אבטחת מידע לרואי חשבון ומשרדי ייעוץ: איפה המייל פוגש את הכסף

מאמר זה הוא מידע כללי ואינו ייעוץ משפטי או מקצועי. לגבי דרישות החלות על משרד רואי חשבון, בדקו מול הגוף המקצועי ומול עורך דין.

משרד שמחזיק את הנתונים של עשרות לקוחות

משרד רואה חשבון או יועץ מס מחזיק דוחות, תלושים, דפי בנק, פרטי חשבון, תיקי מס וחוזים. לעיתים כל המסמכים של הלקוח נמצאים בתיבה אחת, והבקשות אליו מגיעות במייל ובווטסאפ. עבור תוקף, משרד כזה הוא "מכנה משותף": דרכו אפשר להגיע לכמה לקוחות ולנסות להתחזות לכל אחד מהם.

שלושה תרחישים נפוצים, כולל BEC

1. הונאת שינוי פרטי תשלום: מייל "מהלקוח" שמבקש לשלם לחשבון חדש. הפתרון: אימות בטלפון למספר שכבר שמור אצלכם.
2. התחזות למשרד: מייל שנראה כאילו יצא מהמשרד ומבקש מהלקוח להעביר כסף או מסמכים. הלקוח סומך על המשרד ולכן עלול להיענות.
3. פריצה לתיבה: הסיסמה נגנבת בפישינג, והתוקף קורא תכתובת ומחכה לרגע מתאים כדי להכניס הוראה מזויפת לשרשור אמיתי.

השלישי הוא הקשה ביותר לזיהוי, כי ההודעה נראית כחלק משיחה קיימת.

הנוהל הבסיסי

• שינוי פרטי תשלום מאומת בטלפון, תמיד, ולמספר מוכר ולא זה שבהודעה.
• אישור כפול להעברות מעל סכום שתקבעו.
• אימות דו-שלבי בתיבות המייל, ובמערכות הנהלת החשבונות והחתימה הדיגיטלית.
• קבצים רגישים לא נשלחים כקבצים רגילים במייל כשיש חלופה מאובטחת יותר.
• סיסמה ייחודית לכל שירות, וביטול גישה כשעובד או מתמחה עוזב.

הגנה על שם המשרד

כדי להקשות על התחזות למשרד, מגדירים ב-DNS את SPF, DKIM ו-DMARC. הסבר בשפה פשוטה. כשיש מדיניות הגנה, מי ששולח מייל שנראה כאילו יצא מהדומיין שלכם נתקל בקושי גדול יותר. עם זאת, אין בכך הגנה מפני דומיין דומה או פריצה לתיבה. על כך כתבנו כאן: איך בודקים אם אפשר להתחזות אליכם.

הדרכה לצוות

במשרד קטן, הלחץ הוא חלק מהעבודה: תקופת דוחות, דדליינים, לקוחות שמבקשים "עכשיו". לחץ הוא בדיוק מה שתוקף מנצל. הדרכה קצרה לכל הצוות, כולל מתמחים ומזכירות, מלמדת לזהות בקשות חשודות ולדעת למי לדווח.

אפשר גם לבדוק מה קורה בפועל באמצעות תרגיל פישינג: הודעה מדומה לעובדים, ודוח על מי לחץ ומי דיווח. התרגיל מתחיל ב-₪999 לקמפיין. נדרשת פעולה אחת פשוטה של IT (הלבנת שולח), וההשקה כפופה לבדיקת צוות אבטחה, עד יום עסקים.

מה לגבי שאלות לקוחות

לקוחות עסקיים שואלים לעיתים איך המשרד מגן על המידע שלהם. תשובה טובה כוללת: אימות דו-שלבי, נוהל אימות תשלומים, והדרכה לצוות. תעודת השתתפות בהדרכה היא ראיה שאפשר להציג ללקוח. אין בה אישור עמידה בדרישה משפטית כלשהי.

עונת הדוחות: מתי הסיכון עולה

בשיאי העבודה, כמו סגירת שנה, דיווחים תקופתיים והגשות, הלחץ מרבה טעויות. אדם עסוק לוחץ מהר, מעביר קובץ בלי לבדוק את הנמען, ומאשר בקשה בלי לברר. תוקפים יודעים לתזמן הודעות לתקופות כאלה, ולכן כדאי לחזק את הנוהל דווקא אז: להזכיר לצוות את כלל האימות הטלפוני, ולוודא שיש מי שזמין לשאלות.

איפה המסמכים נשמרים

מסמכי לקוחות מתפזרים במהירות: מייל, דיסק מקומי, אפליקציות הודעות, כונני ענן ושרתי הנהלת חשבונות. מומלץ לברר:

• איפה בפועל נמצאים מסמכי הלקוחות, ומי מורשה לגשת אליהם.
• מה קורה למסמכים כשהלקוח מפסיק לעבוד איתכם.
• האם יש גיבוי נפרד שאינו נגיש מאותן סיסמאות.
• האם הקבצים נשלחים כקבצים מצורפים רגילים, או דרך קישור מוגבל בהרשאה ובזמן.

אלה שאלות של סדר, לא של כלים יקרים. משרד שמסדר אותן מקטין משמעותית את החשיפה.

מתמחים ועובדים חדשים

משרדים רבים מעסיקים מתמחים ועובדים זמניים בתקופות עומס. הם מקבלים גישה לתיקים ולמערכות, ולעיתים זה קורה לפני שעברו הדרכה. כדאי לקבוע כלל: בלי הדרכה קצרה, בלי אימות דו-שלבי ובלי גישה מצומצמת, לא מקבלים גישה לתיקי לקוחות. בסיום ההתמחות או העבודה, הגישה מבוטלת באותו יום.

תקשורת עם לקוחות

חלק מהלקוחות שולחים מסמכים רגישים במייל רגיל, ולעיתים בווטסאפ. כדאי להסביר להם מה הדרך המועדפת במשרד, ולהציע חלופה שבה הקבצים מועלים לקישור מוגבל. זה גם מקל על המשרד, כי המסמכים מגיעים למקום מסודר.

לקריאה נוספת: בדיקה אם אפשר להתחזות למנהל או למשרד ואבטחת מידע למשרד עורכי דין, שחולקים עם משרדי רואי חשבון את אותה בעיית סודיות ומייל.