הודעות עוקץ בסמס ובוואטסאפ: איך מזהים הונאה לפני שלוחצים על הקישור

ההודעה נראית תמימה לגמרי: החבילה שלכם מעוכבת ויש לשלם עמלה קטנה של כמה שקלים, החשבון בבנק ננעל וצריך לאמת פרטים, או שיש לכם קנס שלא שולם. מאחורי רבות מההודעות האלה עומדים נוכלים שמחפשים בדיוק רגע אחד של חוסר תשומת לב. הונאות פישינג בסמס ובאפליקציות מסרים הפכו לאחת התופעות הנפוצות בעולם הדיגיטלי, וגם בישראל הן מגיעות כמעט לכל טלפון. הדרך הטובה ביותר להתגונן היא להכיר את השיטות.

איך פועלת הונאת פישינג

העיקרון פשוט: הנוכל מתחזה לגוף מוכר ואמין, כמו חברת שליחויות, בנק, חברת כרטיסי אשראי, רשות ממשלתית או אפילו חבר מהעבודה. ההודעה כוללת קישור לאתר שנראה כמעט זהה לאתר האמיתי, עם אותו לוגו, אותם צבעים ואותו מבנה. מי שמקליד שם פרטי כרטיס אשראי, סיסמה או קוד אימות, מוסר אותם ישירות לידי העבריינים.

בגרסאות מתוחכמות יותר, האתר המזויף מבקש גם את הקוד החד-פעמי שנשלח לטלפון. בפועל, הנוכלים מנסים באותו רגע להתחבר לחשבון האמיתי, והקוד שאתם מוסרים הוא בדיוק מה שחסר להם כדי להשתלט עליו. מכאן הדרך לחיובים לא מורשים או להשתלטות על חשבון מסרים קצרה מאוד.

הסימנים שצריכים להדליק נורה אדומה

כמעט כל הודעות העוקץ חולקות כמה מאפיינים משותפים. הראשון הוא תחושת דחיפות: "החשבון ייחסם תוך 24 שעות", "החבילה תוחזר לשולח", "הקנס יוכפל". הלחץ נועד לגרום לכם לפעול לפני שתספיקו לחשוב. השני הוא בקשה לתשלום קטן או לפרטים אישיים דרך קישור, משהו שגופים רציניים כמעט אף פעם לא עושים בהודעה לא צפויה.

סימנים נוספים הם שגיאות כתיב או ניסוח עברי מוזר, כתובת אתר שנראית קרובה למקור אבל עם אות מיותרת או סיומת חריגה, ושולח שאינו מוכר או מספר מחו״ל. עם זאת, חשוב לזכור שהנוכלים משתפרים כל הזמן, והודעות רבות כתובות היום בעברית תקינה לחלוטין. לכן הכלל החשוב ביותר הוא לא להסתמך על המראה.

• הודעה לא צפויה שמבקשת תשלום או פרטים, חשודה כברירת מחדל
• לחץ זמן קיצוני הוא טקטיקה ולא סיבה למהר
• גוף אמיתי לעולם לא יבקש את הקוד החד-פעמי שקיבלתם
• כשיש ספק, נכנסים לאפליקציה הרשמית בעצמכם ולא דרך הקישור

הונאות בוואטסאפ ובאפליקציות מסרים

באפליקציות המסרים התפתחו שיטות נוספות. אחת המוכרות היא ההודעה מ"חבר" או מ"בן משפחה" שכותב שהחליף מספר ומבקש העברה דחופה של כסף. שיטה אחרת היא בקשה לשלוח קוד שהגיע אליכם "בטעות", שבפועל הוא קוד ההרשמה לחשבון שלכם, ומאפשר לנוכל להשתלט עליו ולהמשיך לעקוץ את אנשי הקשר שלכם.

הגנה חשובה מפני השתלטות היא הפעלת אימות דו-שלבי באפליקציית המסרים, כלומר קוד אישי נוסף שנדרש בכל התקנה על מכשיר חדש. כשמקבלים בקשת כסף חריגה ממישהו מוכר, הדרך הבטוחה היא להתקשר אליו למספר הישן והמוכר ולוודא, ולא להסתפק בהתכתבות.

הגנות טכניות שכדאי להפעיל

מעבר לתשומת לב, יש כמה צעדים טכניים שמקטינים מאוד את הסיכון. הראשון הוא אימות דו-שלבי בכל החשבונות החשובים: דואר אלקטרוני, רשתות חברתיות, אפליקציות מסרים ושירותי ענן. השני הוא שימוש בסיסמאות שונות לכל שירות, רצוי בעזרת מנהל סיסמאות, כך שדליפה של סיסמה אחת לא תפתח את כל הדלתות.

כדאי גם להגדיר בחברת כרטיסי האשראי התראות על כל עסקה. כך תדעו מיד על חיוב שלא ביצעתם, ותוכלו לפעול בזמן. מערכות ההפעלה של הטלפונים כוללות היום סינון של הודעות ממספרים לא מוכרים, ושווה להפעיל אותו. ולבסוף, עדכוני תוכנה שוטפים לטלפון ולאפליקציות סוגרים פרצות אבטחה שעבריינים מנצלים.

לחצתם על הקישור? זה מה שעושים

אם רק נכנסתם לאתר ולא הזנתם שום פרט, הסיכון בדרך כלל נמוך, אבל כדאי לסגור את הדף ולא להמשיך. אם הזנתם פרטי כרטיס אשראי, פנו מיד לחברת האשראי או לבנק, בקשו לחסום את הכרטיס ולהנפיק חדש, ועברו על החיובים האחרונים. ככל שהפנייה מהירה יותר, כך גדל הסיכוי לעצור חיובים ולהשיב כסף.

אם מסרתם סיסמה, החליפו אותה מיד בשירות המדובר ובכל שירות אחר שבו השתמשתם באותה סיסמה, והפעילו אימות דו-שלבי. במקרה של השתלטות על חשבון מסרים, הודיעו לאנשי הקשר שלכם בערוץ אחר שלא יענו לבקשות כסף. מומלץ גם להגיש תלונה במשטרה, במיוחד אם נגרם נזק כספי, ולשמור צילומי מסך של ההודעות.

לדבר על זה עם המשפחה

קבוצות מסוימות פגיעות יותר להונאות, ובראשן מבוגרים שפחות מורגלים בעולם הדיגיטלי, אבל גם בני נוער שמשתמשים באפליקציות רבות. שיחה פתוחה בבית על הסימנים המחשידים, והסכמה פשוטה כמו "לפני שמשלמים משהו בעקבות הודעה, שואלים", יכולות לחסוך הרבה צער.

הונאות טלפוניות והתחזות לנציגים

לצד ההודעות הכתובות, נפוצות גם שיחות טלפון מנציגים מדומים של בנק, חברת אשראי או אפילו תמיכה טכנית. הנציג נשמע מקצועי, יודע לפעמים כמה פרטים עליכם, ומבקש להתקין אפליקציה "לצורך בדיקה" או למסור קוד שהגיע בהודעה. אפליקציות שליטה מרחוק מעניקות לנוכל גישה מלאה למכשיר, כולל לאפליקציית הבנק.

הכלל כאן ברור: אם מישהו מתקשר אליכם ומבקש פרטים, קוד או התקנה, מנתקים ומתקשרים בעצמכם למספר הרשמי שמופיע בגב הכרטיס או באתר הרשמי. נציג אמיתי לא ייעלב מכך. כדאי גם לזכור שמספר מזוהה על המסך יכול להיות מזויף, ולכן הוא לא הוכחה לכך שהשיחה אמיתית.

לסיכום, הונאות הפישינג לא ייעלמו בקרוב, אבל רובן נשענות על אותו עיקרון של לחץ והתחזות. מי שמאט, לא לוחץ על קישורים בהודעות לא צפויות ונכנס בעצמו לאפליקציות הרשמיות, סוגר את רוב הדלתות בפני הנוכלים.