סיסמאות ואימות דו שלבי: מדריך אבטחה בסיסי לכל משתמש ובעל עסק

כמעט כל מי שמחזיק טלפון חכם שמע על מקרה כזה: חשבון ווטסאפ שנפרץ ושלח לכל אנשי הקשר בקשה לכסף, עמוד פייסבוק עסקי שהושתלט ונמחק, או תיבת מייל שממנה נשלחו הודעות פישינג. מאחורי רוב המקרים האלה לא עומדים האקרים גאונים, אלא פרצות בסיסיות: סיסמה חלשה, סיסמה שחוזרת על עצמה בכמה אתרים, או קוד אימות שנמסר בתום לב למי שהתחזה לנציג שירות. החדשות הטובות הן שכמה צעדים פשוטים יכולים להפחית מאוד את הסיכון. המדריך הזה עובר עליהם אחד אחד.

למה סיסמאות פשוטות הן מתכון לצרות

סיסמאות כמו שם הילד ושנת הלידה, רצף מספרים או מילה פשוטה הן הראשונות שתוקפים מנסים. תוכנות אוטומטיות יכולות לנסות מיליוני צירופים בזמן קצר, ומילונים של סיסמאות נפוצות זמינים לכל אחד.

אבל הבעיה הגדולה יותר היא שימוש חוזר. כשאתר כלשהו נפרץ ומאגר המשתמשים שלו דולף, התוקפים מנסים את אותם צירופים של מייל וסיסמה באתרים אחרים: בבנק, בתיבת המייל, ברשתות החברתיות. אם השתמשתם באותה סיסמה בכל מקום, פריצה לאתר זניח אחד יכולה לפתוח את כל החשבונות שלכם.

איך נראית סיסמה חזקה

הגישה המקובלת כיום מעדיפה אורך על פני מורכבות. סיסמה ארוכה, שמורכבת מכמה מילים אקראיות שאין ביניהן קשר, קשה לפיצוח ועדיין קלה יחסית לזכירה. ביטוי של ארבע או חמש מילים שאין להן קשר הגיוני חזק יותר מצירוף קצר של אותיות, מספרים וסימנים שקשה לזכור.

כמה כללים בסיסיים:

• סיסמה שונה לכל שירות, ובוודאי לחשבונות החשובים.
• להימנע מפרטים אישיים שאפשר למצוא ברשת, כמו תאריכי לידה, שמות ילדים או כתובת.
• לא לשתף סיסמאות בהודעות, במיילים או בפתקים על המסך.
• להחליף סיסמה מיד אם יש חשד לפריצה או אם השירות דיווח על דליפה.

מנהל סיסמאות: הפתרון הפרקטי

איך אפשר לזכור עשרות סיסמאות שונות וארוכות? התשובה היא שלא צריך. מנהל סיסמאות הוא תוכנה ששומרת את כל הסיסמאות בכספת מוצפנת, ומאפשרת לגשת אליה באמצעות סיסמה ראשית אחת חזקה. הוא גם יודע לייצר סיסמאות אקראיות וחזקות ולמלא אותן אוטומטית באתרים.

רוב הדפדפנים ומערכות ההפעלה כוללים היום מנהל סיסמאות מובנה, ויש גם שירותים ייעודיים, חלקם חינמיים. לעסקים יש גרסאות שמאפשרות שיתוף מבוקר של סיסמאות בין עובדים, בלי לשלוח אותן בווטסאפ. הסיסמה הראשית של מנהל הסיסמאות היא הסיסמה החשובה ביותר שלכם, ולכן היא צריכה להיות ארוכה, ייחודית ומוגנת גם באימות דו שלבי.

אימות דו שלבי: שכבת הגנה נוספת

אימות דו שלבי מוסיף לסיסמה שלב נוסף: משהו שיש לכם, בדרך כלל הטלפון. גם אם מישהו השיג את הסיסמה, הוא לא יוכל להיכנס בלי הקוד הנוסף. זו כנראה הפעולה היעילה ביותר להגנה על חשבונות, והיא זמינה כמעט בכל שירות מרכזי: מייל, רשתות חברתיות, ווטסאפ, שירותי ענן ובנקים.

יש כמה שיטות. קוד במסרון הוא הנפוץ והפשוט, וגם הוא עדיף בהרבה על כלום. אפליקציית אימות, שמייצרת קודים מתחלפים בטלפון, נחשבת לבטוחה יותר. מפתחות אבטחה פיזיים ושיטות התחברות ללא סיסמה מציעים הגנה גבוהה במיוחד. כדאי להתחיל בחשבונות הקריטיים: המייל הראשי, שדרכו אפשר לאפס את כל השאר, הבנק, הרשתות החברתיות של העסק וחשבון הענן.

בווטסאפ, כדאי להפעיל את האימות הדו שלבי בהגדרות ולקבוע קוד אישי. זה מונע מצב שבו מישהו משתלט על החשבון רק בעזרת קוד שהגיע במסרון.

הנדסה חברתית: הסכנה שלא קשורה לטכנולוגיה

גם ההגנה הטכנית הטובה ביותר לא תעזור אם מוסרים את הקוד בעצמכם. רבות מהפריצות מתחילות בשיחת טלפון או בהודעה ממי שמתחזה לנציג של בנק, חברת שליחויות, רשת חברתית או אפילו חבר. הם יוצרים תחושת דחיפות ומבקשים קוד שהגיע אליכם, או שולחים קישור לעמוד מזויף שנראה בדיוק כמו המקורי.

הכלל הברזל: אף גוף לגיטימי לא יבקש מכם למסור קוד אימות שקיבלתם. אם מישהו מבקש, זו הונאה. לפני לחיצה על קישור בהודעה, כדאי לבדוק את כתובת השולח, ובמקרה של ספק, לגשת לשירות ישירות דרך האפליקציה או האתר הרשמי ולא דרך הקישור. בהודעה מחבר שמבקש כסף בדחיפות, תמיד כדאי להתקשר אליו ולוודא.

עסקים קטנים: אחריות כפולה

בעל עסק מחזיק לא רק את המידע שלו, אלא גם מידע של לקוחות. פריצה לחשבון עסקי יכולה לגרום לנזק כספי, לפגיעה במוניטין ואף לחשיפה משפטית. לכן כדאי לקבוע כמה כללים בסיסיים בעסק: לכל עובד חשבון משלו ולא סיסמה משותפת, הרשאות לפי הצורך בלבד, אימות דו שלבי חובה בכל החשבונות, וביטול גישה מיד כשעובד עוזב.

גיבוי סדיר של המידע החשוב, במקום נפרד מהמחשב הראשי, הוא קו הגנה נוסף מפני כופרות ותקלות. עדכוני תוכנה שוטפים למחשבים, לטלפונים ולאתר העסקי סוגרים פרצות ידועות. ועסק שמנהל מידע רגיש במיוחד, כמו מידע רפואי או פיננסי, צריך להתייעץ עם איש מקצוע בתחום אבטחת המידע ולבדוק את חובותיו לפי החוק.

מה עושים אם נפרצתם

אם יש חשד לפריצה, פעלו מהר. החליפו את הסיסמה בחשבון שנפרץ ובכל חשבון אחר שבו השתמשתם באותה סיסמה. הפעילו אימות דו שלבי אם לא היה פעיל, ונתקו את כל ההתחברויות הפעילות מההגדרות. עדכנו את אנשי הקשר שלא להיענות להודעות חשודות שנשלחו בשמכם. אם מדובר בחשבון בנק או בכרטיס אשראי, פנו מיד לבנק או לחברת האשראי. ברוב השירותים הגדולים יש מסלול שחזור חשבון, וכדאי לפעול לפיו בהקדם.

לסיכום

אבטחת מידע בסיסית היא לא עניין למומחים בלבד. סיסמה ייחודית וארוכה לכל שירות, מנהל סיסמאות שיזכור אותן בשבילכם, אימות דו שלבי בחשבונות החשובים, וחשדנות בריאה כלפי בקשות לקודים וקישורים, יעצרו את רוב ניסיונות הפריצה הנפוצים. הקדישו לזה ערב אחד, התחילו מהמייל הראשי ומהווטסאפ, ותישנו בשקט רב יותר.