ירון מנהל את הרכש בחברת הייטק קטנה בפתח תקווה. שלושה חודשים הוא נלחם מול ההנהלה כדי לאשר תקציב למחשבי עבודה חדשים לצוות שגדל. סוף סוף קיבל אישור. אז כשהגיע מייל מ"Apple Business" עם הצעה מיוחדת – 15 מקבוקים במחיר מוזל, כי הם "שותף עסקי מועדף" – הוא כמעט בכה מהקלה.
הכתובת: sales@aple.com. לא apple.com. אות אחת חסרה. מי בודק את זה כשהוא בלחץ, עם הנהלה שמחכה לתשובה, ועם הרגשה שסוף־סוף הצליח להביא לחברה שלו משהו טוב?
הוא ענה. דיבר עם "נציג מכירות" נחמד ומקצועי בטלפון – קול אמיתי, בטוח, שהכיר בדיוק את הז'רגון של אפל לעסקים. הוא שלח מקדמה של 42,000 ₪ לחשבון בנק בחו"ל, כמו שהתבקש, "כדי לנעול את המחיר לפני עליית המחירים ברבעון הבא".
יומיים אחר כך הוא התקשר לברר על מספר מעקב למשלוח. הטלפון כבר לא ענה. האתר aple.com נעלם מהרשת כאילו לא היה. ירון ישב מול המחשב שלו, הבין מה קרה, והרגיש משהו שהוא לא שכח: הבושה. לא מפני שהוא טיפש – הוא לא טיפש. אלא כי החברה שהוא כל כך רצה לעזור לה, הוא זה שפגע בה.
זה בדיוק למה זה עובד
תוקפי BEC לא פורצים למערכות. הם פורצים לרגש. הם מחפשים את הרגע שבו מישהו רוצה משהו כל כך – לסגור עסקה, לרצות את הבוס, לפתור בעיה – שהוא מפסיק לבדוק. דומיין שנראה זהה כמו apple.com אבל הוא aple.com, נציג שמדבר בביטחון מוחלט, ותזמון שמנצל בדיוק את הרגע שבו ההגנות הרגילות שלנו – הספק, החשד, השאלה "רגע, זה הגיוני?" – כבויות.
איך זה היה נראה אם מישהו היה עוצר אותו בזמן
- בדיקת דומיין אוטומטית שמתריעה על אותיות חסרות או דומות (aple.com מול apple.com, microsoft-support.com מול microsoft.com)
- כלל ברזל בחברה: כל תשלום מעל סכום מסוים דורש אישור טלפוני ליעד מוכר מראש – לא מספר שהגיע במייל
- MFA וסינון פישינג שתופסים דומיינים חדשים לפני שהם בכלל מגיעים לתיבה
- תרבות ארגונית שבה לעובד שעוצר ושואל שאלה יש גיבוי,
ירון לא איבד את העבודה שלו בסוף — אבל הוא איבד משהו מהביטחון שלו, וזה נשאר איתו הרבה אחרי שהכסף כבר לא היה בר החזרה.
בעולם שבו אות אחת יכולה לעלות עשרות אלפי שקלים, ShvoIT בונה לעסקים קטנים ובינוניים את שכבות ההגנה שעוצרות את זה — לפני שמישהו כמו ירון צריך לגלות את זה בדרך הקשה.
רוצים לבדוק כמה חשופה החברה שלכם למתקפה כזו? בואו נדבר.