OpenAI משדרגת את האבטחה: התחברות עמידה בפישינג והגנה על חשבונות
OpenAI משדרגת את האבטחה: התחברות עמידה בפישינג והגנה על חשבונות
OpenAI הוסיפה ל-ChatGPT אפשרות הרשמה בשם Advanced Account Security. זה לא רק "עוד MFA" - זו חבילה שמבטלת מסלולי כניסה ושחזור חלשים ומחייבת אמצעי התחברות חזקים יותר.
כשעסק ישראלי משתמש ב-ChatGPT לניסוח הצעות מחיר, ניתוח נתוני לקוחות, עבודה עם קבצים או פיתוח קוד - החשבון שדרכו עובר המידע הזה הופך לנכס רגיש. לכן Advanced Account Security חשוב: הוא מרכז במקום אחד כמה הגנות שמקטינות את הסיכון להשתלטות על החשבון, אבל גם מחייבות אחריות גבוהה יותר מצד המשתמש.
מה כולל Advanced Account Security?
לפי OpenAI, לאחר ההרשמה החשבון עובר להתחברות חזקה יותר עם passkeys או מפתחות אבטחה פיזיים. במקביל, כמה מסלולים נוחים אבל חלשים יותר נסגרים כדי לצמצם את הסיכון מפישינג, גניבת סיסמה או השתלטות דרך תיבת מייל.
הגנות התחברות ושחזור
- ◀ביטול קודי התחברות דרך אימייל ו-SMS.
- ◀ביטול התחברות באמצעות סיסמה.
- ◀ביטול שחזור חשבון דרך אימייל.
- ◀שימוש ב-passkeys או במפתחות אבטחה תואמי FIDO להתחברות.
הגנות פרטיות ונראות
- ◀ביטול שימוש בשיחות לאימון המודל בזמן שהפיצ'ר פעיל.
- ◀הפעלת התראות מייל על ניסיונות התחברות.
- ◀קיצור משך הזמן של סשנים פעילים.
- ◀אפשרות לסקור ולנהל סשנים פעילים במכשירים שונים.
למה זה חשוב עכשיו? - חשבון ChatGPT יכול להכיל היסטוריית שיחות, קבצים, מידע עסקי, הקשרים אישיים וגישה ל-Codex דרך אותו login. ברגע שהחשבון הופך למרכז עבודה, פישינג וגניבת סיסמה הופכים לסיכון עסקי אמיתי.
איך מפעילים את Advanced Account Security?
במסך ההגדרות של ChatGPT ב-web נכנסים לנתיב הבא: Settings > Security > Advanced Account Security > Enroll. לאחר הלחיצה על Enroll המשתמש מועבר לדף מאובטח, שבו OpenAI מציגה את ההסבר המלא ומאפשרת להשלים את ההרשמה.
לפני שמפעילים - שני דברים שחייבים להכין
- ◀לפחות שני אמצעי התחברות חזקים, למשל passkeys או מפתחות אבטחה פיזיים, כאשר לפחות אחד מהם עובד בין מכשירים.
- ◀שמירה מאובטחת של recovery keys. אם מאבדים את כל אמצעי ההתחברות וגם את מפתחות השחזור, ייתכן שלא ניתן יהיה לשחזר את החשבון.
בסיום ההגדרה הראשונית OpenAI מנתקת את החשבון מכל המכשירים, ואז צריך להתחבר מחדש באמצעות אחד מאמצעי ההתחברות החזקים שהוגדרו. זו נקודה חשובה לעסקים: לא להפעיל את הפיצ'ר באמצע יום עבודה לחוץ בלי לוודא שיש גישה לכל המכשירים והמפתחות.
למי הפיצ'ר זמין - ומה חשוב לא להניח?
בדיקה מחודשת מול OpenAI מחדדת את הניסוח: Advanced Account Security הוא פיצ'ר opt-in לחשבונות ChatGPT צרכניים/אישיים זכאים שאינם Enterprise. ב-FAQ של OpenAI הוא מתואר כזמין גלובלית לחשבונות ChatGPT זכאים שאינם Enterprise, ובסעיף הזמינות OpenAI עדיין מסייגת לחשבונות אישיים זכאים באזורים נתמכים. לכן לא נכון להבטיח זמינות לפי סוג מנוי בלבד - הבדיקה המעשית היא אם האפשרות מופיעה בפועל תחת Settings > Security ב-ChatGPT web.
אפשר להירשם כאשר
- ◀האפשרות Advanced Account Security מופיעה בפועל במסך האבטחה של ChatGPT web.
- ◀מדובר בחשבון ChatGPT אישי/consumer זכאי שאינו מנוהל ארגונית.
- ◀ב-ChatGPT Business או workspace אחר - רק אם האפשרות מופיעה בחשבון. OpenAI מציינת שהזמינות תלויה בתצורה וב-rollout.
לא זמין או עשוי להתבטל כאשר
- ◀המשתמש נמצא ב-ChatGPT Enterprise.
- ◀החשבון מנוהל על ידי Enterprise או משויך לדומיין ארגוני מנוהל.
- ◀חשבון אישי הופך בהמשך למנוהל ארגונית - OpenAI מציינת שבמצב כזה הפיצ'ר עשוי להיות מושבת עבור החשבון.
ומה לגבי Codex? Codex הוא לא תנאי זכאות בפני עצמו. הנקודה המדויקת היא שאם נרשמת ל-Advanced Account Security בחשבון ChatGPT, והגישה ל-Codex מתבצעת דרך אותו login, ההגנות חלות גם שם. זה עדיין לא תחליף לניהול הרשאות ארגוני, SSO, מדיניות API keys או בקרות Enterprise.
מה זה אומר לעסק ישראלי?
בעלי עסקים בישראל משתמשים היום ב-ChatGPT לשיחות עם מידע לקוחות, ניסוח חוזים, סיכום פגישות, קוד, הצעות מחיר ותוכן שיווקי. לכן החשבון עצמו צריך לקבל יחס של נכס עסקי, לא "עוד שירות ענן שנכנסים אליו עם סיסמה".
לבעלי חשבון אישי לעבודה
אם חשבון ChatGPT אישי משמש אותך גם לעבודה עם לקוחות, Advanced Account Security מקטין את התלות בסיסמאות ובקודי אימייל/SMS, שהם בדיוק המסלולים שתוקפים אוהבים לנצל.
למי שעובד עם מידע רגיש
עורכי דין, יועצים, משווקים, רואי חשבון ומפתחים מעלים לא פעם מידע שלא אמור לצאת החוצה. ביטול אימון מודלים בזמן שהפיצ'ר פעיל הוא שכבת פרטיות חשובה בנוסף להגנות הכניסה.
למנהלים שמחברים AI ליום עבודה קבוע
סשנים קצרים יותר והתראות התחברות עוזרים לזהות שימוש חריג מוקדם יותר, במיוחד כשעובדים ממחשב אישי, מחשב עבודה ומכשיר נייד.
לצוותים קטנים בלי מחלקת IT
זה לא מחליף מדיניות אבטחת מידע, אבל הוא נותן למשתמש יחיד או לצוות קטן דרך פשוטה יחסית להקשיח את החשבון הכי רגיש שלהם.
אזהרה חשובה לפני הרשמה
Advanced Account Security מקשה על תוקפים - אבל גם מקשה על שחזור חשבון רגיל. OpenAI מציינת שתמיכת OpenAI לא יכולה לאפס סיסמה, להסיר את הפיצ'ר או להוסיף/להסיר אמצעי התחברות כדי להחזיר גישה שגרתית לחשבון בזמן שהפיצ'ר פעיל.
השורה התחתונה: אם החשבון שלך זכאי ואתה מוכן לעבוד נכון עם passkeys, מפתחות אבטחה ו-recovery keys - זו אחת ההגדרות החשובות ביותר שכדאי לבדוק ב-ChatGPT. אם אתה מנהל עסק או צוות, ההחלטה צריכה להיות חלק ממדיניות שימוש מסודרת ב-AI, ולא פעולה אקראית של עובד אחד.
הירשמו לעדכונים במייל
רוצים להישאר צעד אחד קדימה?
עדכונים על כלי AI, מדריכים וטיפים - ישר למייל. בלי ספאם.
