מייל של סוכנות ביטוח: איך מגינים על מידע של לקוחות ועל הדומיין

מאמר זה הוא מידע כללי לבעלי עסקים ואינו ייעוץ משפטי או רגולטורי. לפרטים על דרישות החלות על סוכנות הביטוח שלכם, פנו לעורך דין או ליועץ מתאים.

למה המייל הוא נקודת התורפה של סוכנות ביטוח

סוכנות ביטוח עובדת בעיקר דרך המייל והטלפון. דרך המייל עוברים טפסים, תעודות זהות, פרטי רכב ופוליסות, מסמכים רפואיים לעיתים, והודעות על שינויים בתשלום. מי שמצליח להיכנס לתיבה של סוכן, או להתחזות אליו, מקבל גישה לשיחה אמינה עם לקוחות שסומכים עליו.

התקיפות המוכרות בתחום הן מאותה משפחה שפוגעת בכל עסק קטן: פישינג שמטרתו לגנוב סיסמה, פריצה לתיבה, והתחזות לסוכן או ללקוח כדי לשנות פרטי תשלום או לקבל מסמכים. אין כאן סיכון ייחודי לביטוח, אבל יש תוצאה ייחודית: מידע אישי של אחרים מונח בתיבה.

מה משתנה כשמדובר במידע של לקוחות

כשהתיבה נפרצת, השאלה אינה רק "מה קרה לי" אלא גם "מידע של מי נחשף". מי שמחזיק מידע אישי של לקוחות צריך להבין מה מותר לו לעשות, למי לפנות ומתי. אלה שאלות משפטיות, ואין בהן תשובה אחת לכולם. הצעד המעשי הוא להכין מראש את התשובה: מי הגורם המשפטי שפונים אליו, ומי בוחן אם נדרש דיווח.

חמש פעולות בסיסיות שמורידות סיכון

1. אימות דו-שלבי בכל תיבת מייל ובכל מערכת שמחזיקה מידע על לקוחות.
2. סיסמה ייחודית לכל שירות, ועדיף מנהל סיסמאות. שימוש חוזר בסיסמה הוא דרך נפוצה לגרום לפריצה אחת להפוך לכמה.
3. נוהל לשינוי פרטי תשלום או חשבון בנק: כל בקשה כזו מאומתת בשיחה למספר טלפון שכבר מוכר, ולא למספר שמופיע בהודעה.
4. הרשאות מינימום: כל עובד רואה רק את התיקים שהוא צריך.
5. הדרכה קצרה לעובדים על זיהוי הודעות חשודות ועל מה עושים כשלוחצים על קישור בטעות.

אימות המייל של הדומיין

כדי שלא יוכלו לשלוח מייל בשם הדומיין שלכם, מגדירים ברשומות ה-DNS שלושה מנגנונים: SPF, DKIM ו-DMARC. הסבר בשפה פשוטה יש במדריך שלנו: DMARC, SPF ו-DKIM בשפה פשוטה. חשוב לדעת: אימות דומיין מקשה על התחזות לכתובת של הסוכנות, אבל הוא לא מונע פריצה לתיבה ולא עוצר דומיין דומה שמישהו רשם.

מה לבדוק עוד היום

• האם לתיבות המייל מוגדר אימות דו-שלבי.
• האם יש כללי העברה אוטומטית שלא הגדרתם.
• מי מקבל גישה לתיקי לקוחות ומה קורה לגישה כשעובד עוזב.
• האם בדומיין מוגדרים DMARC, SPF ו-DKIM, והאם מדיניות ה-DMARC היא יותר מ"מעקב בלבד".

תרחישים מהשטח (לדוגמה, לא מקרים אמיתיים)

• התחזות ללקוח: הודעה "מלקוח" שמבקשת לשנות את חשבון הבנק להחזר כספי. בלי אימות טלפוני, הכסף עלול להגיע לאדם אחר.
• התחזות לסוכנות: הודעה ללקוחות בשם הסוכנות, שמבקשת לעדכן פרטי תשלום או להעביר מסמכים.
• פריצה לתיבה של סוכן: התוקף קורא את התכתובת, מכיר את הלקוחות ומחכה לרגע שבו מגיעה תקופת חידוש פוליסות.

בכל אחד מהם נקודת העצירה היא אימות בערוץ אחר.

נוהל מומלץ לסוכנות

1. שינוי פרטי בנק או תשלום מאומת בשיחה למספר מוכר.
2. מסמכים רגישים נשלחים לפי מדיניות שנקבעה מראש עם גורם משפטי.
3. תקופות עומס, כמו חידושים, מקבלות תזכורת לצוות על הנוהל.
4. סוכנים חדשים ועובדים זמניים עוברים הדרכה קצרה לפני קבלת גישה.

מה אפשר להגיד ללקוחות

לקוחות רבים לא יודעים שמישהו עשוי להתחזות לסוכנות. שורה קצרה בחתימה או בהודעת קבלה, כמו "הסוכנות לא תבקש שינוי פרטי חשבון בהודעה בלבד, אנא התקשרו אלינו לאימות", מקטינה את הסיכוי להונאה ומראה ללקוחות שאתם מקפידים. זה צעד זול שאינו דורש טכנולוגיה.

שיחה עם חברות הביטוח ועם שותפים

סוכנות עובדת מול חברות ביטוח ומערכות חיצוניות. שאלות על אמצעי האבטחה הנדרשים בקשר עם הגורמים האלה הן עניין חוזי ורגולטורי, ושם כדאי להיעזר ביועץ משפטי. במאמר זה לא פורטו דרישות כאלה.