הודעות SMS מתחזות: איך מזהים הונאת פישינג לפני שנופלים בפח

כמעט כל מי שמחזיק טלפון נייד בישראל קיבל לפחות פעם אחת הודעה כזו: החבילה שלכם מעוכבת ויש לשלם דמי משלוח, החשבון בבנק נחסם ויש לאמת פרטים, או שמגיע לכם החזר כספי ויש ללחוץ על הקישור כדי לקבל אותו. אלה הודעות פישינג, או בשמן העברי דיוג, והן אחת משיטות ההונאה הנפוצות ביותר כיום. המטרה שלהן פשוטה: לגרום לכם למסור פרטים אישיים, סיסמאות או פרטי כרטיס אשראי באתר מזויף. החדשות הטובות הן שברוב המקרים אפשר לזהות אותן, אם יודעים על מה להסתכל.

איך ההונאה עובדת

המתחזים שולחים מספר עצום של הודעות, לעיתים לאלפי מספרים בבת אחת. הם אינם צריכים שכולם ייפלו בפח, מספיק שאחוז קטן ילחץ על הקישור. ההודעה מתחזה לגוף מוכר ואמין, כמו חברת שליחויות, בנק, חברת אשראי, רשות ממשלתית או ספק שירות, ומשתמשת בשם, בלוגו ובשפה שנראים אמינים.

הקישור בהודעה מוביל לאתר שנראה כמעט זהה לאתר האמיתי. שם מתבקשים להזין פרטים: שם משתמש וסיסמה, פרטי כרטיס אשראי, מספר תעודת זהות או קוד אימות שנשלח לטלפון. ברגע שהפרטים מוזנים, הם מגיעים ישירות למתחזים, שמשתמשים בהם כדי לבצע חיובים, לפרוץ לחשבונות או לגנוב את הזהות.

סימני האזהרה הנפוצים

למרות שההודעות נעשות מתוחכמות יותר, יש כמה סימנים שחוזרים כמעט בכל הונאה:

• דחיפות מלאכותית: החשבון ייחסם תוך שעות, החבילה תוחזר היום, ההצעה בתוקף רק עכשיו
• בקשה ללחוץ על קישור כדי לאמת פרטים או לשלם סכום קטן
• כתובת אתר מוזרה, עם שגיאות כתיב או סיומת לא צפויה
• שגיאות לשון, ניסוח מוזר או תרגום לא טבעי
• פנייה כללית בלי שמכם, או עם פרטים שגויים
• הודעה על חבילה שלא הזמנתם או על חוב שאינכם מכירים

הכלל החשוב ביותר הוא שגופים רשמיים, ובמיוחד בנקים, כמעט אף פעם לא יבקשו מכם להזין סיסמה או פרטי כרטיס דרך קישור בהודעה. אם יש ספק, אל תלחצו.

הונאת דמי המשלוח

אחת ההונאות הנפוצות ביותר בשנים האחרונות היא הודעה על חבילה שמחכה למסירה, עם בקשה לשלם סכום קטן של דמי משלוח או מכס. מכיוון שרבים מזמינים בקביעות מאתרי קניות בחו״ל, ההודעה נשמעת סבירה. הסכום הקטן גורם לאנשים לחשוב שאין כאן סיכון גדול.

אבל המטרה אינה הסכום הקטן, אלא פרטי הכרטיס. ברגע שהם מוזנים באתר המזויף, המתחזים יכולים להשתמש בהם לרכישות גדולות. אם אתם מחכים לחבילה, בדקו את מצבה רק דרך האתר או האפליקציה הרשמיים של חברת המשלוחים, ולא דרך קישור שהגיע בהודעה.

התחזות לבנק ולגופים רשמיים

הודעות שמתחזות לבנקים ולחברות אשראי הן מסוכנות במיוחד, כי הן מכוונות ישירות לכסף. הן עשויות להודיע על פעילות חשודה, על חסימת כרטיס או על צורך לעדכן פרטים. לעיתים ההודעה מגיעה עם שם שולח שנראה כמו שם הבנק, ואף מופיעה באותה שיחה עם הודעות אמיתיות קודמות מהבנק.

במקרה כזה, אל תשתמשו בקישור או במספר הטלפון שבהודעה. היכנסו לאפליקציה הרשמית של הבנק או התקשרו למספר שמופיע על גב הכרטיס או באתר הרשמי. אם באמת יש בעיה, תראו אותה שם. אותו כלל חל על הודעות שמתחזות לרשויות המס, לביטוח הלאומי או לגופים ממשלתיים אחרים.

קודי אימות: לעולם לא מוסרים

שיטה נפוצה נוספת היא בקשה למסור קוד אימות שנשלח לטלפון. המתחזה מנסה להתחבר לחשבון שלכם, למשל בוואטסאפ, ברשת חברתית או בבנק, והמערכת שולחת לכם קוד. אז מגיעה הודעה או שיחה שמבקשת מכם להעביר את הקוד, בתירוץ כלשהו. מי שמוסר את הקוד, מוסר למעשה את החשבון.

הכלל פשוט: קוד אימות לא מוסרים לאף אחד, גם לא למי שמציג את עצמו כנציג רשמי, וגם לא לחבר שמבקש בהודעה, כי ייתכן שהחשבון של החבר כבר נפרץ. הפעלת אימות דו־שלבי בכל החשבונות החשובים מוסיפה שכבת הגנה משמעותית.

מה עושים אם כבר לחצתם

גם אנשים זהירים נופלים לפעמים. העיקר הוא לפעול מהר. אם לחצתם על קישור אבל לא הזנתם פרטים, בדרך כלל הנזק קטן, אבל כדאי לסגור את הדף, לא להוריד שום קובץ ולוודא שהטלפון מעודכן.

אם הזנתם פרטים, פעלו מיד:

• אם מסרתם פרטי כרטיס אשראי, התקשרו לחברת האשראי בהקדם ובקשו לחסום את הכרטיס
• אם מסרתם סיסמה, החליפו אותה מיד בכל השירותים שבהם השתמשתם בה
• אם מסרתם קוד אימות, נסו להיכנס לחשבון ולנתק מכשירים לא מוכרים
• עקבו אחר חיובים בחשבון הבנק ובכרטיס בימים הבאים
• שקלו להגיש תלונה במשטרה, במיוחד אם נגרם נזק כספי

להגן על המשפחה כולה

מבוגרים, ובמיוחד הורים וסבים שפחות מורגלים בטכנולוגיה, הם יעד מועדף להונאות. כך גם ילדים ובני נוער, שלוחצים על קישורים בקלות. שיחה פתוחה עם בני המשפחה על הסימנים המחשידים היא אחת ההגנות הטובות ביותר. הסבירו שזה בסדר לשאול לפני שלוחצים, ושאין שום בושה בלהתייעץ.

בנוסף, כדאי להפעיל את מנגנוני סינון ההודעות המובנים בטלפון ואת שירותי ההגנה שמציעים חלק מספקי הסלולר. הם אינם חוסמים הכול, אבל מסננים חלק ניכר מההודעות הזדוניות.

הונאות פישינג ימשיכו להשתנות ולהשתכלל, אבל העיקרון שלהן נשאר זהה: ניצול של לחץ, בלבול ואמון. עצירה של שנייה לפני לחיצה, בדיקה דרך הערוץ הרשמי והקפדה שלא למסור קודים וסיסמאות הם ההגנה החזקה ביותר שיש לכם, והם לא עולים דבר.