אירוע סייבר בפלטפורמה פיננסית: למה הסכנה לא נגמרת גם אם הכסף לא נגנב

כשהכסף לא נגנב, אבל הפרטים כן

כדאי לזכור

אירוע סייבר בפלטפורמה פיננסית לא תמיד מתחיל בגניבת כסף. לפעמים הוא מתחיל בהודעה שנראית אמינה מדי.

מה בעצם מפחיד כל כך בהודעת "אירוע סייבר"

כשפלטפורמה פיננסית מודיעה על אירוע סייבר, האינסטינקט הראשון הוא לשאול אם הכסף נעלם. זאת שאלה טבעית, אבל היא לא תמיד השאלה הנכונה.

באירוע שעליו דיווחה השבוע ביטס אוף גולד, החברה מסרה שהנכסים הדיגיטליים, הכספים, הסיסמאות, צילומי התעודה ופרטי כרטיסי האשראי לא נפגעו. במקביל, היא הזהירה שייתכן שנחשפו פרטים אישיים אחרים, בהם שם, תעודת זהות, אימייל, טלפון, כתובת IP, פרטי חשבון בנק וכתובת ארנק ציבורית. זה נשמע פחות דרמטי מ"הכסף נגנב", אבל דווקא כאן מתחיל הסיכון המעשי.

כי בעולם הפיננסי, מי שמחזיק מספיק פרטים עליכם לא חייב לפרוץ לחשבון כדי לנסות להוציא מכם כסף. לפעמים מספיק שהוא יודע איך אתם נקראים, איפה פתחתם חשבון, מה מספר הטלפון שלכם, ואיך לנסח פנייה שתישמע כאילו היא באמת הגיעה מהחברה.

למה דליפת פרטים אישיים יכולה להיות מסוכנת גם בלי גניבת מטבעות

קל לחשוב שאם הסיסמה לא דלפה ואם לא נעלמו מטבעות, אפשר לנשום. בפועל, דליפת פרטים אישיים יוצרת חומר גלם מצוין לפישינג, כלומר לניסיונות התחזות שמטרתם לגרום לכם למסור משהו בעצמכם.

נניח שלקוח מקבל יום אחרי האירוע הודעה עם השם המלא שלו, אזכור של פלטפורמת הקריפטו שבה הוא משתמש, ובקשה "לאמת חשבון" דרך קישור. ברגע שיש למתחזה גם מספר טלפון, גם אימייל וגם הקשר אמיתי לאירוע חדשותי, ההודעה כבר לא נראית כמו ספאם גנרי. היא נראית כמו המשך טבעי של מה שקרה.

זאת הנקודה שמבלבלת הרבה אנשים. הם לא נופלים בגלל שהם לא זהירים, אלא בגלל שההודעה יושבת על פרט אמיתי. אף אחד לא שולח לכם מכתב על זה. זה לא באג, ככה הונאות כאלה בנויות.

המספר שכדאי לזכור

7

קטגוריות מידע שנזכרו בדיווח

יותר מזה, גם אם לא מבקשים מכם סיסמה, אפשר לנסות למשוך אתכם לשיחה, לווטסאפ, לטופס "עדכון פרטים" או להעברת כסף ל"ארנק מאובטח חדש". בפלטפורמות פיננסיות דיגיטליות, במיוחד סביב קריפטו, עצם התחושה שיש לחץ ושצריך להגיב מהר היא חלק מהסיכון.

מה בעצם נחשף, ומה זה עדיין לא אומר

לפי הודעת החברה כפי שצוטטה בדיווחים, מה שעשוי היה להיחשף הוא פרטי זיהוי וקשר, כתובת IP, פרטי חשבון בנק וכתובת ארנק ציבורית. לעומת זאת, החברה הדגישה שאין אינדיקציה לפגיעה בכספים, במטבעות, בסיסמאות, בצילומי תעודה או בפרטי כרטיס מלאים.

ההבדל הזה חשוב. אם סיסמה או קוד אימות נגנבים, הסיכון המיידי הוא ניסיון כניסה ישיר. אם דולפים פרטי קשר וזיהוי, הסיכון המיידי הוא לא תמיד פריצה לחשבון, אלא בניית סיפור אמין סביבכם.

כתובת ארנק ציבורית, למשל, איננה מפתח פרטי. היא לא מאפשרת כשלעצמה גישה לנכסים. אבל כשהיא מצטרפת לשם, לאימייל ולמספר טלפון, היא יכולה לעזור למתחזה להישמע משכנע יותר. אותו דבר לגבי פרטי חשבון בנק. עצם הידיעה על קיומם לא שווה שליטה בכסף, אבל היא יכולה להפוך הודעת התחזות לפחות מגושמת.

שתי דרכים להשוואה

מה כן הוזכר כחשוף

• •שם ופרטי קשר
• •פרטי חשבון בנק
• •כתובת ארנק ציבורית

מה הוזכר כלא פגוע

• •כספים ומטבעות
• •סיסמאות
• •פרטי כרטיס מלאים ומפתח פרטי

זו גם הסיבה שהמשפט "הכסף לא נפגע" הוא מרגיע, אבל לא סוגר את האירוע. הוא אומר משהו חשוב על מצב המערכות כרגע. הוא לא אומר שאין סיכון משני בימים שאחרי.

שלושת הסימנים שהודעה אחרי אירוע כזה לא באמת נשלחה מהחברה

הסימן הראשון הוא לחץ. הודעות בסגנון "אם לא תאשרו בתוך שעה החשבון יוקפא" מנסות לקצר את זמן החשיבה. דווקא אחרי אירוע סייבר אמיתי, אנשים נוטים פחות לעצור ולבדוק.

הסימן השני הוא בקשה לפרט שלא אמורים למסור בהודעה אקראית: סיסמה, קוד חד פעמי, צילום תעודה, או העברה של כסף וקריפטו ליעד אחר. לפי החברה, בדומה לגופים פיננסיים אחרים, היא לא אמורה לבקש מכם סיסמה, קוד אימות או מפתח פרטי.

הסימן השלישי הוא מעבר לערוץ לא צפוי. מייל שמבקש להמשיך לוואטסאפ, הודעת SMS עם קישור מקוצר, או שיחה שמנסה ללוות אתכם "רק לשתי דקות" בזמן ביצוע פעולה. זה בדיוק המקום שבו אירוע אמיתי הופך לכלי בידי מתחזים.

כאן חשוב ההבדל בין זהירות לבין פאניקה. אין ערך אמיתי בלעשות עשר פעולות שונות רק כי יצאה הודעה. יש ערך בלהבין איזו פעולה בכלל הגיונית ואיזו פעולה היא בדיוק מה שמתחזה מקווה שתעשו.

מה כן הגיוני לבדוק עכשיו

אפשר להתחיל מהדבר הכי פשוט: לא דרך הקישור שבהודעה, אלא דרך האפליקציה או האתר שאתם כבר מכירים. לבדוק אם יש הודעה רשמית בתוך החשבון, אם פורסם עדכון בערוץ הרשמי של החברה, ואם יש הנחיות עקביות.

אפשר גם לשים לב אם מגיעות בימים הקרובים פניות חריגות יותר מהרגיל. לא כל שיחה היא ניסיון הונאה, אבל אחרי דליפת פרטים לפעמים יש עלייה בניסיונות התחזות, דווקא כי התוקפים יודעים שיש להם סיפור רקע אמין.

אם מתקבלת פנייה שמבקשת קוד, סיסמה, העברה, או אישור פעולה תחת לחץ, שווה לעצור ולעבור לערוץ יזום מצדכם. כלומר, לא לענות מתוך ההודעה עצמה אלא לפתוח לבד את האתר, האפליקציה או ערוץ השירות שמופיע במקום הרשמי.

שלב אחר שלב

1. 1

   עוצרים

   לא לוחצים מיד על קישור שנשלח בהודעה

2. 2

   מאמתים

   נכנסים עצמאית לאתר או לאפליקציה המוכרים

3. 3

   בודקים את הבקשה

   אם מבקשים קוד, סיסמה או העברה, מתייחסים לזה כחשוד

עוד נקודה חשובה היא להבין מה לא לעשות. לא מעט אנשים, מתוך לחץ, ממהרים ללחוץ על "שחזור", "אימות", "הגנה על הכסף" או "העברה לארנק בטוח". לפעמים דווקא הפעולה הדחופה ביותר היא הפעולה שהמתחזה חיכה לה.

האירוע הזה גדול יותר מקריפטו

למרות שהמקרה הנוכחי קשור לפלטפורמת קריפטו, המנגנון רחב יותר. הוא רלוונטי גם לבנקים, לחברות אשראי, לגופי השקעות, לאתרים ממשלתיים ולכל מקום שמחזיק שילוב של פרטי זיהוי ופרטי קשר.

מה שהופך אירוע כזה למשמעותי הוא לא רק השאלה אם הייתה פריצה ישירה למערכת הליבה, אלא אם נוצר מאגר פרטים שיכול לתדלק הונאות בהמשך. לכן השאלה החשובה היא לא רק "האם הכסף שלי נגנב עכשיו", אלא גם "איזה סיפור מישהו יכול לבנות עליי עם המידע שכבר יש לו".

וזה אולי השינוי הכי חשוב בהבנה. בעולם פיננסי דיגיטלי, אבטחה כבר לא נגמרת בסיסמה. לפעמים היא מתחילה ביכולת לזהות מתי הודעה נראית מקצועית, אישית ומשכנעת מדי.

התוכן נועד לחינוך פיננסי בלבד. הוא אינו מהווה ייעוץ או המלצה. כותבי מושקעים אינם בעלי רישיון ייעוץ. הנתונים עשויים להשתנות לפי המצב האישי של כל אדם. במידת הצורך, שווה להתייעץ עם בעל רישיון מתאים.

נכתב על ידי רוי | צוות מושקעים