מהי דליפת מידע?
דליפת מידע היא תקרית אבטחה מתרחשת כאשר ארגון או חברה חושפים בטעות מידע אישי של משתמשים. המידע הזה עשוי לכלול שמות, כתובות אימייל, שמות משתמש, סיסמאות ופרטים פיננסיים שניתן לנצל לצרכים אישיים.
דליפת מידע ידועה גם בשמות כמו: גניבת מידע, פרצת נתונים, זליגת נתונים, חשיפת מידע או פריצה למידע אישי.
עברייני סייבר מנסים להשיג נתונים כמו שמות, כתובות אימייל, סיסמאות, מספרי כרטיסי אשראי ופרטים פיננסיים נוספים על מנת לגנוב זהויות או מכירת המידע ברשת האפלה.
כמה מהדליפות הגדולות בשנים האחרונות
Capital One, Dubsmash, Houzz, Clearview AI - אלו רק חלק מהחברות הענקיות שהתמודדו לאחרונה עם דליפות מהחמורות ביותר שידעה תעשיית הסייבר. בשנת 2019 בלבד נמכרו ברשת כמעט 800 מיליון כתובות אימייל ייחודיות, 21 מיליון סיסמאות, וכמויות אדירות של מידע גנוב נוסף.
סקירת דליפות המידע לפי תחום פעילות:
- עסקים: 644 תקריות (43.7%)
- בריאות ורפואה: 525 תקריות (35.6%)
- בנקאות/אשראי/פיננסים: 108 (7.3%)
- חינוך: 113 (7.7%)
- ממשלה/צבא: 83 (5.6%)
כאשר בוחנים את הנתונים משנה לשנה, רואים ששיעור הדליפות כמעט ואינו יורד באופן משמעותי. לדוגמה, בתחום הבנקאות הייתה ירידה של 4% בלבד בין 2018 ל-2019, ובתחום העסקי הייתה ירידה של 10% בלבד בתוך שנתיים (2017–2019).
מאחר שהאקרים ממשיכים למצוא דרכים חדשות לנצל תשתיות של חברות, חשוב לקחת אחריות אישית על האבטחה שלנו.
איך מתרחשות דליפות מידע?
תוכנות זדוניות
תוכנות זדוניות הן אחת השיטות הנפוצות ביותר לגניבת מידע. מדובר בקוד זדוני שחודר לאתרים או לרשתות וגורם לדליפה של מידע לקוחות רגיש. האיום הזה לרוב פועל בצורה נסתרת, המשתמש עלול להוריד את התוכנה הזדונית בטעות, דרך קובץ מצורף למייל או תוכנה נגועה. מרגע שהקוד הזדוני חודר למערכת, הוא מתפשט כמו וירוס ואוסף את כל המידע האישי שנמצא על המכשיר, כדי לשלוח אותו לשרתי שליטה ובקרה שבשליטת ההאקרים.
פישינג
התקפות פישינג מתבססות בעיקר על טעויות אנוש ולכן הן פשוטות מאוד לביצוע, אך עלולות להוביל לנזקים חמורים. לרוב מדובר באימייל "דחוף" שנראה כאילו נשלח מגוף מוכר ואמין, כמו PayPal או Microsoft. פתיחת ההודעה או לחיצה על קבצים מצורפים מפעילים מיידית תוכנות זדוניות, שמדביקות את המחשב או הרשת ומתחילות לגנוב כל פיסת מידע אפשרית.
טעויות אנוש
טעויות אנוש או פעולות לא מכוונות תורמות באופן משמעותי לדליפות מידע. בעידן שבו אנחנו מסתמכים על אינספור כלים וסיסמאות לניהול סביבות עבודה מורכבות, קל מאוד למשתמשים ולעובדים לטעות. חלקם לא יודעים לזהות מיילים מזויפים, אחרים משתמשים בסיסמאות חלשות לרשתות קריטיות של הארגון, ויש כאלה שמשתמשים במכשיר עבודה לצרכים אישיים מבלי להבין את הסכנות שב-Split Tunneling, או לפעמים מפרסמים פוסט תמים ברשת חברתית חושף מידע רגיש.
למעשה, לפי חברת CybSafe (חברת מודעות לאבטחת סייבר), כ-90% מהדליפות שדווחו בשנת 2019 נגרמו בשל טעויות של משתמשי קצה.
סיסמאות חלשות
סיסמאות חלשות נפוצות הרבה יותר ממה שנהוג לחשוב. במתקפת Brute Force, למשל, האקר יכול לנסות מיליוני צירופים של שמות משתמש וסיסמאות בכל שנייה. ההאקר מריץ מיליוני שילובים של שם משתמש וסיסמה בכל שנייה עד שבסופו של דבר אחד מהם מצליח לפרוץ למערכת.
כמובן שהסיסמאות הבטוחות ביותר הן ארוכות, מורכבות וללא משמעות ברורה. הנה כמה טיפים ליצירת סיסמה חזקה באמת.
איום מבפנים
בסוף השנה שעברה הודיעה חברת Amex למיליוני לקוחות שמידע על החשבונות שלהם נחשף ככל הנראה על ידי "עובד שניסה לבצע הונאה". גם רשת הסופרמרקטים הבריטית Morrisons חוותה מקרה דומה, כשעובד ממורמר הדליף את נתוני השכר של 100,000 עובדים כנקמה על הליך משמעתי שננקט נגדו.
אפילו מקרים פחות זדוניים עלולים לגרום נזק עצום, כמו הורדה לא מכוונת של מידע רגיש על ידי עובד למכשיר האישי, תיעוד רפואי שהוזן בצורה שגויה על ידי הצוות, או התעלמות מהתראות אבטחה על ידי עובדים שלא מבינים את הסיכון.
תקלות טכניות
גם עם השקעה במערכת האבטחה, תקלות טכניות עדיין יכולות לגרום לדליפות מידע. רוב החברות נוקטות בגישה תגובתית, הן מטפלות בפרצות רק לאחר שהן מתגלות. דוגמה לכך היא פרצת האבטחה הטכנולוגית המפורסמת שחוותה Adobe, שבה נחשפו 150 מיליון כתובות אימייל וסיסמאות.
טיפ חשוב: אם שמעתם שחברה שהשארתם אצלה פרטים נפרצה, בין אם מדובר בחנות אונליין, רשת חברתית או כל שירות אחר, אל תחכו להודעה רשמית. שנו את הסיסמאות ועדכנו את אמצעי האבטחה שלכם מיד.
איך להימנע מדליפות מידע
גם הארגונים הגדולים בעולם לא חסינים מפני דליפה, אבל כל אחת ואחד מאיתנו יכולים לנקוט בצעדים פשוטים כדי להגן על עצמנו.
גריסת מסמכים
הקפידו להשמיד מכתבים, חשבונות, טפסים וכל מסמך המכיל מידע אישי. לעברייני זהות מספיקים שם, כתובת, תאריך לידה ומספר תעודת זהות כדי לפתוח חשבונות אשראי או לקחת הלוואות בשמכם.
שימוש באתרים מאובטחים
בדקו תמיד את שורת הכתובת בדפדפן. אתר מאובטח יתחיל ב-https:// ולא ב- http://. האות S מייצגת את המילה Secure - כלומר, מאובטח.
יצירת סיסמאות חזקות
הסיסמאות הבטוחות ביותר כוללות אותיות גדולות וקטנות, מספרים לא עוקבים, תווים מיוחדים, ומילים שלא מופיעות במילון. השתמשו במנהל סיסמאות אמין כדי לא לשכוח אותן.
שימוש בסיסמאות שונות לכל חשבון
אם האקר מצליח להשיג גישה לפרטים של חשבון אחד, הוא יכול לפרוץ גם לשאר החשבונות שלכם. חשוב במיוחד לשמור על סיסמה ייחודית עבור חשבון האימייל, כי דרכו אפשר לאפס סיסמאות של שירותים אחרים.
עדכון המחשב והטלפון הנייד
הקפידו לעדכן תמיד את מערכת ההפעלה והאפליקציות לגרסה העדכנית ביותר. עדכונים לא נועדו רק בשביל פיצ’רים חדשים, הם כוללים גם תיקוני אבטחה חשובים שמגנים עליכם מפני פריצות.
הימנעות מתחנות טעינה ציבוריות עם חיבור USB
ידעתם שיציאת USB ציבורית יכולה להכיל תוכנה זדונית? זה נקרא "Juice Jacking", תוקפים משתמשים ביציאות טעינה ציבוריות כדי להחדיר קוד זדוני או לגנוב מידע. הימנעו משימוש בתחנות טעינה בשדות תעופה ומרחבים ציבוריים, או השתמשו במתאם USB ייעודי שחוסם את העברת הנתונים.
אל תתעלמו מדוחות החיוב
עקבו אחרי תנועות בחשבון הבנק או בכרטיס האשראי שלכם באופן קבוע כדי לזהות חיובים חשודים. לעיתים האקרים מבצעים רכישות קטנות מאוד (אפילו של דולר או פחות) כדי לא לעורר חשד, ולאחר מכן מבצעים רכישות גדולות.
בדקו את דוחות האשראי שלכם באופן קבוע
דוחות האשראי יציגו אם נפתחו חשבונות או נלקחו הלוואות בשמכם. גנבי זהות מסוגלים להרכיב את הפרופיל שלכם תוך מספר דקות. תמונה באינסטגרם המכילה את שם הרחוב או מספר הדלת, מכתב בדואר עם מידע אישי שלא הושמד, או גישה לדוא"ל או לרשתות חברתיות - כל פרט קטן יכול להפוך לרמז ולספק מידע.
הימנעו מאגירה מיותרת של מידע
ככל שיש ברשותכם יותר מידע כך גם גדל הסיכון לאבד אותו. בצעו בדיקות תקופתיות, מחקו נתונים לא חיוניים, ודאגו שהמידע החשוב מאוחסן בצורה מאובטחת. אגירה דיגיטלית לא מועילה, היא מסוכנת.
מה לעשות אם המידע הודלף?
אל תיכנסו לפאניקה, ישנם מספר צעדים פשוטים שיעזרו לכם להחזיר את השליטה לידיים שלכם.
שלב 1: ודאו שאכן הייתה דליפה
אל תלחצו מיד על מיילים שטוענים שפרטי החשבון שלכם נחשפו או שהמידע הודלף. לעיתים קרובות מדובר בהונאות פישינג שמנסות לגנוב פרטים. במקום זאת, פנו ישירות לחברה או בדקו אם פורסם עדכון רשמי באתר שלה.
שלב 2: זיהוי סוג הדליפה
אם נחשף מידע רגיש שלכם, חשוב להבין איזה סוג מידע הודלף, כדי לפעול בהתאם ולהשיב את השליטה עליו.
אם מספר תעודת הזהות שלכם דלף
דווחו מיידית לרשויות הרלוונטיות (כגון רשות המיסים). מספר תעודת זהות קשה הרבה יותר להחלפה לעומת פרטי אשראי או בנק. ניתן להשתמש בו כדי לגנוב זהות, להגיש דוחות מס מזויפים, לשכור או לרכוש נכסים, ואף לבצע עבירות שונות בשמכם.
אם הסיסמה שלכם נחשפה
אם יש חשש שהסיסמה או כתובת המייל שלכם נחשפו, תוכלו לבדוק זאת כאן. בכל מקרה, החליפו את הסיסמה באופן מיידי וחזקו את שאלות האבטחה. השתמשו בסיסמה באורך של לפחות 7 תווים, שמכילה מילים חסרות היגיון, והשתמשו במנהל סיסמאות כדי לא לשכוח אותה.
אם נפרץ חשבון שלכם בחברה כלשהי
החליפו מיד את שם המשתמש והסיסמה, ובדקו שלא השתמשתם באותם פרטים גם באתרים נוספים. מומלץ לפתוח כתובת מייל נפרדת לחשבונות חשובים כמו בנק, ביטוח בריאות, מוסדות לימוד וכדומה. שימוש באותם פרטים לכל החשבונות עלול לאפשר לתוקף לפרוץ לכולם.
שלב 3: השתמשו באמצעי התמיכה והסיוע שעומדים לרשותכם
אם מספר תעודת הזהות או מידע אישי רגיש אחר נחשף, חשוב לעקוב אחרי הפעילות בחשבונות שלכם לפחות במשך שנה. תוקפים חכמים לעיתים מבצעים עסקאות קטנות כדי לא להתגלות, עד שהם מבצעים את המכה הגדולה.
חברות אמינות יציעו שירותי ניטור אשראי או הגנה מפני גניבת זהות, אל תהססו לנצל את ההצעות האלו ודווחו להם על חשיפת המידע.
