הפסיקו את התהליך ותעדו את הפעולות שכבר בוצעו
אל תמשיכו למלא פרטים, לאשר בקשה או להתקין כלי שהדף מציע. רשמו זמן, מקור ההודעה, החשבון והמכשיר הרלוונטיים. אם המידע כבר זמין, אפשר לשמור כתובת או צילום מצומצם; אין צורך לחזור לדף כדי להשיג צילום טוב יותר. לא מעבירים קוד, סיסמה או קובץ חשוד בקבוצה כללית.
בחשבון או במכשיר עבודה פונים מיד לאחראי הטכני דרך ערוץ מוכר. ציינו גם אם אותה סיסמה משמשת במקומות נוספים, בלי למסור אותה. אין סיבה להסתיר לחיצה מחשש להאשמה: דיווח מהיר מאפשר לבחור צעד המתאים למה שבוצע בפועל.
מיינו את המצב לפני שבוחרים פעולה
NCSC מפריד בין מידע שנמסר, חשבון שנפגע, פתיחת קישור והתקנת תוכנה. הטבלה מתרגמת את העיקרון לשיחת בירור בעסק. היא אינה אבחון מרחוק או הוראת שינוי לכל מערכת. אם בוצעו כמה פעולות, מטפלים בכל אחת מהן ולא בוחרים רק את השורה הפחות חמורה.
| פעולה שבוצעה | פרט שחשוב למסור | מסלול המשך |
|---|---|---|
| נפתח יעד בלבד | מכשיר, דפדפן וזמן | בדיקת חשיפה לפי המצב והמכשיר |
| הוזנה סיסמה | איזה חשבון והאם יש שימוש חוזר | החלפה בערוץ הרשמי ובירור גישה |
| אושר MFA או קישור מכשיר | איזה אישור ניתן ומתי | בדיקת התחברויות וביטול גישה מתאימה |
| ניתנה הרשאת יישום | יישום, חשבון והרשאות | בדיקה וביטול הסכמה או חיבור לפי המקרה |
| הורד או הופעל קובץ | שם קובץ ומה בוצע | טיפול במכשיר בידי גורם מוסמך |
| נמסרו פרטי בנק או כסף | פרטי הפעולה דרך ערוץ מוגן | פנייה מיידית לבנק הרשמי |
סיסמה, session והרשאת יישום הן שלוש שאלות
כאשר נמסרה סיסמה, משנים אותה דרך השירות הרשמי ממכשיר מתאים ובוחנים שימוש חוזר. בחשבון עסקי מתאמים זאת עם האחראי לפי המצב. יש לבדוק גם כניסות פעילות, אמצעי שחזור, כללי דואר וחיבורים רלוונטיים. שינוי סיסמה לבדו אינו אישור שכל גישה קיימת בוטלה.
אישור MFA או הרשאת יישום יכול ליצור גישה בלי שהמשתמש הקליד סיסמה בטופס מתחזה. מסרו בדיוק איזו בקשה אושרה. האחראי בודק את מנגנון הספק ומבטל את סוג הגישה המתאים. המדריך הייעודי לחשבון Microsoft 365 מתאר בירור ממוקד לפלטפורמה; כאן המטרה היא לבחור את המסלול הנכון.
הורדה, התקנה או סימן לפגיעה במכשיר
אם הופעל קובץ או הותקנה תוכנה, אל תמשיכו ניסויים ואל תפעילו שוב את הקובץ. פנו לגורם המוסמך לטיפול במכשיר ולבחינת צורך בבידוד מתואם. סריקת אבטחה יכולה לסייע בהתאם למצב, אך תוצאה נקייה אינה הוכחה שלא נמסרה סיסמה או שלא ניתנה הרשאת חשבון.
אין למחוק מידע רלוונטי או לאפס מכשיר עבודה באופן גורף לפני תיאום, כשאפשר לשמר ראיות בלי להאריך פגיעה. אם מתרחשת פעולה לא מוכרת, מדווחים עליה בזמן אמת. האחראי בוחר פעולות לפי הסביבה, ההשפעה והיכולת למנוע פגיעה נוספת, ולא לפי הוראה אחידה לכל מכשיר.
דוגמה: לא הוזנה סיסמה אבל אושר חיבור
התרחיש להמחשה בלבד. עובד פותח קישור ומאשר ליישום גישה לתיבה, ואז מבין שהבקשה לא הייתה צפויה. הוא מדווח שלא מסר סיסמה אך נתן הסכמה. הבירור מתמקד גם ביישום, בהיקף ההרשאות ובפעולות שבוצעו, ולא נסגר בטענה שאין סיסמה שנגנבה.
אם באותו תהליך נמסרו פרטים כספיים או בוצעה העברה חשודה, פונים מיד לבנק בערוץ הרשמי לבירור אפשרויות טיפול. שומרים תיעוד ומערבים גורמים מתאימים לדיווח. ערוצי דיווח מחוץ לישראל במקורות אינם תחליף למסלול המקומי הרלוונטי; בישראל אפשר לפנות למערך הסייבר הלאומי.
איך מוסרים מידע וסוגרים את הבירור
בפנייה ראשונית מספיקים המערכת, הזמן, הפעולות והסימפטום. לא מצרפים סודות, מידע לקוחות או קובץ חשוד בלי תיאום ערוץ והיקף. תוצר הסיום צריך לפרט מה נבדק, מה בוטל או שונה ומה עדיין פתוח. חשבון שנכנסים אליו שוב אינו בהכרח חשבון שכל הרשאותיו נבדקו.
אחרי צמצום הפגיעה בוחנים מדוע הבקשה נראתה לגיטימית ואיזה שינוי טכני או תפעולי יעזור: אימות חזק יותר, הרשאות מצומצמות או נוהל דיווח. אין צורך להבטיח שלא ילחצו לעולם. המטרה היא לצמצם אפשרות לפגיעה ולזהות מהר מה דורש טיפול.
