לספקי IT ו-MSP: איך להציע ללקוחות סריקת חשיפה חינם והדרכת מודעות

למה כדאי לספקי IT להציע את זה

ספק IT או MSP שמנהל מחשבים, מייל וענן עבור עסקים קטנים כבר נמצא בקשר שוטף עם הלקוח. השאלה "האם מישהו יכול לשלוח מייל בשם הדומיין שלכם?" היא שיחה קלה לפתוח, כי היא קונקרטית וקצרה, ואפשר להראות עליה תוצאה במסך.

יתרון נוסף: לרוב אתם כבר אחראים להגדרות ה-DNS והמייל. כשהבדיקה מראה פער, אתם הצד שיכול לתקן, וזו בדיוק הצעת הערך.

מה בודקת הסריקה, ומה לא

הסריקה המהירה ב-PhishingU בודקת רשומות DNS של אימות מייל:

• DMARC: האם קיימת רשומה, ומה המדיניות (מעקב בלבד, הסגר או דחייה).
• SPF: האם קיימת רשומה.
• DKIM: האם נמצאה חתימה באחד מהשמות הנפוצים. אם לא נמצאה, זה לא מוכיח שאין DKIM, כי ייתכן ששם אחר בשימוש.

היא אינה בדיקת אבטחה כוללת, ואינה בודקת האם תיבות נפרצו, האם יש דומיינים דומים, או את הענן של הלקוח. חשוב להציג זאת ללקוח בבהירות כדי לא ליצור הרגשה מוטעית של "הכול בסדר".

איך ספק IT או MSP מציג את זה ללקוח

1. פתחו בשאלה: "רוצים שנבדוק יחד אם אפשר לשלוח מייל שנראה שיוצא מהדומיין שלכם?"
2. הריצו את הסריקה בידיעת הלקוח, ותראו לו את התוצאה בזמן אמת.
3. תרגמו ממצא להשלכה: אם אין מדיניות הגנה ב-DMARC, מישהו חיצוני עשוי להיות מסוגל לשלוח מייל בשם הדומיין, והמקבלים לא יידעו.
4. הציעו תיקון, כולל הסבר על שלבי ההטמעה. ראו DMARC, SPF ו-DKIM בשפה פשוטה.
5. הציעו דוח מלא: אפשר לבקש דוח חשיפה חיצונית. את הדוח מכין הצוות שלנו, והוא נשלח לכתובת בדומיין שנסרק. הדוח הראשון ללא עלות.

מהסריקה להדרכה

אחרי שהמייל מוגן, השלב הטבעי הוא הצוות. אפשר להציע ללקוח הדרכת מודעות בהיקף 60 דקות, פרונטלית או מרחוק, או תרגיל פישינג בשירות עצמי. מחירי ההדרכה: ₪1,500 פרונטלית ו-₪1,000 מרחוק (Zoom, Teams או Google Meet). תרגיל פישינג בשירות עצמי מתחיל ב-₪999 לקמפיין. בשני המקרים הלקוח מקבל מסמך סיכום או תעודת השתתפות שאפשר להציג לצד שלישי.

שיתוף פעולה עם ספק IT או MSP

ל-PhishingU יש גם שירות White Label לשותפים, ופרטי התנאים נקבעים בשיחה: סימולציית פישינג לשותפים. אם אתם מעוניינים לדבר על שיתוף פעולה, אפשר ליצור קשר.

שלוש טעויות שכדאי להימנע מהן

• להבטיח ללקוח הגנה מלאה אחרי הגדרת DMARC. DMARC מקשה על התחזות לדומיין, ואינו עוצר פריצה לתיבות.
• להעביר דוח סריקה בלי הסבר. מי שמקבל רשימת ממצאים ללא הקשר לא ידע מה לעשות.
• להריץ סריקה בלי ידיעת הלקוח. גם אם הנתונים ציבוריים, שקיפות שומרת על האמון.

שיחת הצגה לדוגמה

"ביצענו בדיקה פשוטה של הגדרות המייל של הדומיין שלכם, והיא ציבורית, כלומר בודקת רק מה כל אחד יכול לראות. מצאנו שאין מדיניות הגנה בהגדרת ה-DMARC, כך שבמצב הנוכחי מישהו חיצוני עשוי להיות מסוגל לשלוח הודעה שנראית כאילו יצאה מהחברה שלכם. הנה מה שצריך לעשות כדי לתקן, ואנחנו יכולים לטפל בזה."

שימו לב לכמה עקרונות: מציגים עובדות ולא מפחידים, מסבירים מה נבדק ומה לא, ומציעים צעד ברור.

מה לא להבטיח

• לא להבטיח שהלקוח "מוגן". אפשר לומר שהוא סגר פער מסוים בהתחזות לדומיין.
• לא להתייחס לסריקה כאל ביקורת אבטחה. היא בדיקת אימות מייל.
• לא להמציא ללקוח תקן או אישור. תעודת השתתפות בהדרכה היא ראיה להדרכה, לא אישור עמידה בדרישה.
• לא להבטיח לוחות זמנים לדוח המלא שלא סוכמו מולנו.

איך זה משתלב בחבילת שירות

ספקים מסוימים מציעים ללקוחות סקירת אבטחה תקופתית. בדיקת אימות המייל היא פריט קטן וקל לשילוב בה: ממצא, הסבר, תיקון ובדיקה חוזרת. אחריה אפשר להציע את הצד האנושי, הדרכה ותרגיל. כך הלקוח מקבל סיפור שלם, ולכם יש הזדמנות טבעית לשיחה על שירותים נוספים.

למי זה מתאים

ההצעה מתאימה בעיקר ללקוחות קטנים ובינוניים שמסתמכים עליכם בנושאי מייל ודומיין, ושאין להם צוות אבטחה משלהם. לקוח שכבר מנהל מדיניות אבטחה מתקדמת ירצה כנראה בדיקה עמוקה יותר, וכאן הסריקה המהירה היא רק פתיחה של שיחה.

אילו שאלות הלקוחות שואלים

• "זה בטוח להריץ על הדומיין שלנו?" הסריקה מבוססת על מידע שפומבי ב-DNS.
• "מי רואה את התוצאות?" הלקוח, ואתם. את הדוח המלא מכינה הצוות שלנו ונשלח לכתובת בדומיין שנסרק.
• "כמה זה עולה?" הסריקה המהירה והדוח הראשון ללא עלות. הדרכה ותרגול עולים לפי המחירים שפורסמו.