חברת אבטחת המידע ESET מזהירה מפני הונאות באמצעות צילומי מסך מזויפים

מכרתם מוצר באינטרנט והקונה שלח צילום מסך שמראה שהעביר את הכסף או של אסמכתא מהבנק? קיבלתם אישור מצולם על החזר כספי או הזמנת טיסה? גם אם התמונה כוללת לוגו מוכר, סכום מדויק, תאריך ושעה, היא לא בהכרח מוכיחה שהפעולה אכן התרחשה. בחברת אבטחת המידע והסייבר ESET מזהירים כי כלי עריכה חדשים וטכנולוגיות בינה מלאכותית מתקדמות הפכו את יצירתם של צילומי מסך מזויפים למהירה ופשוטה יותר.

אלכס שטיינברג, מנהל מוצרי ESET בקומסקיור, המפיצה הרשמית של ESET בישראל, מסביר: "התרגלנו לראות בצילום מסך סוג של הוכחה, אבל היום זו כבר הנחה שצריך להיזהר ממנה. תמונה יכולה להיראות אמינה מאוד ועדיין להיות מזויפת, בדומה לסרטוני דיפ-פייק. לכן, כשמדובר בכסף, בהזמנות או במידע רגיש, חשוב לבדוק את הנתונים ישירות במערכת המקורית ולא להסתפק במה שמופיע על המסך".

אחת ההונאות האפשריות מתרחשת בפלטפורמות מסחר בין אנשים. קונה מציג למוכר צילום מסך של העברה בנקאית לכאורה, והמוכר שולח את המוצר לפני שבדק שהכסף אכן נכנס לחשבונו. צילומי מסך מזויפים יכולים לשמש גם בהונאות רומנטיות, בהשקעות, בהזמנות טיסה, בהחזרים כספיים ואף להצגת ביקורות פיקטיביות באתרי מסחר מתחזים.

"גם צילום מסך אמיתי עלול להפוך לכלי בידי תוקפים. למשל, משתמש שמקבל קוד לאיפוס סיסמה עשוי להתבקש על ידי מתחזה לצלם את הקוד ולשלוח אותו. פעולה כזו יכולה לאפשר לתוקף להשתמש בקוד ולהשתלט על החשבון", מוסיף שטיינברג.

צילום מסך הוא בסופו של דבר תמונה שאמורה לייצג נתון מסוים. הוא אינו מספק מידע אמין על מי יצר אותו, האם נערך או האם העסקה או השיחה שמוצגות בו אכן התרחשו. חוקרי אבטחת המידע ב-ESET מדגישים כי במקרים שבהם נדרשת הוכחה אמיתית, יש להעדיף נתונים ממערכות המקור, מספרי אסמכתא, לוגים או מסמכים שניתן לאמת באופן עצמאי.

לא רק צרכנים: גם ארגונים חשופים

מן הסתם, שהסיכון אינו מוגבל לצרכנים פרטיים. צוותי שירות לקוחות, כספים ומשאבי אנוש מקבלים לעיתים צילומי מסך כהוכחה לתשלום, החזר או יתרה בחשבון. צילום מזויף עלול לשמש לקבלת מוצר חלופי, זיכוי או החזר כספי שלא כדין, וגם לחייב את הארגון להשקיע זמן ומשאבים בבדיקת הטענה.

במקרים חמורים יותר, עובד עשוי לקבל צילום מסך המציג לכאורה אישור ממנהל בכיר לביצוע תשלום דחוף או למסירת מידע רגיש. כך למשל, צ'אטים, מיילים ושיחות שעברו מניפולציה עשויים להיות מוצגים במסגרת תלונות במקום העבודה, בקשות לשחזור חשבון או תהליכי בדיקה אחרים. ב-ESET מציינים כי הסיכון המרכזי נוצר כאשר מדובר בהחלטה משמעותית על בסיס מידע שלא אומת מחוץ לתמונה עצמה, כלומר ללא בדיקה אנושית אמיתית. על כן, גם ניסיון הונאה שלא מצליח עלול לייצר עלויות לארגון. צוותי שירות, כספים ואבטחת מידע חייבים לדרוש בדיקת היסטוריית חשבון, פרטים המפרטים תשלומים שונים, משלוחים ורישומים פנימיים כדי להבין מה באמת התרחש.

כך ניתן לצמצם את הסיכון

"אנחנו ממליצים לצרכנים לבדוק תשלומים ישירות בחשבון הבנק או בשירותי התשלומים המוכרים והבטוחים, ולאמת הזמנות, החזרים וחשבוניות מול הגוף שהנפיק אותם. אם מתקבל צילום מסך מצד אדם אחר, מומלץ להיכנס לאתר או לאפליקציה הרשמית באופן עצמאי ולא דרך קישור שנשלח על ידו. כמובן שאין למסור את התמורה לפני בדיקה שהכסף נכנס והועבר בהצלחה", מחדד שטיינברג.

בארגונים מומלץ להשוות צילומי מסך לנתונים במערכות המקור, לבקש מסמכים או הודעות מקוריים שניתן לאמת, ולהדריך עובדים שלא לבצע תשלום, החזר או מסירת מידע רגיש על בסיס צילום מסך בלבד. גם כלי ניתוח תמונה ומידע מטא-דאטה יכולים לסייע בבדיקה, אך לא מדובר בהוכחה חד משמעית לכך שהתמונה אמיתית או מזויפת.

צילומי מסך עדיין יכולים להיות שימושיים כחומר תומך ולהצביע על נקודת התחלה לבדיקה, אך אין לראות בהם מקור אמת בפני עצמו. האימות הסופי צריך להגיע ממערכת או מערוץ שאינם נמצאים בשליטתו של  הגורם או האדם ששלח את התמונה.