הנחת היסוד של רבים היא שקוד שפג תוקפו אחרי דקה הוא קוד שאי אפשר לנצל לרעה. ההנחה הזו נכונה רק אם אף אחד לא ממסר אותו בזמן אמת. מתקפת Real-Time Phishing פועלת בדיוק על החלון הצר הזה: תוקף מפעיל אתר מזויף שנראה זהה לאתר המקורי, ממתין לכך שהמשתמש יכניס שם משתמש וסיסמה, ואז מבצע את ניסיון הכניסה לאתר האמיתי בשמו. האתר האמיתי שולח OTP לטלפון של המשתמש, המשתמש מכניס אותו באתר המזויף, והתוקף מעביר אותו לאתר האמיתי תוך שניות.

תרחיש כזה הוא ריאלי לחלוטין: המשתמש מקבל הודעת SMS עם הקוד, רואה אתר שנראה מוכר, ומכניס את הקוד בלי לבדוק את כתובת ה-URL. הוא לא עשה שום דבר "טיפשי" בעיני עצמו, ובכל זאת נפרץ.

ההבחנה בין SMS לאפליקציית מאמת רלוונטית כאן: OTP מבוסס SMS מועבר דרך ספק הסלולר ואינו קשור לדפדפן שפתחתם. OTP מבוסס אפליקציה מחייב שהמכשיר הפיזי נמצא בידיכם ופועל לפי שעון מסונכרן, מה שמקשה יותר על ניצול הקוד. אך גם הוא אינו חסין אם המשתמש מסמן אותו בעצמו לתוקף.

—

אילו טעויות של המשתמש הופכות את OTP לחסר ערך?

שיתוף הקוד בטלפון: הטעות הנפוצה ביותר אינה טכנית כלל. כאשר "נציג שירות" מתקשר ומבקש את ה-OTP שקיבלתם, זו תמיד הונאה. שום שירות לגיטימי אינו יצור קשר כדי לבקש קוד שנשלח אליכם, כי הקוד הזה נועד לאמת את זהותכם בלבד.

לחיצה על קישור מתוך SMS או מייל: כאשר מגיע קישור ומוביל לדף שמבקש את ה-OTP, הדרך הנכונה היא לנווט ישירות לאתר דרך הדפדפן, לא ללחוץ על הלינק. כתובת URL ניתן לזייף בקלות, ואין ביטחון שהעמוד שנפתח הוא האמיתי.

רשת Wi-Fi ציבורית ללא VPN: גם אם הכנסתם את ה-OTP בהצלחה, הסשן שנפתח לאחר האימות עלול להיחטף ברשת ציבורית פתוחה. גניבת עוגיות סשן (Session Hijacking) מאפשרת לתוקף להמשיך לגלוש כאילו הוא אתם, מבלי שיצטרך את הקוד עצמו.

שמירת QR קוד של אפליקציית מאמת: בעת הגדרת Authenticator, רבים מצלמים את קוד ה-QR כגיבוי. אם הקובץ הזה יימצא בגלרייה, בענן, או בכל מקום שניתן לגשת אליו מרחוק, כל הקודים העתידיים נחשפים, כי הסוד הבסיסי שמייצר אותם זמין לתוקף.

—

אילו חולשות טכניות ב-OTP מייצרות סיכון שרוב האנשים לא מכירים?

מתקפת SIM Swap: כאשר OTP מגיע דרך SMS, הוא תלוי בכך שמספר הטלפון שייך לכם. מתקפת SIM Swap מעבירה את המספר לכרטיס של התוקף, כך שכל הודעה שנשלחת אליכם מגיעה אליו. ביצוע התקפה כזו מצריך לרוב מניפולציה חברתית מול ספק הסלולר, אך היא מתועדת ושכיחה יחסית.

חלון זמן ארוך: OTP עם תוקף של עשר דקות נותן לתוקף חלון משמעותי לניצול. קוד בן שש ספרות עם חלון ארוך ובממשק שאינו מגביל ניסיונות הזנה עלול להיות חשוף לניסיונות Brute Force ממוחשבים. מגבלת ניסיונות וחלון זמן קצר הם שני הפרמטרים שהכי קל לבדוק מצד המשתמש.

הבדלים בין פרוטוקולים: לא כל יישום של OTP שווה. פרוטוקול HOTP (מבוסס מונה) ופרוטוקול TOTP (מבוסס זמן) מציגים פרופילי סיכון שונים. TOTP נחשב חזק יותר כי הקוד פג תוקפו אוטומטית עם חלוף הזמן, בעוד HOTP תלוי בסנכרון המונה בין הצדדים ועלול להיות רגיש יותר לניצול אם ההגדרה רופפת.

—

מה קורה אחרי שה-OTP נפרץ ולמה הנזק גדול ממה שחושבים?

גישה לחשבון אחד נדמית כנזק מוגבל, אך בפועל היא נקודת כניסה לשרשרת. חשבון מייל שנפרץ דרך OTP גנוב מאפשר לתוקף לאפס סיסמאות לעשרות שירותים אחרים: בנק, חנות אונליין, שירות ענן, ולעיתים גם חשבונות של ארגון שלם. כל שירות שמחובר לכתובת המייל הזו, ומשתמש בה לאיפוס סיסמה, הופך לפגיע.

החלון הקריטי הוא הדקות הראשונות לאחר הפריצה. רוב הנזק, שינוי כתובת המייל הרשומה, ביצוע פעולות פיננסיות, שליחת הודעות בשם הקורבן, מתבצע לפני שהמשתמש אפילו מבחין שמשהו השתבש.

כדי ליצור שכבת הגנה שקשה יותר לעקוף, ניתן להסתמך על כלי חתימה ואימות שמקשרים את הגישה לזהות מוגדרת ולא רק לקוד חד-פעמי. שילוב של OTP עם אמצעי אימות נוסף, כמו תעודה דיגיטלית, מצמצם משמעותית את הסיכוי שגישה לא מורשית תצליח גם אם הקוד נגנב.

—

איך מגנים נכון: צעדים מעשיים שאפשר ליישם היום

מעבר מ-SMS לאפליקציית מאמת: בכל שירות שמאפשר זאת, עברו ל-OTP מבוסס אפליקציה. זה מסיר את הסיכון של SIM Swap ומפחית את החשיפה לציטוט הקוד בשיחת טלפון.

הפעלת התראות על כניסה ממכשיר חדש: שירותים רבים מאפשרים לשלוח התראה בכל פעם שנרשמת כניסה ממכשיר שלא הוכר קודם. זיהוי מוקדם של כניסה חשודה מאפשר לחסום אותה לפני שהנזק מצטבר.

בדיקת כתובת ה-URL לפני כל הזנת קוד: הקלידו ישירות בדפדפן, בדקו שהכתובת תואמת בדיוק לאתר המקורי, וחפשו סמל מנעול תקף. OTP שמוכנס לדף לא מאומת הוא OTP שנמסר לתוקף.

אל תשמרו את קוד ה-QR של המאמת: אם אתם חייבים גיבוי, כתבו את קוד הגיבוי שהשירות מספק, שמרו אותו פיזית במקום מאובטח, ואל תצלמו את קוד ה-QR לגלרייה.

הגבלת ניסיונות הזנה: עסקים שמיישמים OTP בתוך מוצר שלהם חייבים להגדיר מגבלת ניסיונות כושלים. ממשק שמאפשר ניסיונות בלתי מוגבלים על OTP בן שש ספרות הוא פרצת אבטחה בסיסית.

—

OTP הוא כלי הגנה אפקטיבי, אך הוא אינו עומד לבדו. הבנת נקודות הכשל שלו, הן האנושיות והן הטכניות, היא הצעד הראשון לשימוש בו נכון. הטמעת שכבות אימות נוספות לצד OTP, ובחירת פרוטוקול מתאים לרמת הסיכון, הופכת את ההגנה לאמינה הרבה יותר מאשר הסתמכות על קוד חד-פעמי בלבד.

—