בדקו מאיפה הגיע הקוד ומה הוא אמור לאפשר
קוד על מסמך, שלט או הודעת דואר יכול להוביל לפעולות שונות. שאלו אם ציפיתם לבקשה, מי אחראי למיקום הקוד ולמה צריך לעבור לטלפון. FTC מתאר הונאות שבהן קוד מחליף קישור ומוביל לאתר מתחזה. לוגו או עיצוב מוכר סביב הקוד אינם אימות מקור.
במקום ציבורי שימו לב להדבקה חריגה ולבקשת מידע שאינה מתאימה לשירות. בדואר עבודה בדקו אם הפעולה תואמת תהליך מוכר. סימן חריג מצדיק בירור, אך היעדר מדבקה או שגיאת כתיב אינו הוכחה לבטיחות. כללי הבדיקה צריכים לעבוד גם כשההודעה כתובה היטב.
תצוגת יעד אינה אישור לפתיחה או להזנת מידע
בחלק מהסורקים אפשר לראות את היעד לפני המעבר, אך התנהגות היישום וההגדרות משתנה. אל תניחו שכל סריקה נעצרת בתצוגה מקדימה. בדקו את שם הדומיין המלא אם הוא מוצג. קישור מקוצר או דומיין לא מוכר אינם בסיס לניחוש, וסמל HTTPS אינו מוכיח שהשירות שייך לגורם המצופה.
הטבלה היא מסגרת החלטה מקורית. כשאין דרך להבין את היעד, אפשר להגיע לשירות דרך יישום מוכר או לפנות לגורם האחראי בפרטי קשר קיימים. אין צורך לפתוח קישור חשוד שוב ושוב כדי להבין לאן הוא מוביל.
| מצב | בדיקה מתאימה | דרך המשך |
|---|---|---|
| הקוד הגיע בהודעה לא צפויה | מקור הבקשה והצורך בפעולה | בירור בערוץ מוכר לפני פתיחה |
| מוצגת כתובת יעד | דומיין מלא והקשר השירות | לא להסתפק במילה מוכרת בתוך כתובת |
| מבקשים סיסמה או קוד | האם נדרשת כניסה בתהליך שיזמתם | כניסה נפרדת לשירות הרשמי |
| מבקשים אישור יישום או מכשיר | מה ההרשאה ולמי היא ניתנת | לא לאשר אם המשמעות אינה ברורה |
| מבקשים להתקין תוכנה | מקור וצורך עסקי מאושרים | בדיקה עם האחראי לפני התקנה |
למה המעבר מהדואר לטלפון משנה את הבדיקה
NCSC מציין שקודי QR בהודעות עשויים להסתיר את היעד ולהעביר משתמשים למכשיר אישי עם הגנות שונות ממחשב העבודה. אין פירוש הדבר שכל QR זדוני. המשמעות היא שצריך לשמור על אימות התהליך גם אחרי מעבר למכשיר ולמסך אחרים.
דוגמה: הודעה מבקשת לאשר מחדש גישה לדואר
התרחיש להמחשה בלבד. עובד מקבל QR בטענה שצריך לאשר את תיבת הדואר עד סוף היום. במקום לסרוק ולהקליד סיסמה, הוא בודק עם האחראי דרך פרטי הקשר הרגילים ונכנס לשירות המוכר באופן עצמאי. הוא מתאר את ההודעה בלי להעביר קוד התחברות לאחרים.
גם דף שמציג את כתובת הדואר הנכונה או את שם החברה אינו הוכחת מקור. אם תהליך מבקש לקשר מכשיר או לאשר גישה ליישום, צריך להבין את ההרשאה. אישור כזה אינו תמיד מסירת סיסמה רגילה, ולכן יש לתעד בדיוק מה נעשה אם התעורר חשד.
אם כבר סרקתם, תעדו מה קרה אחר כך
הבדילו בין תצוגת קוד בלבד, פתיחת יעד, הקלדת פרטים, אישור בקשה והתקנת קובץ. הפעולה שבוצעה קובעת את מסלול הבירור. לא כל סריקה מעידה שהטלפון נפרץ, אך אין להסיק מכך שאין צורך לבדוק פעולה רגישה שבאה אחריה. אל תחזרו אל היעד כדי לשחזר פרטים שאפשר למסור מהזיכרון.
אם נמסרה סיסמה או ניתנה הרשאת יישום, מערבים את האחראי לחשבון ובודקים כניסות, הרשאות ואפשרויות ביטול מתאימות. אם נמסרו פרטי בנק או בוצעה העברה, פונים מיד לבנק בערוץ הרשמי. במכשיר עבודה מדווחים לאחראי הטכני; סריקה נקייה לבדה אינה בדיקת כל ההשלכות.
איך עסק מצמצם בלבול סביב קודים שהוא מפרסם
החזיקו רשימה של קודים עסקיים, בעלים ויעדים. בדקו מעת לעת שהקוד בנקודת השירות תואם ליעד המאושר, ופרסמו גם דרך מוכרת חלופית להגיע לפעולה. כשמחליפים יעד, מתעדים מי אישר ובודקים את התהליך במידע מלאכותי. אין להכניס סוד או token רגיש לקוד שמוצג לציבור.
הנחיה לצוות צריכה לכלול ערוץ דיווח ברור ולא רק להיזהר. אם הלקוח או העובד יכולים לקבל עזרה בלי לפתוח שוב את היעד, קל יותר לשמר מידע ולהימנע מצעד נוסף. CyberFixCrew יכולה לסייע בבירור החשבונות, האתר והחיבור הרלוונטי לפי היקף השירות.
