מה ההאקר יכול לעשות עם הסיסמה שלי?

סיסמאות הן המפתחות הוירטואליים לעולם הדיגיטלי – הן מאפשרות גישה לשירותי הבנקאות המקוונת, הדוא״ל, המדיה החברתית, לנטפליקס ולכל הנתונים בענן שלנו. אם האקר משיג סיסמה שלנו, הוא יכול באמצעותה:

• לגנוב את פרטי הזהות האישיים שלכם ולמכור אותם לפושעי סייבר אחרים
• למכור את הגישה לחשבון עצמו. אתרים של פושעי סייבר בדארקנט (הרשת האפלה) יציעו גישה לחשבונות כאלה לכל המרבה במחיר. הרוכשים יוכלו להשתמש בגישה כדי להשיג מגוון רחב של דברים – החל מנסיעות חינם במונית ושימוש חינמי בשירותי  סטרימינג ועד לטיסות במחיר מופחת באמצעות נקודות הנוסע המתמיד בחשבון שנפרץ.
• להשתמש בסיסמאות כדי לפרוץ לחשבונות נוספים בהם אתם משתמשים באותה הסיסמה.

כיצד ההאקרים גונבים סיסמאות?

1. מתקפות פישינג והנדסה חברתית

עצוב להודות, אבל לא קשה להפיל אנשים בפח. במקרים רבים, אנחנו עושים החלטות שגויות כשאנחנו ממהרים. פושעי סייבר מנצלים את החולשות האלה באמצעות הנדסה חברתית – טריק פסיכולוגי שתוכנן במטרה לגרום לנו לעשות משהו שאנחנו לא אמורים לעשות. דיוג (Phishing) הוא ככל הנראה הדוגמה המפורסמת ביותר. בטכניקה הזאת, ההאקרים מתחזים ליישויות
לגיטימיות: חברים, בני משפחה, עסקים שאתם נמצאים בקשר איתם וכו׳. הודעת הדוא״ל או ה-SMS שתקבלו תיראה אותנטית, אך היא תכלול קישור או קובץ מצורף זדוניים. אם תלחצו עליהם, הם יורידו נוזקה כלשהי או יובילו אתכם לדף אינטרנט בו תתבקשו למלא את הפרטים האישיים שלכם.

2. נוזקות

פושעי סייבר משתמשים גם בנוזקות כדי להשיג סיסמאות. הודעות פישינג בדוא״ל הן אמנם הווקטור העיקרי לתקיפה מסוג זה, אך ייתכן שתסבלו ממתקפה כזאת גם אם תלחצו על פרסומת זדונית ברשת או אפילו באמצעות כניסה לאתר שנפרץ. נוזקות רבות מסתתרות גם באפליקציות שנראות לגיטימיות, אותן אפשר למצוא בחנויות אפליקציות לא-רשמיות.

ישנם סוגים רבים של נוזקות לגניבת מידע, אך הנפוצות ביותר מתוכנתות לתעד את לחיצות המקלדת שלכם או לקחת צילומי מסך של המכשיר ולשלוח אותם חזרה לתוקפים.

3. פריצה בכוח

מספר הסיסמאות בהן אדם ממוצע מחזיק עלה בכ-25% מתחילת שנת 2020 ועד לסופה. כתוצאה מכך, רבים מאיתנו משתמשים בסיסמאות קלות לזכירה (ולניחוש) ומגדירים את אותן הסיסמאות למספר אתרים ושירותים. זה יכול לפתוח את הדלת לטכניקות ״הפריצה בכוח״.

אחת מהשיטות הנפוצות ביותר היא העמסת סיסמאות (Credential Stuffing). במתקפה מסוג זה, התוקפים מכניסים כמויות גדולות של קומבינציות שם משתמש וסיסמה לאתרים מסוימים באמצעות תוכנה אוטומטית, בתקווה למצוא התאמה באחת הקומבינציות האלה. על פי אחת ההערכות, בשנה האחרונה היו יותר מ-139 מיליארד ניסיונות כאלה.

טכניקה אחרת לפריצה בכוח נקראת ריסוס סיסמאות. בטכניקה הזאת, ההאקרים משתמשים בתוכנה אוטומטית כדי להצליב בין שם המשתמש של החשבון שלכם ובין רשימה של סיסמאות נפוצות.

4. ניחוש

למרות שלהאקרים יש כלים אוטומטיים בהם הם יכולים להשתמש כדי לבצע מתקפות מסוג פריצה בכוח, לעיתים אפילו אין צורך בהם: אפילו ניחוש פשוט (בניגוד לגישה השיטתית יותר של מתקפות פריצה בכוח) יכול לעשות את העבודה. הסיסמה הנפוצה ביותר בשנת 2020 הייתה ״123456״, כשהסיסמה השנייה הכי נפוצה היא ״123456789״. במקום הרביעי הייתה הסיסמה הידועה ״password״.

אם אתם ממחזרים את הסיסמה שלכם ומשתמשים בה במספר אתרים כמו רוב האנשים, או משתמשים באותה הסיסמה בשינוי קל בחשבונות שונים, אתם הופכים את עבודת התוקפים לקלה אפילו יותר ושמים את עצמכם בסיכון גבוה יותר לגניבת זהותולתרמיות.

5. הצצה מעבר לכתף

כל המסלולים לגניבת סיסמה שהצגנו עד עכשיו נמצאים במישור הווירטואלי. אך עם הקלת הסגרים ומעבר חלק גדול מהעובדים חזרה לעבודה מהמשרד, כדאי לזכור שחלק משיטות הציטוט הבדוקות והידועות יכולות גם הן לסכן אתכם. זו לא הסיבה היחידה לכך שהצצה מעבר לכתף עדיין מהווה סכנה משמעותית. חוקר של ESET ביצע ניסוי כדי להמחיש עד כמה שזה קל לפרוץ לחשבון הסנאפצ׳ט של אדם אחר באמצעות שימוש בטכניקה הפשוטה הזאת.

הגרסה היותר מתקדמת של סוג מתקפה זה, שנקראת מתקפת ״אדם בתווך״ ומשתמשת בציתות לרשתות אלחוטיות, מאפשרת להאקרים המחוברים לרשתות אלחוטיות ציבוריות לאתר את הסיסמה שלכם כשאתם מזינים אותה לאתר/שירות מסוים בזמן ששניכם מחוברים לאותה הרשת. שתי הטכניקות נמצאות בשימוש במשך מספר שנים, אך זה לא אומר שהן הפסיקו להוות איום.