איך לבדוק אם קישור בטוח לפני שלוחצים עליו
כדי לבדוק קישור לפני שפותחים אותו, מוצאים בו את שם האתר (הדומיין): השם שלפני הלוכסן הבודד הראשון, וקוראים אותו מהסוף. השם הזה, ולא המילים שלפניו ולא המנעול, הוא שמגלה של מי האתר. אם הקישור מקוצר או מוסתר בקוד QR, בררו קודם לאן הוא מוביל, או בדקו אותו בכלי חינמי כמו Google Safe Browsing או VirusTotal. תוצאה נקייה אומרת רק שלא נמצא איום מוכר, ולכן כשקישור מבקש מכם לשלם או להתחבר, היכנסו בעצמכם לאפליקציה או לאתר הרשמיים.
איך קוראים כתובת אתר
מוצאים את הדומיין
קחו לדוגמה את הכתובת https://login.mybank.example/account?month=10:
- דלגו על
https://וקראו עד הלוכסן הבודד הראשון:login.mybank.example. - קראו את השם הזה מהסוף. שני החלקים האחרונים,
mybank.example, הם הדומיין, השם שמישהו רשם. יש סיומות שבנויות בעצמן משני חלקים, כמו.co.il,.org.ilו-.gov.il, ואז הדומיין הוא שלושת החלקים האחרונים. - מה שמשמאל לדומיין, כאן
login., הוא תת-דומיין. רק בעל הדומיין יכול ליצור אותו, ולכן הוא אמין בדיוק כמו הדומיין עצמו. - כל מה שאחרי הלוכסן הוא הנתיב והפרמטרים: איזה דף להציג ומה להציג בו. אפשר לכתוב שם כל מילה שרוצים.
מילים לפני, מילים אחרי
נוכלים שמים שם מוכר במקום שבו הוא לא קובע. בכתובת https://mybank.co.il.account-check.example/login הדומיין הוא account-check.example, ו-mybank.co.il הוא תת-דומיין שהם המציאו. בכתובת https://account-check.example/mybank/secure-login שם הבנק והמילה secure הם רק חלק מהנתיב.
דומיינים מתחזים
דומיין מזויף נמצא לעיתים קרובות במרחק שינוי קטן אחד מהאמיתי:
- אות שהוחלפה, נשמטה או נוספה, או ספרה במקום אות:
mybamk.example,mybank1.example - מילה נוספת:
mybank-support.example,mybank-refund.example - סיומת אחרת, למשל
.comאו.coבמקום.co.ilשל האתר האמיתי
ה-FBI הזהיר שנוכלים קונים גם מודעות בתוצאות החיפוש שמובילות לדומיינים מתחזים, כך שגם תוצאה ראשונה בגוגל אינה הוכחה. את הכתובת של הבנק הקלידו בעצמכם.
יש אותיות באלפביתים אחרים שנראות בדיוק כמו אותיות לטיניות, כמו а
הקירילית ו-a
הלטינית. כרום מציג כתובת כזו בצורה מקודדת שמתחילה ב-xn-- כשהיא מערבבת אלפביתים באופן חשוד או מחקה שם מוכר, אבל בהודעת SMS או בדוא"ל האותיות מוצגות כמו שהן.
המנעול מעיד על הצפנה, לא על אמינות
כתובת שמתחילה ב-https, והמנעול שלידה, אומרים שהחיבור לאתר מוצפן. הם לא אומרים כלום על מי שמפעיל את האתר. רשות הסחר הפדרלית האמריקאית (FTC) מדגישה שה-s לא אומר שהאתר לגיטימי, וה-FBI הזהיר שאתרי פישינג משתמשים ב-https כדי להיראות מאובטחים. בדקו את הדומיין, לא את המנעול.
איך רואים לאן קישור מוביל בלי לפתוח אותו
- בטלפון, לחצו לחיצה ארוכה על הקישור במקום להקיש עליו. ברוב הטלפונים הכתובת המלאה מופיעה בראש התפריט או התצוגה המקדימה שנפתחים. קראו אותה וסגרו את התפריט.
- במחשב, העבירו את העכבר מעל הקישור בלי ללחוץ, והכתובת האמיתית תופיע, בדרך כלל בפינת החלון. בדוא"ל, הטקסט הגלוי של קישור יכול להראות כתובת אחת ולהוביל לאחרת.
- קישורים מקוצרים, משירותים כמו Bitly או TinyURL, מראים רק את שם שירות הקיצור. יש להם שימושים לגיטימיים, אבל הם מסתירים את היעד, ולכן התייחסו לקישור כזה כאל לא ידוע.
- קוד QR הוא קישור שאי אפשר לקרוא בכלל עד שסורקים אותו. ברוב הטלפונים המצלמה מציגה את הכתובת לפני שפותחים אותה. למה לשים לב, הסברנו במדריך לקודי QR מזויפים.
כדי לגלות לאן קישור מקוצר מוביל, השתמשו בשירות שעוקב אחריו בשרתים שלו ומראה את הכתובת הסופית, כמו urlscan.io שמתואר בהמשך.
כלים חינמיים לבדיקת קישור חשוד
העתיקו את הקישור (לחיצה ארוכה ואז העתקה) והדביקו אותו באחד מהכלים האלה, בלי לפתוח אותו קודם.
Google Safe Browsing
כלי בדיקת הסטטוס של אתרים בדוח השקיפות של גוגל אומר אם יש כרגע באתר תוכן ש-Safe Browsing קבע שהוא מסוכן: לפי גוגל, נוזקות, תוכנות לא רצויות או פישינג. זה השירות שעומד מאחורי דפי האזהרה האדומים של כרום. הכלי לא נכנס לדף בשבילכם, לא יכול לשפוט אתר שהוא עוד לא מכיר, ולא פותח קישורים מקוצרים.
VirusTotal
VirusTotal בודק את הכתובת מול יותר מ-70 סורקים ורשימות חסימה של חברות אבטחה, לפי התיעוד שלו, ומראה כמה מהם סימנו אותה. סימון אחד מתוך רבים יכול להיות אזעקת שווא, וכמה סימונים הם אזהרה ברורה. זו פלטפורמה לשיתוף מידע: הדוחות גלויים לקהילת המשתמשים, ותנאי השימוש אומרים לא לשלוח שום דבר שאתם לא רוצים לשתף בפומבי.
urlscan.io
urlscan.io פותח את הקישור בדפדפן בשרתים שלו ומתעד מה קורה: ההפניות, הכתובת הסופית, צילום מסך והדומיינים שהדף פונה אליהם. שום דבר לא נטען אצלכם במכשיר. סריקה ציבורית גלויה לכולם, והשאלות הנפוצות של האתר ממליצות לבחור בה רק כשאין בכתובת מידע אישי או חסוי.
לפני שמדביקים קישור באתר בדיקה
קישור יכול להכיל מידע אישי: כתובת דוא"ל, מספר הזמנה, או קוד שמחבר אתכם לחשבון או מאפס סיסמה. כלי בדיקה ציבורי עלול לחשוף אותו לזרים, ולכן אם יש בקישור משהו אישי, בדקו רק את הדומיין שלו.
למה תוצאה נקייה אינה ערובה
- אתרים חדשים. ייתכן שאתר מזויף שהוקם לפני שעה עוד לא מופיע באף רשימה, והנוכלים עוברים כל הזמן לדומיינים חדשים.
- אתרים פרוצים. אפשר לפרוץ לאתר של עסק אמיתי ולהשתיל בו דף הונאה. גוגל מגדירה תוכן פרוץ כתוכן שהוצב באתר בלי רשות, דרך פרצת אבטחה. הדומיין אמיתי, ולכן הבדיקה עשויה לעבור.
- דפים שמראים לבודקים משהו אחר. יש דפי הונאה שמציגים דף תמים לכלי בדיקה ולמנועי חיפוש, ואת ההונאה רק לחלק מהגולשים. גוגל קוראת לשיטה הזו cloaking.
תוצאה אדומה היא סיבה לעצור, אבל תוצאה ירוקה אינה אישור. כשקישור מבקש כסף, סיסמה או קוד, הבדיקה הבטוחה ביותר היא לוותר עליו ולפנות לגוף בעצמכם.
בדיקת קישורים באפליקציה
האפליקציה שלנו, LinkShield לאנדרואיד, תעלה בקרוב ל-Google Play. משתפים אליה קישור או מדביקים אותו בה, והיא בודקת את מבנה הקישור, מחפשת בו סימני סיכון ומשווה אותו לרשימות מובנות של אתרי פישינג ונוזקות ידועים, הכול על הטלפון. היא גם שואלת את שירות ה-DNS המוצפן של Quad9, ועבור משתמשי Pro גם את Google Web Risk, דרך שרת שאנחנו מפעילים ואינו שומר את הכתובת. היא לא שולחת שם, חשבון או מזהה פרסום ולא קוראת את ההודעות שלכם, והמגבלות שתיארנו למעלה חלות גם עליה. לקודי QR, הסורק שלנו SafeScan QR עוקב אחרי ההפניות ובודק את הקישור באופן דומה.
| מאיפה הגיע הקישור | מה בודקים קודם | הדרך הבטוחה יותר |
|---|---|---|
| הודעת SMS | ציפיתם להודעה? הדומיין הוא בדיוק של הגוף ששלח אותה? | פתחו את האפליקציה הרשמית של הגוף, או הקלידו את כתובת האתר בעצמכם |
| דוא"ל | הכתובת האמיתית שמאחורי טקסט הקישור, והדומיין של השולח | התחברו דרך סימנייה שמורה או דרך האפליקציה, לא דרך ההודעה |
| קוד QR | מדבקה מעל הקוד, והכתובת שהמצלמה מציגה | שלמו במכונה, בקופה או באפליקציה שכבר יש לכם |
| וואטסאפ ורשתות חברתיות | החבר באמת שלח את זה? לאן מוביל הקישור המקוצר? | שאלו את החבר בדרך אחרת, למשל בשיחת טלפון |
| תוצאת חיפוש או מודעה | הדומיין שבתוצאה, אות אחר אות | הקלידו את הכתובת שאתם מכירים, או היכנסו דרך סימנייה שמורה |
אם כבר לחצתם על הקישור
פתיחת הדף לבדה בדרך כלל לא גורמת נזק. מה שחשוב הוא מה עשיתם אחר כך. אם הזנתם סיסמה או פרטי אשראי, שילמתם, מסרתם קוד או התקנתם משהו, פעלו מהר: קודם כול התקשרו לבנק או לחברת כרטיס האשראי, ואחר כך החליפו סיסמאות והסירו את מה שהתקנתם. את הצעדים המלאים, לפי הסדר, פירטנו במדריכים להודעות SMS מזויפות ולקודי QR מזויפים.
אחר כך דווחו:
- מוקד 119 של מערך הסייבר הלאומי פועל בכל שעות היממה ומקבל דיווחים על פישינג. אפשר גם לשלוח את ההודעה בוואטסאפ לבוט של המערך, במספר 050-6251119, או לדווח באתר gov.il.
- אם נגרם לכם נזק כספי, הגישו תלונה במשטרה, בתחנה או בבקשה מקוונת.
- אפשר גם לדווח לגוגל על דף פישינג, כדי שייכנס לרשימות שהדפדפנים משתמשים בהן.
שאלות ותשובות
קישור עם https הוא קישור בטוח?
לא בהכרח. https אומר שהחיבור מוצפן, אבל גם אתרי הונאה משתמשים בו. את זהות בעל האתר מגלה הדומיין, לא המנעול.
אפשר לבדוק קישור בלי ללחוץ עליו?
כן. לחיצה ארוכה בטלפון, או העברת העכבר מעל הקישור במחשב, מציגות את הכתובת המלאה, ואז קוראים את הדומיין. כדי לבדוק לעומק, הדביקו אותו באחד מהכלים החינמיים שתיארנו למעלה.
בטוח להדביק קישור באתר לבדיקת קישורים?
הדבקה לא פותחת את הקישור אצלכם במכשיר. הסיכון הוא לפרטיות: יש כלים שמשתפים או מפרסמים את מה ששולחים אליהם. אל תדביקו קישורים שיש בהם פרטים אישיים, מספרי הזמנה או קודים להתחברות ולאיפוס סיסמה.
מה זה קישור מקוצר?
כתובת קצרה משירות כמו Bitly או TinyURL, שמעבירה אתכם לכתובת ארוכה יותר. היא מסתירה את היעד האמיתי, ולכן בדקו לאן היא מובילה או היכנסו לאתר בדרך אחרת.
כלי הבדיקה אמר שהקישור נקי. אפשר לסמוך עליו?
תוצאה נקייה אומרת רק שהקישור לא תאם אף איום מוכר בזמן הבדיקה. ייתכן שאתר חדש או פרוץ עוד לא נכנס לרשימות, ולכן כשקישור מבקש כסף, סיסמה או קוד, היכנסו לאתר בעצמכם.
איך מזהים קישור מזויף?
מחפשים דומיין שנבנה כדי להיראות כמו האמיתי: אות שהוחלפה או נוספה, מילה נוספת כמו support או secure, סיומת אחרת, או אותיות מאלפבית אחר. קראו את הדומיין מהסוף, אות אחר אות.