אחרי כל דליפת מידע גדולה חוזר בחדשות אותו משפט: הפרטים הוצעו למכירה ברשת האפלה. מי שקורא את זה מדמיין משהו מתוך סרט, ונשאר בלי תשובה לשאלה היחידה שמעניינת אותו, האם זה נוגע אליו. בואו נסדר את זה, כי מאחורי השם הדרמטי עומד הסבר טכני פשוט.

שלוש שכבות, ורק אחת מהן אפלה

תחשבו על קניון. יש בו חזיתות שפונות לרחוב, עם שלטים, ואותן גוגל סורק ומציג בתוצאות החיפוש. יש בו גם חדרים מאחורי הדלפק שנפתחים רק למי שמחזיק מפתח, וזה תיבת המייל שלכם, החשבון בבנק והתיק הרפואי. התוכן הזה לא סודי ולא זדוני, הוא פשוט יושב מאחורי מסך התחברות. לשכבה הזאת קוראים הרשת העמוקה (deep web), ואתם מבקרים בה כמה פעמים ביום.

השכבה השלישית היא בניין בלי כתובת ברחוב, שדפדפן רגיל לא יודע להגיע אליו. במקום שהבקשה שלכם תצא ישר אל השרת, היא עוברת דרך כמה מחשבים מתנדבים, כשכל אחד יודע רק ממי קיבל ולמי הוא מעביר הלאה. אף תחנה בשרשרת לא יודעת גם מי אתם וגם לאן אתם הולכים. לתוכנה שעושה את זה קוראים Tor, הכתובות נגמרות בסיומת onion, וזה הדארקנט.

מה שתיארנו הוא מנגנון הסתרה, לא פשע. באותה תשתית משתמשים גם עיתונאים שמדברים עם מקורות ופעילים במדינות שחוסמות אתרים. לשם נרדף לשוק שחור הפכו אותה המוכרים.

איפה זה פוגש אתכם בלי שנכנסתם לשם

הפרטים שלכם מגיעים לשם דרך דליפות מידע אצל שירותים שנרשמתם אליהם. מה שנמכר הוא רשימה: כתובת מייל, סיסמה, טלפון, לפעמים מספר תעודת זהות. אתם לא הסוחר ולא הלקוח, אתם השורה בטבלה.

וכאן כדאי לעדכן את התמונה: חלק גדול מהמסחר כבר לא דורש Tor. שוק Xinbi, שאת ערוציו תפס משרד המשפטים האמריקני, פעל בערוצי טלגרם רגילים ומכר שם אתרי השקעות מזויפים, פרטים גנובים וכלי דיפפייק. הנוחות ניצחה את ההסתרה.

הסימן המוכר ביותר הוא מייל סחיטה שמצטט סיסמה אמיתית שלכם ודורש תשלום. הסיסמה באמת שלכם. היא הגיעה מרשימה ישנה שנמכרה, לא ממצלמה ולא מפריצה למחשב.

אז מה עושים, ומה דווקא לא

לא הולכים לחפש. אין שם מנוע חיפוש שייתן תשובה אמינה, והשירותים שמבטיחים "סריקת דארקנט" בתשלום חודשי בודקים בעיקר מאגרי דליפות ציבוריים. הקלידו את כתובת המייל שלכם ב-Have I Been Pwned ותקבלו את אותו מידע בחינם.

אם משהו עלה, שנו את הסיסמה בשירות עצמו ובכל מקום שבו חזרתם עליה. סיסמה שונה לכל אתר היא מה שהופך רשימה גנובה לחסרת ערך, ובשביל לזכור אותן יש מנהל סיסמאות.

הפעילו אימות דו-שלבי בחשבונות המרכזיים, ואם השירות מציע passkey, עדיף. הרעיון זהה: הסיסמה שנמכרה מפסיקה להספיק לבדה.

מספר תעודת זהות וטלפון לא מחליפים. כשמגיעה הודעה שמצטטת פרטים אמיתיים עליכם, זה לא סימן שהיא אמינה, זה סימן שמישהו קנה רשימה. בדקו מול הגורם עצמו, לפי מספר טלפון מהאתר הרשמי ולא לפי זה שבהודעה.

הדארקנט הוא לא המקום שבו נקבע מה יקרה לכם, אלא המדף שעליו מונח מה שכבר דלף. מה שקובע זה מה מחכה לתוקף כשהוא מנסה את הפרטים האלה.