חזרה לבלוג

אבטחת תשלומים מקוונים להגנה על נתוני כרטיס האשראי | שימוש מעשי ב-VPN וב-Shadowsocks

סקירה כללית

בעת קניות מקוונות, העברות כספיות בינלאומיות או הרשמה לשירותי מנוי, אנו מזינים ברציפות את נתוני כרטיס האשראי שלנו באינטרנט. עם זאת, מעטים מודעים לנתיבים שבהם מועברת מידע זה והיכן הוא חשוף לסיכון דליפה. למעשה, מספר אתרי הפישינג שאותרו גדל משמעותית לעומת השנה הקודמת, ודווחו מתקפות Man-in-the-Middle בעיקר בתשלומים שבוצעו דרך Wi-Fi ציבורי.

במאמר זה נסקור את שיטות המתקפות הסייבריות העדכניות שמכוונות לנתוני כרטיסי אשראי ונסביר אמצעי הגנה מעשיים תוך שימוש ב-VPN (ובמיוחד פתרונות מבוססי Shadowsocks). נציג כיצד לאבטח את התשלומים היומיומיים שלכם עם דוגמאות הגדרה קונקרטיות.

מדוע אבטחה חשוב היום

דליפת נתוני כרטיס אשראי אינה רק נזק כספי, אלא בעיה חמורה העלולה לגרום לנזק משני לנתוני האשראי ולמידע האישי. חשיבות הגנה על נתוני הכרטיס באמצעות VPN מתבטאת במצבים כגון הבאים.

• הפחתת סיכון יירוט התקשורת בעת תשלום דרך Wi-Fi ציבורי בבתי קפה או שדות תעופה
• הגנה גיאוגרפית מפני פישינג בגישה לאתרי מסחר אלקטרוני יפניים דרך רשתות מקומיות בנסיעות עסקיות או טיולים לחו"ל
• הגנה על נתיב התקשורת בניהול חיובים אוטומטיים בשירותי מנוי
• חיזוק אבטחה בשירותים עם תשלומים גבוהים, כגון בורסות קריפטו
• הצפנה אחידה בשימוש בכרטיס האשראי המשפחתי ממספר מכשירים ברשת הביתית

ל-Shadowsocks (AES-256-GCM) שאימץ SecureSS יש את המאפיין של קושי לזיהוי כנפק TCP, המגן על תקשורת התשלומים באופן בלתי נראה לצדדים שלישיים. אמנם שער ה-VPN עצמו אינו פועל כשרת תשלומים, אך יצירת נפק מוצפן ייעודי בין הדפדפן או האפליקציה לשרת התשלומים מנטרלת ציתות ברשת המקומית וניתוח תעבורה ברמת ISP.

איך לגשת לזה

שלב 1: הגדרת חיבור VPN אוטומטי בעת תשלום

ראשית, הגדירו את המערכת כך ש-VPN יופעל אוטומטית בעת גישה לאתרים שבהם מתבצעים תשלומים (חנויות מקוונות, בנקים, ברוקרים, פלטפורמות תשלום). אפליקציית SecureSS מציעה «פונקציית טריגר» שמפעילה VPN בגישה לדומיינים ספציפיים, או הגדרת «Always-On VPN» ברמת מערכת ההפעלה. ב-Windows, עברו אל «הגדרות ← רשת ואינטרנט ← VPN ← אפשרויות חיבור ← שמור אישורי רשת» והפעילו זאת, תוך הפעלת חיבור אוטומטי בהפעלה. ב-Mac, הגדירו בהעדפות המערכת כדי לאפשר צפייה מתמדת במצב החיבור מסרגל התפריטים.

שלב 2: תמיד לבדוק דליפות DNS וכתובת IP לפני תשלום

אפילו כאשר VPN מחובר, אם מתרחשת דליפת DNS, מידע הדומיין שאותו ביקרתם עלול להגיע ל-ISP. מיד לפני ביצוע תשלום, פתחו בדפדפן «dnsleaktest.com» או «ipleak.net» ובדקו שכתובת ה-IP המוצגת שייכת לשרת VPN ושרת ה-DNS הוא של ספק ה-VPN. SecureSS מציע אפשרות באפליקציה לשנות את הגדרות ה-DNS ל-«DNS ייעודי ל-VPN», שהפעלתה ממזערת את סיכון הדליפה. בנוסף, התקנת תוסף המשבית WebRTC בדפדפן (כגון uBlock Origin) מספקת הגנה נוספת.

שלב 3: סיום הסשן ובדיקת יומנים לאחר התשלום

לאחר השלמת התשלום, תמיד סיימו את סשן הדפדפן ואם אפשר השתמשו במצב גלישה פרטית כדי שלא להשאיר היסטוריה או Cookie. SecureSS אימץ מדיניות אל-יומן קפדנית ואינו שומר את תוכן סשני החיבור. פעם בחודש בדקו את דף החיוב של הכרטיס ובחנו אם יש חיובים קטנים לא מוכרים (תשלומי בדיקה של כמה מאות ין). תוקפים נוטים לנסות תחילה חיוב קטן כדי לאמת את תקינות נתוני הכרטיס. אם גיליתם תשלום חשוד, צרו קשר מיידי עם מנפיק הכרטיס להשעייתו ודווחו גם לחלון הייעוץ לפשעי סייבר של סוכנות המשטרה הלאומית.

סיכום

ש: אם יש לי VPN, האם תשלומים דרך Wi-Fi ציבורי בטוחים לחלוטין?

ת: VPN מצפין את נתיב התקשורת, אך אינו יכול למנוע גישה לאתרי פישינג או הדבקה בתוכנות זדוניות. חשוב לשלב VPN עם אמצעי הגנה בסיסיים כגון אימות שה-URL לגיטימי, בדיקה שהאתר משתמש ב-HTTPS והפעלת אימות דו-שלבי.

ש: האם Shadowsocks של SecureSS מאט את המהירות בזמן תשלומים?

ת: Shadowsocks פועל כנפק TCP קל משקל ולכן עומס-העל שלו נמוך יותר מ-VPN מסורתיות כמו OpenVPN. בבדיקות ממשיות, במקרים רבים נשמרת מהירות של 80~90% לעומת ללא VPN, ובדרך כלל לא מורגש עיכוב בטעינת דף התשלום.

ש: האם אפשר לנתק את ה-VPN מיד לאחר הזנת נתוני הכרטיס?

ת: אין בעיה אם מנתקים לאחר קבלת אישור התשלום וסגירה מלאה של סשן הדפדפן. עם זאת, מומלץ להמשיך לבדוק את דפי החיוב מדי פעם ולשמור על אימות דו-שלבי פעיל, ללא קשר לשימוש ב-VPN.

בתשלומים מקוונים הכוללים נתוני כרטיסי אשראי, הצפנת התקשורת באמצעות VPN מהווה שכבת הגנה חזקה. באמצעות ניצול ההצפנה מבוססת Shadowsocks של SecureSS והפיכת חיבור אוטומטי בעת תשלום, בדיקת דליפות DNS וניהול סשנים להרגל, תוכלו לבצע תשלומים יומיומיים באופן בטוח. SecureSS זמין מ-¥500 לחודש ומאפשר לכם לאמת את יעילותו במצבי תשלום ממשיים במהלך תקופת ניסיון חינמית של 5 ימים.