הודעה מהבנק, חבילה שמחכה בדואר: כך מזהים הונאות SMS וּוואטסאפ לפני שנופלים

״החבילה שלך מעוכבת, יש להסדיר תשלום מכס״, ״זוהתה פעילות חשודה בחשבונך, לחץ לאימות״, ״אמא, החלפתי מספר, תשמרי אותי״. כמעט כל ישראלי עם טלפון נייד קיבל לפחות אחת מההודעות האלה בשנה האחרונה. הונאות מסוג פישינג, או בעברית ״דיוג״, הפכו לאחת הדרכים הנפוצות ביותר לגנוב כסף ופרטים אישיים, והן מתוחכמות יותר מאי פעם. הטקסטים כתובים בעברית תקינה, הלוגואים נראים אמיתיים, והתזמון לעיתים מדויק להפליא. החדשות הטובות הן שיש סימנים ברורים שאפשר ללמוד לזהות, וכמה כללי ברזל שמונעים את רוב הנזק.

איך עובדת הונאת פישינג

המטרה של רוב ההונאות היא אחת משתיים: לגרום לכם להזין פרטים, כמו מספר כרטיס אשראי, סיסמה או קוד אימות, או לגרום לכם להעביר כסף ישירות. כדי להשיג את זה, המתחזים משתמשים בשילוב של שלושה מרכיבים: גוף מוכר שאמון עליו, כמו בנק, חברת דואר, חברת סלולר או קרוב משפחה; תחושת דחיפות, כמו ״החשבון ייחסם תוך 24 שעות״; וקישור או מספר שאליו צריך לפנות.

הקישור מוביל בדרך כלל לאתר מזויף שנראה כמעט זהה לאתר המקורי. מי שמזין בו את פרטיו מוסר אותם ישירות לעבריינים. במקרים אחרים, ההודעה מבקשת להתקין אפליקציה או ״לאמת״ את החשבון בשיחה טלפונית, שבה נציג מתחזה מנסה לחלץ קוד אימות שנשלח אליכם. כשמבינים את המבנה הזה, הרבה יותר קל לזהות אותו גם כשהתוכן משתנה.

הסימנים המחשידים שחשוב להכיר

כמה סימנים חוזרים שוב ושוב בהודעות מתחזות:

• דחיפות קיצונית ואיום בחסימה, קנס או אובדן כסף אם לא תפעלו מיד.
• קישור לכתובת שנראית דומה לאתר המקורי אבל עם שינוי קטן באותיות, בסיומת או במבנה.
• בקשה למסור קוד שקיבלתם ב־SMS, פרטי כרטיס מלאים או סיסמה.
• הודעה על חבילה שלא הזמנתם, זכייה בהגרלה שלא השתתפתם בה או החזר כספי לא צפוי.
• פנייה ממספר לא מוכר שמציג את עצמו כבן משפחה ומבקש כסף בדחיפות.

חשוב לזכור שגם הודעה שמגיעה לשרשור הקיים של הבנק או של חברת השליחויות בטלפון יכולה להיות מזויפת, משום שקיימות שיטות להתחזות לשם השולח. לכן שם השולח לבדו אינו הוכחה.

״אמא, זה אני, החלפתי מספר״

אחת ההונאות הכואבות ביותר בשנים האחרונות היא זו שמנצלת קשרי משפחה. ההודעה מגיעה ממספר לא מוכר, בדרך כלל בוואטסאפ, ומציגה את עצמה כבן או בת שהחליפו טלפון. אחרי כמה הודעות של שיחה רגילה, מגיעה הבקשה: צריך להעביר כסף דחוף לתשלום כלשהו, והאפליקציה בטלפון החדש עוד לא עובדת.

הדרך הפשוטה ביותר להתגונן היא להתקשר למספר הישן והמוכר של אותו בן משפחה, או לשאול שאלה שרק הוא יודע את התשובה עליה. כדאי גם לסכם מראש במשפחה, במיוחד עם הורים מבוגרים, שלעולם לא מעבירים כסף על סמך הודעה בלבד, בלי שיחה קולית. שיחה קצרה כזו מונעת לא מעט אובדנים כספיים ועוגמת נפש.

כללי הברזל: מה לא עושים לעולם

יש כמה כללים שכדאי לאמץ כהרגל, בלי יוצא מן הכלל. לעולם לא מוסרים לאף אחד קוד אימות שהגיע ב־SMS, גם אם הפונה טוען שהוא מהבנק. אף גוף לגיטימי לא יבקש את הקוד הזה. לא לוחצים על קישורים בהודעות שמבקשות לשלם, לאמת או לעדכן פרטים; במקום זה, נכנסים לאפליקציה הרשמית או מקלידים בעצמכם את כתובת האתר המוכרת.

בנוסף, לא מתקינים אפליקציות לבקשת גורם שפנה אליכם, במיוחד אפליקציות לשליטה מרחוק במכשיר. ואם מתקשר אליכם ״נציג בנק״ עם בקשה חריגה, נתקו, וחייגו בעצמכם למספר המופיע בגב הכרטיס או באתר הרשמי. כלל פשוט אחד מסכם את כל השאר: כשמשהו נראה דחוף מאוד, זה בדיוק הזמן לעצור.

הגנות טכנולוגיות שכדאי להפעיל

מעבר לזהירות אישית, יש כלים שמצמצמים את הסיכון. הפעלת אימות דו־שלבי בוואטסאפ, בחשבונות המייל וברשתות החברתיות מקשה מאוד על גניבת החשבון גם אם הסיסמה דלפה. בוואטסאפ, מדובר בקוד אישי שנדרש כשמתקינים את האפליקציה במכשיר חדש, ומומלץ מאוד להגדיר אותו.

כדאי גם להפעיל את מסנני ההודעות של מערכת ההפעלה, שמפרידים הודעות משולחים לא מוכרים, ולבדוק אם ספקית הסלולר מציעה שירות חסימה של הודעות זדוניות. בחשבון הבנק ובכרטיסי האשראי, שווה להגדיר התראות על כל עסקה, כך שאם משהו חריג קורה, תדעו עליו מיד ולא בסוף החודש.

לחצתי על הקישור, מה עכשיו

גם אנשים זהירים נופלים לפעמים, וזה לא סיבה להתבייש. מה שחשוב הוא לפעול מהר. אם הזנתם פרטי כרטיס אשראי, התקשרו מיד לחברת האשראי ובקשו לחסום את הכרטיס. אם מסרתם סיסמה, החליפו אותה מיד בכל המקומות שבהם השתמשתם בה, והפעילו אימות דו־שלבי. אם מסרתם קוד אימות של וואטסאפ, נסו להתחבר מחדש לחשבון כדי לנתק את המתחזה, והודיעו לאנשי הקשר שלא יענו לבקשות כספיות.

במקרים של אובדן כספי, יש להגיש תלונה במשטרה ולפנות לבנק בהקדם. כדאי לשמור צילומי מסך של ההודעות ושל כל מה שקרה, משום שהם יכולים לסייע בבירור. במקרים מורכבים, ייתכן שכדאי להתייעץ גם עם עורך דין או עם גורם מקצועי בתחום אבטחת המידע.

לדבר על זה עם המשפחה

ההגנה הטובה ביותר היא מודעות, והיא מתחזקת כשמדברים. שיחה קצרה עם הורים, סבים וילדים מתבגרים על סוגי ההונאות הנפוצים, ועל הכלל שלא מוסרים קודים ולא לוחצים על קישורים, יכולה למנוע נזק אמיתי. הרבה פעמים, מה שעוצר הונאה הוא הרגע שבו מישהו אומר ״רגע, אני רק אבדוק עם הבן שלי״.

לסיכום, הונאות ה־SMS והוואטסאפ ימשיכו להשתכלל, אבל העקרונות להתגוננות נשארים פשוטים: לחשוד בדחיפות, לא ללחוץ על קישורים, לא למסור קודים, לאמת דרך ערוץ עצמאי ולהפעיל אימות דו־שלבי. ואם בכל זאת קרה משהו, לפעול מהר ולא להתבייש לבקש עזרה.