אבטחת וואטסאפ בעסק: הסיכון שאף אחד לא מנהל

בישראל, וואטסאפ הוא דה-פקטו מערכת ה-ERP הקטנה של העסק: סיכומי פגישות, הצעות מחיר, אישורי תשלום, קבצים רגישים וקבוצות של כל הצוות. ובניגוד למייל הארגוני — אף אחד לא מנהל אותו, לא מגבה אותו ולא מגן עליו.

שלושת הסיכונים המרכזיים

• השתלטות על חשבון (Account Takeover): התוקף מתחזה לוואטסאפ או לאיש קשר, גורם לכם למסור את קוד האימות בן 6 הספרות — ומרגע זה החשבון שלו. משם הוא מבקש כסף מאנשי הקשר שלכם בשמכם.
• קישורי פישינג בקבוצות: קישור זדוני שנשלח לקבוצה עסקית מגיע בבת אחת לעשרות עובדים, בערוץ שאין עליו שום סינון.
• וואטסאפ כערוץ חדירה לרוגלות: קבצים ותמונות נגועים, ובמקרים מתקדמים — ניצול פרצות באפליקציה עצמה להדבקה שקטה.

מה עושים — צעדים מיידיים

• הפעילו אימות דו-שלבי (Settings ← Account ← Two-Step Verification) — לכל עובד. זה חוסם את רוב ניסיונות ההשתלטות.
• קבעו כלל ברזל: קוד אימות של וואטסאפ לא מוסרים לאף אחד, לעולם. גם לא ל"תמיכה של וואטסאפ" — היא לא מבקשת קודים.
• אימות בקשות כספיות: כל בקשת תשלום שמגיעה בוואטסאפ מאומתת בטלפון או פנים אל פנים, גם כשהיא "מהמנכ״ל".
• הפרידו עסקי מפרטי היכן שאפשר — WhatsApp Business עם מספר ייעודי.

ומה עם ההגנה השוטפת?

הצעדים למעלה מצמצמים את הסיכון, אבל הם לא בודקים כל קישור שנכנס לכל מכשיר. כאן נכנסת שכבת Mobile Threat Defense: Atlas סורק קישורים בזמן אמת גם בוואטסאפ, מזהה קבצים ואפליקציות זדוניות, ומדווח ל-SOC של Persist Security על כל אירוע — כך שגם העובד שממהר בין פגישות מוגן. מה כוללת ההגנה · המדריך על פישינג ב-SMS.