פישינג בעסק: איך מזהים לפני שנופלים

פישינג (Phishing) הוא ניסיון התחזות שנועד לגרום לך לבצע פעולה שמשרתת את התוקף. בעסק, חשבון דוא"ל אחד עשוי לתת גישה לחשבוניות, להסכמים ולפרטי לקוחות. דרך החשבון, התוקף יכול גם לנסות להשפיע על תהליכי תשלום. לכן חשוב לבדוק בקשות חריגות בערוץ מוכר.

מה זה פישינג ולמה הוא תוקף עסקים

לעסקים יש שילוב מושלם לתוקפים: מידע יקר + הרבה תקשורת במייל + לחץ תפעולי. כשעובד מקבל "חשבונית דחופה", "אישור משלוח", או "מייל מהבנק", הוא רוצה לסגור משימה מהר. התוקפים מנצלים את זה עם ניסוח שנראה אמיתי, לוגואים, ושמות שמזכירים ספקים אמיתיים.

החדשות הטובות: ברוב המקרים אפשר לזהות פישינג לפני שנופלים — אם יודעים מה לבדוק.

סיסמה למייל, קוד אימות, גישה לקבצים, או "אישור תשלום" שיישלח לחשבון לא נכון.

כי זה נראה דחוף ומוכר: "משהו ייחסם", "קיבלת קובץ", "צריך לאשר עכשיו".

סוגי פישינג נפוצים בעסקים

1) פישינג התחברות (Credential Harvesting)

מייל שמוביל ל"דף התחברות" שנראה כמו Microsoft/Google. מזינים שם משתמש וסיסמה — והפרטים עוברים לתוקף.

2) התחזות לספק / חשבונית / תשלום

הודעה בסגנון "מצורפת חשבונית", "תשלום נכשל", "נא לאשר העברה". כאן המטרה יכולה להיות הורדת קובץ או שינוי פרטי בנק.

3) Smishing / WhatsApp Phishing

הודעות SMS/וואטסאפ עם לינק. עובדים לוחצים מהנייד, ואז נדבקים או מזינים פרטים.

4) Spear Phishing (ממוקד)

תוקף לומד את העסק: שמות עובדים, ספקים, מבנה ארגוני. לאחר איסוף המידע, התוקף מתחזה במייל למנכ"ל, לרואה החשבון או לספק אמיתי. זו הגרסה המסוכנת ביותר.

סימני אזהרה שכדאי לזהות בשנייה

• דחיפות ולחץ: "תוך 30 דקות", "החשבון ייחסם", "לאשר מיידית".
• בקשה חריגה: "שלח קוד אימות", "עדכן סיסמה", "אשר העברה" בלי תהליך רגיל.
• שולח מוזר: שם נראה נכון אבל המייל עצמו שונה באות/דומיין.
• קישור לא מתאים: עוברים עם העכבר ורואים כתובת לא מוכרת.
• שפה/עיצוב לא עקבי: טעויות כתיב, ניסוח משונה, לוגו "לא חד".
• קובץ מצורף חשוד: במיוחד אם מבקשים "Enable Content" או "Enable Macros".

בדיקה מהירה לפני לחיצה: 20 שניות שמצילות עסק

1. מי השולח באמת? לפתוח את פרטי השולח ולבדוק את הדומיין.
2. לאן הקישור הולך? לעבור עם העכבר ולבדוק כתובת מלאה.
3. מה מבקשים ממני? סיסמה/קוד/תשלום — זה תמיד חשוד.
4. תהליך כפול: כל בקשת תשלום/שינוי פרטי בנק — לאשר בטלפון מול מספר מוכר.
5. אם יש ספק — לא לוחצים. מדווחים ומבקשים בדיקה.

מה עושים אם נלחצו או הוקלדו פרטים

1. ממכשיר נקי ומוכר, ובהנחיית אחראי המחשוב, החליפו סיסמה שנחשפה. אם קיים חשד לנוזקה במכשיר, אל תשתמשו בו לצורך ההחלפה.
2. ניתוק מכשירים/סשנים (Sign out everywhere) אם אפשר.
3. הפעלת/הקשחת 2FA והחלפת שיטת אימות לאפליקציה.
4. בדיקת Rules במייל — לפעמים תוקפים יוצרים כללים שמסתירים מיילים.
5. דיווח פנימי כדי להתריע לצוות שלא ייפלו על אותו מייל.

בבקשת תשלום או שינוי פרטי בנק, עצרו ובדקו מול הספק בטלפון מוכר. אל תסתמכו על המספר שמופיע בהודעה החשודה. להרחבה על התחזות בשיחה, קראו את המדריך בנושא הונאות זיוף קול ווידאו בעסקים.

דווחו מיד וטפלו לפי סוג החשיפה. תגובה מהירה יכולה לצמצם נזק, אך אין חלון קבוע שבו כל הנזק מתרחש או נעלם.

איך מגינים מראש: תהליך פשוט בעסק

1) אימות דו-שלבי לכל מייל עסקי

זה הצעד מספר 1. גם לאחר גניבת סיסמה, התוקף צריך לעבור שלב אימות נוסף. לכן חשוב להפעיל MFA ולבדוק בקשות אישור חריגות.

2) מדיניות תשלומים פשוטה

• אין שינוי פרטי בנק בלי שיחה לטלפון מוכר.
• אין תשלום מעל סכום מסוים בלי אישור נוסף.
• אין שליחת קודי אימות לאף אחד — גם לא "תמיכה טכנית".

3) הדרכת צוות קצרה

15 דקות אחת לכמה חודשים עם דוגמאות אמיתיות מהשטח — שווה יותר מכל מצגת.

מבדק פישינג לעסקים: מה בודקים ומה עושים עם התוצאות?

מבדק פישינג לעסקים מדמה הודעת התחזות כדי לבדוק זיהוי, דיווח ותגובה. המטרה היא לשפר את תהליך העבודה ואת ההדרכה. תוצאה של תרגיל יחיד אינה מוכיחה שהעסק מוגן.

מגדירים תרגיל מבוקר מראש

הגדירו עם הנהלת העסק את קבוצת המשתתפים, התרחיש, מועד התרגיל ואופן השימוש בתוצאות. השתמשו בסביבת תרגול ייעודית, בלי לאסוף סיסמאות אמיתיות ובלי קבצים מזיקים. קבעו מי מטפל בדיווחים ואיך מבחינים בין התרגיל לבין הודעה חשודה אמיתית.

מודדים גם דיווח ולא רק לחיצה

בדקו כמה עובדים זיהו את ההודעה ודיווחו עליה, כמה זמן עבר עד הדיווח ומה עשה צוות התמיכה. בדקו גם לחיצות וניסיונות להזין מידע בסביבת התרגול. ציינו כמה הודעות הגיעו בפועל למשתתפים, כדי שמסנני הדואר לא ייצרו תמונה מטעה.

השוו תרגילים בעלי רמת קושי והקשר דומים. הודעה שמתאימה לעבודת העובד עשויה להיות קשה יותר לזיהוי. מדריך NIST למבדקי פישינג מסביר מדוע צריך לפרש שיעורי לחיצה בהקשר הזה.

הופכים את הממצאים לשיפור מעשי

עברו עם הצוות על סימני ההתחזות ועל דרך הדיווח. תקנו שלבים לא ברורים, כמו אימות שינוי פרטי תשלום מול ספק בערוץ מוכר. לאחר ההדרכה בצעו תרגיל נוסף ובדקו את השיפור. שלבו את המבדק עם אבטחת מידע לעסקים, הגנת דואר ואימות נוסף, בהתאם לצורכי העסק.

סיכום ומה הצעד הבא

בדיקת הודעות, אימות תשלומים בערוץ מוכר, אימות חזק ותהליך דיווח מצמצמים סיכון מפישינג. גם כאשר קיימות הגנות, יש לתרגל תגובה למקרה שבו הודעה מטעה הצליחה. לקריאה נוספת: אימות מזויף ומתקפות ClickFix.