלו, בעיקר באמצעות נסיונות התחזות וגניבות זיהוי. אם עברייני סייבר מסוגלים לשתול תכנים זדוניים כמו הורדות Drive-By ופרסומות פופ-אפ על גבי אתרים מאובטחים, הם יכולים לעשות כך גם בחשבונות ברשתות החברתיות. מי מכם לא מכיר חבר שלחץ על הצעה מפתה שהובילה אותו לעמוד מזוייף והפיץ אותה לכל רשימת החברים שלו? או משחק קליל נוסח “לאיזה סלבריטאי אתה הכי דומה לפי תמונת הפרופיל שלך”, שמופעל על ידי צד שלישי?
סכנה נוספת הנמצאת ברשתות אלו, באה לידי ביטוי באמצעות פרופילים מזוייפים של עברייני הסייבר במטרה לדלות מידע אישי ממשתמשים אחרים. באמצעות אסיפת המידע וחיבורו למידע אחר הזמין במקומות אחרים, עברייני הסייבר מסוגלים להרכיב פרופיל מלא של משתמש ובכך לגנוב לגמרי את זהותו.
הכלל החשוב ביותר מסעיף זה הוא להיות תמיד זהירים בעת הוספת חברים חדשים ולחיצה על קישורים חשודים.

• אין לי מידע חשוב או רגיש על המערכת שלי, למה לי לדאוג?

ראשית, האם אתם בטוחים שאין לכם שום דבר בעל ערך במערכת?
האם אפשרתם לדפדפן שלכם לזכור את כל הסיסמאות עבור כל החשבונות, אתרי הבנקים, וכתובת הדוא”ל? מה הנזק האמיתי שתוכלו לספוג במידה וחשבון הדוא”ל שלכם נפרץ?
אתם אולי חושבים שהמידע שלכם לא חשוב עבור עברייני סייבר, אבל כאמור הם מסוגלים לאסוף ולחבר מידע עליכם גם ממקורות אחרים על מנת לקבל תמונה גדולה יותר על הרגלי הרשת שלכם. מאוחר יותר, הם יכולים להשתמש בזה על מנת לגנוב את זהותכם ובכך להשתמש בה נגדכם. זכרו שגם אם באמת אין ברשותכם כל מידע חשוב על המערכת, עדיין ניתן לגנוב את מכשירכם עבור מגוון כוונות שונות.
בין היתר, ניתן להשתמש בכונן הקשיח שלכם על מנת לאחסן תוכן לא חוקי, תכני “Phishing”, להתקין “BOT”, לשתף חומרים לא חוקיים וכן על מנת להשתמש במחשבכם כנקודות ציון בעת תקיפה ברשת. בו בזמן, הם יכולים להשתמש במשאבי המערכת שלכם, כמו חיבור הרשת שלכם, על מנת לגשת לאתרים בצורה מרוחקת או לדוא”ל שלכם על מנת לשלוח הודעות “Spam” אל רשימת החברים שלכם.

• במקרה בו נדבקתי, אני בטוח אראה את זה.

ובכן, אל תהיו בטוחים כל כך. בעבר, כאשר מחשב התחיל לפעול בעצלתיים ופרסומות פופ-אפ הופיעו על כל המסך, אולי יכולתם לדעת. היום אופן הפעולה של עברייני סייבר התפתח והגדיל את יעילותו כך שברוב המקרים, משתמש סטנדרטי לא יכול לדעת אם המערכת שלו נפגעה מספאם או מהתקפה ממוקדת.
התוכנה הזדונית בנויה כך שמוצרי אנטי-וירוס שונים לא יוכלו לאתרה ולעקוב אחריה, ובכך  האקרים דולים מידע מבלי ידיעתכם, ועובדים ברקע כל הזמן. התוכנה הזדונית הנפוצה ביותר כיום, נבנתה כדי לגנוב את המידע הרגיש ביותר שלכם כמו כרטיסי אשראי וחשבונות משתמשים ולא להשאיר כל עקבות הנראות לעין.

רוצים לעשות שינוי באבטחת המידע בעסק שלכם? להנחיל את שיטת העבודה הנכונה ביותר בממד האנושי? לכל התייעצות בנוגע לאבטחת מידע ניתן לפנות לחברת  IPV Security במייל info@ipvsecurity.com או במספר הטלפון 09-7430130. החברה מתמחה זה 15 שנה באבטחת מידע ועוסקת בסקרי סיכונים הנוגעים ביטחון מידע ומודעות עובדים.