כיצד שומרת Google על בטיחות הנתונים שלכם
מפריצות על ידי האקרים ופישינג ועד תוכנות זדוניות, פושעי סייבר משתמשים במגוון שיטות כדי לפרוץ לחשבונות של משתמשים. סטפאן מיקליץ וטאדק פייטראשק מ-Google מוודאים שהם לא יצליחו.
טאדק פייטראשק
עובד בסניף של החברה בציריך מאז 2006 ומנהל צוות גדול של מומחים. פייטראשק השלים את לימודי הדוקטורט שלו במדעי המחשב (CS) בשנת 2006 באוניברסיטת אלברט לודוויג בפרייבורג.
מר פייטראשק, אתה והצוות שלך דואגים לאבטחה של חשבונות משתמשים. איך אתם מונעים גישה מהאקרים?
טאדק פייטראשק, מהנדס תוכנה ראשי בתחום אבטחת חשבונות משתמשים: ראשית, חשוב שנוכל לזהות את התקיפה הראשונית. אנחנו משתמשים בלמעלה ממאה משתנים כדי לזהות פעילות חשודה. נניח שמדובר במישהו שחי בגרמניה, כמעט לעולם לא יוצא מגבולות המדינה ומישהו מנסה לגשת לחשבון שלו ממדינה אחרת – תרחיש כזה ידליק נורה אדומה.
סטפאן מיקליץ, מנהל הנדסה בצוות הפרטיות והאבטחה ב-Google: זו הסיבה לכך שאנחנו מציגים לכם לפעמים בקשה לאישור מספר הטלפון שסיפקתם לנו או להזנת פרט מידע אחר שרק אתם, כבעלי החשבון, יכולים לדעת.
לדעת טאדק פייטראשק (משמאל), פישינג הוא אחד האיומים המשמעותיים ביותר בתחום האבטחה באינטרנט.
באיזו תדירות מתרחשות תקיפות כאלה?
פייטראשק: מדי יום מתרחשות מאות אלפי תקיפות סייבר. הבעיה הגדולה ביותר שאנחנו ניצבים בפניה היא שברחבי האינטרנט ניתן למצוא אינספור רשימות של שמות משתמשים וסיסמאות שנגנבו מאתרים שנפרצו. מאחר שחלק מהמשתמשים שלנו מזינים את אותה סיסמה בחשבונות שונים, הרשימות הללו כוללות גם נתוני התחברות לחשבונות Google.
האם ניתן לומר שהרשימות האלה הן איום האבטחה הגדול ביותר?
פייטראשק: כן, בהחלט. הרשימות האלה ותקיפות פישינג קלאסיות. כל אחד, כמעט, נתקל בתופעה של אימייל שהגיע אליו מפושעי סייבר שניסו להשיג את הסיסמאות לחשבונות שלו. אנחנו עושים מה שניתן כדי להבטיח שהם לא יצליחו. אם אנחנו סבורים שאימייל הממוען אל תיבת הדואר הנכנס שלכם ב-Gmail נראה חשוד, אנחנו יכולים להוסיף לו אזהרה כדי שתשימו אליו לב. אנחנו יכולים גם לסנן אימיילים כאלה באופן אוטומטי כך שהם לא יגיעו בכלל לתיבה שלכם. התראות נוספות של דפדפן Chrome שלנו מוצגות אם ידוע שאתר שהמשתמש מנסה להגיע אליו הוא אתר פישינג.
מיקליץ: קיימים שני סוגים בסיסיים של פישינג. הסוג הראשון מתאפיין באימיילים שנשלחים בכמות גדולה על-ידי תוקפים שמנסים לאסוף כמה שיותר נתוני התחברות. הסוג השני מכונה spear phishing (פישינג-חנית), כאשר הפורץ ממקד את התקיפה לחשבון של אדם ספציפי. סוג זה כרוך בפעולות מורכבות למדי במשך מספר חודשים, שבמהלכם התוקף מנטר את דפוס חייו של הקורבן לקראת ביצוע מתקפה סופר-ממוקדת.
"אם אנחנו סבורים שאימייל הממוען אל תיבת הדואר הנכנס שלכם ב-Gmail נראה חשוד, אנחנו יכולים להוסיף לו אזהרה."
טאדק פייטראשק
איך מסייעת Google למשתמשים שלה למנוע מתקיפות כאלה להצליח?
פייטראשק: אחת מהדוגמאות היא [מערכת האימות הדו-שלבי] שלנו(https://g.co/2step){:target="_blank" rel="noopener noreferrer"}. משתמשים רבים מכירים את המערכת הזו מתהליך הכניסה אל חשבון הבנק שלהם באינטרנט. אם אנחנו רוצים להעביר כסף, למשל, ייתכן שהמערכת תציג דרישה הן להזנת סיסמה והן להזנת קוד שנשלח אלינו בהודעת טקסט. Google החלה להשתמש באימות דו-שלבי כבר בשנת 2009, מוקדם יותר ממרבית ספקי האימייל האחרים. בנוסף, משתמשי Google שרושמים במערכת את מספר הטלפון הנייד שלהם, נהנים באופן אוטומטי מרמה דומה של הגנה מפני ניסיונות התחברות שנראים למערכות שלנו חשודים.
מיקליץ: השיטה של אימות דו-שלבי היא טובה, אבל גורמים זדוניים יכולים לפענח גם קודים שנשלחים בהודעות טקסט. לדוגמה, פושע סייבר עשוי לפנות אל ספק שירותי הטלפון הנייד שלכם ולבקש שישלחו לו כרטיס SIM שני. אימות באמצעות אסימון אבטחה פיזי, כגון משדר Bluetooth או דיסק און קי, מאובטח אף יותר.
פייטראשק: אנחנו משתמשים במשאב זה כחלק מ[תוכנית ההגנה המתקדמת] שלנו(https://g.co/advancedprotection){:target="_blank" rel="noopener noreferrer"}.
במה מדובר?
פייטראשק: תוכנית ההגנה המתקדמת, שהושקה על-ידי Google בשנת 2017, מיועדת לאנשים שהנתונים שלהם חשופים לסיכון גבוה יותר לפריצה, כגון עיתונאים, מנכ"לים, מתנגדי משטר ופוליטיקאים.
מיקליץ: בנוסף למפתח האבטחה הפיזי, אנחנו מגבילים את הגישה של אפליקציות של צדדים שלישיים לנתונים על-ידי דרישת אימות זהות מהמשתמשים אם הם מאבדים את המפתח.
סטפאן מיקליץ, מנהל הנדסה, הוא האחראי לנושא הפרטיות והאבטחה הגלובליות ב-Google. הוא למד בחוג למדעי המחשב (CS) באוניברסיטה הטכנית של מינכן והחל את עבודתו בסניף של Google במינכן בשלהי שנת 2007.
נשמח לשמוע על תקיפת סייבר חמורה שאירעה, ולדעת איך Google הגיבה.
פייטראשק: אחת מהתקיפות החמורות אירעה בתחילת שנת 2017. האקרים פיתחו תוכנה זדונית במטרה להשיג גישה אל חשבונות Google של הקורבנות ולשלוח אימיילים מזויפים אל אנשי הקשר של הקורבנות. באימיילים האלה, הנמענים התבקשו לאשר גישה למסמך Google מזויף. הנמענים שאישרו העניקו גישה – שלא ביודעין – לתוכנה הזדונית. בעקבות זאת, אותם אימיילים מזויפים נשלחו אוטומטית לאנשי הקשר של הנמענים עצמם. התפשטות הווירוס הייתה מהירה. יש לנו תוכניות מגירה בדיוק למצבים כאלה.
מיקליץ: במקרה הספציפי הזה, למשל, חסמנו את הפצת האימיילים האלה ב-Gmail, ביטלנו את אפשרות הגישה שניתנה לתוכנה ואבטחנו את החשבונות. מיותר לומר שגם הוספנו אמצעי הגנה שיטתיים כדי לצמצם את הסיכון לתקיפות דומות בעתיד. חשבונות Google מוּעדים לתקיפות באופן קבוע, והמערכות האוטומטיות שלנו מספקות את ההגנה היעילה ביותר. לצורך כך אנחנו זקוקים, כמובן, לאפשרות להגיע אל המשתמשים שלנו באמצעים נוספים, פרט לחשבון Google שלהם. למשל באמצעות כתובת אימייל נוספת או מספר טלפון נייד.
"למעשה, בדרך כלל מספיק לשמור על מספר כללים בסיסיים."
סטפן מיקליץ
עד כמה חשוב נושא האבטחה למשתמש הממוצע?
פייטראשק: אנשים רבים חושבים שהנושא חשוב מאוד, אבל קשה להם להתמודד עם נקיטת אמצעי האבטחה הנדרשים. לכן, למשל, אנשים משתמשים באותה סיסמה לחשבונות מרובים – אין שגיאה גדולה מזו, אם אנחנו רוצים להגן על המידע שלנו. המשימה שלנו היא להסביר למשתמשים איך ניתן להגן על החשבונות שלהם במינימום מאמץ. לצורך כך פיתחנו את שירות בדיקת האבטחה{:target="_blank" rel="noopener noreferrer"} בחשבון Google, שבאמצעותו יכולים המשתמשים לבדוק את ההגדרות שלהם בקלות.
מיקליץ: למעשה, בדרך כלל מספיק לשמור על מספר כללים בסיסיים.
ומהם הכללים האלה?
מיקליץ: לא להשתמש באותה סיסמה לשירותים שונים, להתקין עדכוני אבטחה ולא להשתמש בתוכנות חשודות. חשוב לספק מספר טלפון או כתובת אימייל חלופית כדי שניתן יהיה להשיג אתכם בדרכים אחרות. ודבר אחרון: כדאי להפעיל את נעילת המסך במכשיר הטלפון כדי להקשות על מי שאינם מורשים לגשת אליו. אם נשתמש בשיטות האלה, גם ללא אף אמצעי נוסף, זו כבר התחלה טובה.
צילומים: קוני מירבאך
חידושים באבטחת סייבר
כאן מוסבר איך אנחנו שומרים על הבטיחות של יותר אנשים אונליין מכל גורם אחר בעולם.
מידע נוסף