האם "עוגיות" מסוכנות לגלישה שלכם?

מסירת פרטי האשראי באינטרנט

המיתוס: קנייה באינטרנט יותר מסוכנת מקניה רגילה
האמת: אין לכם ממה לפחד

משהו מציק לנו עמוק בבטן כשאנחנו משלחים את כרטיס האשראי שלנו על פני ים הוירטואליה לעברו של גורם חסר פנים וזהות. תמונות מהסרט Hackers עולות במוחנו, ובהן אנג'לינה ג'ולי גונבת את פרטי האשראי שלנו ויוצאת למסע קניות מטורף בכיכר המדינה. לפתע משה, המתדלק מהתחנה, שקיבל לידיו את כרטיס האשראי שלנו והחזיר לנו אותו מיידית, נוסך בנו הרבה יותר ביטחון.

אבל המציאות מעט שונה. סביר להניח שבזמן שמשה מהפנט אותנו עם חיוך מליון הדולר שלו, ידיו עסוקות בשכפול כרטיס האשראי שלנו (או סתם ברישום מרושל של המספר שלו). את התוצאות כבר נראה ב-2 לחודש (או בכל תאריך אחר בו המעטפה הארורה מגיעה). נקודת התורפה בתהליך סליקת האשראי היא המרכיב האנושי ולאו דווקא אבטחת המידע. ככל שפחות ידיים אנושיות ימזמזו את פרטי האשראי בדרכם אל הלא נודע, כך הם יהיו בטוחים יותר.

1.
כשאנחנו רוכשים באינטרנט באמצעות כרטיס האשראי שלנו, ישנן מספר הגנות שאמורות להפוך את התהליך לבטוח יותר, והמפורסמת שבהן היא הצפנת ה-SSL. בשיטה זו המחשב שלנו מערבל ומצפין את כל המידע הנשלח ממנו בעזרת מפתח הצפנה חזק (למעשה בעזרת מנעול חזק - המפתח נמצא אך ורק אצל האתר המקבל). כך אנחנו מונעים את הסכנה שאנג'לינה תיירט את מספר כרטיס האשראי שלנו בדרכו אל החנות.

2.
הצפנת ה-SSL מכילה רכיב חשוב נוסף, והוא זיהוי האתר המצפין. כל אתר התומך בהצפנה מקבל אישור מיוחד, הקשור לכתובת ה-IP המדויקת של האתר. כך נחסמת תופעת ה"ספופינג" (באנגלית זה נשמע יותר סקסי): זיוף אתרים על-ידי האקרים בכדי לגנוב את פרטי המשתמשים.

3.
איך נדע אם התשדורת מוגנת על ידי SSL? חפשו את אייקון המנעול הזהוב בצידו הימני התחתון של מסך האקספלורר, או את אייקון המפתח בדפדפני נטסקייפ ופיירפוקס.

לא נכון - לבדוק - בדוק ומוכן

4.
ישנם גם יתרונות בקניה באינטרנט על פני קנייה "בחוץ". הצרכן המקוון, למשל, מוגן יותר ע"י חברת כרטיסי האשראי שלו. "עסקאות אינטרנטיות נקראות 'עסקה במסמך חסר' - עסקה שבה לא הוצג כרטיס אשראי או שהמסמך המעיד על העסקה לא נחתם על ידי הלקוח", מסבירה דוברת ויזה כ.א.ל., לימור גור. קנייה במסמך חסר הופכת את הרכישה לניתנת לביטול בתוך 14 יום, ללא צורך בתירוץ (עם קנס אפשרי של 100 ש"ח או 5 אחוזים מסכום הקנייה - הנמוך מבניהם), הדבר לא אפשרי בחנויות רגילות.

בנוסף, בייתרונות המסמך החסר: הספק אמור לצרף אל המוצר דף ובו מפורטים -
- כתובת הספק
- מחיר המוצר או השירות ותנאי התשלום החלים על העסקה
-האופן שבו יכול הצרכן לממש את זכותו לבטל את העסקה
-שם היצרן וארץ ייצור הנכס
-מידע בדבר האחריות לנכס או לשירות

אם חסר, ולו פרט אחד בדף שקיבלת הביתה עם קנייתך, אתה יכול להחזיר את המוצר מייד מבלי לענות על שאלות. הכל נמצא כאן, שחור על גבי לבן, בחוק הגנת הצרכן.

5.
משום שגם עיסקאות לא מקוונות, כגון הזמנת משלוחי מזון, נחשבות "עסקאות במסמך חסר", לא קיימים נתונים סטטיסטיים מדוייקים לגבי אחוז ההונאות באינטרנט בישראל. עם זאת, בדיקה של הממשלה האמריקאית שנערכה רק לאחרונה, גילתה כי למרות שהאינטרנט מהווה כר פורה לגניבת זהויות, עדיין 72 אחוזים מכלל גניבות המידע האישי לצרכי הונאה בשנה האחרונה נעשו מחוץ לרשת. רק ב-12 אחוז מן המקרים, הגנבים השיגו את פרטי האשראי או חשבון הבנק, ברשת.

אלו מבין ההאקרים שכבר הצליחו לשים את ידיהם על פרטי האשראי שלנו, היו צנועים לעומת עמיתיהם בעולם האמיתי - הונאה מקוונת עלתה לצרכן רק 2,320$ בממוצע, לעומת ממוצע של 15,607$ מחוץ לרשת.

כפי שראינו, עסקה מקוונת אינה מסוכנת יותר מעסקה רגילה. כדאי לזכור שישנן שיטות קלות בהרבה מפריצה להשגת מספרי אשראי: גניבת קבלות ממסעדה, חיטוט בפחי אשפה, שליפת הכרטיס מארנקים שנגנבו או אבדו וכדומה. נתון מפתיע בהקשר זה, הוא שמחצית(!) מגניבות המידע האישי לצרכי הונאה כספית, נעשות דווקא בידי האנשים הקרובים לנו, הווה אומר: בני משפחה וחברים.

אם לוקחים בחשבון את היתרונות היחסיים, ואת העובדה שכל עסקת אשראי, מקוונת או לא, תירשם בסופו של דבר במחשב (שגם אליו ניתן לפרוץ), מתקבלת המסקנה שאין סיבה מיוחדת לחשוש ממסירת מספר כרטיס האשראי באינטרנט. כמובן שאך ורק לאתר מוכר, ובצורה מאובטחת על ידי SSL.

עוגיות

המיתוס: עוגיות מסוכנות כי הן מסוגלות לעקוב אחר מעשינו באינטרנט
האמת: עוגיות לא עוקבות אחר אנשים, אנשים עוקבים אחר אנשים

תוכנות הורדת רוגלות מתריעות בפנינו פעמים רבות בפני "עוגיות עוקבות" (Tracking Cookies) המושתלות במחשבנו, ואף ממליצות להסיר אותן. האם נוספה לנו סיבה נוספת לדאגה בעולם, או שעוגיות, לא חשוב מאיזה סוג, לא מסוגלות להזיק?

כדי להבין מה עוגיה יכולה, או לא יכולה לעשות, צריך לדעת קודם מהי עוגיה.

1.
כאשר אתם גולשים באתר כלשהו, אין לו יכולת ממשית לזהות אתכם ואת המחשב שלכם, באילו דפים ביקרתם, העדפות לגבי מבנה האתר או אפילו מהו שם המשתמש והסיסמה שלכם. בדיוק לשם כך פיתחו את העוגיה - בכדי לחסוך מאיתנו את הצורך לשנות את הגדרות העיצוב של האתר, להקליד את שם המשתמש והסיסמא שלנו וכדומה, בכל פעם שאנו גולשים אל האתר.

מדובר בקובץ קטן טקסט קטן אשר האתר בו אתם מבקרים יוצר על המחשב שלכם, ושולט בו. שם הוא יכול לכתוב את כל המידע הדרוש לו כדי לשפר את חווית הגלישה, או לחילופין לתת לאתר יותר מידע על המבקרים בו והפעילות שלהם.

2.
לעוגיה הממוחשבת, בדיוק כמו לאחותה מהסופרמרקט, יש תאריך תפוגה. חלקן נמחקות מיד לאחר סגירת הדפדפן, וחלקן יכולות להישאר על הדיסק הקשיח לתקופה ארוכה (2038, למשל), בהתאם להגדרות היוצר שלהן.

וכאן מתחילות הצרות.

3.
כאמור, עוגיות הן לא תוכנות, והן פאסיביות לחלוטין. באותה מידה שקובץ Word לא יכול לעקוב אחרי הרגלי הגלישה שלנו, כך גם העוגיה לא מסוגלת. אבל (!) בעוד שעוגיות לבדן הינן חסרות יכולת להזיק באופן פעיל, עדיין הן יכולות להוות אמצעי לשימושים פסולים עד זדוניים.

4.
"Tracking Cookie", הידועה גם בכינוי "Spyware Cookie", הינה עוגיה אשר משותפת לשני אתרים או יותר למטרות מעקב אחרי היסטוריית הגלישה של המשתמש. מדובר בעוגיה שמושתלת במחשב האישי על ידי צד שלישי, שלא קשור באופן ישיר לאתר בו אנו צופים כרגע. מטרת עוגיה זו היא לעקוב אחר תנועת הגולש ברשת בזמן שהוא עובר לו בניחותא מאתר לאתר. לא רק זאת, אלא שכל אתר זדוני שכזה, יזהה ויקרא את ה-Spyware Cookie, בעוד הוא צובר מידע נוסף בעוגיה עבור אתרים עתידיים.

5.
מידע שיווקי יקר ערך זה משמש לאחר מכן חברות פרסום ושיווק, לעיתים בשיתוף רוגלות, לצורך הצגת פרסומות ממוקדות שתתאמנה להעדפותיו הייחודיות של אותו משתמש. כך למשל, אם ביקרנו הרבה באתרי מכוניות בזמן האחרון, "שירות" הפרסומות יגיע למסקנה שהגיע הזמן להציק לנו עם פרסום בנושא מכוניות חדשות.

6.
כמובן שמטבע הדברים, רכיב שמחזיק את שם המשתמש וסיסמת הכניסה שלנו לאתרים ימשוך תשומת לב האקרית מרובה. בעזרת ניצול פרצות שונות מסוגלים לעיתים האקרים לגנוב את העוגיה שלנו. המפורסם שבאתרים שנמצאו רגישים לכך הוא Gmail, שירות הדואר של גוגל.

7.
מה ניתן לעשות?

תמיד עומדת לרשות המשתמש האופציה לבטל לחלוטין את השימוש בעוגיות באמצעות הגדרות הדפדפן, אולם שיטה זו אינה מומלצת מכיוון שאתרים מסוימים לא יפעלו כראוי ללא עוגיות. עוגיות מסוג זה אינן מזיקות, ואין צורך להסירן.

המלצתנו היא להריץ סורק רוגלות אחת לשבוע לפחות, בכדי לנקות את המחשב מעוגיות עוקבות, ולהוריד את עומס הפרסומות המציקות לנו. כמו כן חשוב לזכור: אין לפתוח דוא"ל שמגיע ממקור תמוהה, ללחוץ על לינקים שאיננו יודעים לאן הם מובילים, או להתפתות להצעות מפוקפקות. כמו בחיים, בערך.

8.
בשורה התחתונה, כל עוד לא נעשה בהן שימוש לרעה, העוגיות משפרות בהרבה את חווית הגלישה שלנו.

למידע נוסף, מומלץ לקרוא את ה-FAQ הלא רשמי של העוגיות.

השתתף בהכנת הכתבה: דורון טילמן