לסדר את אבטחת החשבונות אחת ולתמיד: Passkeys, מנהל סיסמאות ואימות דו-שלבי עם עוזר AI

רוב האנשים יודעים שהסיסמאות שלהם לא בסדר. אותה סיסמה בבנק ובאתר של חנות הבגדים, אימות דו-שלבי שמעולם לא הופעל, ומייל ישן מלפני עשר שנים שכל השירותים עדיין מקושרים אליו. הבעיה היא לא חוסר מודעות אלא חוסר זמן וחוסר סבלנות: כל מדריך אבטחה נשמע כמו רשימה של עשרים משימות מייגעות, ואף אחד לא יודע מאיפה להתחיל.

כאן ה-AI נכנס לתמונה. לא בתור כלי שמאבטח אתכם בעצמו, אלא בתור יועץ צמוד שיושב לידכם, מסביר כל מושג במילים פשוטות, מסדר לכם את העדיפויות, מתרגם הוראות טכניות למכשיר הספציפי שלכם, ועונה בסבלנות על השאלה “רגע, זה בטוח?” שלושים פעם ברצף.

המדריך הזה מתאים לכל מי שיש לו יותר מחמישה חשבונות באינטרנט, כלומר לכולם. לא צריך רקע טכני. צריך שעתיים פנויות, טלפון, מחשב, וכלי AI אחד: ChatGPT, Claude או Gemini. בסוף המדריך תהיה לכם מערכת אבטחה שמחזיקה שנים, ולא עוד ערימת סיסמאות שמחכה לדליפה הבאה.

הערה חשובה לפני שמתחילים: אם החשבון שלכם כבר נפרץ ואתם מנסים להחזיר אותו, זה מדריך אחר. קפצו ל-מדריך שחזור חשבון פרוץ וחזרו לכאן אחרי שהסערה נגמרה.

הכלל הראשון: מה אסור לספר ל-AI, גם לא בטעות

לפני שמתחילים לעבוד עם עוזר AI על אבטחה, צריך להבין את הפרדוקס: הכלי שעוזר לכם להתגונן הוא בעצמו שירות חיצוני שמקבל ושומר את מה שאתם כותבים לו. ולכן יש קו אדום ברור.

לעולם אל תכתבו לצ’אט:

• סיסמה אמיתית, גם לא “ישנה”, גם לא “כמעט כמו זו שיש לי”.
• קודי גיבוי של אימות דו-שלפי.
• קוד חד-פעמי שהגיע ב-SMS או באפליקציה.
• מספר כרטיס אשראי, תעודת זהות או תשובות לשאלות אבטחה.

ויש עוד טעות פחות מוכרת: אל תבקשו מה-AI להמציא לכם סיסמאות. לא בגלל שהן חלשות (הן דווקא נראות מרשימות), אלא משום שסיסמה שנוצרה בצ’אט נשמרת בהיסטוריית השיחה, ומודלי שפה אינם מחוללי אקראיות אמיתיים. ליצירת סיסמאות יש כלי ייעודי: המחולל שבתוך מנהל הסיסמאות, שנגיע אליו בהמשך.

מה כן מותר ואף מומלץ? לתאר את המצב שלכם באופן כללי, לשאול על מושגים, לבקש תוכנית עבודה, להתייעץ על בחירת כלים, ולבקש הסבר על תוצאות של בדיקת דליפות (שם השירות שדלף ותאריך הדליפה, לא הסיסמה עצמה). ה-AI הוא היועץ, לא הכספת.

שלב 1: מיפוי החשבונות ובניית סדר עדיפויות

אי אפשר לאבטח מה שלא זוכרים שקיים. השלב הראשון הוא לבנות רשימה, ורוב האנשים נתקעים כאן כי הרשימה נראית אינסופית. הפתרון הוא לא לאבטח הכול, אלא להתחיל מהחשבונות שאם הם נופלים, הכול נופל איתם.

בקשו מה-AI שינהל איתכם ראיון קצר. זה עובד הרבה יותר טוב מאשר לנסות לכתוב לבד:

אני רוצה לסדר את אבטחת החשבונות שלי ואני צריך שתעזור לי לבנות רשימה מסודרת. תשאל אותי שאלות, אחת בכל פעם, כדי למפות את החשבונות החשובים שלי: מייל ראשי, מייל משני, בנקים ואפליקציות תשלום (כמו ביט ופייבוקס), רשתות חברתיות, ווטסאפ, אתרים ממשלתיים, חנויות עם כרטיס שמור, ענן ותמונות, ועבודה. אל תבקש ממני סיסמאות או פרטים מזהים, רק את שם השירות. בסוף תדרג את הרשימה לפי מה שיגרום הכי הרבה נזק אם ייפרץ, ותסביר את ההיגיון בדירוג.

התוצאה שתקבלו כמעט תמיד תעמיד את המייל הראשי במקום הראשון, וזה נכון. המייל הוא “מפתח המאסטר”: דרכו מאפסים סיסמאות לכל שאר השירותים. אחריו יבואו הבנק, מנהל הסיסמאות (כשיהיה), חשבון אפל או גוגל שמחזיק את הטלפון, ורק אז הרשתות החברתיות.

טיפ שלא מוצאים בכל מקום: בקשו מה-AI לזהות תלויות. למשל, אם הטלפון שלכם הוא מכשיר האימות של הבנק, ואת הטלפון מגן חשבון גוגל, ואת חשבון גוגל מאפסים דרך מייל ישן ב-Walla שלא נגעתם בו מ-2015, אז המייל הישן הוא נקודת התורפה של כל המערכת. ה-AI טוב מאוד במציאת שרשראות כאלה אם מבקשים ממנו במפורש: “איזה חשבון ברשימה הוא נקודת כשל יחידה שדרכה אפשר להשתלט על השאר?”

שלב 2: לבדוק אם הסיסמאות שלכם כבר דלפו

לפני שמחליפים סיסמאות, כדאי לדעת איפה בוער. יש שלושה מקומות שבהם תבדקו, וכולם חינמיים:

1. Have I Been Pwned – אתר ותיק ואמין שמאפשר להקליד כתובת מייל ולראות באילו דליפות ידועות היא הופיעה. מקלידים מייל בלבד, לעולם לא סיסמה.
2. בדיקת הסיסמאות של גוגל – בתוך מנהל הסיסמאות של Chrome או חשבון גוגל יש “בדיקת סיסמאות” שמסמנת סיסמאות שדלפו, חוזרות על עצמן או חלשות.
3. המלצות אבטחה של אפל – במכשירי אייפון ומק, בהגדרות, תחת סיסמאות, יש מסך שמציג סיסמאות שנחשפו בדליפה או משמשות בכמה אתרים.

הבדיקה עצמה לוקחת דקה. החלק שבו ה-AI באמת עוזר הוא פענוח התוצאות. תקבלו רשימה של שמות דליפות עם תאריכים ותיאורים באנגלית טכנית, ולא ברור מה דחוף ומה שטויות. כאן פרומפט טוב חוסך שעה של גוגל:

בדקתי את המייל שלי באתר בדיקת דליפות וקיבלתי את הרשימה הבאה של דליפות שהוא הופיע בהן: [הדביקו רק את שמות הדליפות והתאריכים, למשל “LinkedIn 2012, Canva 2019, Collection #1 2019”]. תסביר לי לכל אחת: מה סוג המידע שדלף בדרך כלל בדליפה כזו, האם מדובר בסיסמאות גלויות או מוצפנות, מה רמת הדחיפות בסולם של 1 עד 5, ומה בדיוק עליי לעשות עכשיו. תסדר לפי דחיפות יורדת.

שימו לב לניואנס שה-AI כנראה יסביר לכם: דליפה משנת 2012 של סיסמה שכבר החלפתם היא לא דחופה. אבל אם אותה סיסמה עדיין משמשת אתכם באתר אחר, זו הבעיה הכי גדולה שיש לכם היום. תוקפים לא “פורצים” לחשבונות; הם מנסים סיסמאות שדלפו ממקום אחד על כל מקום אחר. השיטה הזאת נקראת “מילוי סיסמאות” (Credential Stuffing) והיא הסיבה העיקרית שסיסמה חוזרת היא הסיכון מספר אחת.

שלב 3: לבחור מנהל סיסמאות (ולהבין למה זה לא אופציונלי)

מנהל סיסמאות הוא כספת מוצפנת ששומרת סיסמה שונה, ארוכה ואקראית לכל אתר, ומזינה אותה בשבילכם. אתם זוכרים סיסמה אחת בלבד, הסיסמה הראשית. זה הכלי היחיד שמאפשר לכם באמת להפסיק לשחזר סיסמאות מהראש, ולכן הוא הבסיס לכל השאר.

יש כמה משפחות של פתרונות, ולכל אחת מתאים קהל אחר:

• המובנים במערכת – iCloud Keychain של אפל ומנהל הסיסמאות של גוגל. חינמיים, כבר מותקנים, ומצוינים למי שכל המכשירים שלו מאותה חברה.
• הייעודיים – כלים כמו 1Password, Bitwarden או Proton Pass. עובדים על כל המכשירים והדפדפנים, מציעים שיתוף משפחתי ותיקיות משותפות, וחלקם עם תוכנית חינמית מספיקה לגמרי.
• מה שלא כדאי – פנקס במגירה שכולם בבית יודעים עליו, קובץ אקסל בשם “סיסמאות”, או ההערות בטלפון. אלה לא כספת, אלה פתק צהוב.

במקום להשוות טבלאות של פיצ’רים, תנו ל-AI לעשות את ההתאמה למצב שלכם:

תעזור לי לבחור מנהל סיסמאות. המצב שלי: [למשל: אייפון ומחשב ווינדוס עם Chrome, בן/בת זוג שצריך לשתף איתו סיסמאות של הבנק וחשבונות הבית, שני ילדים מתבגרים, ואני לא רוצה לשלם יותר מכמה עשרות שקלים בחודש]. תציג לי שתיים-שלוש אפשרויות שמתאימות למצב הזה בדיוק, עם היתרון והחיסרון המרכזי של כל אחת ביחס אליי, ותמליץ על אחת עם נימוק. תציין גם מה קורה אם אני שוכח את הסיסמה הראשית בכל אחת מהאפשרויות.

השאלה האחרונה בפרומפט קריטית. בכלים הטובים, שכחת הסיסמה הראשית משמעותה אובדן הכספת, כי אפילו החברה עצמה לא יכולה לפתוח אותה. לכן, כשתבחרו כלי, תעשו שני דברים בסמוך: תדפיסו את ערכת השחזור (רוב הכלים מייצרים אחת) ותשמרו אותה במקום פיזי בטוח, ותוסיפו איש קשר לשעת חירום אם הכלי תומך בזה.

תהליך ההעברה עצמו הוא מה שמרתיע אנשים, אז הנה הסוד: לא מעבירים הכול ביום אחד. מתקינים את התוסף בדפדפן, ומעכשיו, בכל פעם שנכנסים לאתר, מנהל הסיסמאות מציע לשמור. תוך שבועיים-שלושה של שימוש רגיל רוב החשבונות כבר בפנים. ורק אז, על החשבונות שדירגתם כקריטיים בשלב 1, נכנסים יזומות ומחליפים לסיסמה שהמחולל יצר.

שלב 4: אימות דו-שלבי, אבל מהסוג הנכון

אימות דו-שלבי (2FA) פירושו שגם מי שגנב את הסיסמה שלכם לא יכול להיכנס בלי משהו נוסף שנמצא אצלכם. הבעיה היא שלא כל “שלב שני” שווה, ורוב האנשים בישראל משתמשים בחלש ביותר:

• SMS – הכי נפוץ והכי חלש. תוקף שמצליח להעביר את מספר הטלפון שלכם לסים אחר (מתקפת SIM Swap, ויש מקרים כאלה בארץ) מקבל את כל הקודים שלכם. עדיף מכלום, אבל לא הפתרון.
• אפליקציית אימות – Google Authenticator, Microsoft Authenticator, או המחולל המובנה במנהל הסיסמאות שלכם. הקודים נוצרים במכשיר ולא עוברים ברשת. זה הרף המינימלי הנכון לחשבונות חשובים.
• מפתח חומרה – מכשיר קטן שמחברים למחשב או מצמידים לטלפון. ההגנה החזקה ביותר, מתאימה למי שמנהל כסף של אחרים או חשוף במיוחד. לרובכם זה לא הכרחי.

וכאן טיפ ישראלי שמדריכים מחו“ל מפספסים: הפעילו אימות דו-שלבי בווטסאפ. זה קוד PIN בן שש ספרות שנמצא בהגדרות תחת “חשבון”. בלעדיו, מי שהשיג את מספר הטלפון שלכם לרגע יכול להעביר את הווטסאפ שלכם אליו, ולהתחיל לבקש כסף מכל אנשי הקשר שלכם. זו מתקפה שכיחה מאוד בארץ, וההגנה לוקחת דקה.

הוראות ההפעלה שונות בכל שירות והן משתנות עם כל עדכון גרסה, ולכן דווקא כאן ה-AI שימושי במיוחד, בתנאי שמנסחים נכון:

אני רוצה להפעיל אימות דו-שלבי באמצעות אפליקציית אימות (לא SMS) בחשבון [שם השירות]. יש לי [אייפון / אנדרואיד] ואני עובד מ[הטלפון / מחשב עם Chrome]. תן לי הוראות שלב אחר שלב. אם אתה לא בטוח במיקום המדויק של אפשרות בתפריט, תגיד לי איך היא נקראת בדרך כלל ומה לחפש בשורת החיפוש של ההגדרות, במקום להמציא נתיב. ובסוף, תזכיר לי מה לעשות עם קודי הגיבוי.

המשפט “במקום להמציא נתיב” לא מקרי. מודלים נוטים לתאר תפריטים בביטחון גם כשהם השתנו. הנחיה מפורשת להודות באי-ודאות מייצרת הוראות שאפשר לסמוך עליהן יותר. ואם עדיין נתקעתם, צלמו את המסך ושלחו לצ’אט (ChatGPT, Claude ו-Gemini כולם יודעים לקרוא צילומי מסך) עם השאלה “איפה כאן האפשרות שחיפשנו?”, רק ודאו שהצילום לא מכיל קודים או פרטים אישיים.

ואל תשכחו את קודי הגיבוי. כל שירות מייצר עשרה קודים חד-פעמיים למקרה שהטלפון אבד. שומרים אותם בתוך מנהל הסיסמאות, בשדה ההערות של אותו חשבון, או מודפסים ליד ערכת השחזור. לא בצילום מסך בגלריה.

שלב 5: מעבר ל-Passkeys, הפרק שסוגר את הסיפור

Passkey (בעברית לפעמים “מפתח גישה”) הוא הטכנולוגיה שנועדה להחליף סיסמאות לגמרי, ובשנתיים האחרונות היא הפכה מניסוי לסטנדרט: גוגל, אפל, מיקרוסופט, אמזון, פייפאל ורוב הבנקים והשירותים הגדולים כבר תומכים בה.

איך זה עובד בשפה פשוטה: במקום סיסמה שאתם יודעים ומקלידים, המכשיר שלכם מחזיק מפתח קריפטוגרפי ייחודי לכל אתר. כשאתם מתחברים, האתר שולח “חידה”, המכשיר פותר אותה אחרי שאימת אתכם בטביעת אצבע או זיהוי פנים, ותו לא. אין מה להקליד, אין מה לזכור, ואין מה לגנוב: המפתח לא עוזב את המכשיר, ולכן אתר פישינג מזויף לא יכול לרמות אתכם. הוא פשוט לא יקבל תשובה מהמפתח שנרשם לאתר האמיתי.

מהי חשיבות הדבר עבורכם? Passkeys חסינות לפישינג, שהוא סוג המתקפה שגם אנשים זהירים נופלים בו. הודעת SMS מ“דואר ישראל” על חבילה שממתינה, מייל מ“הבנק” על חסימת חשבון, כל אלה מנסים לגרום לכם להקליד סיסמה באתר מזויף. עם Passkey אין סיסמה להקליד.

ה-Passkeys נשמרים בתוך מנהל הסיסמאות שבחרתם בשלב 3, ומסונכרנים בין המכשירים שלכם. לכן הסדר במדריך הזה חשוב: קודם כספת, אחר כך מפתחות.

התהליך המעשי: היכנסו להגדרות האבטחה של החשבון, חפשו “Passkey” או “מפתח גישה”, לחצו “צור”, אשרו בטביעת אצבע, וזהו. כדאי להתחיל מחשבון גוגל או אפל שלכם, ואז המייל, ואז הבנק אם הוא תומך. ה-AI יכול לעזור לכם לתכנן את המעבר בלי לבלבל את עצמכם:

אני רוצה לעבור ל-Passkeys בהדרגה. מנהל הסיסמאות שלי הוא [שם הכלי], המכשירים שלי הם [רשימה]. תסביר לי בשפה פשוטה: מה קורה לסיסמה הישנה אחרי שאני יוצר Passkey, האם למחוק אותה; מה קורה אם אני מאבד את הטלפון; האם צריך Passkey נפרד לכל מכשיר; ומה ההבדל בין Passkey לבין אימות דו-שלבי ומה קורה לשניהם כשעוברים. תענה בצורה מדורגת ותשאל אותי אם משהו לא ברור.

תשובה טובה תסביר לכם שבינתיים, ברוב השירותים, הסיסמה נשארת כמסלול גיבוי לצד ה-Passkey. זה אומר שהסיסמה עדיין צריכה להיות חזקה וייחודית, ואימות דו-שלבי עדיין צריך להיות מופעל עליה. ה-Passkey לא מחליף את הצעדים הקודמים אלא מונח מעליהם.

טעויות נפוצות

• להחליף את כל הסיסמאות ביום אחד ולהתייאש באמצע. התוצאה היא חצי מהחשבונות עם סיסמאות חדשות שלא נשמרו כמו שצריך, וחצי עם הישנות. עובדים לפי הדירוג משלב 1, חשבון אחד בכל פעם, עד הסוף.
• לשמור את הסיסמה הראשית של מנהל הסיסמאות בתוך מנהל הסיסמאות. נשמע מצחיק, קורה כל הזמן. הסיסמה הראשית צריכה להיות משפט ארוך שזוכרים (ארבע-חמש מילים לא קשורות בעברית או באנגלית, עם רווחים או סימנים), וערכת השחזור מודפסת בבית.
• להשתמש באותו מכשיר לכל דבר. אם הטלפון הוא גם מנהל הסיסמאות, גם אפליקציית האימות, וגם המכשיר שמחזיק את ה-Passkeys, אובדן שלו הופך למשבר. הפתרון הוא לא לוותר על הנוחות, אלא לוודא שיש מסלול שחזור: מכשיר שני מסונכרן, קודי גיבוי מודפסים, ואיש קשר לשעת חירום.
• להשאיר את מייל השחזור ואת מספר הטלפון לשחזור לא מעודכנים. הרבה חשבונות עדיין מצביעים על מספר טלפון קודם או מייל שכבר לא בשימוש. זה מסלול עוקף לכל ההגנות שבניתם. פעם בשנה עוברים על “אפשרויות שחזור” בחשבונות הקריטיים.
• לבקש מה-AI לבדוק “האם הסיסמה שלי חזקה”. אתם מגלים את הסיסמה כדי לשמוע שהיא חלשה. במקום זה, שאלו על שיטת בניית סיסמאות ראשיות, ותנו למחולל לייצר את כל השאר.
• לסמוך על ה-AI במאה אחוז לגבי מסכים ותפריטים. הוא יועץ, לא צילום מסך חי. אם הוראה לא מסתדרת עם מה שאתם רואים, המסך צודק, ואפשר לשלוח לו צילום ולבקש תיקון.
• לדלג על אנשי הבית. הסיסמאות של ההורים, בן/בת הזוג והילדים המתבגרים משפיעות עליכם: חשבון משפחתי משותף, כרטיס אשראי שמור באפליקציה של הילד, מייל של אמא שמחובר לחשבון הבנק המשותף. תוכנית האבטחה היא של הבית, לא רק שלכם.

סיכום וצ’קליסט להתחלה

השורה התחתונה: ה-AI לא מאבטח אתכם, אבל הוא מוריד את מחסום התסכול שגורם לרובנו לדחות את זה שנים. הוא מסביר, מסדר עדיפויות, מתרגם הוראות למכשיר שלכם ועונה על כל שאלה בלי לגלגל עיניים. הכלים עצמם (מנהל סיסמאות, אפליקציית אימות, Passkeys) הם אלה שעושים את העבודה, וכולם זמינים חינם או כמעט חינם.

הצ’קליסט לשבועיים הקרובים:

1. היום, 20 דקות: לפתוח צ’אט עם ChatGPT, Claude או Gemini, להריץ את פרומפט המיפוי משלב 1, ולקבל רשימת חשבונות מדורגת. לא למסור שום סיסמה.
2. היום, 10 דקות: לבדוק את המייל הראשי והמשני בבדיקת דליפות, ולתת ל-AI לפענח את התוצאות ולדרג דחיפות.
3. היום, 5 דקות: להפעיל אימות דו-שלבי בווטסאפ. עכשיו, לפני שממשיכים לקרוא.
4. מחר, 30 דקות: לבחור מנהל סיסמאות עם פרומפט הבחירה משלב 3, להתקין בטלפון ובדפדפן, לקבוע סיסמה ראשית ארוכה, ולהדפיס את ערכת השחזור.
5. מחר, 30 דקות: להחליף סיסמה ולהפעיל אימות דו-שלבי באפליקציה על שלושת החשבונות הראשונים ברשימה: מייל ראשי, חשבון אפל או גוגל, ובנק.
6. בשבועיים הקרובים, בדרך אגב: לתת למנהל הסיסמאות ללכוד את שאר החשבונות תוך כדי שימוש רגיל, ולהחליף סיסמאות חוזרות כשהוא מסמן אותן.
7. סוף שבוע שני, 20 דקות: ליצור Passkey לחשבון גוגל או אפל, למייל ולבנק אם הוא תומך, ולשמור קודי גיבוי בתוך הכספת.
8. פעם בשנה, תזכורת ביומן: לעדכן אפשרויות שחזור, להריץ שוב בדיקת דליפות, ולשאול את ה-AI “מה השתנה בעולם אבטחת החשבונות בשנה האחרונה שכדאי שאדע?”.

השקעה של כמה שעות, פעם אחת, ואתם עוברים לצד של האנשים שדליפת הסיסמאות הבאה בחדשות פשוט לא נוגעת להם. למדריכים נוספים על ניהול החיים הדיגיטליים עם AI, המשיכו ל-/guides.