עולם אבטחת המידע והסייבר מלא במושגים ומילים שלא כולם מבינים - במיוחד אלה שאין להם רקע בתחום. אחת המילים הנפוצות שלצערנו אנו שומעים עליה כמעט מידי יום היא "פישינג" או "דיוג". לא נרחיב עליה כאן כי כבר כתבנו מאמר מפורט על שיטת ההתקפה הזו ואיך נזהרים ממנה. במאמר זה נתמקד בנגזרת שלה שנקראת "Spear Phishing" (ספיר פישינג) או בעברית "דיוג ממוקד".

אם במתקפות פישינג, התוקפים מנסים לפגוע או לאסוף פרטים אישיים רגישים ופרטי אשראי של כמה שיותר אנשים, אז במתקפת דיוג ממוקד הם ינסו לפגוע בארגון, בחברה או באנשים ספציפיים. בדיוק כמו בתחום הדייג, אפשר לזרוק רשת או להטיל חכה ולתפוס דגים אקראיים או להשתמש בצלצל (חנית) כדי לתפוס דג ספציפי.

כדי להשיג את מבוקשם, התוקפים פותחים פרופילים מזויפים ברשתות החברתיות ומתחזים לאנשים בעלי אותם תחומי עניין או לבכירים מאותו ארגון, או לעובדים מארגונים אחרים שאיתם יש לחברה שבה עובד הקורבן קשרים עסקיים.

לפני שהם פונים אל הקורבנות הם יבצעו מחקר מקיף ויאספו מידע מפוסטים, תמונות וסרטונים שהקורבנות פרסמו בפרופילים האישיים שלהם בפייסבוק (Facebook), לינקדאין (LinkedIn), אינסטגרם (Instagram) ומשאר הרשתות החברתיות, וישתמשו במידע הזה כדי לקנות את אמונם.

לאחר מכן, הם ינסו להוציא מהם מידע, לסחוט כספים או לגרום להם לבצע פעולה כלשהי כמו ללחוץ על קישור זדוני, לפתוח קובץ שהם שלחו ואפילו להעביר להם כספים.

להבדיל ממתקפות סמישינג שבה התוקפים שולחים לקורבנות הודעות SMS, וממתקפות וישינג שבהם הם מתקשרים לקורבנות, במתקפות דיוג ממוקד, התוקפים יכולים לפנות אל הקורבנות בכל מיני דרכים: החל מהודעות ברשתות החברתיות ועד למיילים, שיחות טלפון ואפילו שיחות וידאו, כדי לגרום לקורבנות להאמין שמדובר באדם או בגורם אמין.

כיצד להימנע ממתקפות דיוג ממוקד

אם אתם רוצים להגן על עצמכם ועל החברה או הארגון שבהם אתם עובדים מפני מתקפות מסוג זה, אנו ממליצים לא לפרסם יותר מידי מידע אישי שקשור לתחביבים או תחומי העניין שלכם, מקומות שהייתם בהם והתפקיד שלכם בחברה. ככל שתפרסמו יותר מידע ברשתות החברתיות, כך יהיה לתוקפים קל יותר לבנות מתקפה המותאמת בדיוק אליכם ולהפיל אתכם בפח.

קיבלתם שיחת טלפון, מייל או שלחו לכם הודעה פרטית באחת מהרשתות החברתיות ? אל תבטחו ישר בכל אדם או גורם שפונה אליכם, קודם בדקו היטב מי זה והאם מישהו מהעבודה, מהחברים או מהמשפחה שלכם מכיר אותם. בנוסף, לעולם אל תמסרו פרטים אישיים ורגישים לאנשים זרים שהכרתם ברשת. 

מקרה מפורסם מאוד של דיוג ממוקד התרחש בישראל בשנת 2020, אז קבוצת האקרים יצרו פרופיליים פיקטיביים בלינקדאין והתחזו למנהלים ובכירים במחלקות משאבי אנוש בחברות בינלאומיות מוכרות. הם יצרו קשר עם עובדים מתעשיות ביטחוניות בישראל וניסו לפתות אותם עם הצעות עבודה שונות, במטרה להחדיר נוזקה למחשבים של אותם עובדים שתאפשר להם לחדור לתוך הרשתות של החברה ולאסוף מידע ביטחוני רגיש.