אבטחת החשבונות הדיגיטליים של העסק: צעדים פשוטים שמונעים נזק גדול

בעלי עסקים קטנים נוטים לחשוב שהאקרים מתעניינים רק בחברות גדולות. המציאות שונה: דווקא עסקים קטנים הם לעיתים קרובות מטרה נוחה, משום שההגנות שלהם חלשות יותר. חשבון פייסבוק עסקי שנפרץ, תיבת מייל שמשמשת להונאות או אתר שהושבת יכולים לגרום לאובדן הכנסות, לפגיעה במוניטין ולשעות ארוכות של התמודדות. החדשות הטובות הן שרוב הפריצות אפשר למנוע בעזרת צעדים פשוטים, שאינם דורשים ידע טכני מיוחד או תקציב גדול.

למה עסקים קטנים בסיכון

רוב התקיפות אינן מכוונות לעסק מסוים. הן נעשות בהיקפים גדולים, באופן אוטומטי, ומחפשות את החוליה החלשה: סיסמה פשוטה, סיסמה שדלפה מאתר אחר, או עובד שלחץ על קישור בהודעה מזויפת. עסק קטן, שבו בעל העסק מנהל לבד את כל החשבונות, נוטה לפעמים להשתמש באותה סיסמה בכל מקום ולשתף אותה עם עובדים ונותני שירות.

הנזק יכול להיות משמעותי. חשבון מייל שנפרץ עשוי לשמש לשליחת חשבוניות מזויפות ללקוחות, עם פרטי חשבון בנק של התוקפים. דף עסקי ברשת חברתית שנפרץ עלול לפרסם תוכן פוגעני או לשמש להונאות בשם העסק. ואתר שנפגע עלול להיחסם על ידי מנועי החיפוש ולאבד את התנועה שנבנתה במשך שנים.

סיסמאות: הבסיס שכולם מזניחים

הצעד הראשון והחשוב ביותר הוא סיסמה ייחודית וחזקה לכל חשבון. סיסמה ארוכה, שמורכבת מכמה מילים או מצירוף אקראי של תווים, עדיפה על סיסמה קצרה ומסובכת. והכי חשוב: לא להשתמש באותה סיסמה בשני מקומות. כשאתר כלשהו נפרץ והסיסמאות שלו דולפות, התוקפים מנסים אותן באופן אוטומטי בשירותים אחרים.

כדי לא להשתגע, מומלץ להשתמש במנהל סיסמאות. זוהי תוכנה ששומרת את כל הסיסמאות בכספת מוצפנת, מייצרת סיסמאות חזקות וממלאת אותן אוטומטית. כך צריך לזכור רק סיסמה ראשית אחת, חזקה במיוחד. רוב מנהלי הסיסמאות מאפשרים גם לשתף סיסמאות מסוימות עם עובדים באופן מבוקר, בלי לשלוח אותן בהודעות.

אימות דו שלבי בכל מקום אפשרי

אימות דו שלבי מוסיף שכבת הגנה נוספת: גם אם מישהו השיג את הסיסמה, הוא יזדקק לגורם נוסף כדי להיכנס, בדרך כלל קוד מאפליקציה בטלפון או מפתח אבטחה פיזי. זהו אחד הצעדים האפקטיביים ביותר נגד פריצות, ורוב השירותים החשובים תומכים בו.

כדאי להפעיל אימות דו שלבי קודם כל בחשבון המייל הראשי, כי דרכו אפשר לאפס את הסיסמאות של כל שאר החשבונות. אחר כך ברשתות החברתיות, במערכת ניהול האתר, אצל רשם הדומיין, בבנק ובשירותי התשלום. אפליקציית אימות עדיפה בדרך כלל על קוד במסרון, וחשוב לשמור את קודי הגיבוי במקום בטוח למקרה שהטלפון אובד.

דיוג: כשהסכנה מגיעה בהודעה

רוב הפריצות מתחילות בהודעה. מייל שנראה כאילו הגיע מהבנק, הודעה שמודיעה שהדף העסקי עומד להיחסם, או מסרון על חבילה שממתינה למשלוח. המטרה היא לגרום לכם ללחוץ על קישור ולהזין סיסמה או פרטי תשלום באתר מזויף. ההודעות האלה הפכו מתוחכמות מאוד, ולעיתים קשה להבחין בינן לבין הודעות אמיתיות.

הנה כמה סימני אזהרה שכדאי להכיר:

• תחושת דחיפות מלאכותית, כמו איום בחסימה תוך שעות.
• כתובת שולח שנראית דומה אבל לא זהה לכתובת המקורית.
• בקשה להזין סיסמה, קוד אימות או פרטי אשראי.
• בקשה לשנות פרטי חשבון בנק לתשלום.
• קבצים מצורפים לא צפויים, גם מאנשים מוכרים.

הכלל הפשוט: אם יש ספק, לא לוחצים. נכנסים לשירות ישירות דרך האפליקציה או דרך כתובת מוכרת, ובודקים שם. וכשמישהו מבקש לשנות פרטי חשבון בנק, תמיד מאמתים בשיחת טלפון למספר שאתם מכירים מראש.

מי מחזיק את המפתחות

בעסקים קטנים קורה לא פעם שחשבון חשוב נפתח על ידי עובד לשעבר, מעצב חיצוני או קרוב משפחה, והבעלות עליו אינה בידי העסק. כשהקשר מסתיים, העסק מגלה שאין לו גישה לדף העסקי, לחשבון הפרסום או אפילו לדומיין של האתר. כדאי לוודא שכל החשבונות החשובים רשומים על כתובת מייל של העסק ושבעל העסק הוא המנהל הראשי בהם.

לעובדים ולנותני שירות כדאי לתת הרשאות אישיות ומוגבלות, ולא את הסיסמה הראשית. ברוב הפלטפורמות אפשר להוסיף משתמשים עם הרשאות מתאימות ולהסיר אותם כשהעבודה מסתיימת. רשימה מסודרת של כל החשבונות, מי מנהל אותם ומי מקבל גישה, היא כלי פשוט שחוסך הרבה כאבי ראש.

עדכונים וגיבויים

תוכנות שאינן מעודכנות הן דלת פתוחה לתוקפים. זה נכון למחשבים ולטלפונים, ובמיוחד לאתרים שמבוססים על מערכות ניהול תוכן עם תוספים. כדאי להפעיל עדכונים אוטומטיים היכן שאפשר, ולהסיר תוספים ותוכנות שאינם בשימוש.

גיבוי הוא רשת הביטחון למקרה שהכול השתבש. גיבוי קבוע של האתר, של קבצי העסק ושל המידע החשוב, שנשמר במקום נפרד מהמקור, מאפשר לחזור לפעילות מהר גם אחרי פריצה או תקלה. כדאי גם לבדוק מדי פעם שהגיבוי באמת עובד ושאפשר לשחזר ממנו.

מה עושים אם בכל זאת נפרצתם

אם אתם חושדים בפריצה, פעלו מהר: שנו את הסיסמה מתוך מכשיר נקי, הפעילו אימות דו שלבי אם עוד לא הופעל, התנתקו מכל המכשירים האחרים ובדקו אילו שינויים בוצעו בחשבון. עדכנו לקוחות אם יש חשש שקיבלו הודעות מזויפות בשמכם, ופנו לתמיכה של השירות. במקרים של נזק כספי או גניבת מידע, כדאי לפנות לגורמי המקצוע ולרשויות המתאימות ולהתייעץ עם מומחה לאבטחת מידע.

לסיכום

אבטחת החשבונות הדיגיטליים של העסק איננה פרויקט טכני מסובך אלא סדרה של הרגלים: סיסמאות ייחודיות במנהל סיסמאות, אימות דו שלבי, זהירות מהודעות חשודות, שליטה בבעלות על החשבונות, עדכונים וגיבויים. הקדישו לזה שעה אחת השבוע, והעסק שלכם יהיה מוגן הרבה יותר.