מהן חקירות אימייל?
חקירות אימייל הן תהליך מקצועי של בדיקה, ניתוח ואימות של הודעות דואר אלקטרוני לצורך איתור מקור ההודעה, זיהוי ניסיון התחזות, ניתוח שרשרת השליחה, בדיקת אמינות, איסוף ראיות והערכת הסיכון הנובע מהתכתובת.
החקירה יכולה להיות פשוטה יחסית כאשר מדובר בבדיקת כותרות טכניות בסיסיות, אך במקרים מורכבים היא הופכת לעבודה פורנזית דיגיטלית לכל דבר.
אימייל מכיל הרבה יותר מהטקסט שהמשתמש רואה במסך.
מאחורי כל הודעה מסתתרים נתונים טכניים הנקראים Header, כלומר כותרות מערכת שמציגות בין היתר את מסלול ההעברה בין השרתים, שרת השולח, זמן השליחה, שרתי קבלה, חתימות אימות כגון SPF, DKIM, DMARC, ולעיתים גם רמזים ללקוח הדואר שממנו ההודעה נשלחה.
כאשר בוחנים את הנתונים הללו באופן מקצועי ניתן לגלות אם השולח שהוצג לנמען הוא אכן השולח האמיתי, האם כתובת השולח זויפה, האם ההודעה נשלחה ממדינה מסוימת, האם נעשה שימוש בשרת מוכר להפצת ספאם, והאם קיימות אינדיקציות ברורות להונאה.
במסגרת חקירות אימייל ניתן לבדוק גם את התוכן עצמו.
למשל, האם יש בהודעה קישורים מוסתרים, האם קובץ מצורף מכיל סיכון, האם הניסוח תואם לתבניות פישינג מוכרות, האם קיימים סימנים למתקפת Business Email Compromise, והאם יש עקבות דיגיטליות שמחברות את ההודעה לאירוע קודם.
לעיתים החקירה מתמקדת בזיהוי אדם מסוים.
לעיתים היא בוחנת האם עובד הדליף מידע דרך תיבת דואר.
במקרים אחרים נדרש להוכיח שאימייל מסוים עבר מניפולציה או הוצא מהקשרו.
חשוב להבין שלא בכל מקרה ניתן להגיע לזיהוי מלא וחד משמעי של השולח.
עבריינים דיגיטליים משתמשים לעיתים בשרתי אנונימיזציה, רשתות VPN, תיבות זמניות, שרתים פרוצים או שירותים שמסתירים עקבות.
למרות זאת, חקירה מקצועית יכולה לצמצם את מרחב האפשרויות, לאתר דפוסים, לזהות אינדיקציות חזקות ולייצר תשתית מודיעינית או ראייתית חשובה.
במקרים מסוימים החקירה אינה עומדת לבדה אלא משתלבת עם בדיקות סייבר, מודיעין עסקי, איסוף מידע ממקורות פתוחים, בדיקות מערכות מידע וניתוח התכתבויות נוספות.
המטרה היא לא רק להבין מה קרה, אלא גם לאפשר תגובה חכמה.
תגובה כזו יכולה לכלול פנייה משפטית, חיזוק אבטחה, תיעוד לצורכי הליך, דיווח לספק שירות, חסימת גורם תוקף, ביצוע הדרכת עובדים או היערכות לסיכון עתידי.
סוגי חקירות אימייל
תחום חקירות אימייל כולל מגוון רחב של סוגי בדיקות, וכל אחת מהן מתאימה לצורך אחר.
אחד הסוגים הנפוצים הוא חקירת התחזות.
במקרה כזה נבדקת הודעה שנראית כאילו נשלחה מגורם מוכר, כמו מנהל, בנק, ספק, גוף ממשלתי או שותף עסקי.
הבדיקה נועדה לברר אם מדובר בהודעה אמיתית או בזיוף שנבנה כדי לגרום לקורבן להעביר כסף, למסור פרטים או לפתוח קובץ זדוני.
סוג אחר הוא חקירת פישינג.
כאן מתמקדים בזיהוי הודעות שנועדו לדוג פרטי גישה, נתונים פיננסיים או מידע רגיש.
במסגרת זו בוחנים את הקישורים, את הדומיין, את שפת ההודעה, את תשתית השליחה ואת ההתאמה לתבניות תקיפה ידועות.
לעיתים החקירה מגלה שמדובר בקמפיין רחב שמכוון לעשרות או למאות נמענים.
יש גם חקירות של הטרדות ואיומים באימייל.
אלו מקרים שבהם אדם פרטי, עסק או איש ציבור מקבל הודעות מאיימות, משפילות, מטרידות או סחטניות.
במצבים כאלה חשיבות החקירה גבוהה במיוחד, מפני שהיא עשויה לעזור להעריך את רמת הסיכון, לאתר עקבות טכנולוגיים, לתעד את ההודעות באופן נכון ולסייע בבניית תיק מסודר להמשך טיפול.
חקירות דליפת מידע דרך דוא”ל הן קטגוריה משמעותית נוספת.
ארגונים רבים חוששים מהעברת מסמכים, קבצים, נתונים מסחריים או מידע אישי דרך תיבות מייל פרטיות או חיצוניות.
במקרים כאלה החקירה יכולה להתמקד באיתור מסלול המידע, בדיקת היקף הדליפה, זיהוי נמענים ובחינת הקשר לעובד, לספק או לגורם חיצוני.
סוג נוסף הוא אימות אותנטיות של אימייל לצרכים משפטיים.
לפעמים צד להליך טוען שהודעה מסוימת נשלחה אליו, התקבלה אצלו או מהווה ראיה להתחייבות, לאיום, להסכמה או להפרה.
כאן נדרשת בדיקה זהירה שמטרתה לבחון אם ההודעה מקורית, אם נעשו בה שינויים, אם ניתן לשחזר את הכותרות, ואם מתקיימת התאמה בין תוכן ההודעה לתיעוד הטכני.
יש גם חקירות של מתקפות Business Email Compromise.
מדובר בהונאות שבהן תוקף מתחזה למנהל בכיר, לספק או לחשבונות, ומנסה לגרום להעברת תשלום לחשבון זר.
הונאות כאלה הפכו לנפוצות במיוחד בחברות שעובדות מול חו”ל, והן עלולות לגרום לנזק של מאות אלפי שקלים ואף יותר.
חקירה מהירה במקרים כאלה עשויה לגלות שהדומיין הוחלף באות אחת, שהתגובה נשלחה משרת חריג, או שההודעה עברה דרך תשתית בעייתית.
קטגוריה נוספת היא ניתוח קבצים מצורפים וקישורים באימייל.
בבדיקה זו חוקרים אם המצורף מכיל נוזקה, אם הקישור מוביל לאתר מתחזה, אם יש ניסיון להוריד קוד זדוני, ואם ההודעה היא חלק משרשרת תקיפה רחבה יותר.
גם חקירות פנים ארגוניות נכנסות תחת התחום.
למשל, כאשר חברה רוצה להבין אם נעשה שימוש לא מורשה בתיבת דואר של עובד, אם בוצעו מחיקות מכוונות, אם נשלחו הודעות בניגוד לנהלים או אם היה ניסיון לפגוע בארגון מתוך המערכת.
לכל סוג חקירה יש שיטות עבודה שונות, רמת עומק אחרת, כלים ייעודיים ומטרות נפרדות.
לכן חשוב להתאים את הבדיקה לאירוע עצמו ולא להסתפק בהתרשמות שטחית מההודעה.
מי צריך חקירות אימייל
חקירות אימייל מתאימות למגוון רחב מאוד של לקוחות.
הקבוצה הראשונה היא עסקים וחברות.
ארגונים בכל גודל חשופים כיום לניסיונות התחזות, הונאות תשלום, הודעות זדוניות, דליפות מידע ופגיעה במוניטין דרך תכתובות דוא”ל.
חברה שמקבלת הודעה מחשידה מספק, בקשה חריגה להעברת כספים או מייל שנראה כאילו יצא מתוך הארגון, לא יכולה להרשות לעצמה להתעלם.
חקירה מקצועית עוזרת לה להבין אם מדובר באירוע נקודתי או באיום מתמשך.
גם משרדי עורכי דין זקוקים לשירות הזה.
לא פעם אימיילים הם חלק מהותי ממחלוקת משפטית, החל מסכסוכים מסחריים ועד תיקי לשון הרע, דיני עבודה, ירושה, סחיטה, איומים ותביעות חוזיות.
כאשר יש צורך להבין אם הודעה מסוימת אותנטית, מתי היא נשלחה, מי ככל הנראה עומד מאחוריה ומה ערכה הראייתי, חקירת אימייל יכולה להיות צעד קריטי.
אנשים פרטיים פונים בדרך כלל בשל הטרדות, איומים, פניות אנונימיות, התחזות ברשת או חשד להונאה.
לעיתים מדובר בסכסוך אישי.
לעיתים מדובר בניסיון לסחוט כסף או לפגוע בשם הטוב.
במצבים כאלה קשה מאוד לדעת כיצד לפעול לבד, בעיקר משום שכל טעות בתיעוד עלולה להקשות על המשך הטיפול.
בדיקה מסודרת יכולה לעשות סדר, להבהיר מה ידוע, מה לא ידוע, מה ניתן להוכיח, ומה נכון לעשות מכאן.
גם בעלי אתרי מסחר ועסקים דיגיטליים זקוקים לעיתים לחקירות אימייל.
הונאות הזמנה, הודעות מזויפות מספקי סליקה, מיילים שמתחזים לפלטפורמות מסחר ותלונות אנונימיות הם חלק מהסיכונים הקבועים בזירה הזו.
חקירה נכונה מסייעת להגן על תהליכי העבודה ועל אמון הלקוחות.
מנהלי מערכות מידע, אנשי אבטחת מידע ואנשי IT בארגונים נעזרים בחקירות אימייל כדי להבין את מקור האירוע ולחזק את מערכי ההגנה.
לעיתים מתקבלת התראה על הודעה שנכנסה למספר עובדים.
לעיתים זוהה דומיין דומה לדומיין הארגוני.
לעיתים עובד לחץ על קישור חשוד ואין ודאות אם מדובר בתקיפה פעילה.
בכל אחד מהמקרים הללו, חקירת אימייל מסייעת לקצר את זמן התגובה ולתת תמונת מצב מדויקת.
גם גופים ציבוריים, עמותות, מוסדות חינוך ומרפאות עשויים להזדקק לשירות כאשר יש חשש לפגיעה בפרטיות, שליחת הודעות מתחזות בשם הארגון, דליפת מידע רגיש או הטרדות כלפי עובדים.
בנוסף, אנשי ציבור, נבחרי ציבור, מנהלים בכירים ובעלי תפקידים רגישים הם יעד נפוץ במיוחד להודעות התחזות, ניסיונות השפעה וקמפיינים אנונימיים.
עבורם, חקירות אימייל הן לא רק כלי תגובתי אלא גם שכבת הגנה חשובה לניהול סיכונים.
בפועל, כל מי שמקבל הודעת דוא”ל שנראית חריגה, מסוכנת, אנונימית, פוגענית או כזו שעלולה לגרום לנזק כלכלי, משפטי או אישי, עשוי להפיק תועלת משמעותית מחקירת אימייל מקצועית.
סטטיסטיקות מישראל בנושא חקירות אימייל
כאשר בוחנים את המצב בישראל, קל להבין מדוע חקירות אימייל הפכו לשירות נחוץ במיוחד.
ישראל היא מדינה דיגיטלית מאוד.
עסקים קטנים, חברות טכנולוגיה, מוסדות ציבור ואזרחים פרטיים מנהלים חלק עצום מההתנהלות היומיומית שלהם דרך האימייל.
המשמעות היא שגם התוקפים מתמקדים בערוץ הזה.
בשנים האחרונות פורסמו בישראל ובגופים ציבוריים שונים הערכות שלפיהן אחוז גבוה מאוד מאירועי הסייבר מתחיל בהודעת דוא”ל תמימה למראה.
בקרב ארגונים רבים, פישינג והתחזות בדוא”ל נחשבים עד היום לאחד הווקטורים המרכזיים לחדירה, לגניבת סיסמאות ולהונאות כספיות.
לפי מגמות שעלו בדוחות מקומיים של מערכי סייבר, חברות אבטחה וגופי מחקר, יש עלייה עקבית במתקפות התחזות לספקים, לבנקים, לחברות שילוח, לרשויות ולמנהלים בכירים.
גם אם המספרים משתנים בין מקור למקור, התמונה הכללית ברורה מאוד.
הודעות אימייל זדוניות הן חלק בלתי נפרד מהנוף הדיגיטלי בישראל.
במגזר העסקי הישראלי יש רגישות גבוהה במיוחד להונאות תשלום מבוססות אימייל.
עסקים שעובדים עם ספקים בחו”ל חשופים יותר לניסיונות החלפת פרטי בנק באמצעות התחזות במייל.
במקרים כאלה די בהודעה אחת משכנעת כדי ליצור נזק פיננסי חמור.
לכן יותר חברות בישראל מבצעות כיום אימות כפול לכל שינוי בפרטי תשלום, וגם פונות לחקירה כאשר עולה חשד שהתקבלה הודעה מזויפת.
בקרב הציבור הרחב ניכרת עלייה בפניות שקשורות להטרדות, התחזות ואיומים בדוא”ל.
התרחבות השימוש בתיבות דואר חינמיות, לצד קלות פתיחת חשבונות חדשים, יוצרת כר פורה לשליחת הודעות אנונימיות או מתחזות.
למרות זאת, דווקא בישראל קיימת מודעות הולכת וגוברת לחשיבות התיעוד, שמירת הכותרות הטכניות והפנייה לגורם מקצועי לפני מחיקה או תגובה.
גם במוסדות ציבור ובארגוני חינוך נרשמת עלייה במודעות לסיכוני אימייל.
אירועים של התחזות להורים, לספקים, לעובדים או לגופים רשמיים הופכים שכיחים יותר.
מגמה זו מובילה להשקעה גוברת בבדיקות מקור הודעה, בהדרכות עובדים ובשירותי חקירה לאחר אירוע.
עוד נתון מעניין מהשוק הישראלי קשור למהירות התגובה.
במקרים רבים, ככל שהחקירה מתחילה מוקדם יותר, כך גדל הסיכוי לאתר פרטים חשובים, לשמור לוגים רלוונטיים, לאסוף נתונים משרתי דואר ולהקטין את הנזק.
מסיבה זו ארגונים בישראל מבינים יותר ויותר שלא כדאי להמתין עד שהאירוע יסלים.
חשוב לציין כי בסטטיסטיקות של פניות לגורמי סייבר בישראל ניכרת עלייה עקבית בדיווחים על פישינג, גניבת חשבונות, התחזות דיגיטלית והונאות מבוססות תקשורת אלקטרונית.
אימייל ממשיך להיות אחד הערוצים המרכזיים שבהם אירועים כאלה מתחילים.
מכאן נובעת החשיבות של חקירות אימייל כפתרון מקצועי שמשלב בדיקה טכנית, חשיבה חקירתית ותמיכה בקבלת החלטות.
שירותי חקירות אימייל של קורל טכנולוגיות
קורל טכנולוגיות מספקת שירותי חקירות אימייל במטרה לעזור ללקוחות פרטיים, עסקיים ומשפטיים להבין מה באמת עומד מאחורי הודעות דואר אלקטרוני חשודות.
השירות מבוסס על גישה מקצועית שמשלבת מומחיות טכנולוגית, ניתוח ראיות דיגיטליות, בדיקות עומק והבנה מעשית של תרחישי הונאה, התחזות ודליפת מידע.
כאשר לקוח פונה לקורל טכנולוגיות, השלב הראשון כולל הבנת האירוע.
נבדקת מטרת החקירה, חומרת המקרה, סוג ההודעות, זהות המעורבים, רמת הדחיפות והאפשרות לאיסוף נתונים רלוונטיים.
במקרים מסוימים נדרשת בדיקה מהירה כדי למנוע נזק מיידי.
במקרים אחרים מתבצעת חקירה מעמיקה לצורך תיעוד, ניתוח והפקת מסקנות.
אחד השירותים המרכזיים הוא ניתוח כותרות אימייל מלא.
בדיקה זו מאפשרת לבחון את מסלול ההודעה, את שרתי השליחה והקבלה, את תוצאות מנגנוני האימות, את כתובות ה IP הרלוונטיות ואת האינדיקציות האפשריות לזיוף או להסוואה.
בדרך זו ניתן לעיתים להפריד בין כתובת השולח המוצגת לבין מקור ההודעה בפועל.
קורל טכנולוגיות מספקת גם שירותי בדיקת התחזות ופישינג.
כאשר עסק או אדם מקבל הודעה שנראית כאילו הגיעה מבנק, מספק, ממנכ”ל, מחברת אשראי או מגורם מוכר אחר, ניתן לבצע בדיקה שתזהה אם מדובר בהודעה אמינה או במתקפת הונאה.
הבדיקה כוללת ניתוח קישורים, דומיינים, שרשרת שליחה, נוסח ההודעה ומאפיינים טכניים והתנהגותיים.
שירות חשוב נוסף הוא חקירת הטרדות ואיומים בדוא”ל.
במקרים כאלה נדרשת גם רגישות גבוהה וגם עבודה מסודרת.
קורל טכנולוגיות מסייעת ללקוחות לשמור את החומר באופן נכון, לנתח את המידע הטכני, לזהות אינדיקציות רלוונטיות ולהיערך להמשך טיפול מול עורך דין, משטרה או גורמים מוסמכים אחרים לפי הצורך.
עבור ארגונים, החברה מעניקה שירותי חקירת דליפות מידע ואירועי דואר חשודים מתוך הסביבה הארגונית.
מטרת השירות היא להבין האם יצא מידע מתיבת דואר, אם נעשה שימוש לא מורשה בחשבון, אם עובד או גורם חיצוני היו מעורבים, ומה היקף האירוע.
שירותים אלה חשובים במיוחד כאשר יש רגישות מסחרית, רגולטורית או תדמיתית.
קורל טכנולוגיות מלווה גם משרדי עורכי דין ולקוחות פרטיים שזקוקים לדוחות מקצועיים בנוגע לאימיילים מסוימים.
כאשר יש חשיבות לתיעוד מסודר, להסבר טכני ברור ולתמונה חקירתית שניתן להציג בצורה מסודרת, ליווי מקצועי עשוי להיות בעל ערך משמעותי.
היתרון בשירות ממוקד הוא היכולת לקבל לא רק בדיקה טכנית יבשה, אלא הבנה רחבה של המשמעות.
מה ניתן לדעת מההודעה.
מה אי אפשר לקבוע בוודאות.
מה דורש בדיקות המשך.
מה הסיכון בפועל.
ומה כדאי לעשות עכשיו.
במציאות שבה כל הודעה יכולה להיות חלק מאירוע רחב יותר, חשוב לעבוד עם גוף שיודע להבחין בין רעש לבין אינדיקציה אמיתית.
קורל טכנולוגיות מציעה גישה כזו, תוך התאמה לסוג הלקוח, לדחיפות האירוע ולמטרת החקירה.
שאלות ותשובות בנושא חקירות אימייל
אחת השאלות הנפוצות ביותר היא האם באמת אפשר לדעת מי שלח אימייל.
התשובה היא שלעיתים כן, ולעיתים רק באופן חלקי.
יש מקרים שבהם הנתונים הטכניים מספקים אינדיקציות חזקות מאוד לגבי מקור ההודעה.
יש גם מקרים שבהם השולח השתמש באמצעי הסתרה שמקשים על זיהוי מלא.
למרות זאת, גם כאשר אין זיהוי מוחלט, חקירה מקצועית יכולה לגלות מידע חשוב מאוד על אופי ההודעה, מסלול השליחה, הסבירות לזיוף ורמת האיום.
שאלה נוספת היא האם אפשר לבדוק אימייל גם אם הוא נראה רגיל לחלוטין.
בהחלט כן.
רבות מהודעות ההתחזות המוצלחות ביותר נראות תקינות לגמרי במבט ראשון.
דווקא במקרים כאלה חשוב לבדוק את הכותרות הטכניות, את הדומיין, את הקישורים ואת פרטי המסירה.
שואלים גם האם כדאי להגיב להודעה חשודה.
בדרך כלל התשובה היא שלא.
תגובה לשולח עלולה לאשר שהכתובת פעילה, לעודד המשך הטרדה או לסבך את התיעוד.
במקום זאת מומלץ לשמור את ההודעה, לא למחוק אותה, לא לפתוח קישורים או קבצים מצורפים, ולפנות לבדיקה מקצועית.
עוד שאלה נפוצה היא מה צריך לשלוח לצורך חקירת אימייל.
בדרך כלל חשוב להעביר את ההודעה המלאה, כולל הכותרות הטכניות אם אפשר, צילומי מסך, תיעוד של נסיבות קבלת ההודעה וכל מידע משלים שיכול לעזור להבין את ההקשר.
אם מדובר בשרשרת תכתובות, כדאי לשמור את כולה.
אם מדובר באירוע ארגוני, חשוב לשמור גם לוגים רלוונטיים לפי האפשרות.
אנשים רבים שואלים כמה זמן לוקחת חקירת אימייל.
התשובה תלויה במורכבות המקרה.
בדיקה בסיסית יכולה להסתיים מהר יחסית.
חקירה מעמיקה, במיוחד כאשר יש היבטים משפטיים, ארגוניים או טכניים מורכבים, עשויה לדרוש יותר זמן.
הדבר החשוב ביותר הוא להתחיל מוקדם ככל האפשר.
שאלה נוספת היא האם מותר לחקור אימייל של עובד או של אדם אחר.
כאן חשוב לפעול בזהירות ובהתאם לדין, למדיניות הארגונית ולייעוץ משפטי כאשר נדרש.
לא כל גישה לתיבת דואר מותרת, ולא כל בדיקה נעשית באותו אופן.
כאשר עובדים מסודר ובליווי מתאים, ניתן לבצע בדיקות רלוונטיות באופן נכון יותר.
יש גם מי ששואלים אם חקירת אימייל יכולה לעזור בבית משפט.
במקרים מסוימים כן.
ככל שהתיעוד נשמר כראוי, ככל שהבדיקה מקצועית יותר, וככל שהנתונים הטכניים תומכים במסקנות, כך גדל הערך של החומר.
עם זאת, כל מקרה נבחן לפי נסיבותיו.
שאלה נפוצה נוספת היא האם אפשר למנוע מראש את הצורך בחקירה.
לא תמיד, אך בהחלט אפשר לצמצם סיכון.
שימוש בהגדרות אבטחה נכונות, הדרכות עובדים, אימות דו שלבי, מדיניות תשלומים ברורה ובקרה על דומיינים דומים, כל אלה יכולים להפחית את מספר האירועים.
גם כך, כאשר מתרחש מקרה חריג, חקירות אימייל נשארות כלי חיוני להבנת התמונה המלאה.
מחפש חקירות אימייל? פנה עכשיו!
