הטלפון מצלצל, ומעבר לקו מישהו רגוע ומקצועי מציג את עצמו כנציג מחלקת ההונאות בבנק. הוא יודע את השם שלכם, אולי גם את ארבע הספרות האחרונות של הכרטיס, והוא מתקשר כי "זוהתה פעילות חשודה בחשבון". כל מה שהוא צריך זה שתקריאו לו את הקוד שנשלח אליכם ברגע זה ב-SMS. זאת הנדסה חברתית: במקום לפרוץ למחשב, התוקף פורץ לאמון שלכם.

מה זה באמת

בואו נעשה סדר. רוב מה שאנחנו מדמיינים כשאומרים "האקר" זה מישהו שמנצל חולשה טכנית בתוכנה. הנדסה חברתית הולכת בכיוון ההפוך. היא לא מנצלת מכונות, היא מנצלת אנשים.

תחשבו על פורץ. הוא יכול לבזבז שעה על שבירת המנעול, או פשוט להתלבש כטכנאי של חברת החשמל, לצלצל בפעמון, ולהמתין שתפתחו לו את הדלת בעצמכם. הנדסה חברתית היא הגישה השנייה. התוקף לא מחפש באג בקוד, הוא מחפש את הרגע שבו תמהרו, תיבהלו או תרצו לעזור, ותעשו בשבילו את העבודה.

הכוח של השיטה הוא שהיא עוקפת כמעט כל הגנה טכנית. אפשר להשקיע הון בחומת אש ובאנטי-וירוס, אבל אם עובד מקריא את הסיסמה שלו בטלפון למישהו שנשמע כמו מנהל המחשוב, אף הגנה כזאת לא נכנסה בכלל לתמונה. הרבה מההונאות שאתם קוראים עליהן, מפישינג ועד גניבת חשבונות, מתחילות בדיוק כאן.

איפה פוגשים את זה בפועל

הצורה הכי מוכרת היא ההודעה שנראית רשמית: SMS על חבילה שממתינה בדואר עם קישור לתשלום קטן, או הודעה על חוב לחברת החשמל. הלחץ הקטן והסכום הזניח הם מה שגורם לאנשים ללחוץ בלי לחשוב.

יש גם את שיחת הטלפון. מישהו שמציג את עצמו מהבנק או מחברת האשראי, מדבר על "עסקה חשודה", ומבקש שתאשרו קוד או שתעבירו כסף ל"חשבון מאובטח זמני". הקוד הזה הוא בדרך כלל אישור הכניסה או ההעברה שהתוקף עצמו מנסה לבצע באותו רגע.

והצורה שתפסה תאוצה בישראל: הודעת וואטסאפ ממספר לא מוכר, "אמא, איבדתי את הטלפון, זה המספר החדש שלי", ואחריה בקשה דחופה להעביר כסף. אותו עיקרון בדיוק, פנייה רגשית שלא משאירה לכם זמן לעצור ולבדוק.

איך מגנים על עצמכם

הכלל הראשון פשוט: נתקתם, בדקתם. אם התקשרו אליכם כביכול מהבנק, אל תמשיכו את השיחה. נתקו, והתקשרו בעצמכם למספר שמופיע בגב כרטיס האשראי. גורם אמיתי לא ייעלב מזה.

זכרו כלל אחד שאין לו יוצאים מן הכלל: אף נציג לגיטימי, בשום מצב, לא יבקש מכם את הסיסמה או את הקוד החד-פעמי שקיבלתם ב-SMS. ברגע שמישהו מבקש את הקוד הזה, השיחה נגמרה.

התייחסו לדחיפות עצמה כאל סימן אזהרה. "תעשו את זה עכשיו אחרת החשבון ייחסם" הוא לא נוהל של אף ארגון אמיתי, זה כלי עבודה של תוקף שרוצה שתפעלו לפני שתחשבו.

והפעילו אימות דו-שלבי בכל מקום שאפשר. הוא לא חוסם הנדסה חברתית, אבל הוא מוסיף שלב שמקשה על התוקף גם אם סיסמה אחת כבר דלפה.

הטכנולוגיה משתפרת כל הזמן, אבל החוליה שהתוקפים הכי אוהבים לתקוף היא עדיין האדם שממהר. רגע אחד של עצירה הוא ההגנה הכי זולה שיש לכם.