לאדם הממוצע יש כ-100 סיסמאות שהוא צריך לזכור והמספר הזה רק עולה בשנים האחרונות. זו אחת הסיבות העיקריות בגללן אנשים רבים מעגלים פינות וממחזרים סיסמאות, מה שפוגע באבטחת המידע. סיסמאות הן עקב אכילס של החיים הדיגיטליים, במקרים רבים הסיסמה היא הדבר היחיד שמפריד בין פושעי הסייבר לבין המידע האישי והפיננסי שלנו ולכן לפושעי סייבר יש עניין רב בגניבת סיסמאות.

זו הסיבה בגללה חשוב שנשקיע מאמץ משמעותי בהגנה על החשבונות המקוונים שלנו, לפחות באותה המידה בה פושעי הסייבר משקיעים מאמץ כדי לעקוף אותה. בחברת אבטחת המידע ESET, עושים לנו סדר: כיצד גונבים סיסמאות, מה אפשר לעשות עם הסיסמאות הגנובות שלנו, והכי חשוב, כיצד נוכל להגן עליהן ועל המידע שלנו.

מה ההאקר יכול לעשות עם הסיסמה שלכם? סיסמאות הן המפתחות הוירטואליים לעולם הדיגיטלי – הן מאפשרות גישה לשירותי הבנקאות המקוונת, הדוא״ל, המדיה החברתית, לנטפליקס ולכל הנתונים בענן שלנו. אם האקר משיג סיסמה שלנו, הוא יכול באמצעותה:
- לגנוב את פרטי הזהות האישיים שלכם ולמכור אותם לפושעי סייבר אחרים
- למכור את הגישה לחשבון עצמו. אתרים של פושעי סייבר בדארקנט (הרשת האפלה) יציעו גישה לחשבונות כאלה לכל המרבה במחיר. הרוכשים יוכלו להשתמש בגישה כדי להשיג מגוון רחב של דברים – החל מנסיעות חינם במונית ושימוש חינמי בשירותי סטרימינג ועד לטיסות במחיר מופחת באמצעות נקודות הנוסע המתמיד בחשבון שנפרץ.
- להשתמש בסיסמאות כדי לפרוץ לחשבונות נוספים בהם אתם משתמשים באותה הסיסמה.

כיצד ההאקרים גונבים סיסמאות?
1. מתקפות פישינג והנדסה חברתית: עצוב להודות, אבל לא קשה להפיל אנשים בפח. במקרים רבים, אנחנו עושים החלטות שגויות כשאנחנו ממהרים. פושעי סייבר מנצלים את החולשות האלה באמצעות הנדסה חברתית – טריק פסיכולוגי שתוכנן במטרה לגרום לנו לעשות משהו שאנחנו לא אמורים לעשות. דיוג הוא ככל הנראה הדוגמה המפורסמת ביותר. בטכניקה הזאת, ההאקרים מתחזים ליישויות לגיטימיות: חברים, בני משפחה, עסקים שאתם נמצאים בקשר איתם וכו׳. הודעת הדוא״ל או ה-SMS שתקבלו תיראה אותנטית, אך היא תכלול קישור או קובץ מצורף זדוניים. אם תלחצו עליהם, הם יורידו נוזקה כלשהי או יובילו אתכם לדף אינטרנט בו תתבקשו למלא את הפרטים האישיים שלכם.

2. נוזקות: פושעי סייבר משתמשים גם בנוזקות כדי להשיג סיסמאות. הודעות פישינג בדוא״ל הן אמנם הווקטור העיקרי לתקיפה מסוג זה, אך ייתכן שתסבלו ממתקפה כזאת גם אם תלחצו על פרסומת זדונית ברשת או אפילו באמצעות כניסה לאתר שנפרץ. נוזקות רבות מסתתרות גם באפליקציות שנראות לגיטימיות, אותן אפשר למצוא בחנויות אפליקציות לא-רשמיות. ישנם סוגים רבים של נוזקות לגניבת מידע, אך הנפוצות ביותר מתוכנתות לתעד את לחיצות המקלדת שלכם או לקחת צילומי מסך של המכשיר ולשלוח אותם חזרה לתוקפים.

3. פריצה בכוח: מספר הסיסמאות בהן אדם ממוצע מחזיק עלה בכ-25% מתחילת שנת 2020 ועד לסופה. כתוצאה מכך, רבים מאיתנו משתמשים בסיסמאות קלות לזכירה (ולניחוש) ומגדירים את אותן הסיסמאות למספר אתרים ושירותים. זה יכול לפתוח את הדלת לטכניקות ״הפריצה בכוח״. אחת מהשיטות הנפוצות ביותר היא העמסת סיסמאות (Credential Stuffing). במתקפה מסוג זה, התוקפים מכניסים כמויות גדולות של קומבינציות שם משתמש וסיסמה לאתרים מסוימים באמצעות תוכנה אוטומטית, בתקווה למצוא התאמה באחת הקומבינציות האלה. על פי אחת ההערכות, בשנה האחרונה היו יותר מ-139 מיליארד ניסיונות כאלה. טכניקה אחרת לפריצה בכוח נקראת ריסוס סיסמאות. בטכניקה הזאת, ההאקרים משתמשים בתוכנה אוטומטית כדי להצליב בין שם המשתמש של החשבון שלכם ובין רשימה של סיסמאות נפוצות.
 

4. ניחוש: למרות שלהאקרים יש כלים אוטומטיים בהם הם יכולים להשתמש כדי לבצע מתקפות מסוג פריצה בכוח, לעיתים אפילו אין צורך בהם: אפילו ניחוש פשוט (בניגוד לגישה השיטתית יותר של מתקפות פריצה בכוח) יכול לעשות את העבודה. הסיסמה הנפוצה ביותר בשנת 2020 הייתה ״123456״, כשהסיסמה השנייה הכי נפוצה היא ״123456789״. במקום הרביעי הייתה הסיסמה הידועה ״password״. אם אתם ממחזרים את הסיסמה שלכם ומשתמשים בה במספר אתרים כמו רוב האנשים, או משתמשים באותה הסיסמה בשינוי קל בחשבונות שונים, אתם הופכים את עבודת התוקפים לקלה אפילו יותר ושמים את עצמכם בסיכון גבוה יותר לגניבת זהות ולתרמיות.
 
5. הצצה מעבר לכתף: כל המסלולים לגניבת סיסמה שהצגנו עד עכשיו נמצאים במישור הווירטואלי. אך עם הקלת הסגרים ומעבר חלק גדול מהעובדים חזרה לעבודה מהמשרד, כדאי לזכור שחלק משיטות הציטוט הבדוקות והידועות יכולות גם הן לסכן אתכם. זו לא הסיבה היחידה לכך שהצצה מעבר לכתף עדיין מהווה סכנה משמעותית. אחד מחוקרי ESET, ג׳ייק מור, ביצע ניסוי כדי למצוא כמה קל לפרוץ לחשבון הסנאפצ׳ט של אדם אחר באמצעות שימוש בטכניקה הפשוטה הזאת. הגרסה היותר מתקדמת של סוג מתקפה זה, שנקראת מתקפת ״אדם בתווך״ ומשתמשת בציתות לרשתות אלחוטיות, מאפשרת להאקרים המחוברים לרשתות אלחוטיות ציבוריות לאתר את הסיסמה שלכם כשאתם מזינים אותה לאתר/שירות מסוים בזמן ששניכם מחוברים לאותה הרשת. שתי הטכניקות נמצאות בשימוש במשך מספר שנים, אך זה לא אומר שהן הפסיקו להוות איום.

עוד ב-

הסוף לסיסמאות 'מגוחכות? זה החוק שעתיד להכנס ב-2022

לכתבה המלאה

כיצד להגן על הסיסמאות שלכם? יש הרבה דברים שתוכלו לעשות כדי לחסום את הטכניקות האלה – הוספת גורם אימות נוסף לתהליך הכניסה, ניהול הסיסמאות בצורה אפקטיבית יותר, או נקיטת צעדים כדי למנוע גניבה מלכתחילה. קחו בחשבון את האפשרויות הבאות:
- השתמשו רק בסיסמאות או במחרוזות כניסה (passphrases) חזקות וייחודיות לכל החשבונות המקוונים – במיוחד לחשבונות הבנקים, הדוא״ל והמדיה החברתית
- הימנעו משימוש חוזר באותן הסיסמאות בחשבונות שונים
- הוסיפו אימות דו-שלבי לכל החשבונות שלכם
- השתמשו במנהל סיסמאות שיאחסן סיסמאות חזקות וייחודיות עבור כל אתר וחשבון ויהפוך את הכניסה לאתרים לפשוטה ובטוחה
- החליפו את הסיסמה שלכם באופן מיידי אם ספק מסוים אומר לכם שייתכן שהמידע שלכם דלף
- השתמשו רק באתרי HTTPS להתחברות
- אל תלחצו על קישורים ואל תפתחו קבצים מצורפים מהודעות דוא״ל מכתובות שאינכם מכירים
- הורידו אפליקציות רק מחנויות האפליקציות הרשמיות
- השקיעו בתוכנת אבטחה חזקה ואמינה עבור כל אחד מהמכשירים שלכם
- היזהרו ממציצים מעבר לכתף במרחבים ציבוריים
- אל תתחברו לאף חשבון אם אתם מחוברים לרשת אלחוטית ציבורית. אם אתם מוכרחים להשתמש ברשת כזאת, השתמשו ב-VPN