ניסוח תקין אינו הוכחת זהות
פישינג הוא ניסיון להטעות אדם למסור מידע או לבצע פעולה באמצעות הודעה, אתר או שיחה מתחזים. הודעה משכנעת יכולה לחקות תהליך מוכר בלי שגיאות כתיב. הערכת NCSC לתקופה עד 2027 מתארת שימוש ב-AI לשיפור הנדסה חברתית; היא אינה מדד לשיעור ההודעות שנוצרו כך בישראל. הצוות אינו צריך לזהות באיזה כלי השתמש השולח: בודקים את הבקשה, החשבון והפעולה המבוקשת.
מאמתים שינוי בערוץ מוכר
בשינוי פרטי תשלום לא צפוי או בבקשת גישה פונים לאדם דרך מספר או ערוץ שכבר שמור בארגון. אין להסתמך רק על פרטים שנשלחו בהודעה החשודה. תנו לעובדים דרך לעצור בקשה ולדווח בלי להיענש על עיכוב. לדוגמה, בקשה להחלפת חשבון בנק של ספק נבדקת במספר שהיה שמור לפני קבלת ההודעה. מספר חדש בתוך ההודעה אינו ערוץ אימות עצמאי. קובעים מי מאשר שינוי ומי רשאי לעצור אותו כשאין אישור ברור.
שומרים בעלות עסקית על גישת ניהול
תעדו בעלים לדומיין, לאחסון, לדואר ולחשבונות ניהול. העדיפו תפקידים אישיים, MFA נתמך ודרכי שחזור שבשליטת העסק. ניהול הרשאות מיוחדות יכול להתחיל במיפוי ברור, אישור והסרה; מוצר לבדו אינו מספק את התהליך.
מתכוננים לספק שאינו זמין
ודאו בעלות ודרכי שחזור לפני עזיבת מפתח. אם הגישה כבר אבדה, השתמשו בתהליך הרשמי של הספק להוכחת בעלות ותעדו ראיות. אין לעקוף אימות או להשתמש בחשבון של אדם אחר ללא הרשאה. סקרו גישות לאחר שינוי בצוות או בספקים.
מה עושים לפי השלב שבו נחשפתם
לא כל לחיצה מוכיחה הדבקה. מתעדים מה קרה ומתאמים עם מנהל המערכת במקום לבצע שינויים אקראיים. כאשר כבר נמסרו פרטים או אושר תשלום, סוג הבירור והדחיפות משתנים.
| מה קרה | פעולה ראשונה | מה לא להסיק |
|---|---|---|
| קראתם הודעה | אמתו בקשה בערוץ מוכר | ניסוח תקין אינו הוכחת זהות |
| לחצתם | סגרו יעד חשוד ודווחו מה נפתח או הורד | לחיצה לבדה אינה אבחנת נוזקה |
| מסרתם פרטי גישה | דווחו למנהל ופעלו לשיקום דרך אתר מוכר | איפוס לבדו אינו סוגר כל גישה |
| אישרתם MFA לא צפוי | דווחו ובדקו הפעלות והרשאות | אין להניח שהחשבון נשאר בשליטתכם |
| העברתם כסף | פנו מיד לבנק ולגורם האחראי בעסק | אין הבטחת עצירה או החזר |
תרגיל קצר לצוות ללא מתקפה פעילה
המחשה לדיון: מגיעה בקשה לשינוי פרטי תשלום של ספק. הצוות מציין מי מוסמך לאשר, באיזה מספר מוכר יבדוק את הבקשה ואיך יתעד את ההחלטה. לא שולחים פישינג אמיתי ולא אוספים סיסמאות. מטרת התרגיל היא לבדוק תהליך אימות עצמאי; הוא אינו טענה להכשרה שכבר ביצענו. לעזיבת עובד יש תהליך גישה נפרד במדריך הייעודי.
