הקוד החד-פעמי: המנעול האחרון שמנסים לקחת מכם

איך זה מתחיל

בדרך כלל הקוד מגיע בלי שביקשתם אותו, או בדיוק בזמן ששיחה או הודעה מבקשת אותו. מישהו, שמציג את עצמו כנציג של הבנק, של חברה, או אפילו כקונה או מוכר, מסביר שיגיע אליכם קוד ושצריך אותו כדי להמשיך.

איך זה עובד

התוקף יזם פעולה כלשהי בחשבון שלכם, למשל ניסיון כניסה או העברה, והמערכת שלחה לכם קוד אישור. עכשיו הוא צריך את הקוד הזה. הוא ימציא סיפור: הקוד נשלח אליכם בטעות, הקוד נחוץ כדי לבטל חיוב, הקוד מאשר שאתם הבעלים. ברגע שתקריאו לו את הקוד, הוא משלים את הפעולה שהוא יזם, והיא נראית למערכת כפעולה שאתם אישרתם.

מה הם רוצים

התוקף רוצה את הקוד החד-פעמי, ורק אותו, כי כל השאר כבר בידיו. הקוד הוא המפתח שמפעיל את הגניבה. הוא לא רוצה שתחשבו על זה, ולכן הוא ידחק בכם וינסה להשאיר אתכם על הקו עד שתמסרו.

משפטים נפוצים

• שלחנו לך עכשיו קוד, תקריא לי אותו
• הקוד נשלח אליך בטעות, תחזיר לי אותו
• צריך את הקוד כדי לאמת שאתה הבעלים
• הקוד נחוץ כדי לבטל את החיוב
• תישאר על הקו עד שיגיע הקוד

סימני אזהרה

• קוד אימות שמגיע בלי שיזמתם פעולה
• מישהו מבקש שתקריאו או תעבירו לו קוד, מכל סיבה שהיא
• השיחה לוחצת עליכם להקריא את הקוד מהר
• הסבר שהקוד נשלח בטעות וצריך להחזיר אותו
• בקשה להישאר על הקו עד שהקוד יגיע

מה לעשות עכשיו

• אל תקריאו ואל תעבירו את הקוד לאף אחד, גם לא למישהו שנשמע רשמי
• נתקו את השיחה. אף שירות אמיתי לא יבקש מכם להקריא קוד אימות בטלפון
• קראו את ההודעה עם הקוד עד הסוף, היא בדרך כלל מסבירה איזו פעולה הקוד מאשר
• אם קיבלתם קוד שלא ביקשתם, ייתכן שמישהו מנסה להיכנס לחשבון. החליפו סיסמה מיד
• אם כבר מסרתם קוד, פנו מיד לשירות הרלוונטי כדי לעצור את הפעולה ולאבטח את החשבון

דוגמה למצב אמיתי

יוסי מקבל שיחה ממישהו שמציג את עצמו כנציג שירות. תוך כדי השיחה מגיע ליוסי מסרון עם קוד בן שש ספרות. הנציג אומר: שלחנו לך עכשיו קוד אימות, תקריא לי אותו כדי שנוכל להמשיך בטיפול. יוסי מקריא. מה שהוא לא יודע הוא שהקוד הזה אישר כניסה לחשבון שלו. השיחה מסתיימת בנימוס, ורק אחר כך יוסי מבין שמישהו נכנס לחשבון שלו בדיוק באותו רגע.

איך להתגונן

• התייחסו לקוד חד-פעמי כמו לסיסמה: הוא פרטי לחלוטין ולא נמסר לאף אחד
• קראו תמיד את תוכן ההודעה. הקוד מגיע עם הסבר מה הוא מאשר
• הפעילו אימות דו-שלבי בשירותים החשובים, כדי שקוד לבד לא יספיק לתוקף
• זכרו: ארגון אמיתי שולח לכם קוד כדי שאתם תזינו אותו במסך, לא כדי שתקריאו אותו לאדם
• אם אתם לא בטוחים, נתקו והתקשרו לשירות במספר הרשמי שלו

הרחבה

הרבה שירותים, מהבנק ועד אפליקציות, שולחים קוד חד-פעמי כדי לאשר פעולה: כניסה לחשבון, העברת כסף, שינוי פרטים. הקוד נשלח דווקא אליכם בדיוק כדי שרק אתם תוכלו לאשר. זה הופך אותו למטרה. בהרבה הונאות, התוקף כבר השיג את שאר הפרטים, ונשאר לו רק החלק האחד שהוא לא יכול להשיג לבד: הקוד שהמערכת שלחה לטלפון שלכם. כל מה שהוא צריך זה שתמסרו לו אותו, ולכן הוא ימציא סיבה משכנעת לבקש.