התחזות למייל של המשרד ומייל מזויף בשם המנהל: איך בודקים אם אפשר להתחזות אליכם

ארבעה דברים שנראים כמו אותה בעיה, ואינם

כשמישהו אומר "התחזו למייל של המשרד שלנו", הכוונה יכולה להיות אחת מארבע בעיות שונות. הטיפול בכל אחת שונה, ולכן חשוב להבחין:

1. התחזות לדומיין (spoofing): מייל נשלח כך שהוא נראה כאילו יצא בדיוק מהדומיין שלכם, למשל name@yourfirm.co.il, בלי שהוא יצא בפועל משרתי המייל שלכם.
2. דומיין דומה: התוקף רושם כתובת שדומה לשלכם, עם אות שונה או סיומת אחרת, ושולח ממנה.
3. שם תצוגה מזויף: ההודעה מגיעה מכתובת אחרת לגמרי, אבל השם שמוצג הוא "דני המנכ"ל". בטלפון רואים לעיתים רק את השם.
4. תיבה שנפרצה: ההודעה יוצאת מהתיבה האמיתית, ולכן עוברת כל בדיקה טכנית.

BEC: מה היא ומה הקשר

מייל מזויף בשם המנהל הוא חלק מקבוצת הונאות שנקראת BEC (Business Email Compromise). ההונאה מבקשת בדרך כלל להעביר כסף, לשנות פרטי תשלום או לשלוח מסמך רגיש. היא מצליחה כשהבקשה נראית אמינה ויש בה לחץ. תרחיש לדוגמה (לא מקרה אמיתי): עובדת הנהלת חשבונות מקבלת הודעה "מהמנכ"ל" שמבקשת תשלום דחוף לספק חדש, ומתבקשת לא לספר לאף אחד.

איך בודקים אם אפשר להתחזות לדומיין

הבדיקה הטכנית נעשית ברשומות DNS של הדומיין:

• DMARC: האם קיימת רשומה, והמדיניות שלה. עם p=none ההודעות המזויפות עדיין מתקבלות, והרשומה רק מדווחת. עם p=quarantine מבקשים ממקבלים להתייחס אליהן בחשד, בדרך כלל בהסגר לתיקיית ספאם. עם p=reject מבקשים לדחות אותן. הסבר מלא כאן.
• SPF: האם מוגדר מי מורשה לשלוח בשם הדומיין.
• DKIM: האם ההודעות היוצאות חתומות.

הסריקה החינמית של PhishingU בודקת את שלוש הרשומות האלה. התוצאה נותנת תמונה ראשונה: האם הדומיין מוגן מפני התחזות ישירה.

חשוב להבין את הגבולות: הסריקה אינה בודקת דומיינים דומים, אינה בודקת שמות תצוגה, ואינה בודקת אם תיבה נפרצה.

מה בודקים ידנית

• דומיינים דומים: רשמו לעצמכם 3-5 וריאציות סבירות של הדומיין (אות מוחלפת, מקף, סיומת אחרת) וחפשו אם הן רשומות.
• מה רואים בטלפון: האם בנייד נראית הכתובת המלאה של השולח, או רק השם.
• דוחות DMARC: אם הגדרתם כתובת לדוחות, אפשר לראות מי שולח בשם הדומיין.

מה עושים כדי להקטין סיכון

1. להדק DMARC בהדרגה: להתחיל במעקב, לוודא שכל השולחים הלגיטימיים מוגדרים, ואז לעבור להסגר ולדחייה.
2. נוהל אימות: כל בקשת תשלום או שינוי פרטים מאומתת בטלפון למספר מוכר, לא למספר שבהודעה.
3. תיוג הודעות חיצוניות במערכת המייל, אם היא תומכת.
4. אימות דו-שלבי בתיבות כדי להקשות על פריצה.
5. הדרכה ותרגול: עובדים שמכירים את התרחיש עוצרים לפני שמעבירים כסף.

אם כבר קרה

אם התקבלה הודעה חשודה ובוצעה פעולה: עצרו תשלום אם עדיין אפשר, פנו מיד לבנק, שמרו את ההודעה המקורית, ופנו לעורך דין לגבי השלבים הבאים. ראו גם מייל נפרץ: מה עושים.

תרחיש לדוגמה (לא מקרה אמיתי): שרשרת התחזות

ספק קבוע של העסק מעדכן שפרטי החשבון שלו השתנו. ההודעה מגיעה מכתובת שנראית נכונה, ואולי מדומיין דומה בהבדל של אות אחת. ההודעה מצורפת לשרשור קודם, כולל חתימה ולוגו. הנהלת החשבונות מעדכנת את הפרטים, והתשלום הבא יוצא לחשבון של התוקף. רק כשהספק האמיתי מתקשר ושואל על התשלום, מגלים את הפער.

מה היה עוצר את זה? שיחת טלפון אחת למספר שכבר שמור בכרטיס הספק.

מה כתוב בנוהל אימות טוב

• מה מפעיל את הנוהל: שינוי חשבון בנק, בקשה לתשלום דחוף, בקשה לשלוח מסמכים רגישים, כל שינוי בפרטים.
• איך מאמתים: שיחה למספר שנשמר מראש, לא מהמספר בהודעה.
• מי רשאי לאשר ומה הסף שמעליו נדרש אישור שני.
• מה עושים כשהלחץ גדול: הנוהל חל בדיוק כשיש לחץ. כל מי שמנסה לעקוף אותו עושה את מה שהתוקף רוצה.
• למי מדווחים על הודעה חשודה, גם אם לא בוצעה בה פעולה.

נוהל כזה עולה כמעט כלום, אבל הוא הכלי החשוב ביותר נגד הונאה מסוג זה, כי הוא עובד גם כשהתיבה האמיתית נפרצה.

מה המאמר הזה לא מכסה

כאן עסקנו בשאלה אם אפשר להתחזות לדומיין ולמנהל. אם אתם רוצים להבין איך מגדירים את הרשומות עצמן, ראו הסבר על DMARC, SPF ו-DKIM. אם חשדתם שתיבה כבר נפרצה, ראו מה עושים כשהמייל נפרץ. ובמשרדים שמחזיקים כספי לקוחות, ראו אבטחת מידע לרואי חשבון ואבטחת מידע למשרד עורכי דין.