סיסמאות ואימות דו-שלבי: איך לשמור על החשבונות שלכם בלי להשתגע

לכל אחד מאיתנו יש היום עשרות חשבונות דיגיטליים: דואר אלקטרוני, רשתות חברתיות, אתר הבנק, קופת החולים, חנויות מקוונות, אפליקציות תחבורה ושירותי סטרימינג. כל חשבון כזה מוגן בסיסמה, ורוב האנשים מתמודדים עם העומס בדרך הפשוטה ביותר: סיסמה אחת או שתיים שחוזרות בכל מקום, לפעמים עם שינוי קטן. זו בדיוק הנקודה שבה פורצים מנצלים אותנו. החדשות הטובות הן שאפשר לשפר את האבטחה בצורה דרמטית בלי להפוך למומחי סייבר, בעזרת כמה הרגלים וכלים פשוטים.

למה סיסמה אחת לכל האתרים היא בעיה

מאגרי מידע של אתרים ושירותים נפרצים מדי פעם, ולעיתים קרובות פרטי המשתמשים, כולל כתובות דואר וסיסמאות, מגיעים לידיים לא נכונות. כשזה קורה, הפורצים לא מסתפקים באתר שנפרץ. הם מנסים את אותו צירוף של דואר אלקטרוני וסיסמה באתרים אחרים, בתקווה שהמשתמש השתמש באותה סיסמה. השיטה הזו נקראת מילוי פרטי גישה, והיא אוטומטית לחלוטין.

המשמעות היא שגם אם יש לכם סיסמה חזקה במיוחד, אם היא משמשת אתכם בעשרה אתרים, היא חזקה רק כמו האתר החלש מביניהם. פריצה לאתר קטן ולא חשוב יכולה להוביל לפריצה לתיבת הדואר שלכם, ומשם הדרך לשאר החשבונות קצרה, כי דרך הדואר אפשר לאפס סיסמאות כמעט בכל שירות.

לכן העיקרון הראשון והחשוב ביותר הוא סיסמה ייחודית לכל חשבון, ובמיוחד לחשבונות הקריטיים: הדואר האלקטרוני, הבנק והחשבונות שמשמשים לכניסה לשירותים אחרים.

מה הופך סיסמה לחזקה

בעבר נהגו להמליץ על סיסמאות קצרות ומסובכות עם אותיות גדולות, מספרים וסימנים. היום ההמלצה המקובלת שמה דגש על אורך. סיסמה ארוכה, גם אם היא מורכבת ממילים, קשה הרבה יותר לפיצוח מאשר סיסמה קצרה ומסובכת. צירוף של ארבע או חמש מילים אקראיות שאין ביניהן קשר הגיוני הוא דוגמה לסיסמה חזקה שגם קל יחסית לזכור.

מה שחשוב להימנע ממנו הוא מידע אישי שקל לנחש: שמות של בני משפחה, תאריכי לידה, שם חיית המחמד, מספר טלפון או שם הקבוצה האהודה. מידע כזה זמין לעיתים קרובות ברשתות החברתיות. גם רצפים פשוטים של מספרים או אותיות במקלדת הם בין הסיסמאות הנפוצות והחלשות ביותר.

אין צורך להחליף סיסמאות באופן קבוע אם אין חשד לפריצה. החלפה תכופה נוטה דווקא לגרום לאנשים לבחור סיסמאות חלשות וצפויות. החליפו סיסמה מיד כשיש סיבה לחשוד שהיא נחשפה.

מנהל סיסמאות: הכלי שפותר את הבעיה

השאלה הטבעית היא איך זוכרים עשרות סיסמאות ייחודיות וארוכות. התשובה היא שלא צריך לזכור אותן. מנהל סיסמאות הוא תוכנה או שירות ששומר את כל הסיסמאות שלכם בכספת מוצפנת, ממלא אותן אוטומטית באתרים ויודע גם לייצר סיסמאות חזקות חדשות. אתם צריכים לזכור רק סיסמה ראשית אחת, חזקה במיוחד.

רוב הדפדפנים ומערכות ההפעלה בטלפונים כוללים היום מנהל סיסמאות מובנה, ויש גם שירותים ייעודיים בתשלום ובחינם. היתרון של מנהל סיסמאות הוא כפול: הוא מאפשר סיסמה שונה לכל אתר, והוא גם מגן מפני אתרי התחזות, כי הוא לא ימלא את הסיסמה באתר שהכתובת שלו שונה מהאתר האמיתי.

כשמתחילים להשתמש במנהל סיסמאות, אין צורך להחליף את כל הסיסמאות ביום אחד. התחילו בחשבונות החשובים ביותר, ובכל פעם שאתם נכנסים לאתר אחר, עדכנו את הסיסמה שלו לסיסמה חדשה וחזקה.

אימות דו-שלבי: שכבת הגנה נוספת

גם הסיסמה הטובה ביותר עלולה לדלוף. אימות דו-שלבי מוסיף שכבה שנייה: גם מי שיודע את הסיסמה לא יוכל להיכנס בלי אישור נוסף, בדרך כלל ממכשיר שנמצא אצלכם. זו כנראה הפעולה הפשוטה והיעילה ביותר שאפשר לעשות כדי להגן על חשבון.

יש כמה סוגים של אימות דו-שלבי. הנפוץ הוא קוד שנשלח במסרון. הוא עדיף בהרבה מכלום, אבל נחשב לפחות בטוח, כי במקרים מסוימים אפשר ליירט מסרונים או להשתלט על מספר טלפון. אפליקציות אימות, שמייצרות קוד מתחלף בטלפון, בטוחות יותר. אפשרות מתקדמת נוספת היא מפתחות אבטחה פיזיים או מפתחות גישה דיגיטליים, שהולכים ומתפשטים בשירותים הגדולים.

כדאי להפעיל אימות דו-שלבי לפחות בחשבונות הבאים:

• תיבת הדואר האלקטרוני הראשית
• חשבונות בנק, כרטיסי אשראי ואפליקציות תשלום
• רשתות חברתיות ואפליקציות מסרים
• חשבון הענן שבו שמורים התמונות והמסמכים
• מנהל הסיסמאות עצמו

קודי שחזור ותכנון ליום שבו הטלפון אובד

אחד החששות מאימות דו-שלבי הוא מה קורה אם הטלפון אובד או מתקלקל. לכן שירותים רבים מספקים קודי שחזור חד-פעמיים בעת הפעלת האימות. שמרו אותם במקום בטוח, מודפסים במגירה או במנהל הסיסמאות, ולא בתיקייה פתוחה במחשב.

כדאי גם לוודא שכתובת דואר משנית ומספר טלפון לשחזור מעודכנים בכל החשבונות החשובים. מי שמשתמש באפליקציית אימות צריך לבדוק אם היא תומכת בגיבוי או בהעברה למכשיר חדש, ולהגדיר זאת מראש. ביום שבו מחליפים טלפון, העבירו את האימות למכשיר החדש לפני שמוחקים את הישן.

סימנים לכך שחשבון נפרץ ומה עושים

התראות על כניסה ממכשיר או ממקום לא מוכר, הודעות ששלחתם ואתם לא זוכרים, שינויים בהגדרות או מיילים על איפוס סיסמה שלא ביקשתם הם סימנים לכך שמשהו לא בסדר. במקרה כזה פעלו מהר: החליפו את הסיסמה, התנתקו מכל המכשירים דרך הגדרות האבטחה של השירות והפעילו אימות דו-שלבי אם הוא לא היה פעיל.

אם מדובר בחשבון בנק או בכרטיס אשראי, פנו מיד לגוף הפיננסי. אם הפריצה הייתה לתיבת הדואר, בדקו גם את החשבונות שמקושרים אליה, וודאו שלא הוגדרו כללי העברה אוטומטית של הודעות לכתובת זרה.

לסיכום, אבטחת חשבונות לא דורשת ידע טכני מיוחד אלא כמה החלטות נכונות: סיסמה ייחודית לכל חשבון, מנהל סיסמאות שיזכור אותן בשבילכם, אימות דו-שלבי בחשבונות החשובים ושמירה על קודי שחזור. הקדישו לזה ערב אחד, וההגנה שתקבלו תלווה אתכם לאורך שנים.