סיסמאות דולפות כל הזמן, גם כשלא עשיתם שום דבר לא בסדר. מספיק שאתר אחד שנרשמתם אליו לפני כמה שנים נפרץ, ושהשתמשתם שם באותה סיסמה כמו במייל. אימות דו-שלבי (2FA) הוא השכבה שמגינה עליכם גם כשהסיסמה כבר בידיים לא נכונות, והפעלה שלו בחשבון אחד לוקחת בערך חמש דקות.
מה זה אימות דו-שלבי? זו שיטת כניסה לחשבון שדורשת שני דברים במקום אחד: הסיסמה שאתם יודעים, ועוד הוכחה שנמצאת רק אצלכם, בדרך כלל קוד מהטלפון. גם אם מישהו השיג את הסיסמה, הוא לא יכול להיכנס בלי השלב השני. מפעילים אותו בהגדרות האבטחה של כל חשבון, ומתחילים מהמייל הראשי.
למה סיסמה כבר לא מספיקה?
כי את הסיסמה אפשר להשיג בלי לגעת בכם. היא יכולה לדלוף מאתר שנפרץ, להימסר בטעות לאתר מזויף שנראה בדיוק כמו המקורי, או להתגלות כי היא פשוטה מדי.
הבעיה הגדולה היא שימוש חוזר. רוב האנשים משתמשים באותה סיסמה, או בגרסאות קרובות שלה, בכמה אתרים. כשהיא דולפת מאתר אחד, מנסים אותה אוטומטית במייל, ברשתות ובחנויות. זה לא דורש האקר גאון, רק תוכנה שמנסה צירופים.
אימות דו-שלבי שובר את השרשרת. גם כשהסיסמה נכונה, מי שמנסה להיכנס ממכשיר זר נתקע מול בקשה לקוד שמגיע רק לטלפון שלכם.
איך עובד אימות דו-שלבי?
בכל כניסה ממכשיר חדש, אחרי הסיסמה, השירות מבקש הוכחה שנייה. ההוכחה יכולה להיות קוד מאפליקציה, קוד ב-SMS, אישור בהתראה או מפתח אבטחה פיזי.
הרעיון מבוסס על שילוב של שני סוגים שונים של הוכחות: משהו שאתם יודעים, כמו סיסמה, ומשהו שיש לכם, כמו הטלפון. גנב צריך להשיג את שניהם בבת אחת, וזה קשה הרבה יותר.
ברוב השירותים לא תתבקשו להזין קוד בכל פעם. אחרי כניסה מוצלחת אפשר לסמן את המכשיר כמוכר, והקוד יידרש בעיקר כשמישהו מתחבר ממחשב או מטלפון חדש. כלומר, בדיוק במצב שבו פורץ מנסה להיכנס.
מה ההבדל בין אימות דו-שלבי לאימות רב-שלבי?
בפועל, לרוב המשתמשים אין הבדל. אימות דו-שלבי דורש שתי הוכחות, ואימות רב-שלבי (MFA) הוא השם הכללי לכל שיטה שדורשת יותר מהוכחה אחת. בארגונים ובמסמכים רשמיים תראו בעיקר את המונח MFA, ובאפליקציות לצרכנים את המונח אימות דו-שלבי.
ומה אם אין לי סמארטפון?
אפשר להסתדר גם בלעדיו. קוד ב-SMS עובד גם בטלפון פשוט, ובחלק מהשירותים אפשר להשתמש במפתח אבטחה פיזי או בקודי גיבוי מודפסים. העיקר הוא שהשלב השני יהיה משהו שנמצא אצלכם, ולא עוד פרט שמישהו אחר יכול לנחש, כמו שם בית הספר היסודי או שם חיית המחמד. שאלות אבטחה כאלה הן לא שלב שני אמיתי, כי את התשובות אפשר לעיתים קרובות למצוא ברשתות החברתיות.
איזה חשבון להפעיל קודם?
את המייל הראשי. דרכו מאפסים סיסמה כמעט לכל חשבון אחר, ולכן מי שנכנס אליו יכול להשתלט גם על השאר. אחריו בנק ואשראי, אחר כך רשתות חברתיות וענן, ובסוף חשבונות עבודה.
אין צורך לעשות את כל החשבונות היום. חמש דקות לחשבון, ארבעה חשבונות חשובים, ובתוך פחות מחצי שעה סגרתם את רוב הסיכון. בחרו בכלי למטה ותקבלו הסבר לכל סוג חשבון.
מה עם וואטסאפ?
בוואטסאפ האפשרות שנקראת אימות דו-שלבי עובדת קצת אחרת: זה קוד PIN בן שש ספרות שאתם בוחרים בעצמכם. הקוד נדרש כשמישהו מנסה לרשום את מספר הטלפון שלכם בוואטסאפ במכשיר אחר. זה חוסם תרחיש נפוץ של השתלטות, שבו מישהו משכנע אתכם למסור את קוד האימות שהגיע ב-SMS.
איך מפעילים אימות דו-שלבי, צעד אחר צעד
התהליך דומה כמעט בכל שירות, גם אם השמות בתפריטים משתנים. כך זה נראה בדרך כלל:
- 1
נכנסים להגדרות האבטחה
בחשבון עצמו, בדרך כלל תחת אבטחה, פרטיות או כניסה לחשבון.
- 2
בוחרים אימות דו-שלבי
השם משתנה מאתר לאתר: אימות דו-שלבי, אימות בשני שלבים, או 2-Step Verification.
- 3
בוחרים אפליקציית אימות
אם יש אפשרות, מעדיפים אפליקציית אימות (Authenticator) על פני SMS. סורקים את קוד ה-QR שמופיע על המסך.
- 4
מזינים את הקוד הראשון
האפליקציה מציגה קוד בן כמה ספרות שמתחלף כל כמה שניות. מזינים אותו באתר כדי לאשר שהחיבור עובד.
- 5
שומרים את קודי הגיבוי
האתר יציג רשימת קודים חד-פעמיים. מדפיסים או שומרים במנהל סיסמאות, במקום שלא תלוי בטלפון.
אחרי ההפעלה, התנתקו והתחברו שוב. כך תדעו שהכול עובד עכשיו, ולא ביום שבאמת תצטרכו את זה.
מה זו אפליקציית אימות?
זו אפליקציה בטלפון שמייצרת קודים של כמה ספרות, שמתחלפים כל כמה שניות. הקוד נוצר על המכשיר עצמו, ולכן הוא עובד גם בלי קליטה ובלי אינטרנט.
יש כמה אפליקציות כאלה מחברות גדולות ומוכרות. כשבוחרים אחת, כדאי לבדוק שני דברים: שהיא מחברה שאתם סומכים עליה, ושיש לה דרך מסודרת להעביר את החשבונות לטלפון חדש. אחרת, החלפת טלפון הופכת לכאב ראש.
מה עושים עם קודי הגיבוי?
קודי גיבוי הם רשימה של קודים חד-פעמיים שמאפשרים להיכנס לחשבון כשאין לכם גישה לטלפון. כל קוד עובד פעם אחת בלבד.
שמרו אותם במקום שלא תלוי בטלפון: הדפסה במגירה בבית, או מנהל סיסמאות שאתם יכולים לפתוח גם ממחשב. צילום מסך שיושב בגלריה של אותו טלפון לא עוזר, כי הוא הולך לאיבוד יחד איתו.
איפה נכנס מנהל סיסמאות?
מנהל סיסמאות ואימות דו-שלבי משלימים זה את זה. מנהל סיסמאות מאפשר סיסמה שונה וחזקה לכל אתר, בלי לזכור אף אחת מהן, וכך דליפה מאתר אחד לא פותחת את כל השאר. אימות דו-שלבי מגן גם במקרה שסיסמה בכל זאת דלפה. רבים ממנהלי הסיסמאות יודעים גם לשמור קודי גיבוי בצורה מסודרת. רק זכרו להגן על מנהל הסיסמאות עצמו בסיסמה ראשית חזקה ובאימות דו-שלבי.
SMS או אפליקציית אימות: מה עדיף?
אפליקציית אימות עדיפה. היא לא תלויה בקליטה, ואי אפשר ליירט את הקוד בדרך או להעביר אותו לכרטיס SIM אחר. אבל SMS עדיין טוב בהרבה מאשר בלי אימות דו-שלבי בכלל.
SMS הוא הדרך הכי נפוצה וגם הכי פשוטה. הוא מתאים במיוחד להורים ולמי שלא רוצה עוד אפליקציה. החולשה העיקרית שלו היא שהוא קשור למספר הטלפון, לא למכשיר. אם מישהו מצליח לשכנע את חברת הסלולר להעביר את המספר שלכם לכרטיס SIM אחר, הוא מקבל גם את הקודים.
יתרונות
- לא צריך להתקין כלום
- עובד גם בטלפון פשוט
- קל להסביר להורים
חסרונות
- אפשר להעביר מספר לכרטיס SIM אחר בתרמית
- תלוי בקליטה
- הודעות אפשר ליירט או לפתות אתכם למסור אותן
השוואת שיטות אימות דו-שלבי
| שיטה | איך זה עובד | רמת הגנה | נוחות | מתאים ל |
|---|---|---|---|---|
| קוד ב-SMS | קוד נשלח בהודעה למספר הטלפון | בסיסית | גבוהה, אין מה להתקין | מי שמתחיל, הורים, שירותים שמציעים רק את זה |
| אפליקציית אימות | קוד מתחלף שנוצר על הטלפון | גבוהה | בינונית, צריך להתקין ולהעביר בהחלפת טלפון | רוב החשבונות האישיים |
| אישור בהתראה | השירות שולח בקשה לאשר כניסה במכשיר מוכר | גבוהה, אם לא מאשרים בקשות זרות | גבוהה מאוד, לחיצה אחת | חשבונות Google, Apple ו-Microsoft |
| מפתח אבטחה פיזי | התקן קטן שמחברים או מקרבים למכשיר | הגבוהה ביותר | נמוכה יותר, צריך לשאת אותו | חשבונות רגישים במיוחד, מנהלי מערכת |
| קודי גיבוי | רשימת קודים חד-פעמיים | גיבוי בלבד | לשימוש בחירום | כל חשבון, כרשת ביטחון |
אילו טעויות הופכות אימות דו-שלבי לחסר תועלת?
שלוש טעויות חוזרות שוב ושוב: לא לשמור קודי גיבוי, לאשר בקשת כניסה שלא ביקשתם, ולמסור את הקוד למישהו שמתקשר ומציג את עצמו כנציג. כל אחת מהן פותחת את הדלת שההגנה אמורה לסגור.
הטלפון נגנב, נשבר או הוחלף, ואין דרך לקבל קוד. בלי קודי גיבוי, החזרת חשבון יכולה לקחת ימים ולפעמים לא מצליחה בכלל.
אם קפצה התראה לאשר התחברות ולא ניסיתם להתחבר, מישהו כבר מחזיק בסיסמה שלכם. דחו את הבקשה ושנו סיסמה מיד. התראות שחוזרות שוב ושוב הן ניסיון לשבור אתכם, עד שתלחצו אישור רק כדי שזה ייגמר.
אף נציג אמיתי של בנק, חברת סלולר או רשת חברתית לא יבקש מכם להקריא קוד אימות. אם מישהו מבקש, נתקו והתקשרו בעצמכם למספר הרשמי שמופיע באתר או על הכרטיס.
עוד טעות שקטה: להפעיל אימות דו-שלבי ואז להחליף טלפון בלי להעביר את אפליקציית האימות. לפני שמוחקים או מוכרים טלפון ישן, ודאו שהחשבונות עברו לחדש ושאתם מצליחים להיכנס איתו.
איך מזהים הודעה שמנסה לגנוב את הקוד?
רוב ניסיונות העקיפה של אימות דו-שלבי לא טכניים בכלל, הם מבוססים על לחץ. סימנים שחוזרים כמעט תמיד:
- דחיפות מלאכותית: החשבון ייחסם בעוד שעה, החבילה תוחזר היום, יש חיוב חשוד שצריך לבטל עכשיו.
- בקשה להקריא או להעביר קוד: בטלפון, בוואטסאפ או בטופס באתר שהגעתם אליו מקישור.
- קישור שנראה כמעט נכון: כתובת עם אות אחת שונה, או דומיין שלא שייך לחברה.
- חבר שמבקש קוד: הודעה מחבר שכתוב בה שנשלח אליכם קוד בטעות ושתעבירו אותו. לרוב החשבון של החבר כבר נפרץ.
הכלל הפשוט: לא נכנסים לחשבון דרך קישור שהגיע בהודעה. פותחים את האפליקציה או מקלידים את כתובת האתר בעצמכם.
איך מעבירים אפליקציית אימות לטלפון חדש?
עושים את זה לפני שמאפסים או מוסרים את הטלפון הישן, לא אחרי. כל עוד הישן עובד, ההעברה פשוטה.
חלק מאפליקציות האימות מציעות גיבוי או סנכרון לחשבון, ואז מספיק להתחבר באפליקציה בטלפון החדש. באחרות יש כלי ייצוא שמציג קוד QR בטלפון הישן, שסורקים מהחדש. ואם אין אף אחת מהאפשרויות, נכנסים לכל חשבון בנפרד, מבטלים את החיבור הישן ומגדירים מחדש עם הטלפון החדש.
אחרי ההעברה, בדקו כניסה לפחות לחשבון אחד חשוב, כמו המייל הראשי, עם הטלפון החדש. רק אחרי שזה עובד, מאפסים את הישן.
איך עוזרים להורים להפעיל אימות דו-שלבי?
שבו איתם, על המכשיר שלהם, וקחו חשבון אחד בכל פעם. מתחילים מהמייל ומוואטסאפ, כי שם מתחילות רוב ההונאות.
כמה דברים שעושים את זה קל יותר:
- שיטה אחת פשוטה. אם אפליקציית אימות מבלבלת אותם, SMS או אישור בהתראה עדיפים בהרבה על כלום.
- קודי גיבוי מודפסים. דף אחד, בתיקייה עם המסמכים החשובים, עם שם החשבון על כל קבוצת קודים.
- משפט אחד לזכור: קוד שמגיע בהודעה לא מקריאים לאף אחד, גם לא למי שאומר שהוא מהבנק או מהמשפחה.
- מספר טלפון לשחזור שלכם. בהסכמתם, הוסיפו את המספר שלכם כאמצעי שחזור נוסף, כדי שתוכלו לעזור אם הם ננעלים.
מה עושים אם החשבון כבר נפרץ?
פועלים מהר ולפי סדר: נכנסים מהמכשיר שלכם, מחליפים סיסמה, מפעילים אימות דו-שלבי אם עוד לא הופעל, ומנתקים את כל המכשירים האחרים מהחשבון.
- מחליפים סיסמה לחשבון שנפרץ, ולכל חשבון אחר שבו השתמשתם באותה סיסמה.
- בודקים את פרטי השחזור. פורצים נוהגים לשנות את מספר הטלפון או את מייל השחזור. ודאו שהם שלכם.
- מנתקים מכשירים לא מוכרים. ברוב השירותים יש רשימת מכשירים מחוברים בהגדרות האבטחה.
- בודקים כללי העברה במייל. כלל שמעביר את המיילים שלכם לכתובת זרה הוא סימן מוכר לפריצה.
- מזהירים את החברים אם נשלחו מהחשבון הודעות חשודות.
- אם אין גישה בכלל, משתמשים בתהליך שחזור החשבון הרשמי של השירות, דרך האתר שלו בלבד.
אימות דו-שלבי בעסק קטן
בעסק, חשבון פרוץ הוא לא רק בעיה אישית. מייל עסקי שנפרץ יכול לשמש לשליחת חשבוניות מזויפות ללקוחות, ודף עסקי ברשת חברתית שנגנב יכול לקחת שבועות לשחזר. אם אתם מחברים כלים חדשים לעסק, כמו בכלים שתיארנו במדריך לשימוש ב-AI בעסק קטן, הקפידו שכל חשבון מנהל מוגן באימות דו-שלבי.
וגם: אל תשתפו סיסמה אחת בין כמה עובדים. ברוב השירותים אפשר להוסיף משתמשים נפרדים עם הרשאות, כל אחד עם האימות הדו-שלבי שלו.
אימות דו-שלבי הוא חלק אחד מהתמונה
הוא סוגר את הדלת הראשית, אבל כדאי לשים לב גם לחלונות. גיבוי מסודר מבטיח שגם אם משהו קורה לחשבון, התמונות והמסמכים לא הולכים לאיבוד. פירטנו את זה במדריך לכלל הגיבוי 3-2-1. ואם אתם משתמשים בצ’אטבוטים, שווה לעבור על רשימת הבדיקה מה לא להדביק בצ’אטבוט, כי גם שם יושב מידע רגיש.
מילון מונחים
- 2FA: קיצור של Two-Factor Authentication, אימות דו-שלבי.
- MFA: אימות רב-שלבי, השם הכללי לשיטות שדורשות יותר מהוכחה אחת.
- אפליקציית אימות (Authenticator): אפליקציה שמייצרת קודים מתחלפים על הטלפון.
- קודי גיבוי: קודים חד-פעמיים לכניסה כשאין גישה לטלפון.
- מפתח אבטחה: התקן פיזי קטן שמשמש כשלב השני, בחיבור USB או בקירוב למכשיר.
- מפתח גישה (Passkey): שיטת כניסה חדשה יותר שמחליפה את הסיסמה בזיהוי במכשיר עצמו, כמו טביעת אצבע או זיהוי פנים. בשירותים שתומכים בה, היא גם מגינה מפני אתרים מזויפים.
- פישינג: אתר, מייל או הודעה מזויפים שמנסים לגרום לכם למסור סיסמה או קוד.
רשימת בדיקה
שאלות נפוצות על אימות דו-שלבי
מה קורה אם איבדתי את הטלפון?
נכנסים עם אחד מקודי הגיבוי, ואז מגדירים את האימות מחדש בטלפון החדש. לכן כל כך חשוב לשמור אותם מחוץ לטלפון.
אצטרך להזין קוד בכל כניסה?
בדרך כלל לא. ברוב השירותים אפשר לסמן מכשיר כמוכר, והקוד יידרש בעיקר בכניסה ממכשיר חדש.
אם יש לי סיסמה חזקה, זה עדיין נחוץ?
כן. סיסמה חזקה לא עוזרת אם היא דלפה מאתר שנפרץ או נמסרה בטעות לאתר מזויף. השלב השני עוצר גם את המקרים האלה.
האם קוד ב-SMS בטוח מספיק?
הוא הרבה יותר טוב מכלום. אם השירות מציע אפליקציית אימות או אישור בהתראה, עדיף לבחור בהם, כי הם לא תלויים במספר הטלפון.
מה ההבדל בין אימות דו-שלבי למפתח גישה (Passkey)?
אימות דו-שלבי מוסיף שלב אחרי הסיסמה. מפתח גישה מחליף את הסיסמה בזיהוי במכשיר שלכם. בשירותים שתומכים בשניהם, אפשר להשתמש בשניהם יחד.
מה זה אימות דו-שלבי?
זו שכבת הגנה שנייה בנוסף לסיסמה, למשל קוד מאפליקציה או SMS. גם אם הסיסמה דלפה, מי שגנב אותה לא נכנס בלי השלב השני.
מקורות וקריאה נוספת
- Google: הפעלת אימות דו-שלבי בחשבון Google
- Apple: אימות דו-גורמי לחשבון Apple
- CISA: More than a Password, הסבר על אימות רב-שלבי, דף בארכיון
קראו גם
- כלל הגיבוי 3-2-1: איך לא מאבדים תמונות ומסמכים לנצח
- מה לא כדאי להדביק בצ’אטבוט: רשימת בדיקה לפרטיות
- 5 דרכים שבהן עסק קטן יכול להשתמש ב-AI כבר השבוע
- 7 טיפים לצילום טוב יותר עם הטלפון
- סיסמה חזקה: איך יוצרים אחת
חמש דקות של הגדרה חוסכות שבועות של טיפול בחשבון פרוץ.
