אבטחת מידע לעסק קטן: איך להגן על החשבונות הדיגיטליים מפני פריצה

רוב בעלי העסקים הקטנים בטוחים שהאקרים מתעניינים רק בבנקים, בחברות ענק ובמשרדי ממשלה. המציאות שונה. דווקא עסקים קטנים הם מטרה נוחה, כי לרוב אין להם צוות אבטחת מידע, הסיסמאות שלהם פשוטות והעובדים לא עברו הדרכה. פריצה לתיבת המייל של העסק, השתלטות על עמוד האינסטגרם או נעילת המחשב בכופרה יכולות לגרום לנזק כספי ותדמיתי משמעותי. החדשות הטובות הן שרוב המתקפות האלה ניתנות למניעה באמצעות הרגלים בסיסיים, שלא דורשים ידע טכני מיוחד.

למה עסקים קטנים נמצאים על הכוונת

תוקפים רבים לא בוחרים קורבן מסוים מראש. הם שולחים אלפי הודעות דיוג, סורקים מערכות עם פרצות ידועות ומנסים סיסמאות שדלפו ממקומות אחרים. מי שמשאיר דלת פתוחה, נפגע. עסק קטן, שבו בעלים אחד מנהל גם את המייל, גם את הרשתות וגם את הכספים, הוא לעיתים קרובות הדלת הפתוחה ביותר.

בנוסף, לעסקים קטנים יש גישה לנכסים מעניינים: פרטי לקוחות, חשבונות בנק, קשרים עם ספקים וחשבונות פרסום ממומן שאפשר לנצל. השתלטות על חשבון פרסום, למשל, מאפשרת לתוקף להריץ מודעות על חשבון העסק עד שמישהו שם לב.

סיסמאות: הבסיס שרובנו עדיין מפספסים

הצעד הראשון הוא להפסיק להשתמש באותה סיסמה בכמה מקומות. כשאתר כלשהו נפרץ והסיסמאות שלו דולפות, התוקפים מנסים אותן באופן אוטומטי בשירותים אחרים. אם הסיסמה של המייל העסקי זהה לזו של אתר קניות ישן, זו בעיה.

הפתרון המעשי הוא מנהל סיסמאות. מדובר בתוכנה שזוכרת עבורכם סיסמאות ארוכות ומורכבות לכל שירות, כך שצריך לזכור רק סיסמה ראשית אחת וחזקה. רוב מנהלי הסיסמאות עובדים גם במחשב וגם בטלפון, ומאפשרים לשתף סיסמאות עם עובדים בצורה מבוקרת, בלי לשלוח אותן בהודעות.

אימות דו־שלבי: שכבת ההגנה החשובה ביותר

גם הסיסמה הטובה ביותר עלולה לדלוף. לכן כדאי להפעיל אימות דו־שלבי בכל שירות שמאפשר זאת: המייל, הבנק, הרשתות החברתיות, מערכת הנהלת החשבונות וחשבון האחסון של האתר. כך, גם אם מישהו השיג את הסיסמה, הוא יצטרך גם גישה פיזית לטלפון שלכם.

עדיף להשתמש באפליקציית אימות או במפתח אבטחה פיזי על פני קוד שנשלח במסרון, שכן קיימות שיטות להשתלט על מספרי טלפון. וחשוב לשמור את קודי הגיבוי שהשירותים מספקים במקום בטוח, כדי שאובדן הטלפון לא יהפוך לנעילה מחוץ לחשבונות.

דיוג: כשהתוקף מתחזה למישהו שאתם מכירים

הודעות דיוג הן עדיין הדרך הנפוצה ביותר לפרוץ לעסקים. הן מגיעות במייל, במסרון או בוואטסאפ, ומתחזות לבנק, לחברת שליחויות, לרשות המסים או אפילו לספק קבוע. המטרה היא לגרום לכם ללחוץ על קישור, להזין סיסמה או להעביר כסף.

כמה סימנים שצריכים להדליק נורה אדומה:

• תחושת דחיפות מוגזמת, כמו חשבון שייחסם תוך שעה
• בקשה לשנות פרטי חשבון בנק להעברת תשלום
• כתובת שולח שנראית כמעט נכונה אבל לא בדיוק
• קישורים מקוצרים או קבצים מצורפים לא צפויים
• שגיאות כתיב וניסוחים מוזרים, אם כי תוקפים משתפרים גם בזה

כלל הזהב: כשמגיעה בקשה חריגה, במיוחד כזו שקשורה לכסף, מאמתים אותה בערוץ אחר. מתקשרים לספק במספר שכבר שמור אצלכם, לא במספר שמופיע בהודעה.

עדכונים, גיבויים והרשאות

מערכות לא מעודכנות הן פתח נוח לתוקפים. כדאי להפעיל עדכונים אוטומטיים במחשבים, בטלפונים ובאתר עצמו, כולל תוספים ותבניות. אתרים מבוססי מערכות ניהול תוכן פופולריות נפרצים לעיתים קרובות דרך תוסף ישן שאיש לא עדכן.

גיבויים הם קו ההגנה האחרון. אם המחשב ננעל בכופרה או שהאתר נמחק, גיבוי עדכני הוא ההבדל בין תקלה מעצבנת לאסון. מומלץ לשמור גיבוי אחד לפחות במקום נפרד מהמערכת המקורית, ולבדוק מדי פעם שאפשר באמת לשחזר ממנו.

ולבסוף, הרשאות. לא כל עובד צריך גישה לכל דבר. כשעובד עוזב, יש לבטל מיד את הגישות שלו. כשנותנים גישה לספק חיצוני, כמו מעצב או משווק, עדיף להוסיף אותו כמשתמש עם הרשאות מוגבלות במקום למסור לו את הסיסמה הראשית.

מה עושים אם כבר נפרצתם

אם אתם חושדים בפריצה, פעלו מהר. החליפו סיסמאות מתוך מכשיר נקי, נתקו הפעלות פתוחות, הפעילו אימות דו־שלבי ובדקו אם נוספו כללי העברה אוטומטיים בתיבת המייל. עדכנו את הבנק אם יש חשש לפגיעה כספית, והודיעו ללקוחות ולספקים אם נשלחו מהחשבון שלכם הודעות חשודות. במקרים מורכבים, או כשמדובר במידע אישי של לקוחות, כדאי להיעזר באיש מקצוע בתחום אבטחת המידע ולבדוק מה החובות החוקיות של העסק.

להדריך את הצוות

גם המערכות המאובטחות ביותר תלויות בסופו של דבר באנשים שמשתמשים בהן. עובדת שלוחצת על קישור זדוני או עובד שמשתף סיסמה עם חבר יכולים לעקוף את כל אמצעי ההגנה. לכן כדאי להקדיש זמן קבוע להדרכה קצרה של הצוות, גם בעסק של שלושה או ארבעה אנשים.

ההדרכה לא חייבת להיות מסובכת. אפשר להציג דוגמאות אמיתיות של הודעות דיוג שהגיעו לעסק, להסביר למה חשוב לנעול את המחשב כשקמים מהשולחן ולקבוע נוהל ברור למקרה של חשד: למי פונים ומה עושים. חשוב במיוחד ליצור אווירה שבה עובד שטעה ולחץ על קישור חשוד ירגיש בנוח לדווח מיד, במקום להסתיר מחשש לנזיפה. דיווח מוקדם יכול לצמצם מאוד את הנזק.

כדאי גם לקבוע כללים לגבי עבודה מהבית ומרשתות ציבוריות. רשת אלחוטית פתוחה בבית קפה היא לא המקום לבצע העברות בנקאיות, ומחשב משפחתי שגם הילדים משתמשים בו אינו המקום האידיאלי לשמור בו קבצי לקוחות.

לסיכום, אבטחת מידע לעסק קטן אינה פרויקט ענק אלא אוסף של הרגלים: סיסמאות ייחודיות, אימות דו־שלבי, חשדנות בריאה כלפי הודעות, עדכונים קבועים וגיבויים. שעה או שעתיים של סידור עכשיו עשויות לחסוך ימים של כאב ראש, הפסדים כספיים ופגיעה באמון הלקוחות בהמשך.