מומחי סייבר מזהירים: תאריך הלידה שאתם ממלאים בכל הרשמה לאתר קניות או למועדון לקוחות הפך לאחד הכלים החשובים של נוכלי הרשת. בשילוב שם, טלפון וכתובת, הוא מאפשר להם לבנות פרופיל זהות משכנע ולהתחזות לבנק, לחברת אשראי או אליכם. ההמלצה שלהם חד-משמעית: להשאיר את השדה ריק, או למלא תאריך פיקטיבי.
זה נשמע כמו פרט שולי, אבל הוא בדיוק החלק החסר בפאזל. רוב ההונאות לא מתחילות בפריצה מתוחכמת, אלא במידע אישי שכבר מסתובב ברשת. כך גם מתקפות הסייבר מתחילות לא פעם במייל שלכם.
כך זה עובד בפועל
התרחיש מוכר: הטלפון מצלצל, ומעבר לקו נציג "מהבנק" שמדווח על פעילות חשודה בחשבון. כדי לזכות באמון שלכם הוא מקריא בביטחון את שמכם המלא, את הכתובת ואת תאריך הלידה המדויק. נשמע כמו מישהו שיש לו גישה לתיק שלכם, אבל בפועל מדובר בנוכל שליקט את הפרטים מדליפות מידע קודמות.
לפי סרפיל הול, מומחית אבטחה בחברת המחקר Datos Insights, פריצה לאתר קניות אחד מספקת לעבריינים שם, תאריך לידה, מייל וכתובת. כשמחברים את זה לדליפות נוספות ולמה שאנחנו מפרסמים ברשתות החברתיות, נוצר "פרופיל זהות מועשר" שמאפשר התחזות כמעט מושלמת.
הדוגמה הטרייה: הפריצה לאסוס
זה כבר קרה. באוקטובר אישרה רשת האופנה המקוונת אסוס, שפופולרית גם בקרב קונים ישראלים, שתוקפים השיגו פרטי גישה של עובד והגיעו למידע על לקוחות. לפי הדיווחים, בין הנתונים שנחשפו היו שמות, כתובות, טלפונים, מיילים ותאריכי לידה. לדברי החברה, פרטי כרטיסי האשראי והסיסמאות לא נפגעו. לנוכלים זה לא באמת משנה.
למה בכלל מבקשים מכם את התאריך
אלכסנדר פרנסואה, חוקר הונאות בחברת המודיעין WhoisXML API, בדק 14 קמעונאים ומצא ש-8 מהם דרשו תאריך לידה בהרשמה. לדבריו, לחברות אין סיבה לוותר על השדה, כי הוא חושף את הגיל המדויק של הלקוח, נתון יקר ערך לשיווק ולפרסום ממוקד.
בישראל המצב מוכר במיוחד. מועדוני לקוחות של רשתות אופנה, פארם ומזון מבקשים כמעט תמיד תאריך לידה, בתמורה להטבת יום הולדת. ג'ייק מור, יועץ בחברת האבטחה ESET, מסביר שהתאריך לבדו לא שווה הרבה לעבריינים, אבל בשילוב שם ומספר טלפון הוא כבר כלי להונאת זהות.
מה עושים עכשיו: 4 צעדים פשוטים
- משאירים את השדה ריק. אם התאריך לא חובה, לא ממלאים. חנות צריכה רק פרטי תשלום וכתובת למשלוח.
- מזינים תאריך פיקטיבי אחיד. אם האתר מחייב, בוחרים תאריך קבוע, למשל הראשון בחודש הלידה, ומשתמשים בו בכל אתרי הקניות. כך קל לזכור אותו, והתאריך האמיתי לא יוצא החוצה.
- פותחים מייל נפרד לקניות. כתובת ייעודית לחנויות ולמועדונים מפרידה בין המידע המסחרי לבין המייל שמשמש אתכם לבנק ולשירותים רשמיים.
- לא מאמתים פרטים בשיחה נכנסת. נציג שמקריא לכם פרטים אישיים לא הוכיח כלום. מנתקים ומתקשרים בעצמכם למספר הרשמי של הבנק.
