אבטחת חשבונות דיגיטליים: אימות דו-שלבי ומנהל סיסמאות בלי כאב ראש

רובנו מנהלים היום עשרות חשבונות דיגיטליים: דואר אלקטרוני, רשתות חברתיות, בנק, אתרי קניות, אפליקציות עבודה, שירותי ענן ועוד. כל אחד מהם הוא דלת, ואם אחת הדלתות האלה נפרצת, הנזק יכול להתגלגל במהירות. מייל שנפרץ משמש לאיפוס סיסמאות של חשבונות אחרים, חשבון רשת חברתית שנגנב משמש להונאת חברים, ועסק שאיבד גישה לחשבונות שלו עלול לעמוד מול לקוחות מאוכזבים. החדשות הטובות הן ששני כלים פשוטים, אימות דו-שלבי ומנהל סיסמאות, יכולים לחסום את רוב ניסיונות הפריצה הנפוצים.

למה סיסמה לבדה כבר לא מספיקה

הבעיה המרכזית עם סיסמאות היא שאנחנו בני אדם. קשה לזכור עשרות סיסמאות שונות ומורכבות, ולכן רבים משתמשים באותה סיסמה, או בווריאציות קלות שלה, בכמה אתרים. כשאחד האתרים האלה נפרץ ופרטי המשתמשים דולפים, תוקפים מנסים את אותם פרטים באתרים אחרים, ולעיתים קרובות מצליחים.

בנוסף, סיסמאות פשוטות, כמו שם בן משפחה, תאריך לידה או רצף מספרים, ניתנות לניחוש בקלות. ותוקפים משתמשים גם בהודעות מתחזות כדי לגרום לנו להקליד את הסיסמה באתר מזויף.

לכן ההמלצה של מומחי אבטחה היא לבנות הגנה בשכבות. סיסמה חזקה וייחודית היא השכבה הראשונה, ואימות נוסף הוא השכבה השנייה.

מה זה אימות דו-שלבי

אימות דו-שלבי, או אימות רב-שלבי, דורש שתי הוכחות זהות שונות כדי להיכנס לחשבון. בדרך כלל זה משהו שאתם יודעים, כמו סיסמה, ומשהו שיש לכם, כמו הטלפון. גם אם מישהו השיג את הסיסמה שלכם, הוא לא יוכל להיכנס בלי הגורם השני.

יש כמה סוגים של אימות נוסף. הנפוץ הוא קוד שנשלח במסרון. הוא עדיף בהרבה על כלום, אבל נחשב לפחות בטוח, משום שיש שיטות להשתלט על מספר טלפון. אפליקציות אימות, שמייצרות קוד מתחלף כל כמה שניות, נחשבות לבטוחות יותר. ומפתחות אבטחה פיזיים, או מפתחות גישה שמבוססים על המכשיר, מספקים רמת הגנה גבוהה במיוחד.

רוב השירותים הגדולים, כמו דואר אלקטרוני, רשתות חברתיות ושירותי ענן, מאפשרים להפעיל אימות דו-שלבי בהגדרות האבטחה של החשבון. זה לוקח כמה דקות לכל חשבון.

מאיפה מתחילים: סדר עדיפויות

אין צורך להפעיל הכול ביום אחד. כדאי להתחיל מהחשבונות הקריטיים ביותר:

• תיבת הדואר האלקטרוני הראשית, שמשמשת לאיפוס כל השאר
• חשבונות בנק ותשלומים
• חשבון הענן שבו שמורים מסמכים ותמונות
• רשתות חברתיות, במיוחד עמודים עסקיים
• חשבונות ניהול של אתרים, דומיינים ושירותים עסקיים

בעת ההפעלה, רוב השירותים מציעים קודי גיבוי לשימוש חד-פעמי. חשוב מאוד לשמור אותם במקום בטוח, מודפסים או במנהל הסיסמאות, כדי שתוכלו להיכנס גם אם הטלפון אבד או הוחלף.

מי שמחליף מכשיר צריך לזכור להעביר את אפליקציית האימות למכשיר החדש לפני שמוחקים את הישן. זו אחת הסיבות הנפוצות לנעילה מחוץ לחשבונות.

מנהל סיסמאות: סוף לפתקים ולגיליונות

מנהל סיסמאות הוא תוכנה או אפליקציה ששומרת את כל הסיסמאות שלכם בכספת מוצפנת, ומאפשרת לכם לזכור רק סיסמה ראשית אחת חזקה. הוא יכול לייצר סיסמאות אקראיות וארוכות לכל אתר, למלא אותן אוטומטית, ולסנכרן ביניהן בין המחשב לטלפון.

היתרון הגדול הוא שאפשר סוף סוף להשתמש בסיסמה שונה ומורכבת בכל אתר, בלי לזכור אף אחת מהן. רבים מהמנהלים גם מתריעים כשסיסמה מופיעה בדליפה ידועה או כשמשתמשים באותה סיסמה בכמה מקומות.

יש מנהלי סיסמאות מובנים בדפדפנים ובמערכות ההפעלה, ויש אפליקציות ייעודיות, חלקן בתשלום. בבחירה כדאי לשים לב לאמינות החברה, לסנכרון בין המכשירים שלכם, לאפשרות שיתוף מאובטח עם בני משפחה או עובדים, ולאפשרות לייצא את המידע אם תרצו לעבור בעתיד.

סיסמה ראשית ומפתחות גישה

הסיסמה הראשית של מנהל הסיסמאות היא המפתח לכול, ולכן היא צריכה להיות חזקה במיוחד ולא לשמש בשום מקום אחר. שיטה טובה היא משפט סיסמה: כמה מילים אקראיות שקל לכם לזכור אבל קשה לנחש. ועל מנהל הסיסמאות עצמו חייבים להפעיל אימות דו-שלבי.

בשנים האחרונות מתפשטת גם טכנולוגיה של מפתחות גישה, שמאפשרת להתחבר לאתרים בלי סיסמה בכלל, באמצעות טביעת אצבע, זיהוי פנים או קוד המכשיר. כשהאפשרות קיימת, כדאי לשקול להשתמש בה, משום שהיא עמידה במיוחד בפני אתרים מתחזים.

הונאות ודיוג: השכבה האנושית

גם עם הכלים הטובים ביותר, תוקפים מנסים לעקוף את ההגנות דרכנו. הודעות שמתחזות לבנק, לחברת שליחויות, לרשות ממשלתית או אפילו לבן משפחה, ומבקשות ללחוץ על קישור, להקליד קוד או להעביר כסף, הן שיטה נפוצה מאוד.

כמה כללים פשוטים עוזרים: לא למסור לעולם קוד אימות שהגיע אליכם, גם לא למי שמציג את עצמו כנציג שירות. לא להיכנס לחשבונות דרך קישורים בהודעות, אלא ישירות דרך האפליקציה או כתובת שאתם מכירים. ולעצור ולבדוק כל בקשה דחופה שמגיעה בהפתעה, במיוחד אם היא כרוכה בכסף. מנהל סיסמאות עוזר גם כאן: אם הוא לא ממלא אוטומטית את הסיסמה, ייתכן שאתם באתר מזויף.

בעסק ובמשפחה

בעסק קטן, כדאי לקבוע מדיניות בסיסית: כל עובד עם חשבון משלו ולא חשבון משותף, אימות דו-שלבי בכל השירותים, ושיתוף סיסמאות רק דרך מנהל סיסמאות. כשעובד עוזב, יש לבטל את הגישות שלו ולהחליף סיסמאות רלוונטיות. ומומלץ לוודא שבעל העסק הוא המנהל הראשי של החשבונות הקריטיים, ולא ספק חיצוני או עובד לשעבר.

במשפחה, אפשר לעזור להורים מבוגרים ולילדים להפעיל אימות דו-שלבי ולהכיר את סימני ההונאה. שיחה קצרה ופשוטה יכולה למנוע הרבה עוגמת נפש. עסק שמנהל מידע רגיש של לקוחות כדאי שיתייעץ עם מומחה לאבטחת מידע כדי לבנות הגנה מותאמת.

לסיכום, אבטחת החשבונות הדיגיטליים לא חייבת להיות מסובכת. הפעלת אימות דו-שלבי בחשבונות החשובים, מעבר למנהל סיסמאות עם סיסמה ראשית חזקה, שמירת קודי גיבוי וערנות להודעות חשודות הם צעדים שלוקחים שעה או שעתיים, וחוסכים כאב ראש גדול בעתיד.