כיצד להישאר מאובטחים באינטרנט במהלך החגים

אישה בסוודר אפור יושבת ליד שולחן ומביטה בטלפון שלה.

מה שמגנים צריכים לדעת

פושעי סייבר תמיד מחפשים הזדמנות לנצל אנשים, ובתקופת החגים זה קל במיוחד כדעתם של כולם מוסחת. בין הקניות, הזמן עם המשפחה, הצינונים המעיקים שמסתובבים, והקשר עם יקיריכם דרך האינטרנט — זו ממש חגיגה לגורמי איום.

לצערנו, העלייה הזו בפעילות לגיטימית מספקת לגורמי איום כיסוי מושלם. נתוני בינת האיומים של Microsoft מראים שתוקפים מתזמנים קמפיינים כך שיחפפו לתקופות שבהן דעתם של אנשים מוסחת, הם ממהרים, וסומכים יותר על הודעות מקמעונאים או משירותי משלוחים.

הדפוסים העונתיים האלה נצפים בעקביות במדידת השימוש של Microsoft ובדוח ההגנה הדיגיטלית של Microsoft לשנת 2025 (MDDR), שמדגיש כיצד מתקפות הנדסה חברתית והתחזות מונחות AI גדלות הן בהיקף והן בשיעור ההצלחה בתקופות של עומס עסקאות גבוה.

אלה הם הדברים שכדאי למגנים ולמשתמשים יומיומיים לשים לב ככל שעונת החגים מתקרבת.

דיוג באמצעות קוד מכשיר

גורמי איום מנצלים את הרעש שמתרחש במהלך עומס החגים, כשאישורי הזמנה, עדכוני משלוח, בדיקות זהות והתראות הונאה אכן מזנקים. הם שולחים הודעות שמבקשות מהמשתמשים להזין "קוד אימות" כדי לפתור בעיה ברכישה או לאשר מסירה. העילה נשמעת מוכרת ודחופה, ולכן מפחיתה את החשד. אבל הזנת הקוד הזה יכולה להעניק לתוקפים בשקט גישת OAuth לחשבון המשתמש, בלי צורך בסיסמה בכלל.

בינת האיומים של Microsoft עוקבת אחר העלייה המתמשכת בטכניקות האלה להשתלטות על חשבונות שמוגנים בפחות אישורים, הן בסביבות צרכניות והן בסביבות ארגוניות. תוקפים משתמשים בקודי מכשיר ובהתחזות המבוססת על הסכמה כי אלו שיטות פשוטות, ניתנות להרחבה, ויעילות מאוד בעקיפת בקרות מסורתיות נגד גניבת אישורים. בתקופות שיא של קניות, הפיתויים האלה נטמעים היטב בתוך התקשורת הלגיטימית, מה שמקשה על הזיהוי ומעלה את הסיכוי לפגיעה.

כיצד לצמצם דיוג באמצעות קוד מכשיר

הגבלת זרימת קוד המכשיר בכל מקום שבו ניתן
חיזוק בהירות תהליך הכניסה ואימות המשתמש
ביטול גישה מיד עם זיהוי פעילות חשודה
שימוש בפריטי מדיניות סיכון בכניסה כדי להפוך את הבלימה לאוטומטית
ניטור רציף של כניסות מסוכנות

מתקפות CAPTCHA מזויפות (תרחישי ClickFix)

מבצעי נסיעות לחגים, מכירות בזק וחיפוש מתנות של הרגע האחרון יוצרים לתוקפים תנאים אידאליים להיטמע מתחת לרדאר. מתקפות ניתוב מחדש שמתחזות לאישורי הזמנה או להודעות פרסומיות מובילות לא פעם קורבנות לדף CAPTCHA — דפוס שמשתמשים נוטים לסמוך עליו וכמעט לא מפקפקים בו. אבל אלה לא CAPTCHA אמיתיים. כעת גורמי איום משתמשים בהם כמנגנון להעברת הנחיות הנדסה חברתית, ומבקשים מהקורבנות להדביק פקודות זדוניות ישירות בהנחיות Windows Run או במסופים.

בינת האיומים של Microsoft הזהירה לאחרונה מפני הצמיחה המהירה של תרמיות ClickFix האלה. הן לא דורשות שרשרת ניצול, רק פעולה של המשתמש. הפשטות הזו הופכת אותם לניתנים להרחבה עד מאוד ולמסוכנים במיוחד בתקופות שיא עונתיות, כשקונים פועלים מהר יותר ונוטים להיענות להנחיות שנראות שגרתיות.

לדוגמה, ממש לפני חג ההודיה, בינת האיומים של Microsoft זיהתה וחסמה קמפיין פישינג בנפח רב של Storm-0900 שכוון לעשרות אלפי משתמשים בארה"ב. הגורם התוקף תזמן את הפעילות כך שתתמקד בחג, שבמהלכו דעתם של אנשים הוסחה וציפו להודעות דחופות.

הודעות הדוא"ל השתמשו בפיתויים מוכרים כגון דוחות חניה, תוצאות רפואיות ואזכורים של חג ההודיה. כל הודעה הפנתה את הקורבנות לאתר בשליטת התוקף עם CAPTCHA מזויף מסוג סליידר, ולאחריו הנחיית ClickFix.

‏Microsoft שיבשה את הקמפיין באמצעות סינון, הגנה על נקודות קצה וחסימה מקדימה של תשתיות התוקפים. עם זאת, הקמפיין הוא דוגמה מובהקת לאופן שבו גורמי איום משלבים דפוסי UX מוכרים, כגון מבחני CAPTCHA, עם טכניקות שעל המשתמשים לבצע כדי לעקוף בקרות מסורתיות.

כיצד לצמצם מתקפות CAPTCHA מזויפות ו- ClickFix

אכיפת בקרת יישומים והגבלת נתיבי ביצוע פקודות
השבתה או הגבלה בקפדנות של ממשקי שורת פקודה שאינם נחוצים
הקשחת מדיניות הדפדפן וסינון כתובות ה- URL
חיזוק המודעות של המשתמשים לפעולות בלתי צפויות
ניטור דפוסי הפעלת פקודות חריגים
שמירה על תכנון חשבונות בגישת הרשאות מינימליות

הונאות התחזות לתמיכה טכנית

אנשים נוסעים עם מכשירים אישיים פחות מאובטחים, משתמשים ב- Wi‑Fi של בתי מלון ונתקלים ביותר תקלות טכניות. תוקפים מנצלים זאת כשהם מתחזים לאנשי תמיכה כדי לפתור בעיות שכלל אינן קיימות. הונאות אלה מזנקות בעקביות בין נובמבר לינואר, במיוחד בקרב בני משפחה מבוגרים או אנשים שאינם בקיאים במיוחד בהתנהלות טכנולוגית.

דו"ח MDDR 2025 מצביע על הונאות תמיכה כאחת מקטגוריות ההונאה הגלובליות המצליחות ביותר. ליתר דיוק, סחיטה ותוכנות כופר מניעות מחצית מכל מתקפות הסייבר.

גורמי איום משתמשים יותר ויותר בסקריפטים שנוצרו באמצעות AI, בפרסונות טלפוניות משכנעות ובהתחזות למותגים כדי להגביר את האמינות. התוצאה היא עילה משכנעת שיכולה להוביל להתקנת תוכנה זדונית עם גישה מרחוק, לגניבת אישורים או להשתלטות מלאה על החשבון.

ההונאות האלה מדאיגות במיוחד את גורמי ההגנה וההנהלה משום שהן מטשטשות את הגבול בין סיכון אישי לארגוני: מכשיר אישי שנפגע ב- Wi‑Fi של מלון יכול להפוך במהירות לנקודת קפיצה לתקיפות רחבות יותר.

איך לצמצם הונאות התחזות לתמיכה טכנית

צמצום שטח התקיפה באמצעות בקרות קפדניות לגישה מרחוק
חיזוק תרבות של אימות בכל הארגון
הכשרת משתמשים לא לסמוך על דחיפות והצעות סיוע
הקשחת אבטחת המכשירים שבהם משתמשים במהלך נסיעות
חסימת תחומים דומים ואתרי התחזות
ניטור שימוש לרעה בכלי גישה מרחוק ודפוסים חריגים בצוות התמיכה
מתן ערוצי דיווח ברורים ומהירים

התראות מזויפות על משלוחים ומסירות

קניות לחגים הופכות את כולם למכונות שעוקבות אחר חבילות. גורמי איום משתלבים בדיוק בתוך זרימת העבודה המנטלית הזאת. כשאנשים רבים מתמודדים עם עשרות משלוחים במקביל, עוד הודעת דוא"ל אחת שטוענת לעיכוב או לצורך באימות כתובת לא מעוררת חשד.

לפי דוח ההגנה הדיגיטלית, דיוג בנושא משלוחים הוא אחת מקטגוריות ההתחזות המנוצלות ביותר. צוותי בינת האיומים של Microsoft רואים מדי עונת חגים עליות צפויות בפיתויים המבוססים על ענייני לוגיסטיקה, כאשר התוקפים מתחזים לשירותי שילוח מוכרים כגוןUPS,‏ USPS,‏ FedEx,‏ Amazon,‏ DHL ושירותי דואר אזוריים. המיתוג משכנע, התזמון סביר, והציפיות של המשתמשים בתקופות קניות עמוסות הופכות את המתקפות האלה ליעילות במיוחד.

מכיוון שהקמפיינים האלה מחקים תהליכי עסקה לגיטימיים ולעתים קרובות כוללים מספרי מעקב אמיתיים שנמשכו מדליפות מידע או מתוך תיבות דוא"ל שנסרקו, למשתמשים קשה יותר ויותר להבחין בין התראות אותנטיות לבין זיופים.

כיצד לצמצם הונאות של התראות מזויפות על משלוחים ומסירות

אכיפת הגנות על כתובות URL ותחומים שמנטרלות ניסיונות התחזות
חיזוק התנהגויות האימות של המשתמשים בתקופות הקניות העמוסות
החלת חיכוך בגישה מותנית על פעולות רגישות מבחינה פיננסית
הוספת זיהוי התנהגותי ליצירת כללי דואר ולחריגות בהעברה
פריסת הגנות מפני התחזות ופריטי מדיניות לאימות השולחים

הונאות צדקה ותרומות

הנדיבות העונתיות מזנקת ברבעון הרביעי, במיוחד ב-Giving Tuesday (יום הנתינה הבינלאומי), והתוקפים מנצלים זאת. כיום AI מאפשרת לגורמי איום ליצור בקנה מידה רחב אתרי מלכ"ר מלוטשים, סיפורים מרגשים וטופסי תרומה משכנעים. הם יוצרים נרטיבים דחופים ומרגשים על סיוע באסונות, גיוס קהילתי או קמפיינים אחרונים לחג, בתקווה לשלב בין רצון טוב לבין הסחת דעת ולחץ.

כיצד לצמצם הונאות צדקה ותרומות

חיזוק תרבות של אימות — במיוחד בעונות התרומה
עידוד שימוש בפלטפורמות תרומה מאומתות
חסימה וניטור של תחומים דומים או תחומים שבוצעה אליהם הרשמה לאחרונה
החלת בקרות זהות עמידות בפני דיוג וזיהוי חריגות
חינוך עובדים ובעלי עניין לגבי תנועות בהונאות

תיהנו מהעונה, אבל בעיניים פקוחות

אבטחה לא צריכה לגרוע מההנאה מהעונה, אבל ברגעים של פעילות מוגברת והסחת דעת, המודעות חשובה מתמיד. ההנחיה של Microsoft לאורך ערכת Be Cybersmart מתיישרת עם הנקודה הזו: השהייה, אימות או מבט שני הם לעתים קרובות ההבדל בין שמירה על בטיחות לבין נפילה קורבן.