TOAD: כשהפישינג מבקש מכם להתקשר

בהודעה אין שום קישור ושום קובץ מצורף מסוכן. רק חשבונית: «חידוש המנוי שלכם: ‎₪1,499.90. לא אתם? התקשרו לשירות הלקוחות שלנו.» אף מסנן לא נבהל, וזה בדיוק העניין. השיטה הזאת נקראת TOAD, ראשי תיבות של Telephone-Oriented Attack Delivery: מתקפה שעוברת דרך הטלפון. מדברים גם על callback phishing, פישינג בשיחה חוזרת.

מה זו מתקפת TOAD?

פישינג רגיל רוצה שנלחץ. TOAD רוצה שנתקשר. ההודעה היא רק פיתיון; המלכודת האמיתית היא השיחה שאחריה, עם נציג מזויף ומיומן.

השיטה התפרסמה ב-2021 בזכות מתקפה שכונתה «BazarCall»: חשבוניות מנוי מזויפות דחפו את הנמענים להתקשר למוקד שירות, ושם שכנעו אותם להתקין תוכנה זדונית כשהם חושבים שהם מבטלים את המנוי. מאז הווריאציות רק התרבו.

התרחיש הטיפוסי: חשבונית שמעולם לא ביקשנו

ההודעה נראית כמו אישור הזמנה או חשבונית: מנוי אנטי-וירוס, תוכנה, שירות תמיכה טכנית, קנייה באינטרנט. יש בה שלושה מרכיבים:

• סכום שמעורר תגובה, גבוה מספיק כדי להדאיג;
• דרך מילוט: «לא אתם? בטלו תוך 24 שעות»;
• אמצעי קשר יחיד: מספר טלפון.

בצד השני של הקו, הנציג המזויף נחמד ומרגיע. כדי «לבטל» או «להחזיר את הכסף», הוא מבקש להתקין תוכנת שליטה מרחוק, ואחר כך לפתוח את חשבון הבנק באינטרנט. ההמשך קלאסי: «החזר» גדול מדי בטעות, שצריך «להחזיר» בהעברה בנקאית; או תוכנת ריגול שמותקנת בשקט במהלך הפעולה.

למה היעדר קישור מקשה על הזיהוי

מסנני דואר יודעים לבקר בקישורים, לנתח דפים ולבדוק קבצים מצורפים. בהודעת TOAD אין במה לבקר. הטקסט שגרתי, הטון עסקי, ומבחינת הרובוט מספר הטלפון הוא רק רצף ספרות. כדי להקשות עוד יותר, הנוכלים שמים לעיתים קרובות את החשבונית בתוך תמונה או PDF, כותבים את המספר עם רווחים או תווים חריגים, ומחליפים מספר מגל לגל.

לפעמים ההודעה אפילו נשלחת משירות חשבוניות אמיתי באינטרנט: הנוכל פותח חשבון, מנסח חשבונית מזויפת ומשחיל את המספר שלו לשדה «הערה». ההודעה יוצאת מהשרתים של השירות עצמו ועוברת את כל בדיקות האימות, כפי שמסביר בפירוט המדריך דוא״ל יכול לשקר… גם כשהבדיקות אומרות „OK”.

מספר הטלפון: החלק המרכזי

ב-TOAD המספר ממלא את התפקיד שהקישור ממלא בפישינג רגיל. הוא מה שמוביל למלכודת, ולכן אותו צריך לבדוק. כמה סימנים:

• לעיתים קרובות זה מספר קווי רגיל או מספר שהושג באינטרנט, שיכול לצלצל בכל מקום בעולם;
• הוא לא מופיע בשום מקום באתר הרשמי של החברה שמוזכרת;
• הוא מתחלף הרבה: מתקפה אחת יכולה להשתמש בעשרות מספרים.

איך בודקים את המספר ואת החברה שמתחזים אליה

כלל הזהב: אף פעם לא משתמשים במספר שמופיע בהודעה כדי לבדוק את ההודעה. זה כמו לבקש מחשוד לאשר את האליבי של עצמו.

1. בודקים במקור. מקלידים בעצמנו את כתובת האתר הרשמי של החברה, או פותחים את האפליקציה שלה, ובודקים אם המנוי או ההזמנה באמת קיימים בחשבון שלנו.
2. מחפשים את המספר באינטרנט. לעיתים קרובות אחרים כבר דיווחו עליו. זהירות: היעדר תוצאות לא מוכיח כלום, ייתכן שהמספר חדש לגמרי.
3. משווים לפרטי הקשר הרשמיים של החברה, שמצאנו בעצמנו.
4. נצמדים לעיקרון פשוט: שום שירות לקוחות אמיתי לא מבקש להתקין תוכנת שליטה מרחוק כדי לבטל מנוי, ולא לבצע העברה כדי לקבל החזר.

כדי לבדוק את שאר ההודעה (השולח האמיתי, השרת השולח), המדריך פישינג: איך נוכלים מצליחים להעביר את ההודעות שלהם מראה איפה להסתכל.

על מה אפשר לדווח כשאין אתר הונאה?

אין אתר, אבל זה לא אומר שאין על מה לדווח. נשארים שלושה יעדים מועילים:

• השרת ששלח את ההודעה. הודעת TOAD היא עדיין הודעת דוא״ל, שנשלחה ממכונה ששייכת למישהו. מדביקים את קוד המקור המלא שלה ב-Baitback: הכלי מוצא את השרת השולח, את ספק האחסון שלו ואת כתובת הדיווח, ומכין הודעות מוכנות לשליחה. אם ההודעה הגיעה משירות חשבוניות אמיתי שנוצל לרעה, מדווחים לשירות הזה על החשבון המתחזה: הוא יכול לסגור אותו.
• מספר הטלפון. בצרפת, למשל, השירות 33700 מקבל דיווחים על הודעות SMS ושיחות לא רצויות, והפלטפורמה הרשמית לדיווח (PHAROS) מקבלת גם הונאות. לכל מדינה יש גופים מקבילים, וכדאי לדווח גם לחברת התקשורת.
• החברה שמתחזים אליה. לרוב המותגים הגדולים יש כתובת ייעודית לניסיונות הונאה בשמם. הם יכולים להזהיר את הלקוחות ולפעול משפטית.

המגבלות של הדיווח הרגיל

בואו נהיה כנים: קשה יותר לעצור TOAD מאשר אתר מזויף. דומיין מושעה אצל רשם תוך שעות ספורות; מספר טלפון שהושג באינטרנט, לפעמים בחו״ל, מוחלף תוך דקות, ואין «ספר כתובות abuse» פשוט כמו לשרתים. השרת השולח נשאר החוליה הקלה ביותר לניתוק, ולכן תמיד כדאי לדווח עליו. וכל מספר שמדווח, אפילו לבדו, מזין את מאגרי המידע שבזכותם חברות התקשורת ואפליקציות הסינון מציגות «חשד להונאה».

אם כבר התקשרנו

אם השיחה כבר התקיימה: מנתקים, מנתקים את המחשב מהאינטרנט, מסירים את תוכנת השליטה מרחוק, מתקשרים לבנק במספר הרשמי שלו ומשנים סיסמאות ממכשיר אחר. בצרפת, הפלטפורמה Cybermalveillance.gouv.fr מלווה נפגעים צעד אחר צעד; ברוב המדינות יש גופי סיוע דומים.