דיווח על התקפת פישינג: מהדיווח ועד ההשבתה
מציאת ספק האחסון או הרשם של אתר פישינג (ראו מי יכול באמת לפעול וכיצד למצוא את כתובת ה-abuse@ שלו) היא רק חצי מהדרך. עדיין יש לכתוב דיווח שמישהו יוכל לטפל בו תוך דקות, להבין מה קורה לאחר השליחה, ולעקוב אחר המקרה עד שהאתר אכן נעלם. מדריך זה מכסה את שלושת הדברים: לדווח כראוי, לדעת למה לצפות, ולהתמיד עד ההשבתה.
אנטומיה של דיווח פעיל
דיווח על ניצול לרעה מטופל על ידי אדם אחד, לרוב יחד עם עשרות דיווחים נוספים שיש לטפל בהם באותו יום. ככל שיש יותר מרכיבים הניתנים לאימות כבר מההתחלה, כך הדיווח מטפס מהר יותר בערימה. שבעה פרטי מידע מופיעים כמעט תמיד:
- כתובת ה-URL המדויקת של דף הפישינג, ולא רק שם הדומיין: אותה כתובת עשויה לארח עשרות דפים שונים.
- הדומיין הרלוונטי, עבור הרשם.
- כתובת ה-IP של השרת, עבור ספק האחסון (ראו כיצד לעקוב אחריה עד כתובת ה-abuse@).
- הכותרות המלאות, אם הערוץ הוא דוא"ל: העקבה האמיתית נמצאת שם, לא בשולח המוצג.
- תאריך ושעה של הגילוי, ב-UTC או עם ציון אזור זמן, כדי למנוע כל אי-בהירות למי שמקבל את הדיווח ממדינה אחרת.
- צילום מסך של הדף, שימושי אם הוא נעלם לפני שמישהו הספיק לבדוק אותו.
- תיאור עובדתי של ההתקפה: מה מחוקה, מה נדרש מהקורבן (פרטי הזדהות, כרטיס אשראי...), ללא ניחוש או האשמה.
המלכודת הנפוצה ביותר היא דיווח מעורפל מדי: "האתר הזה פישינג, אנא טפלו בזה". ללא כתובת URL מדויקת או חותמת זמן, מי שמקבל את ההודעה חייב תחילה לחפש את המידע שכבר היה מול עיני המדווח, מה שמעכב הכול, או שהדיווח נשאר ללא טיפול אם הוא נחשב לא מדויק מכדי לאמת אותו.
זה בדיוק מה שBaitback מכין: מדוא"ל או קישור, הכלי אוסף באופן אוטומטי את שבעת המרכיבים הללו ומנסח הודעה מוכנה לשליחה, המיועדת לנמען הנכון.
מה קורה לאחר שליחת דיווח לכתובת ה-abuse@?
דיווח בנוי היטב נעלם לעיתים רחוקות אל תוך הריק. אצל רוב ספקי האחסון, הוא עוקב אחר מסלול דומה למדי, גם אם התוצאה לא תמיד זהה.
ספק אחסון כמעט אף פעם לא מכבה שרת רק על סמך דיווח: הוא בודק תחילה את הראיות, ולאחר מכן מזהה איזה לקוח מעורב (ספק האחסון משכיר את המכונה לצד שלישי, וכמעט אף פעם אינו יוצר האתר עצמו). לבקשת ההסרה או ההשעיה פונים תחילה ללקוח זה, עם מועד תגובה. אם הלקוח אינו מגיב או אינו משתף פעולה, ספק האחסון יכול לכבות בעצמו, בהתאם לתנאי השימוש שלו.
אזעקות שווא אכן קיימות: אתרים לגיטימיים שסווגו בטעות, דפי בדיקה, כלי אבטחה שנחשבו בטעות לאיום. לכן האימות מתבצע לפני כל פעולה, ולכן דיווחים עם ראיות מוצקות (איור 1) מטופלים מהר יותר מחשד גרידא.
חלק מהדיווחים אורכים יותר זמן מאחרים: ספק אחסון שהוא בפועל רק מפיץ משנה חייב להעביר את הבקשה למפעיל האמיתי; כרטיס שנפתח בליל שישי ממתין ליום העסקים הבא; ספק אחסון באזור זמן רחוק מגיב בעיכוב מתאים. אף אחד מאלה לא אומר שהדיווח אבד: כתובת ה-URL נבדקת מחדש לאחר מספר ימים, ומטופלת שוב באדיבות אם הכרטיס נותר ללא מענה לאחר מועד היעד שפורסם.
מהדיווח ועד ההשבתה: מעקב אחר תשתית לטווח ארוך
דיווח בודד הוא לעיתים רק שלב אחד. תשתית הפישינג עשויה לשרוד את ההשבתה הראשונה על ידי מעבר: כתובת IP חדשה, דומיין חדש, ספק אחסון חדש. לכן העבודה אינה מסתיימת ברגע השליחה.
השיטה נשארת זהה בכל שלב: זיהוי הדומיין, זיהוי כתובת ה-IP של השרת, זיהוי המפעיל המנהל אותו (ראו מי שולט במה בין הרשם, ספק האחסון ו-CDN והשרשרת IP ← WHOIS/RDAP ← ASN ← abuse@), ולאחר מכן דיווח לכל גורם על מה שרלוונטי לו.
מה לעשות אם האתר נשאר פעיל?
היעדר שינוי במשך מספר ימים אינו אומר שהדיווח נכשל: יש לפנות שוב לכרטיס הקיים תוך ציון מספרו, במקום לפתוח כרטיס חדש. אם השתיקה נמשכת מעבר לפרק זמן סביר, פלטפורמה רשמית (בצרפת, לדוגמה, PHAROS) או צוות תגובה לחירום מחשבים לאומי נותרים דרך נוספת.
מה לעשות אם הדומיין משנה כתובת IP?
דומיין שפתאום מפנה ל-IP חדש כנראה החליף ספק אחסון, בין אם בכוונה (כדי להימנע מדיווחים) ובין אם לא. יש לחזור על שרשרת הזיהוי כולה עבור ה-IP החדש הזה: WHOIS חדש, מפעיל חדש, כתובת abuse@ חדשה. לעומת זאת, הדומיין עצמו נשאר לרוב היעד היציב יותר: לדיווח לרשם עדיין יש ערך גם אם השרת עבר.
מה לעשות אם דומיין חדש מופיע?
קמפיינים פעילים משתמשים לעיתים קרובות באותה תבנית דף, לעיתים אצל אותו ספק אחסון, עם דומיין חדש. זיהוי דמיון משפחתי (אותו סידור, אותו שרת, אותה מבנה URL) מאפשר לצפות את ההמשך במקום להתחיל מאפס בכל פעם שמופיעה גרסה חדשה.
- דיווח פעיל כולל כתובת URL מדויקת, דומיין, IP, כותרות, שעה ב-UTC, צילום מסך, ותיאור עובדתי.
- עם הקבלה, ספק האחסון מאמת את הראיות, מזהה את לקוחו הרלוונטי, ולאחר מכן דורש ממנו להסיר את הדף או להשעות את החשבון.
- מועד תגובה של 24 עד 72 שעות הוא נורמלי; יש לפנות שוב במקום לוותר.
- תשתית הפישינג עשויה לעבור לאחר ההשבתה: המעקב (מצב, IP, דומיין חדש) הוא מחזור ולא פעולה חד-פעמית.
Baitback מטפל בכל שלב זה: הוא מכין דיווח מלא ופעיל, המיועד לגורם הנכון, כך שכל שנותר לעשות הוא לשלוח אותו.
למידע נוסף: הרשם, ספק האחסון, CDN: מי יכול באמת לפעול, מציאת כתובת ה-abuse@ של ספק האחסון, או ניתוח פישינג מההודעה ועד התשתית.