קנייה בטוחה באינטרנט- בלאק פריידי וסייבר מאנדיי
זו התקופה הזו בעונה- הציפייה הלא מציאותית לשלג עולה, הסריגים יוצאים מהארון, ופרטי כרטיס האשראי מוזנים לתוך שלל אתרים. החשבון בנק שלכם בהחלט לא התגעגע למבצעי נובמבר, אבל אנחנו יודעים על לפחות כמה אנשים שבשבילם זו באמת תקופת חגים מאושרת.
מבצעי נובמבר מאז ומעולם הביאו עימם עלייה חדה באירועי אבטחת מידע, אך מאז מגפת הקורונה המגמה רק מתחזקת, לצערנו. העלייה האסטרונומית בקניות אונליין והעדפת הממשק האינטרנטי על פני החנות הפיזית הביאה לרווחים של 40 ביליון דולר ב-2021 רק בסופ"ש של בלאק פריידי ב-2021. הדבר גורם להאקרים להתמקד בבניית אתרים מזויפים שדומים במראה לאתרי קניות גדולים, ולשליחת הודעות פישינג באימייל- מחקר חדש של bitdefender מצא כי יותר מ-50% מהודעות הפישינג שנשלחו בחודשים אוקטובר נובמבר על מבצעי בלאק פריידי וסייבר מאנדיי הם פישינג.
נתון זה מאיים אפילו יותר לאור הנתונים ש- SIFT מצאה על עלייה חדה של 62% בניסיונות של Payment Fraud.
מהם היו האיומים הכי גדולים ב-2021, ואיך תוכלו לוודא שחווית הקנייה שלכם ב-2022 היא בטוחה ומוגנת? המשיכו לקרוא וגלו הכל.
אתרים מזויפים
השיטה הפופלרית ביותר בקרב האקרים היא ניתוב הצרכן לאתרים מזויפים, חיקויים של המקור. חברת הענק צ'ק פוינט מצאה במחקר כי יש עלייה במספר האתרים המזויפים המשווקים מוצרים לבלאק פריידי, ושמתחילת חודש נובמבר 4% מכלל אתרי האינטרנט הרלוונטים לנושא הם מזויפים- מדובר במיליוני אתרים שאנשים מבקרים בהם יום יום. אתרים אלה לרוב נראים מאוד דומים למקור, אך בעזרת תשומת לב לפרטים קטנים ניתן לזהות את הזיוף:
- שגיאות כתיב בלינק- לינקים של אתרים אלה לרוב כתובים בצורה שונה מהלינקים המקוריים. לדוגמא: www.ailexpress.com במקום www.aliexpree.com
- תמונות שאינן בגודל מתאים או מטושטשות
- פונקציות מסוימות באתר לא עובדות כראוי
- אם זה טוב מדי מכדי להיות אמיתי, זה כנראה לא אמיתי
- אתר ללא שום אינפורמציה ליצירת קשר, או יצירת קשר רק דרך טפסים של האתר
אימייל פישינג
כנראה שאי אפשר להדגיש את זה מספיק פעמים, אבל לעולם לא לוחצים על לינקים שנשלחו ממיליים, בטח לא מיילים המודיעים על מבצעי ענק באתר האהוב עלינו. הלינק המופיע במיילים אלה יכול לקחת אותנו לאתר לא מאובטח או מזויף. גם אם הלינק מעביר לאתר המקורי, יש סכנה לכך שווירוס הורד למחשב, כך שכשאר תזמינו מהתאר המקורי פרטי כרטיס האשראי שלכם יירשמו וייגנבו.
שליחת אישור הזמנה היא דרך פופלרית להתחזות לאתר לגיטימי. לרוב הודעות אלה מודיעות על בעיה בהזמנה שלכם, וכך משכנעות אתכם ללחוץ על לינק שמוביל לאתר מזויף או להורדת קוד זדוני.
בנובמבר 2021 צוות צ'ק פוינט מצא פישינג אימייל שהתחזה למותג היוקרתי לואי ויטון. הודעות פישינג נשלחו מהכתובת- [email protected][.]com שהבטיח מחירים נמוכים במיוחד על התיקים והתכשיטים היוקרתיים, הכל כדי לגרום למשתמש ללחוץ על הלינק שמוביל לאתר תחת הדומיין o[.]awojlere[.]ru
דרך נוספת שהיא פופלרית בקרב מתחזים היא לשלוח הודעה הרלוונטית למשלוח חבילה- המשלוח הגיע/ יצא לדרך/ בעיה במשלוח וכדומה. ניתן למצוא אלפי הודעות כאלה, חלקם במייל וחלקם בסמס, שמפנות אותנו לאתר מזויף-
מסקנה– לשים לב לסימני אזהרה:
- שגיאות כתיבה כגון gooogle במקום google,
- כתובת ללא ssl [בדרך כלל סמל של מנעול בשורת הקישור]- ניתן לבדוק את הכתובת באתר הזה
- האם הלינק מוביל לאתר בבעלות החברה הרשמית
- לא ללחוץ על לינקים ישירים, תמיד לגשת לאתר דרך מנוע החיפוש של גוגל.
כרטיס דביט
כרטיס החיוב המיידי אולי מאפשר התנהלות כלכלית יעילה יותר לאלה מאיתנו שמתקשים לשמור על תקציב, אולם במידה ופרטיו נגנבים אין דרך חזרה. רק בשנת 2020, הונאות בכרטיס דביט הסתכמו בסכום של 117 מיליון דולר.
בכרטיס אשראי לעומת זאת, הרבה יותר קל לתקן את עוול הגניבה. מעבר לחסימת הכרטיס וביטול עסקאות, רוב חברות כרטיסי האשראי מאפשרות קבלת החזר מלא במקרים כאלה, מה שאינו המצב עם כרטיסי דביט.
רשת לא מאובטחת
כלל ברזל שרלוונטי תמיד, לא רק בתקופת הקניות- לא מתחברים לאתרים רגישים תחת רשת לא מאובטחת או ציבורית.
אם אתם נמצאים בבית קפה, שדה תעופה, מלונות וכדומה יש סכנה גדולה למתקפת Man in the Middle, שהוא כמעט בלתי אפשרי לזיהוי. מתקפה זו בעצם משתלטת על התקשורת בין המכשיר שלכם לשרת האתר אליו אתם מתחברים, כך שניתן להוציא מספרי כרטיס אשראי, פרטי חשבונות וכל מידע רגיש אחר.
למתקפה מהסוג הזה יש שני שלבים- יירוט ופענוח:
- יירוט– מי היה מאמין שהמושג הזה יהיה רלוונטי מחוץ לדיון על כיפת ברזל, אבל גם עולם הסייבר מלא במלחמות. בשלב זה ההאקר מנסה ללירט את ההתקשרות בין המשתמש לספק השירות, לרוב על ידי יצירת hotspot חינמי וציבורי. ברגע שהקורבן מתחבר ל- hotspot ללא צורך בסיסמא, לתוקף יש גישה מלאה לתקשורת האינטרנטית.
פענוח– לאחר יירוט התקשורת האינטרנטית של המשתמש, צריך לפענח את המידע המתקבל בלי להתריא על כך למשתמש- ניתן להשתמש בהפשטת או חטיפת SSL, וב-HTTPS Spoofing.
מסקנה
לא להתחבר לחשבונות רגישים דרך רשת לא מאובטחת.
השתמשו בשירותי VPN המסווים את החיבור שלכם לרשת
חשבונות רגישים:
- כרטיסי אשראי
- חשבון בנק
- אתרי קניות
- התכתבויות עם לקוחות ו/או פרטי לקוחות
רשתות לא מאובטחות:
- שדות תעופה
- בתי קפה
- מסעדות
- מקומות ציבוריים
- הוסטלים
ניטור ההוצאות
המשיכו לעקוב אחרי חשבון הבנק ופירוט האשראי שלכם בחודש שאחרי סיום הקניות, וודאו שאין חיוב לא מאושר או חריג. בכל מקרה לחשד, צרו קשר עם בית העסק המפורט, נסו לברר ולהשיג חשבונית ובמידה ואכן החיוב לא נעשה על ידכם, צרו קשר עם חברת האשראי ובטלו את הכרטיס מיד.
