בדקו את הפעולה שאתם מאשרים, ולא רק את מראה הקוד.
הודעה טוענת שעליכם לסרוק קוד QR כדי להצטרף לקבוצה פרטית או להשאיר את החשבון פעיל. במסך הבא מתבקשים לקשר מכשיר. אלה פעולות שונות. עצרו לפני האישור: גם מנגנון אמיתי לקישור לחשבון יכול לשמש למטרה לא ישרה.
הצפנה מקצה לקצה מגינה על הודעות בין מכשירי הקצה המשתתפים בתקשורת. היא אינה יכולה להחליט אם באמת התכוונתם להוסיף את המכשיר שמקבל אותן כעת. המדריך הזה מסביר כיצד להבדיל בין קישור לאתר, בקשה לקישור מכשיר וקוד לאימות איש קשר — ומה לבדוק אם כבר פעלתם.
שתי מלכודות שונות של קודי QR
אתר מזויף: הקוד פותח דף שמתחזה לשירות מוכר, ובו מתבקשים להזין סיסמה או מידע רגיש אחר. ועדת הסחר הפדרלית בארה״ב, FTC, מזהירה מפני קודי QR בהודעות לא צפויות. היא ממליצה לבדוק את היעד ולפנות לשולח כביכול בערוץ מוכר, במקום לפעול לפי ההודעה. סמליל מוכר אינו מוכיח מי מפעיל את הדף. הנחיות FTC בנוגע להונאות בקודי QR.
מכשיר מקושר לא רצוי: התוקף משכנע אתכם לחבר את המחשב שלו או מכשיר אחר לחשבון שלכם באפליקציית ההודעות. כך אפשר לנצל לרעה תכונה לגיטימית בלי לפצח את ההצפנה. Google Threat Intelligence תיעדה מתקפות קישור מכשירים ב־Signal שהתחזו להזמנות לקבוצות ולהודעות אבטחה. במתקפות שנצפו, קישור מוצלח אפשר להודעות עתידיות להגיע למכשיר בשליטת התוקף. מחקר Google על דיוג באמצעות קישור מכשירים.
ההבחנה חשובה. החלפת סיסמה אינה תחליף לבדיקת המכשירים המקושרים. מנגד, עצם הפניית המצלמה לקוד אינה הוכחה להשתלטות על החשבון. בררו איזה דף נפתח, איזה מידע מסרתם ואיזו פעולה אישרתם.
שלושה קודים דומים, שלוש מטרות שונות
| קוד או מסך | המטרה המיועדת | שאלה לפני שממשיכים |
|---|---|---|
| קוד QR של אתר | פתיחת כתובת | האם זה היעד שציפיתי לו באופן עצמאי? |
| קוד QR לקישור מכשיר | אישור גישה למכשיר נוסף | האם זה המכשיר שלי, והאם אני יזמתי את קישורו? |
| קוד QR לאימות איש קשר | השוואת פרטי זהות קריפטוגרפית | האם אני במסך אימות איש קשר ומשווה מול האדם הנכון? |
לדוגמה, Signal מתעדת תהליך ייעודי לקישור דרך הגדרות המכשירים המקושרים והמצלמה שבתוך האפליקציה. ההנחיות העדכניות שלה כוללות גם בחירה אם להעביר היסטוריית הודעות. זו אינה אותה משימה כמו בדיקת מספר הבטיחות של איש קשר. הנחיות Signal למכשירים מקושרים.
התיעוד של Signal בנושא מספרי בטיחות מתאר השוואת מספרים או סריקת קוד ה־QR לאימות של איש הקשר, רצוי במפגש פנים אל פנים. ההשוואה מסייעת לאמת את הזהות הקריפטוגרפית של השיחה; היא אינה הוראה להעניק למחשב חדש גישה לחשבונכם. היא אינה מוכיחה באופן עצמאי את זהותו של אדם בעולם האמיתי. פעלו לפי מטרת המסך בפועל, ולא לפי האופן שבו השולח מתאר אותו. ההסבר של Signal על מספרי בטיחות.
דוגמה מעשית: הזמנה שמשנה את משמעותה
דמיינו מצב בדיוני. מינה מקבלת הודעה שנראית כאילו נשלחה מעמית: ״קבוצת הפרויקט עברה. סרקי את זה כדי להצטרף מחדש״. הדף נראה מוקפד. הוא מבקש ממנה לפתוח את סורק קישור המכשירים באפליקציית ההודעות.
מינה מבחינה באי־התאמה: היא רצתה להצטרף לשיחה, לא לחבר מחשב נוסף. היא מבטלת, פותחת בעצמה את רשומת איש הקשר הרגילה ומבררת עם העמית בערוץ נפרד ומהימן. היא אינה משתמשת במספר הטלפון שסופק בדף החשוד.
הדוגמה ממחישה כלל החלטה שימושי: אם ההרשאה שהאפליקציה מבקשת רחבה יותר מהמשימה שהתכוונתם לבצע, או שונה ממנה, עצרו. חשבון שולח מוכר אינו מספיק, משום שאפשר להתחזות לחשבונות או לפרוץ אליהם. גם כתובת אתר שנראית מרגיעה אינה מסבירה כשלעצמה מדוע מכשיר לא צפוי זקוק לגישה.
רשימת בדיקה קצרה לפני אישור
- הגדירו את המשימה. האם אתם פותחים דף, מצטרפים לקבוצה, מאמתים איש קשר או מקשרים את המחשב שלכם?
- התחילו באופן עצמאי. לניהול החשבון, פתחו את האפליקציה המותקנת או יעד שאתם כבר מכירים, במקום לקבל הוראות מהודעה שלא ביקשתם.
- קראו את בקשת האפליקציה. התייחסו לקישור מכשיר, לשחזור חשבון ולהזנת פרטי כניסה כהחלטות נפרדות. בטלו בקשה שאינה תואמת את המשימה שלכם.
- זהו את המכשיר האחר. קשרו רק ציוד שהתכוונתם להשתמש בו ושנמצא בשליטתכם. שם ידידותי של מכשיר אינו הוכחת בעלות.
- השאירו סודות מחוץ לצ׳אטים. אל תשלחו סיסמאות, קודי הרשמה או מפתחות שחזור לאדם שטוען שהוא מסייע.
- השתמשו בתוכנה מעודכנת. עדכונים ואזהרות מובנות חשובים, אבל אינם הופכים בקשת אישור לא צפויה למהימנה.
ההנחיות של Signal למניעת דיוג ממליצות על אימות עצמאי, שמירת קודים בסוד וזהירות כלפי בקשות לא צפויות. הן גם מבחינות בין ההודעות הרשמיות שלה, המיועדות לצפייה בלבד, לבין מתחזה לתמיכה שמנהל שיחה. אלה פרטים ייחודיים ל־Signal, ולא טענות על מערך התמיכה של כל אפליקציית הודעות. הנחיות Signal בנושא דיוג והתחזות.
אם כבר סרקתם או אישרתם
פעלו בהתאם למה שקרה בפועל:
- רק פתחתם דף: סגרו אותו והפסיקו את האינטראקציה. בדקו אם הזנתם מידע, הורדתם משהו או אישרתם פעולה באפליקציה. אל תסיקו מהסריקה בלבד שהחשבון נפרץ או שהוא בטוח.
- הזנתם פרטי כניסה או שיתפתם קוד: השתמשו בהנחיות השחזור הרשמיות של השירות ממכשיר מהימן. החליפו סיסמאות שנחשפו ובדקו את הגישה לחשבון; טפלו בנפרד בסיסמאות שבהן השתמשתם גם במקומות אחרים.
- קישרתם מכשיר לא מוכר: פתחו את רשימת המכשירים או ההפעלות האמיתית באפליקציה והסירו את החיבור הלא רצוי. אל תניחו שמחיקת הודעת ההונאה מבטלת את הגישה.
- התקנתם תוכנה או הענקתם הרשאות חריגות: בדקו זאת בנפרד. ביטול הפעלה בחשבון אינו מסיר כשלעצמו תוכנה זדונית מהטלפון.
ב־Signal באופן ספציפי, הנחיות ההגנה ממליצות לבדוק את המכשירים המקושרים, להסיר רשומות לא מוכרות ולהסיר את כל המכשירים שברשימה במקרה של ספק. הוראות ביטול הקישור מתארות כיצד לבטל גישה של מכשיר דרך הטלפון הראשי. בשירותים אחרים ייתכנו אמצעי שליטה שונים. הנחיות Signal להגנה על החשבון, הוראות Signal לביטול קישור מכשירים.
ביטול גישה אינו יכול להשיב מידע שכבר הועתק למקום אחר. היקף החשיפה תלוי בשירות, בהרשאות שניתנו, בבחירה לגבי העברת היסטוריה ובמשך הגישה — אין כלל גורף שלפיו נחשפות ״כל השיחות״. אם ייתכן ששיחות רגישות נחשפו, הודיעו לאנשים המושפעים דרך ערוץ מהימן ופעלו לפי נוהל דיווח על אירועים, אם הוא חל עליכם.
מה לבדוק כשמעריכים את Livara או אפליקציית הודעות אחרת
שאלו כיצד מאשרים מכשירים חדשים, היכן מוצגות הפעלות פעילות, כיצד מבטלים גישה והאם ההיסטוריה מועברת בנפרד. עיינו בתיעוד העדכני של המוצר, במקום להניח שתווית הצפנה עונה על השאלות האלה. מאמר זה אינו קובע ש־Livara משתמשת בכניסה באמצעות QR או בתהליך מסוים לקישור מכשירים.
המסקנה המעשית פשוטה: בדקו את הפעולה שאתם מאשרים, ולא רק את מראה הקוד.
