הודעת SMS על חבילה שמחכה לכם? כך מזהים הונאות פישינג לפני שנופלים בפח
הודעות על חבילות תקועות, חובות לרשויות וחשבונות חסומים הפכו לשגרה. מדריך מעשי לזיהוי ניסיונות פישינג ולמה עושים אם כבר לחצתם על הקישור.
כמעט כל ישראלי עם טלפון חכם קיבל בשנים האחרונות הודעה בנוסח דומה: החבילה שלכם מעוכבת במכס, יש לשלם דמי משלוח קטנים כדי לשחרר אותה. לפעמים מדובר בחוב לכאורה לרשות מקומית, בחשבון בנק שנחסם או בזיכוי שמחכה לכם. ההודעות האלה נראות תמימות, כתובות בעברית סבירה ולפעמים אפילו מופיעות בתוך שרשור הודעות אמיתי של חברת שליחויות. אבל מאחוריהן עומדת תעשייה שלמה של גניבת פרטים, ומי שמבין איך היא עובדת יכול להגן על עצמו בקלות יחסית.
איך עובדת הונאת פישינג
המילה פישינג נגזרת מדיג, והרעיון פשוט: התוקף זורק פיתיון למאות אלפי אנשים בבת אחת ומחכה שמישהו ייתפס. הוא לא צריך שכולם יאמינו לו. מספיק שאחוז קטן מהנמענים ילחצו על הקישור וימלאו פרטי כרטיס אשראי, סיסמה לחשבון הבנק או קוד אימות שנשלח אליהם. בגלל שעלות השליחה כמעט אפסית, גם שיעור הצלחה נמוך מאוד הופך את המבצע לרווחי.
הקישור בהודעה מוביל בדרך כלל לאתר שמחקה בדיוק את האתר המקורי: אותו לוגו, אותם צבעים ולפעמים אפילו אותו מבנה תפריטים. ההבדל היחיד נמצא בכתובת, שנראית דומה אבל אינה זהה. באתר כזה מתבקשים למלא פרטים אישיים ופרטי תשלום, וברגע שלחצתם על כפתור האישור המידע כבר בידיים של מישהו אחר.
בשנים האחרונות ההונאות נעשו מתוחכמות יותר. במקום לבקש מיד את פרטי הכרטיס, חלק מהאתרים המזויפים מבקשים קודם מספר טלפון, ואז שולחים קוד אימות אמיתי מהבנק או מאפליקציית התשלומים. מי שמקליד את הקוד באתר המזויף בעצם מאשר לתוקף להתחבר לחשבון שלו או לבצע עסקה בשמו.
סימני האזהרה שכדאי להכיר
הסימן הראשון והחשוב ביותר הוא תחושת דחיפות. הודעות פישינג כמעט תמיד דורשות פעולה מיידית: החבילה תוחזר לשולח תוך 24 שעות, החשבון ייחסם היום, הקנס יוכפל אם לא תשלמו עכשיו. הלחץ הזה נועד למנוע מכם לעצור ולחשוב. גוף רציני כמעט אף פעם לא דורש תשלום מיידי דרך קישור בהודעת טקסט.
סימן נוסף הוא סכום קטן ולא מאיים. בקשה לשלם כמה שקלים בודדים נראית לא מזיקה, ולכן אנשים פחות חושדים. אבל המטרה האמיתית אינה הסכום עצמו אלא פרטי הכרטיס, שישמשו אחר כך לעסקאות גדולות בהרבה.
- כתובת אתר מוזרה, עם אותיות מיותרות, מקפים או סיומת לא מוכרת
- פנייה כללית ללא שם, או עם שגיאות כתיב ותחביר עדינות
- בקשה להזין קוד אימות שקיבלתם זה עתה בהודעה נפרדת
- הודעה על חבילה כשאתם בכלל לא מחכים למשלוח
- שולח עם מספר זר או שם שנראה כמו שם רשמי אבל כתוב קצת אחרת
מה עושים כשמגיעה הודעה חשודה
הכלל הפשוט ביותר הוא לא ללחוץ על קישורים בהודעות שלא ציפיתם להן. אם נדמה לכם שההודעה יכולה להיות אמיתית, היכנסו בעצמכם לאפליקציה הרשמית של הבנק, של חברת השליחויות או של הרשות, או הקלידו את שם האתר בדפדפן. אם באמת יש חבילה מעוכבת או חוב פתוח, תראו את זה שם.
כדאי גם לדווח על ההודעה. רוב הטלפונים מאפשרים לסמן הודעה כספאם ולחסום את השולח, ובחלק מהמקרים אפשר להעביר את ההודעה לגורמי האכיפה או לחברת הסלולר. כל דיווח עוזר לסנן את ההודעות האלה גם מאנשים אחרים.
לבסוף, שווה לדבר על הנושא עם בני משפחה, במיוחד עם הורים מבוגרים וילדים. הם לרוב היעד הנוח ביותר, ושיחה קצרה על סימני האזהרה יכולה לחסוך הרבה עוגמת נפש.
לחצתי על הקישור, מה עכשיו
קורה לטובים ביותר. אם לחצתם על הקישור אבל לא מילאתם שום פרט, הסיכון בדרך כלל נמוך. סגרו את הדפדפן, ודאו שמערכת ההפעלה של הטלפון מעודכנת, ואל תחזרו לאתר. אם הוריד אליכם קובץ או אפליקציה, מחקו אותם מיד.
אם הזנתם פרטי כרטיס אשראי, התקשרו מיד לחברת האשראי או לבנק דרך המספר שמופיע על גב הכרטיס או באפליקציה הרשמית, ובקשו לחסום את הכרטיס. ככל שתפעלו מהר יותר, כך גדל הסיכוי למנוע חיובים. במקרה שהזנתם סיסמה, החליפו אותה מיד בכל מקום שבו השתמשתם בה, והפעילו אימות דו שלבי אם עוד לא עשיתם זאת.
במקרים שבהם נגנב כסף או שיש חשש לגניבת זהות, כדאי להגיש תלונה במשטרה ולפנות לגורם מקצועי, כמו עורך דין או יועץ בתחום, שיעזור להבין אילו צעדים נוספים נדרשים מול הבנק וחברות האשראי.
הגנה ארוכת טווח: הרגלים שעושים את ההבדל
מעבר לזהירות ברגע עצמו, יש כמה הרגלים שמקטינים מאוד את הסיכון. הראשון הוא שימוש באימות דו שלבי בכל השירותים החשובים, כך שגם אם סיסמה דלפה, היא לבדה לא מספיקה. השני הוא הפעלת התראות על כל עסקה בכרטיס האשראי, כדי לזהות חיוב חשוד בתוך דקות ולא בסוף החודש.
הרגל שלישי הוא שימוש בכרטיס נפרד או בכרטיס וירטואלי לקניות ברשת, עם מסגרת אשראי נמוכה. כך גם אם הפרטים נגנבים, הנזק מוגבל. וכדאי גם לבדוק מדי פעם את פירוט החיובים, כי חלק מהגנבים מתחילים בחיובים קטנים כדי לבדוק אם הכרטיס פעיל.
הרגל אחרון הוא פשוט להאט. רוב הנפילות בפח קורות כשאנחנו עסוקים, עייפים או מחכים באמת לחבילה. עצירה של עשר שניות לפני כל לחיצה על קישור היא אולי הכלי האבטחתי הזול והיעיל ביותר שיש.
בשורה התחתונה
הונאות פישינג ימשיכו להשתכלל, אבל העיקרון שמאחוריהן נשאר זהה: לחץ, דחיפות ובקשה לפרטים רגישים דרך קישור. מי שמתרגל לא ללחוץ על קישורים לא צפויים, לבדוק דרך הערוצים הרשמיים ולהפעיל אימות דו שלבי והתראות, מוריד את הסיכון שלו באופן דרמטי. וגם אם טעיתם, תגובה מהירה מול הבנק וחברת האשראי יכולה לצמצם את הנזק כמעט לאפס.
