אם אתם מרגישים לאחרונה שכל הזמן מנסים לעקוץ אתכם – במייל, בסמס, בשיחות ממספרים לא מוכרים, באתרי קניות מזויפים, ברשתות החברתיות – אתם כנראה לא טועים. חברת הסייבר הישראלית BioCatch פרסמה לאחרונה דוח המסכם את המגמות המובילות בתחום ההונאות באירופה, המזרח התיכון ואפריקה, ומצאה כי ישנה עלייה מתמדת בכמות וברמת התחכום של ההונאות, ככל שהעולם הופך ליותר דיגיטלי.
מהדוח, המבוסס על נתונים של עשרות בנקים וגופים פיננסיים מובילים המשתפים פעולה במועצת חדשנות שהקימה BioCatch עם לקוחותיה, עולה כי ישנו מעבר של פושעי סייבר מתקיפת חברות וארגונים לתקיפת אנשים פרטיים באמצעות שלל שיטות התחזות ורמייה, כגון שימוש בטלפונים גנובים, פריצה לחשבונות באמצעות הודעות פישינג ועוד.
שיטת הונאה אשר צומחת במהירות היא הונאת RAT, השתלטות על חשבונות באמצעות כלי גישה מרחוק לגיטימיים (Remote access tools) כגון TeamViewer ,LogMeIn ואחרים, אשר הופכים בידי העבריינים לסוסים טרויאנים שלמערכות ההגנה הרגילות קשה לזהות.
בשיטה זו העבריינים משיגים באמצעות התחזות לבנק, משטרה, גורם ממשלתי וכדומה, אישור להתחבר מרחוק למחשבו של הקורבן, ומשם הם מבצעים השתלטות על חשבונות שמאפשרים להם לנצל אותם לרעה על ידי גניבה מהם. ב-75% אחוז מהונאות ה-RAT הקורבן מקבל שיחת טלפון ממתחזים שמבצעים כלפיו מניפולציות שונות. 85% מקורבנות התקיפה בשיטה זו הם קשישים ואוכלוסיות רגישות אחרות.
הונאות RAT הינן מאתגרות במיוחד, שכן לכלי האימות הרגילים קשה לזהות אותן שכן הם נעשות "ברשות" הקורבן ובאמצעות כלי עבודה לגיטימיים.
איך עובדת הונאת RAT?
"הנוכלים מתקשרים למישהו שהם יודעים שהוא לקוח של בנק מסוים (כי ראו, למשל, צ'ק שלו או את פרטי האשראי), אומרים לו שהם מחברת האינטרנט או הכבלים, והם מתקשרים כי ראו שהמחשב שלו לא בסדר, איטי. אין משתמש שלא חושב שהמחשב שלו איטי", מסביר גדי מזור, מנכ"ל BioCatch, "מבקשים ממנו להוריד תוכנה כדי שיוכלו לטפל בזה מרחוק. אומרים לו, 'זה ייקח כמה דקות, אתה יכול להכין לעצמך קפה בינתיים'.
"בזמן שהוא הולך לעשות קפה, הם פותחים את הדפדפן שלו, נכנסים לאתר הבנק, שהסיסמה שלו לרוב שמורה בדפדפן כבר, ועושים מה שהם רוצים. הרבה פעמים כדי שהמהלך לא ייראה חשוד, הם מעבירים בהתחלה סכום קטן לחשבון שלהם. נגיד, הם יוסיפו את החשבון החדש ויעבירו אליו 100 שקל. אף מערכת של בנק לא עושה בלגן מזה שפתאום מעבירים 100 שקל, מחכים 2 דקות, מעבירים 500 שקל. המחשב רואה שזה מישהו שכבר העברת לו כסף בעבר, אז זה לא נשמע נורא. מחכים עוד 2 דקות ואותה לוגיקה, ותוך כמה העברות אפשר לרוקן סכומים יפים".
"המדינות שבהן יש הכי הרבה הונאות הן כאלו שיש בהן העברות מיידיות מבנק לבנק. בארה"ב העברה לוקחת יום למשל, אז יש יותר זמן למערכת להבין שאולי קרה משהו לא בסדר ולבטל את העסקה. ברגע שיש העברה מידית, הכסף עובר ונעלם", אומר מזור.
לדברי מזור, התופעה הזאת קורית גם בארץ. "מערך הסייבר הוציא התראה לפני כמה חודשים בנוגע להונאות בקרב האוכלוסייה הרוסית, מאוקראינה או רוסיה. באנגליה מעל 50 אחוז מההונאות הן כאשר שמשכנעים את היוזר להעביר בעצמו את הכסף בדרכי מרמה, מה שנקרא הנדסה חברתית. במקרים כאלה הבנק אומר הרבה פעמים: 'מצטער, אבל אתה העברת את הכסף'. זה קורה גם הרבה מאוד בארץ".
כדי לזהות הונאות מסוג זה, פיתחה BioCatch את שיטת הביומטריה ההתנהגותית, אשר מנטרת לאורך זמן את הרגלי ההתנהגות הפיזיים והכוונה הקוגניטיבית של המשתמשים החוקיים, ויודעת להתריע על שינויים המעידים כי גורם זר אולי מתנהל בתוך החשבון שלהם.
"אנחנו נמצאים באתר ובאפליקציה של הבנק, ועוקבים לא אחרי מה שאת עושה, אלא איך את עושה את זה", מסביר מזור. "קצב ההקלדה שלך, איך את מזיזה את העכבר, איך מחזיקה את הטלפון, אם את עושה סוויפ גם עם אצבע ימין וגם עם אצבע שמאל. באופן הזה אנחנו יכולים לזהות שמישהו זר נמצא בחשבון הבנק שלכם".
כל הלקוחות שלהם הם בנקים, כולל בישראל. "אנחנו מוכרים ל-100 מתוך 500 הבנקים הגדולים בעולם, ועובדים ב-20 מדינות", אומר מזור.
מי בעיקר הקורבנות? האם אנשים מבוגרים?
"עד לפני שנתיים-שלוש אלו היו בעיקר אנשים מבוגרים, אבל עכשיו זה תופס את כולם. יש מחקר שאנחנו אבולוציונית בנויים להיות קורבנות של סקאם, כי אנחנו באופן כללי אוהבים לשתף פעולה. בנוסף, ככל שאתה יותר בטוח בעצמך ויותר משכיל, יש יותר סיכוי גבוה ליפול להונאה. מחקר בארה"ב מצא שלאנשים עם תואר ראשון ומעלה יש פי 2 יותר סיכוי להיות קורבנות של סקאם מאנשים שלא סיימו בית ספר תיכון, כי הם בטוחים בעצמם שלהם זה לא יכול לקרות.
"יש הרבה סוגים של הונאות - משכנעים אנשים להשקיע בדברים שלא קיימים, יש הצעות במרקט פלייס של פייסבוק, שהן יותר מדי טובות להיות אמיתיות. מציעים משהו כביכול ב-40 דולר שאמור לעלות 100 דולר, הוא לא באמת קיים והמון נופלים בזה".
איך אתה מציע להיזהר?
"שני כללים חשובים – לא לנדב מהצד שלכם שום אינפורמציה, ודאי לא הקוד הסודי, וגם אם הצד השני יודע עליך אינפורמציה מסוימת, לא לתת לו אינפורמציה נוספת. בנוסף, אם מישהו מתקשר אליכם ואומר שהוא מהבנק, אז תבקשו לחזור אליו ותתקשרו למספר הפורמלי של הבנק שמופיע באתר. בארה"ב למשל, קל לשיחה להיראות כאילו היא מהמספר של הבנק, לכן צריך שתתקשרו לשם בעצמכם".