איך פורצים לפייסבוק בעזרת קישור שנראה תמים

לקוחה שלי קיבלה אימייל שהוביל לניסיון להשתלט על חשבון הפייסבוק שלה. כשבדקתי את המסלול, ראיתי מהלך שנבנה בכמה שלבים: קישור שמוביל לשירות מוכר, טופס שמציג כתובת של פייסבוק, ובהמשך עמוד מתחזה שמבקש פרטים וסיסמה.

מה שמשך את תשומת הלב שלי היה האופן שבו כל שלב הכין את הקרקע לשלב הבא. התוקפים בנו תחושת אמון בהדרגה, עד שבקשת הסיסמה נראתה כמו המשך של תהליך שכבר התחיל.

התחנה הראשונה: שירות מוכר של גוגל

התחנה הראשונה הייתה בשירות של גוגל. מבחינת מי שמקבל את המייל, זה יכול להרגיש מרגיע: השם מוכר, הכתובת מוכרת, וקשה יותר לדמיין שמשם מתחיל ניסיון הונאה.

אבל תוכן שנמצא בשירות של גוגל יכול להיווצר בידי משתמשים אחרים. עצם העובדה שהקישור מוביל לשירות מוכר אינה אישור לזהות יוצר הטופס או לאמינות הבקשות שמופיעות בו. במקרה הזה, התחנה המוכרת הייתה חלק מהדרך לעמוד המתחזה.

הכיתוב של הקישור מסתיר יעד אחר

בתוך הטופס הופיע התרגיל הבא: טקסט שנראה כמו כתובת של פייסבוק. מי שמסתכל על הכיתוב עשוי לחשוב שהוא עומד לעבור לאתר הרשמי. אלא שהיעד האמיתי של הקישור היה כתובת אחרת.

זו נקודה שאני מקפיד להסביר: הכיתוב של הקישור והכתובת שאליה הוא מוביל הם שני דברים שונים. אפשר להציג על המסך מילים שנראות כמו כתובת רשמית, ובפועל להפנות את הלחיצה לאתר אחר לגמרי.

במחשב אפשר להציב את הסמן מעל הקישור, בלי ללחוץ, ולבדוק את כתובת היעד שמציג הדפדפן. פער בין הכיתוב לכתובת הוא סימן אזהרה. גם גוגל ממליצה לבדוק שהכתובת תואמת לתיאור הקישור בהנחיות שלה לזיהוי פישינג.

עמוד שנראה כמו פייסבוק, בכתובת אחרת

בהמשך המסלול הופיע עמוד בכתובת:

account-manage-settings.vercel.app/required

העמוד הציג מיתוג של פייסבוק ונראה כמו חלק מתהליך רשמי. גם האייקון הקטן בדפדפן תרם למראה המוכר. בשלב הזה, מי שכבר עבר דרך גוגל וראה כיתוב של פייסבוק עשוי להמשיך בלי להתעכב על הכתובת החדשה.

מבחינתי, הכתובת הייתה סימן ברור לעצור ולבדוק. זה אינו הדומיין של פייסבוק. המילים שמרמזות על ניהול חשבון, הלוגו והעיצוב אינם מאמתים קשר ל־Meta. קל להתרכז בטופס שבמרכז המסך ולהחמיץ דווקא את הכתובת שמופיעה מעליו.

הפרטים האישיים ובקשת הסיסמה

מכאן התחיל תהליך של בקשת מידע. המשתמש התבקש למלא פרטים, להתקדם בין השלבים, ובסוף הגיעה גם הדרישה להזין סיסמה.

בעיניי, הסדר הזה משמעותי. כשכבר השקענו זמן ומילאנו חלק מהטופס, קל יותר להמשיך לשדה הבא. בקשת הסיסמה מגיעה בתוך רצף שנראה מסודר, וכך היא עלולה לעורר פחות חשד.

הזנת הסיסמה בעמוד מתחזה עלולה למסור אותה למפעילי ההונאה. הם יכולים להשתמש בה כדי לנסות להיכנס לחשבון. הצלחת ההשתלטות תלויה גם בהגנות הקיימות, ובהן אימות דו־שלבי. לכן חשוב להגן גם על קודי האימות ועל אישורי הכניסה, ולא למסור אותם בעקבות בקשה בהודעה חשודה.

זה מה שהופך את המקרה הזה למלמד: כל פרט שנועד להרגיע את המשתמש הופיע בזמן המתאים. גוגל בתחילת הדרך, כיתוב של פייסבוק בהמשך, מיתוג מוכר בעמוד הבא, ורק לאחר מכן הדרישה למידע הרגיש. כשמסתכלים על כל השלבים יחד, רואים כיצד נבנתה ההטעיה.

איך אני ממליץ לפעול במקרה כזה

קיבלתם הודעה דומה? אפשר להשתמש בכלי שלנו לבדיקת הודעות חשודות לפני שפותחים קישור או מוסרים פרטים. ההמלצה שלי למי שמקבל הודעה כזאת היא לעצור ולפתוח את פייסבוק באופן עצמאי, דרך האפליקציה או בהקלדת הכתובת בדפדפן. משם אפשר לבדוק התראות ואת ההודעות שנשלחו מטעם השירות, במקום להסתמך על המסלול שהמייל מציע. גם Meta ממליצה לאמת הודעות חשודות דרך הגדרות החשבון ולהפעיל אימות דו־שלבי.

אם כבר הזנתם סיסמה בעמוד מתחזה, שנו אותה מיד דרך השירות הרשמי, בדקו אם יש חיבורים ושינויים שאינכם מזהים, ואבטחו גם את כתובת האימייל המקושרת לחשבון. אם השתמשתם באותה סיסמה בשירותים נוספים, החליפו אותה גם בהם.

אם מסרתם פרטים בעקבות הודעה חשודה או איבדתם גישה לחשבון, אפשר לפנות אליי לקבלת תמיכה טכנית ברשתות החברתיות.

המקרה הזה ממחיש עד כמה חשוב לבדוק למי אנחנו מוסרים את הפרטים שלנו, גם כשהדרך לשם נראית מוכרת. לפני שמזינים סיסמה, כדאי לעצור לרגע ולוודא שהגענו לשירות שאליו התכוונו להגיע.