בדקו אם בטוח ללחוץ

כדי לדעת אם אתר אינטרנט בטוח, יש להתחיל בהרצת כתובת ה-URL דרך סורק, כגון Avast Link Checker. יש לבדוק תמיד ידנית את שורת הכתובת ולראות אם מופיעה בה הצפנת HTTPS, ולבדוק בקפידה את הדומיין לאיתור "שגיאות כתיב סמויות" (כגון goog1e.com במקום google.com).

אתרים חוקיים צריכים לכלול פרטי יצירת קשר ברורים ומדיניות פרטיות, בעוד שסימני אזהרה כוללים טיימרים אגרסיביים של ספירה לאחור, דקדוק ברמה חובבנית או "מחירים טובים מכדי להיות אמיתיים". כשיש ספק, חיפוש מהיר של שם האתר יחד עם המילה "scam" (תרמית) או "phishing" (דיוג) בפלטפורמות ביקורת של צדדים שלישיים יחשוף ברוב המקרים את האמת. פתרון Avast One גם יכול לעזור לכם להישאר בטוחים באינטרנט.

חפשו סימני אזהרה שמצביעים על הנדסה חברתית, כגון קישורים שבורים, סמלי לוגו ברזולוציה נמוכה ושגיאות כתיב או שגיאות דקדוק בוטות, שהן תופעה שכיחה בפעולות תרמית שמבוצעות במדינות אחרות. חיבור מאובטח מסומן באמצעות HTTPS, אך ההצפנה מגנה רק על נתיב הנתונים, לא על הכוונות של בעלי האתר.

היזהרו במיוחד מטקטיקות של הנדסה חברתית, כגון טיימרים לספירה לאחור שיוצרים דחיפות מלאכותית או חלונות קופצים פולשניים שמבקשים מידע אישי רגיש, כגון פרטי בנק, על מנת שתוכלו ליהנות "מפרס לפרק זמן מוגבל". כמו כן, תוכלו להשתמש בכלי לזיהוי תרמיות כדי לבדוק אתר אינטרנט.

התחילו על ידי שימוש בכלי ייעודי לבדיקת בטיחות של קישורים (כגון Google Transparency Report או Avast Link Checker) על מנת לבצע סריקה של כתובת ה-URL ולאתר תוכנה זדונית נסתרת או פעולת דיוג, עוד לפני שאתם לוחצים. מיד לאחר שנכנסתם לאתר, בדקו את שורת הכתובת בדפדפן. ודאו שהחיבור מאובטח עם הצפנת HTTPS (חפשו את סמל המנעול) ולאחר מכן לחצו על סמל המנעול כדי להציג את אישור ה-SSL. אם הוא הונפק לחברה אחרת לגמרי או שתוקפו פג, עזבו מיד את האתר.

בשלב הבא, בצעו "ביקורת שקיפות" על ידי חיפוש כתובת פיזית של החברה ומספר טלפון מאומת; רמאים כמעט אף פעם אינם משאירים אחריהם עקבות שאפשר לאתר. בדקו את המוניטין של האתר בפלטפורמות עצמאיות, כגון Trustpilot או Better Business Bureau, אם אתם גרים בארה"ב או בקנדה. שימו לב היטב למחירים "שנשמעים טוב מכדי להיות אמיתיים", לחלונות קופצים חשודים שמקרינים "דחיפות" וכן לפרסום זדוני – כולם נועדו להלחיץ אתכם ולגרום לכם לשתף מידע אישי רגיש.

לבסוף, שימו לב לשגיאות כתיב סמויות בכתובת ה-URL, כגון amozon.com במקום amazon.com, שמהוות סימן היכר קלאסי לאתר משובט שנועד לגנוב את פרטי הכניסה שלכם.

כדי לבדוק אם התקבלו דיווחים לגבי תרמיות באתר אינטרנט כלשהו, תוכלו להשתמש בשילוב של סורקים טכניים ופלטפורמות ביקורת מבוססות-קהילה. התחילו על ידי הדבקת כתובת ה-URL לבודק קישורים של חברה מוכרת, כגון Avast. כלים אלה מאגדים דוחות שמתקבלים מעשרות מנועי אבטחה על מנת שאפשר יהיה לזהות אזהרות פעילות על פעולות דיוג, תוכנות זדוניות או אתרי מרמה.

לקבלת דוחות בנושא הונאות ו"תרמיות" שקשורים לצרכנים, חפשו את הדומיין ב-Trustpilot או ב-Better Business Bureau (בארה"ב ובקנדה) כדי לבדוק אם משתמשים אחרים סימנו את בית העסק הרלוונטי בשל בעיות של אי אספקה או גניבת זהויות.

בנוסף, עיינו במסד הנתונים של Whois כדי לבדוק אם האתר נוצר לאחרונה (תכונה נפוצה של דומיינים מזויפים) או השתמשו ב-FCA Warning List (בבריטניה) או ב-FTC (בארה"ב) כדי לבדוק אם האתר נחסם באופן רשמי על ידי רגולטורים פיננסיים. אם נתקלתם באתר זדוני, תוכלו לחסום אותו בדפדפן Chrome.

כלים חינמיים לבדיקת אתרי אינטרנט של חברות כגון Avast ו-Norton הם כלים אמינים ובטוחים. השימוש בהם קל ומהיר. כל מה שעליכם לעשות הוא להעתיק את כתובת ה-URL ולהדביק אותה בכלי החינמי לבדיקת קישורים כדי לראות אם הוא כבר סומן במסדי נתונים של איומים. תוכלו גם לבצע בדיקה באמצעות Google Safe Browsing ולדווח לרשויות על אתרים חשודים.

בעת ביצוע קניות באינטרנט, כרטיס האשראי נשאר הבחירה המובילה מבחינת אבטחה, בזכות מסגרות משפטיות חזקות, שמאפשרות ברוב המקרים לערער על חיובים או על "שגיאות חיוב". לעומת זאת, כרטיסי חיוב מאפשרים משיכה מיידית של כספים ישירות מחשבון הבנק; הם אמנם כוללים הגנות, אך תהליך ההחזר עשוי להיות איטי יותר, ובפועל, הכסף כבר אינו בחשבון בעת שהבנק חוקר את התלונה."

בנוסף, השתמשו בארנקים דיגיטליים (Apple Pay, ‏Google Pay, ‏PayPal) ובמספרי כרטיסים וירטואליים. שירותים אלה שולחים אל בית העסק קוד מוצפן חד-פעמי במקום מספר כרטיס בן 16 ספרות. כך מובטח שגם אם אתר האינטרנט יסבול מפרצת נתונים בהמשך, האקרים יקבלו רק אסימון חסר ערך שתוקפו פג, אך לא את הנתונים הפיננסיים הקבועים שלכם. צעדים אלה מהווים פתרונות נהדרים לצמצום ההשפעה של פרצות נתונים על בתי עסק. לבסוף, היזהרו מפעולות סמישינג, שמסתמכות על היכולת שלהן להערים עליכם ולגרום לכם לעקוף את ההגנות הללו ולמסור את הפרטים שלכם ישירות.

ריחוף עם סמן העכבר מעל קישור הוא אחת הדרכים הפשוטות והיעילות ביותר לחשוף ניסיון דיוג לפני שהוא מתחיל. ריחוף עם הסמן מעל מילה או לחצן מקושרים מבלי ללחוץ עליהם יגרום לדפדפן לחשוף את כתובת ה-URL האמיתית של היעד בפינה התחתונה של החלון. אם בחלון הקופץ מוצגת מחרוזת תווים אקראיים או דומיין שבו שם המותג מאוית באופן שגוי (כגון micros0ft.com במקום microsoft.com), האתר כמעט בוודאות משתמש בתרמית התחזות לדומיין כדי לגנוב את פרטי הכניסה שלכם.

כתובות URL מקוצרות עלולות להוות סיכון ייחודי, מכיוון שהן מסתירות באופן מכוון את היעד הסופי, מה שהופך את "קריאת" הקישור הזה על ידי ריחוף מעליו לבלתי אפשרית. במקרים כאלה או בכל מקרה שבו מתעורר חשד, השתמשו במרחיב כתובות URL, בבודק בטיחות הקישורים של Avast או ב-Google Transparency Report. כלים אלה פועלים בתור "שחפ"צ" דיגיטלי, מבקרים באתר במקומכם כדי לבצע סריקה לאיתור תוכנות זדוניות, קובצי Script לצורכי דיוג והפניות מטעות, לפני שהדפדפן נחשף לאיום. אם תרצו גם לקבל מידע אודות האופן שבו תוכלו לזהות אפליקציות מזויפות, ייתכן שמשאב נוסף זה יעזור לכם.

לא, פרוטוקול HTTPS‏ (Hypertext Transfer Protocol Secure) אינו מבטיח את המהימנות או החוקיות של אתר אינטרנט; הוא רק מבטיח שה"צינור" בין הדפדפן לשרת מוצפן. אמנם דבר זה מונע מצדדים שלישיים "לצותת" למידע שלכם, אך לא מצביע על הכוונות של מי שנמצא בצד השני.

רוב אתרי הדיוג והתרמיות המודרניים משתמשים היום בהצפנת HTTPS ומציגים את סמל המנעול כדי ליצור תחושת ביטחון כוזבת. אתר יכול להיות מוצפן לחלוטין ובו-זמנית להוות שיבוט מזויף שנועד לגנוב את פרטי כרטיס האשראי שלכם. כדי לבצע אימות יעיל של אתר אינטרנט, עליכם להביט אל מעבר לסמל המנעול ולבדוק אם אתם מזהים "שגיאות כתיב סמויות" בכתובות ה-URL (כגון g00gle.com), פרטי יצירת קשר שאפשר לאמת ומוניטין ותיק של הדומיין. בנוסף, עדיין תצטרכו להפעיל כלי אנטי-וירוס מהימן, כגון Avast One.

אזהרות "אתר לא בטוח" בדפדפן הן מנגנון התרעה דיגיטלי של הדפדפן שנועד להתריע בפניכם על כך שאתר אינטרנט סומן בשל התנהגות מסוכנת או בעיות באבטחה הטכנית. החמורה ביותר היא אזהרת "מסך אדום" (עם סימון "Deceptive site ahead" או "Dangerous site"), שמופעלת על ידי שירותים כגון Google Safe Browsing או Microsoft SmartScreen. פירוש הדבר שהאתר זוהה באופן פעיל ככזה שמארח תוכנה זדונית, קובצי Script לצורכי דיוג שנועדו לגנוב סיסמאות או מלכודות הנדסה חברתית. אזהרות אלה הפכו להרבה יותר מתוחכמות ולעתים קרובות הן מסמנות דפי דיוג "שמבוססים על בינה מלאכותית" או תוספים זדוניים לדפדפן שמנסים לחטוף את ההפעלה שלכם.

אם מוצגת התרעה מסוג "Not Secure" (לא מאובטח) או ההודעה "Your connection is not private" (החיבור אינו פרטי), פירוש הדבר שהאתר משתמש בהצפנת HTTP מיושנת במקום בהצפנת HTTPS או שאישור האבטחה שלו אינו תקף או לא תקין. דפדפנים, כגון Chrome ו-Safari, עברו לתקן "HTTPS-First", שבו אפילו אתרים ציבוריים פשוטים עם הצפנת HTTP מפעילים אזהרה שאפשר לעקוף. למרות שהדבר אינו תמיד מצביע על כך שמדובר באתר "זדוני", המשמעות היא שכל מידע שתזינו, כגון פרטי התחברות או מספר כרטיס אשראי, עלול להיות מיורט בקלות על ידי האקרים באותה רשת.

אם הזנתם מידע באתר תרמית, נתקו את הקשר בין התוקף לחשבונות שלכם. שנו מיד את הסיסמה בגרסה החוקית של אתר האינטרנט, ואם אתם משתמשים באותה סיסמה גם לאתרים אחרים, במיוחד לחשבון דוא"ל או חשבונות בנקאות מקוונת, עדכנו גם את החשבונות האלה. הפעילו מיד פתרון של אימות דו-גורמי (2FA).

אם שיתפתם פרטים פיננסיים, כגון מספר כרטיס אשראי או מספר אבטחה (CVV), השתמשו באפליקציה של הבנק כדי להקפיא את הכרטיס, פנו אל מחלקת ההונאות של הבנק כדי לדווח על הפרצה ובקשו כרטיס חדש.

אם שיתפתם מידע אישי רגיש במיוחד, כגון מספר תעודת זהות או כתובת מגורים, הקפיאו את מסגרת האשראי בלשכות האשראי המרכזיות כדי למנוע מרמאים לפתוח חשבונות חדשים על שמכם. בנוסף, בצעו סריקה מקיפה כדי לזהות תוכנות זדוניות במכשיר באמצעות כלי אנטי-וירוס חינמי מהימן, כדי לוודא שלא הותקנו כלים לרישום הקשות או קובצי Script לביצוע מעקב כשביקרתם באתר.

לבסוף, המשיכו להשגיח בקפידה על תיבת הדואר הנכנס ועל דפי החשבון במהלך השבועות הקרובים, שכן המידע שלכם עשוי להימכר לרמאים אחרים, מה שעלול להוביל לגידול בביצוע ניסיונות דיוג ממוקדים.

אמצו גישה של אפס אמון בקישורים. רחפו תמיד מעל כתובות URL כדי לגלות את היעד האמיתי שלהן והשתמשו בכלים לבדיקת קישורים בסביבת ארגז חול כדי לסרוק כתובות חשודות לפני לחיצה עליהן. תוכלו גם להתגונן באמצעות כלי להסרת וירוסים, כגון Avast One.

בעת הגדרת התחברות לאתר, כדאי ליישם אימות רב-גורמי (MFA) שעמיד בפני ניסיונות דיוג, כגון מפתחות חומרה מסוג FIDO2 או מפתחות גישה ביומטריים (FaceID/TouchID). בניגוד לקודי SMS מסורתיים, שאפשר ליירט או לרמות, פרטי הזיהוי הפיזיים והביומטריים הללו מאומתים רק מול הדומיין האמיתי הרשום.