הבדיקות שלנו מסתכלות רק על מה שכל אחד כבר יכול לראות מהאינטרנט — בדיוק מה שתוקף בודק ראשון. בלי חשבון, בלי התקנה, ושום דבר לא נפרץ: הבדיקות אינן חודרניות.
קישור הוא קישור, בין אם הגיע ב-SMS, בוואטסאפ, ברשת חברתית או בדוא״ל. אנו עוקבים אחר הקישורים הראשונים עד ליעד האמיתי, לאחר הסרת הפרמטרים שעלולים לזהות אתכם. שום טופס לא ממולא, שום קוד לא מוקלד, שום קובץ לא מורץ.
בכל קישור אנו שוקללים כמה סימנים יחד:
כמה מילים בהודעה — «הצביעו ל», «אחיינית שלי», «תחרות», «החשבון שלכם ייסגר» — הן פיתיון קלאסי. לבדן אינן מוכיחות דבר; בשילוב עם קישור חשוד, הן מפעילות התרעה.
בדוא״ל אנו קוראים גם את בדיקות השולח שרשם השרת שקיבל אותו (SPF, DKIM, DMARC) ואת הקבצים המצורפים — נקראים כקבצים, לעולם אינם נפתחים.
הוורדיקט נותן רמת סיכון, מהנייטרלית ביותר ועד החמורה ביותר, לפי האות הגרוע ביותר. כדי להישאר יעילים, איננו מפרסמים את הספים המדויקים שבהם אנו משתמשים — זה היה נותן לרמאים מדריך לחמוק.
מה אנחנו שומרים: יומן של כל בדיקה (תאריך, שעה, כתובת IP, סוג) למשך 12 חודשים; את טקסט ההודעה למשך 30 יום, כדי לשפר את הזיהוי; ואת כתובות הקישורים המסוכנים, בלי הפרמטרים שלהם ובלי שום קשר אליכם. הקישורים מושווים לעותק של מאגר URLhaus (abuse.ch) שנשמר בשרתים שלנו: שום קישור לא יוצא מהם. פרטים במדיניות הפרטיות שלנו.
כ-138 בדיקות (204 כללים) ב-19 קטגוריות בודקות אם האתר והדואר שלו עומדים בפרקטיקות טובות ובחובות: דומיין ו-DNS, אימות ומסירת דוא״ל, תעודה והצפנה, כותרות אבטחה ועוגיות, תוכנה שהתמיכה בה הסתיימה, מדינת האחסון והסמכות השיפוטית, פרטי מפרסם, GDPR. מ-90 ומעלה — מוצק; מתחת ל-50 — חלש מאוד.
הוא מתחיל ב-100 ומאבד נקודות על כל תרחיש ניצול שנמצא — 15 בסך הכול, ועוד 3 השלמות: סודות שנשכחו ברשת (קובצי .env, מאגרי .git, גיבויים), מסד נתונים פתוח לאינטרנט, תת-דומיין נטוש שמישהו אחר יכול להשתלט עליו, דומיין שעומד לפוג, ממשקי ניהול חשופים, תוכנה מיושנת, הצפנה חלשה, הפניה פתוחה… העמוקים שבהם — סודות שנשכחו ברשת, מסד נתונים פתוח לאינטרנט, ממשקי ניהול חשופים — מוצגים ומפורטים רק לאחר שהבעלים הוכיח את הבעלות על הדומיין, ומוסברים לאחר התשלום. ככל שהציון גבוה יותר, האתר עמיד יותר.
אנו מחפשים את נקודות הכניסה שתוקף מחפש ראשונות: כמה פורטי ניהול מוכרים בשרת האתר (4443, 5001, 5480, 8006, 9090, 9443, 10443), והשמות המפורסמים ב-DNS של הדומיין שנראים כמו כניסה (vpn., remote., portal., citrix., owa., vcenter., gitlab.…), בפורט 443 בלבד. אנו קוראים רק את דף הכניסה: ללא שם משתמש, ללא סיסמה, ללא ניצול פרצות.
אנו מזהים שערי VPN (Fortinet, Ivanti, Citrix NetScaler, Palo Alto, Cisco, Check Point, SonicWall, F5), כלי תמיכה מרחוק (ScreenConnect, SimpleHelp, MeshCentral, Guacamole, RD Web Access), ממשקי ניהול (vCenter/ESXi, Proxmox, iLO, iDRAC, Cockpit, Portainer, phpMyAdmin, Adminer, Jenkins, Kaseya) ויישומים חשופים (Exchange OWA, MOVEit, GoAnywhere, Confluence, Jira, GitLab, Grafana, Kibana, Synology, QNAP). ממשק ניהול מפורסם הוא חמור; כלי תמיכה מרחוק הוא סיכון בינוני; שער VPN הוא דבר רגיל ואינו מוריד את הציון — מה שחשוב הוא לעדכן אותו. גרסה נרשמת רק אם הדף מציג אותה.
AnyDesk ו-TeamViewer עוברים דרך שרתי היצרן שלהם: דבר אינו מתפרסם בצד הדומיין, ולכן איננו יכולים לראות אותם.
אם שרתי ה-DNS של דומיין אינם עונים, אנו מדווחים על כך כבעיה חמורה: בלעדיהם האתר והדואר אינם נגישים לחלק מהמבקרים.
כיסוי משוער: 60 עד 80%. זו אינה בדיקת חדירה: בלי ניחוש סיסמאות בכוח, בלי ניצול פרצות, בלי הזרקות.
אפשר לחשוב על זה כעל בדיקה ידידותית — דפיקה מנומסת בדלת הכניסה: מבחוץ אנו בודקים אם ההגנות המוכרות והמומלצות ביותר קיימות, בלי לנסות אף פעם לפרוץ פנימה.
אף סיסמה אינה נבדקת ואף מתקפה אינה מדומה. גיל התוכנה נקבע לפי מועדי סיום התמיכה של היצרנים. הבדיקות המעמיקות ביותר (יותר פורטים ונתיבים רגישים) מוצגות ומפורטות רק אחרי שהוכחתם שהדומיין בבעלותכם, ומוסברות לאחר התשלום.
הדוח מציין את חובת פרטי המפרסם בצרפת (LCEN), את ה-GDPR ואת ה-CLOUD Act האמריקאי. הבדיקות שלנו גם עוזרות לעמוד בחלק מסעיף 32 של ה-GDPR, מהמלצות ה-CNIL בנושא עוגיות, מסעיף 21 של NIS2, מדרישות Gmail ו-Yahoo משולחי דואר ומ-PCI DSS 4.0 — הן עוזרות, הן אינן מעניקות אישור תאימות.