עצרו לפני הפעולה שההודעה מבקשת
רשמו מה מבקשים, האם ציפיתם לכך והאם יש לחץ, איום או חריגה מהתהליך הרגיל. NCSC מתארת ניסיונות להפעיל סמכות, דחיפות ורגש, ומדגישה שגם הונאות שנראות משכנעות יכולות להטעות. סימן כזה מצדיק אימות, אך היעדרו אינו אישור לביצוע.
אל תשיבו כדי לברר אם השולח אמיתי, אל תפתחו קובץ כדי לראות על מה מדובר ואל תאשרו בקשת MFA שלא יזמתם. אם מדובר בפנייה עסקית אמיתית, אפשר לבדוק אותה דרך תהליך מוכר. עצירה ואימות הם פעולה מוצלחת גם אם לא הצלחתם להוכיח שההודעה זדונית.
בדקו בקשה ותהליך, לא רק מראה
הטבלה היא מסגרת החלטה מקורית לעובדים. היא אינה ציון זיהוי ולא הבטחה לסווג כל הודעה. אם לא ניתן לאמת, הבקשה ממתינה לבירור אצל הגורם המתאים. אין צורך לפתוח את הקישור החשוד כדי להשלים את השורה.
| מה מבקשים | מה צריך לברר | דרך אימות מתאימה |
|---|---|---|
| כניסה לחשבון | האם קיימת התראה בשירות | פתיחת יישום או כתובת מוכרים |
| שינוי פרטי תשלום | מי אישר ומהו הספק | איש קשר קיים ותהליך אישור |
| מסירת מידע | למה נדרש ומי מורשה לקבל | בירור מול גורם עסקי מוכר |
| פתיחת מסמך | האם ציפינו לקובץ ומה מקורו | ערוץ קיים עם השולח המוכר |
| אישור יישום או MFA | איזו פעולה יזמנו | בדיקת ההקשר מול מנהל מורשה |
| סריקת QR | מהו היעד והאם יש חלופה | כניסה עצמאית לשירות הרלוונטי |
שם שולח, שרשור וקישור הם חלק מההקשר
שם תצוגה יכול להיות מוכר גם כשהכתובת או הבקשה אינן מתאימות. כתובת דומה אינה אותו דומיין, והודעה בתוך שרשור קיים יכולה עדיין לדרוש אימות פעולה רגישה. בדקו את הבקשה מול מה שסוכם, ולא רק אם השיחה נראית מוכרת או אם ההודעה עוברת סינון.
תוצאה תקינה של אימות דואר אינה מאשרת את התוכן או את ההחלטה העסקית. חשבון לגיטימי יכול להיפגע, ודומיין אחר יכול להיות מאומת עבור עצמו. גם HTTPS עוסק בחיבור ואינו אישור שהבקשה נכונה. לא צריך לחלץ או לשתף סיסמה כדי להכריע אם יש צורך בבירור.
אימות עצמאי צריך להשתמש בפרטים שכבר הוכרו
פתחו את היישום או הכתובת הרשמית המוכרים, או פנו לאיש קשר שנשמר קודם בתהליך העסקי. אל תשתמשו במספר שהופיע רק בהודעה החשודה. NCSC ממליצה לנתק את הקשר החשוד ולבדוק ישירות מול הארגון. אפשר לוודא שהפעולה עצמה קיימת בלי להעביר מידע רגיש.
בעסק קובעים מי בודק שינוי כספי, מי מאשר הרשאה ולמי מדווחים על הודעה לא ברורה. אם הגורם הרגיל אינו זמין, נדרש מסלול חלופי מוכר. הדחיפות שיצרה ההודעה אינה סיבה להמציא קיצור דרך שעוקף את האישור.
דוגמה: ההודעה נכתבה היטב וביקשה אישור גישה
התרחיש להמחשה בלבד. הודעה ממותגת מבקשת לאשר מחדש חיבור לדואר בגלל תקלה. העובד לא מחפש שגיאת כתיב אלא בודק אם ביקש חיבור כזה ואם יש אירוע מוכר בערוץ הניהול. הוא מדווח בתהליך הפנימי ואינו לוחץ על קישור כדי להוכיח שהמוצר מזויף.
אם כבר נפתחה כתובת או אושרה הרשאה, זהו מסלול אחר: מתעדים מה קרה ומבררים חשבון, יישום או מכשיר לפי הפעולה. לא כל מקרה דורש אותה תגובה, ואין להסתפק במחיקת ההודעה לאחר שנמסרו פרטים. מדריך התגובה לאחר לחיצה מפרט את ההבחנות.
דיווח טוב מתאר פעולה ולא מפיץ את הסיכון
דווחו בערוץ המורשה וציינו זמן, בקשה ומה כבר עשיתם, בלי לצרף סיסמאות או להעביר את ההודעה לכל הצוות. אם נדרש עותק טכני, הגורם המטפל מגדיר איך לקבלו. שימור מידע ובטיחות הטיפול צריכים להתאים למערכת ולמדיניות העסקית.
ב-CyberFixCrew אפשר לברר התאמה של בדיקת דואר וגישה לשירותים הקיימים. המדריך אינו מסנן הודעות בזמן אמת ואינו מבטיח זיהוי של כל הונאה. המטרה היא תהליך שאפשר לבצע גם כשההודעה נראית מקצועית ולא מספקת סימן חיצוני ברור.
