אוק 12
בקצרה: קוד QR הוא רק אריזה לכתובת אינטרנט, ואי אפשר לקרוא אותו בעין. תוקפים מדביקים מדבקות על מדחנים, תפריטים וחשבונות תשלום, והקורבן מגיע לעמוד שנראה אמיתי ומקליד שם פרטי אשראי. הכלל היחיד שעובד הוא לקרוא את הכתובת שמופיעה בתצוגה המקדימה לפני שפותחים. אנחנו סורקים קודים כמה פעמים ביום בלי לחשוב. בתפריט במסעדה, בחניון, בטופס בקופת …
אוק 01
בקצרה: תוסף דפדפן מקבל לרוב הרשאה לקרוא ולשנות את כל התוכן בכל האתרים שאתם פותחים, כולל שדה הסיסמה ודף הבנק. תוסף יכול להתחלף בעלים או להתעדכן לקוד זדוני בלי שתשימו לב. מחקו כל תוסף שאינכם משתמשים בו השבוע, ובדקו את ההרשאות של מה שנשאר. ההנחה הרווחת היא שתוסף דפדפן הוא צעצוע קטן. כלי שמסדר לשוניות, …
ספט 20
בקצרה: תיקיית סנכרון לענן אינה גיבוי. כשקובץ נפגע או מוצפן, השינוי מסתנכרן תוך שניות גם לעותק בענן. גיבוי אמיתי דורש עותק נוסף שמנותק פיזית או לוגית מהמחשב, וגם בדיקה שהשחזור ממנו באמת עובד. שאלו מישהו אם יש לו גיבוי והתשובה תהיה שהכול בדרייב. זה מרגיש בטוח, כי הקבצים באמת נמצאים בשני מקומות. הבעיה היא שהם …
ספט 08
בקצרה: עדכוני תוכנה הם לא הצקה, אלא סתימת חורי אבטחה שכבר ידועים לתוקפים. רוב הפריצות מנצלות פרצות ישנות שכבר תוקנו, נגד מכשירים שלא עודכנו. דחייה של עדכון היא הזמנה פתוחה, ולוקח דקות לסגור אותה. כולם מכירים את החלון הקטן שמבקש לעדכן, ואת האצבע שלוחצת מיד על "אחר כך". זה נראה תמים. בפועל, כל יום שאתם …
אוג 30
בקצרה: רשת ויי-פיי ציבורית פתוחה מאפשרת לתוקף באותו מקום לראות חלק מהתעבורה שלכם או להקים רשת מזויפת בשם דומה. אל תבצעו פעולות בנקאיות ברשת פתוחה, השתמשו ב-VPN, וודאו שהאתר מוצפן. כמה כללים פשוטים הופכים את הסיכון לזניח. הרשת נקראת "Cafe_Free_WiFi" ואין עליה סיסמה. מתחברים תוך שנייה, וזה בדיוק מה שהופך אותה לנוחה גם לתוקף. רשת …
אוג 18
בקצרה: המוח האנושי זוכר מעט סיסמאות, ולכן אנשים חוזרים על אותה סיסמה בעשרות אתרים. דליפה אחת מספיקה כדי לחשוף את כל החשבונות. מנהל סיסמאות מייצר וזוכר סיסמה ייחודית וארוכה לכל שירות, ואתם זוכרים סיסמה אחת בלבד. ההנחה הרווחת אומרת שאם המצאתם סיסמה חזקה ואתם זוכרים אותה מבלי לרשום, אתם מוגנים. ההנחה הזו שגויה. הבעיה איננה …
אוג 06
בקצרה: סיסמה אחת חזקה שאתם זוכרים בעל פה נראית כמו פתרון, אבל היא הופכת לכשל ברגע שאתם חוזרים עליה בכמה אתרים. מנהל סיסמאות מייצר צירוף אקראי שונה לכל שירות ושומר את כולם מוצפנים, כך שפריצה לאתר אחד לא פותחת לכם את כל החשבונות האחרים. רובנו בנינו סיסמה אחת "חכמה", עם אות גדולה, מספר וסימן, והרגשנו …
יול 30
בקצרה: אימות דו-שלבי דרך SMS נחשב לברירת מחדל בטוחה, אבל הקוד שמגיע כהודעת טקסט הוא בדיוק הרכיב שתוקף מנוסה משיג בקלות. אפליקציית מזהים או מפתח פיזי סוגרים את הפער שה-SMS משאיר פתוח. ההנחה הרווחת פשוטה: ברגע שהפעלתם קוד חד-פעמי שמגיע בהודעה לטלפון, החשבון נעול. הסיסמה כבר לא מספיקה, צריך גם את הטלפון שלכם, וזה מרגיש …
יול 20
בקצרה: סיסמה חזקה עוצרת ניחוש, אבל היא לא עוצרת דליפה שכבר קרתה או סשן גנוב. אימות דו-שלבי מוסיף שכבה שנייה שהתוקף לא מחזיק גם אחרי שהסיסמה שלכם דלפה. אפליקציית אימות או מפתח פיזי חזקים בהרבה מקוד SMS. הרוב מרגישים מוגנים ברגע שהם בונים סיסמה ארוכה עם סימנים ומספרים. ההיגיון נשמע נכון: ככל שהסיסמה מורכבת יותר, …
יול 16
מגיע מייל מהבנק, עם הלוגו הנכון והשם שלכם, ומבקש לאמת פרטים בדחיפות. הכל נראה תקין, וזו בדיוק המטרה. פישינג הוא ניסיון לגנוב פרטים על ידי התחזות לגורם מוכר, והוא עובד כי הוא מנצל לחץ ואמון, לא פרצת אבטחה במחשב. לכן גם אנשים זהירים נופלים בו כשהם ממהרים. הסימנים שחושפים מייל מתחזה סימן מה זה מסגיר …