פישינג הוא ניסיון הונאה שבו מישהו מתחזה לגוף שאתם מכירים, כמו בנק, חברת משלוחים או רשות ממשלתית, כדי שתמסרו סיסמה, קוד אימות או פרטי אשראי. מזהים אותו לפי שלושה סימנים: לחץ זמן, קישור, ובקשה למידע רגיש. הכלל שמגן כמעט תמיד: לא לוחצים על הקישור, ובודקים באתר או באפליקציה הרשמיים.
מה זה פישינג ולמה קוראים לזה ככה?
המילה פישינג באה מהאנגלית ומקורה במילה דיג (fishing). התוקף זורק פיתיון להרבה אנשים ומחכה שמישהו ייתפס. הפיתיון יכול להיות SMS, מייל, הודעת וואטסאפ, הודעה ברשת חברתית או שיחת טלפון. המטרה כמעט תמיד אחת משלוש: לגרום לכם להזין פרטים באתר מזויף, להתקין משהו בטלפון או במחשב, או למסור קוד שמאפשר להשתלט על חשבון.
הסיבה שזה עובד היא לא שאנשים לא חכמים. זה עובד כי ההודעות בנויות לתפוס אותנו ברגע של עומס: באמצע יום עבודה, כשמחכים באמת לחבילה, או כשמישהו קרוב כותב שהוא בצרה. הודעת פישינג טובה נראית בדיוק כמו הודעה אמיתית, ולפעמים היא מגיעה אפילו באותו שרשור של הודעות אמיתיות מאותו שם שולח.
יש לזה כמה שמות לפי הערוץ. פישינג בהודעת SMS נקרא לפעמים סמישינג. פישינג בשיחת טלפון נקרא וישינג. וכשההודעה מותאמת אישית לאדם מסוים, עם השם שלו ופרטים מהעבודה, קוראים לזה ספיר-פישינג. העיקרון זהה בכולם.
איך מזהים הודעת פישינג? שבעת הסימנים
אין סימן אחד שמוכיח הונאה, אבל ככל שיש יותר סימנים מהרשימה, כך הסיכוי גבוה יותר. שלושת הראשונים חשובים מכולם.
- לחץ זמן. “החשבון ייחסם תוך שעה”, “החבילה תוחזר היום”, “קנס כפול אם לא תשלמו עד הערב”. דחיפות נועדה למנוע מכם לעצור ולחשוב.
- קישור או קובץ. ההודעה רוצה שתלחצו, תורידו או תתקינו. גוף אמיתי יכול לשלוח קישור, אבל גם אז אפשר לבדוק בלי ללחוץ.
- בקשה למידע רגיש. סיסמה, קוד אימות, מספר כרטיס אשראי עם תוקף וספרות בגב הכרטיס, או צילום תעודת זהות. בנקים וחברות רציניות לא מבקשים קוד אימות בהודעה.
- כתובת שנראית כמעט נכונה. שם אתר עם אות אחת שונה, מילה נוספת כמו pay או secure, או סיומת לא צפויה.
- סכום קטן ומוזר. דמי משלוח של כמה שקלים או “עמלת שחרור”. הסכום הקטן מוריד את החשדנות, אבל המטרה היא פרטי הכרטיס, לא הסכום.
- פנייה כללית. “לקוח יקר” במקום השם שלכם, למרות שהגוף האמיתי מכיר אתכם.
- הקשר שלא מתאים. חבילה שלא הזמנתם, בנק שאין לכם בו חשבון, או “בן משפחה” שכותב ממספר חדש ומבקש כסף בדחיפות.
דוגמאות להודעות פישינג (בדויות) ומה חשוד בהן
הדוגמאות הבאות בדויות לגמרי. השמות והכתובות לא אמיתיים, והסיומת example נבחרה בכוונה כי היא שמורה לדוגמאות ולא שייכת לאף אתר. המטרה היא להראות את המבנה, כי המבנה חוזר גם כשהשמות מתחלפים.
דוגמה 1, SMS על חבילה: “החבילה שלך מעוכבת במרכז המיון בשל דמי משלוח שלא שולמו. להסדרה עד הערב: doar-delivery-pay.example”. מה חשוד: לחץ זמן, סכום שלא צוין אבל “להסדרה”, וכתובת שאינה האתר הרשמי של חברת המשלוחים. מה עושים: נכנסים בעצמכם לאתר או לאפליקציה של חברת המשלוחים, ומזינים שם את מספר המעקב מהחנות שבה הזמנתם.
דוגמה 2, מייל מ”הבנק”: “זיהינו פעילות חריגה בחשבונך. כדי למנוע חסימה, אמת את פרטיך בקישור המצורף תוך 24 שעות”. מה חשוד: איום בחסימה, קישור לאימות, ושם שולח שנראה נכון אבל כתובת המייל המלאה שונה. מה עושים: פותחים את אפליקציית הבנק כרגיל, ואם יש הודעה אמיתית היא תופיע שם. אפשר גם להתקשר למספר שמופיע בגב כרטיס האשראי או באתר הבנק.
דוגמה 3, וואטסאפ מ”הבת”: “היי אמא, זה המספר החדש שלי, הטלפון נפל לי למים. את יכולה להעביר לי כסף לחשבון של חבר? דחוף”. מה חשוד: מספר לא מוכר, סיפור שמסביר למה אי אפשר להתקשר, ובקשה לכסף בדחיפות. מה עושים: מתקשרים למספר הישן או לבן משפחה אחר, ושואלים שאלה שרק הבת האמיתית יודעת.
דוגמה 4, הודעה עם קוד: “שלום, שלחתי לך בטעות קוד בן שש ספרות. תוכל לשלוח לי אותו בחזרה?”. זה לא פישינג קלאסי עם קישור, אבל זו אחת השיטות הנפוצות להשתלט על חשבונות. הקוד מיועד לכם ורק לכם. הסבר מלא מופיע במדריך קוד אימות: למה מקבלים אותו ולמה אסור לשתף.
להגיב להודעה החשודה כדי לברר, או ללחוץ על הקישור “רק כדי לראות”. תגובה מאשרת שהמספר פעיל, ולחיצה יכולה להוביל לדף שנראה בדיוק כמו האתר האמיתי. בודקים תמיד בערוץ שאתם פותחים בעצמכם.
איך בודקים קישור בלי ללחוץ עליו?
במחשב, מעבירים את העכבר מעל הקישור בלי ללחוץ, והכתובת המלאה מופיעה בפינת הדפדפן או בתוכנת המייל. בטלפון, לחיצה ארוכה על הקישור מציגה את הכתובת בלי לפתוח אותה, אבל צריך להיזהר לא להרים את האצבע על “פתח”.
מה מחפשים בכתובת? את החלק שלפני הסיומת הראשית. בכתובת כמו bank.co.il.secure-login.example, האתר האמיתי הוא secure-login.example, ו-bank.co.il הוא רק תחילית שנועדה לבלבל. עוד סימנים: אותיות שהוחלפו, כמו ספרה 0 במקום האות o, ומקפים ומילים נוספות שלא קיימות בכתובת המקורית.
אבל גם בדיקה טובה לא תמיד מספיקה, כי יש כתובות מזויפות שקשה מאוד לזהות בעין. לכן ההרגל הבטוח הוא לא לנסות לפענח את הקישור בכלל: נכנסים לשירות מהאפליקציה או מכתובת ששמרתם במועדפים.
פישינג ב-SMS, במייל ובוואטסאפ: מה ההבדל?
הערוץ משנה את הצורה, לא את העיקרון. בכל אחד מהם יש טריק אחר שכדאי להכיר.
| ערוץ | הפיתיון הנפוץ | הטריק המיוחד | איך בודקים |
|---|---|---|---|
| SMS | חבילה, חוב, קנס, החזר כספי | שם השולח יכול להופיע כשם של גוף מוכר | נכנסים לאפליקציה או לאתר הרשמי בעצמכם |
| מייל | חשבון חסום, חשבונית, מסמך משותף | שם שולח נכון וכתובת מייל מלאה שונה | בודקים את כתובת השולח המלאה ואת הקישור בלי ללחוץ |
| וואטסאפ | בן משפחה במספר חדש, בקשה לקוד | פנייה רגשית ודחופה מאדם קרוב | מתקשרים לאדם במספר שאתם מכירים |
| שיחת טלפון | נציג בנק או תמיכה טכנית | מבקשים קוד שהגיע עכשיו או התקנת אפליקציה | מנתקים ומתקשרים בעצמכם למספר הרשמי |
| רשתות חברתיות | זכייה בהגרלה, הצעת עבודה, תמיכה בחשבון | חשבון שנראה רשמי עם שם דומה | בודקים בעמוד הרשמי של הגוף |
לחצתי על קישור פישינג. מה עושים עכשיו?
קודם כל, לא נכנסים לפאניקה. לחיצה לבדה, בלי להזין שום דבר ובלי להוריד קובץ, היא בדרך כלל לא סוף העולם. מה שקובע הוא מה קרה אחרי הלחיצה. הנה מה לעשות לפי המצב, מהדחוף לפחות דחוף:
- 1
הזנתם סיסמה? מחליפים אותה עכשיו
נכנסים לשירות האמיתי, לא דרך הקישור, ומחליפים סיסמה. אם השתמשתם באותה סיסמה בשירותים אחרים, מחליפים גם שם.
- 2
הזנתם פרטי אשראי? מתקשרים לחברת האשראי
מבקשים לחסום את הכרטיס ולבדוק חיובים אחרונים. המספר מופיע בגב הכרטיס ובאפליקציה של חברת האשראי.
- 3
מפעילים אימות דו-שלבי
בכל חשבון חשוב, במיוחד מייל, בנק ורשתות חברתיות. כך גם מי שיש לו את הסיסמה לא ייכנס בלי הקוד.
- 4
מדווחים
למוקד 119 של מערך הסייבר הלאומי, לבנק או לגוף שהתחזו אליו, ולמשטרה אם נגרם נזק כספי.
אם הורדתם קובץ או התקנתם אפליקציה מהקישור, מוחקים אותה מיד ובודקים את המכשיר. באייפון, הסבר על מה באמת יכול לקרות ומה עושים יש במדריך וירוס באייפון: איך יודעים ומה עושים. ובכל מקרה, זה רגע טוב לוודא שיש לכם גיבוי עדכני לקבצים החשובים לפי כלל הגיבוי 3-2-1, כי גיבוי הוא מה שמציל קבצים כשמשהו משתבש.
מערך הסייבר הלאומי מפעיל את מוקד 119, שזמין 24 שעות ביממה. אפשר לדווח גם במייל לכתובת 119@cyber.gov.il, בטופס מקוון באתר gov.il ובבוט הוואטסאפ של המערך. אם נגרם נזק כספי, כדאי לדווח גם למשטרה ולבנק.
איך מתגוננים מפישינג מראש?
ההגנה הכי טובה היא לא להיות חכמים יותר מהתוקף בכל רגע, אלא לבנות הרגלים שעובדים גם כשאתם עייפים או ממהרים.
- אימות דו-שלבי בכל חשבון חשוב. גם אם סיסמה דלפה, בלי הקוד הנוסף אי אפשר להיכנס. איך מפעילים אותו בשירותים הנפוצים מוסבר במדריך אימות דו-שלבי: איך מפעילים אותו בחמש דקות.
- סיסמה שונה לכל שירות. כך דליפה אחת לא פותחת את כל החשבונות. מנהל סיסמאות עושה את זה בלי שתצטרכו לזכור.
- כניסה דרך אפליקציה או מועדפים. לבנק, לדואר, לחברת האשראי ולרשויות נכנסים תמיד מהאפליקציה הרשמית או מכתובת שמורה.
- עדכוני מערכת. עדכונים סוגרים פרצות שאתרים זדוניים מנסים לנצל.
ובבית כדאי לדבר על זה עם ההורים ועם הילדים. אנשים מבוגרים הם יעד מועדף להודעות “הנכד במספר חדש”, ובני נוער להודעות “זכית במתנה”. משפט אחד שכולם במשפחה זוכרים, כמו “על כסף וקודים מדברים רק בטלפון”, שווה יותר מכל תוכנה.
פישינג בעבודה ובעסק קטן: על מה לשים לב?
בעסק, פישינג נראה קצת אחרת. במקום חבילה במכס מגיעה “חשבונית חדשה מספק”, “מסמך ששותף איתך לחתימה”, או מייל מ”המנהל” שמבקש להעביר תשלום דחוף לחשבון חדש. המטרה היא לרוב אחת משתיים: סיסמה של חשבון המייל של העבודה, או העברה כספית.
שלושה כללים שכדאי לקבוע בעסק, גם אם הוא קטן מאוד. הראשון: כל שינוי בפרטי חשבון בנק של ספק מאמתים בשיחת טלפון למספר שכבר יש לכם, לא למספר שמופיע במייל. השני: בקשה לתשלום דחוף מבעל העסק או ממנהל, שמגיעה רק במייל או בהודעה, מאמתים בקול לפני שמבצעים. השלישי: מסמך משותף שלא ציפיתם לו פותחים רק אחרי שבדקתם עם השולח בערוץ אחר שהוא באמת שלח אותו.
והכי חשוב, לבנות תרבות שבה מותר לטעות. עובד שלחץ על קישור ומספר על זה מיד, חוסך לעסק הרבה יותר נזק מעובד שמתבייש ושותק. משפט כמו “לחצת? תגיד לי, ונטפל ביחד” שווה יותר מכל הדרכה.
פישינג שמגיע עם קוד QR
גרסה פחות מוכרת היא קוד QR במקום קישור. הוא יכול להופיע במייל, במכתב, על שלט בחניון או על מדבקה שהודבקה מעל קוד אמיתי. סריקה פותחת אתר, ובדיוק כמו בקישור, האתר יכול להיות מזויף. הכלל זהה: לפני שמזינים פרטים באתר שנפתח מסריקה, בודקים את הכתובת שמופיעה בשורת הדפדפן. וכשמדובר בתשלום, עדיף לשלם דרך האפליקציה הרשמית של החניון או של השירות, ולא דרך הקוד שעל השלט. מדבקה שנראית כאילו הודבקה מעל משהו אחר היא סיבה טובה לא לסרוק.
קיבלתי הודעת פישינג ולא לחצתי. צריך לעשות משהו?
לא חייבים, אבל שלושה דברים קטנים עוזרים. הראשון: לא עונים להודעה, גם לא כדי לכתוב “נוכלים”. תגובה מאשרת שהמספר או המייל פעילים, ועלולה להביא עוד הודעות. השני: מוחקים את ההודעה, ובמייל מסמנים אותה כספאם או כפישינג. כך תוכנת המייל לומדת לזהות הודעות דומות. בטלפון אפשר לחסום את השולח ובחלק מהמכשירים גם לדווח עליו כספאם.
השלישי: אם ההודעה התחזתה לגוף מסוים, כמו בנק או חברת משלוחים, אפשר לדווח לו. להרבה חברות יש דף או כתובת לדיווח על התחזות, והדיווחים עוזרים להן להוריד אתרים מזויפים. ואם ההודעה נראית כמו חלק מגל רחב, אפשר לדווח גם למוקד 119.
ואם ההודעה הגיעה לקבוצה המשפחתית או מחבר, כתבו לכולם שזו הונאה. מישהו אחר בקבוצה אולי כבר עמד ללחוץ.
למה גם אנשים זהירים נופלים בפישינג?
כי ההודעות האלה לא בנויות לבחון ידע, הן בנויות לתפוס תשומת לב ברגע הלא נכון. מי שמחכה באמת לחבילה יקבל הודעה על חבילה. מי שיש לו חשבון בבנק מסוים יקבל, במקרה, הודעה מאותו בנק. כשנשלחות הרבה הודעות להרבה אנשים, תמיד יש מישהו שההודעה מתאימה לו בדיוק באותו יום.
יש גם מרכיב רגשי. הודעה שמפחידה, כמו חסימת חשבון או קנס, או הודעה שמעוררת דאגה, כמו בן משפחה בצרה, גורמת לנו לפעול לפני שאנחנו חושבים. לכן ההגנה הכי יעילה היא לא לזכור את כל הסימנים, אלא לאמץ הרגל אחד: כשהודעה גורמת לכם להרגיש לחץ, זה בדיוק הרגע לעצור ולבדוק בערוץ אחר.
מילון מונחים: פישינג, סמישינג ועוד
- פישינג (Phishing): הונאה שבה מתחזים לגוף מוכר כדי לגנוב פרטים או כסף.
- סמישינג (Smishing): פישינג בהודעת SMS.
- וישינג (Vishing): פישינג בשיחת טלפון, בדרך כלל מ”נציג” של בנק או תמיכה.
- ספיר-פישינג (Spear phishing): פישינג מותאם אישית לאדם או לארגון מסוים, עם פרטים אמיתיים עליו.
- התחזות שולח (Spoofing): זיוף שם או כתובת של שולח כדי שההודעה תיראה כאילו הגיעה מגוף אמיתי.
- אתר מתחזה: דף שמעוצב כמו האתר האמיתי, עם כתובת שונה, ונועד לאסוף סיסמאות ופרטי אשראי.
- אימות דו-שלבי: שכבת הגנה שדורשת קוד או אישור נוסף מעבר לסיסמה.
רשימת בדיקה: לפני שלוחצים
שאלות נפוצות
מה זה פישינג במילים פשוטות?
הודעה או אתר מזויפים שמתחזים לגוף שאתם מכירים, כמו בנק או חברת משלוחים, כדי שתמסרו סיסמה, קוד או פרטי אשראי.
רק לחצתי על הקישור ולא הזנתי כלום. זה מסוכן?
בדרך כלל הסיכון נמוך יותר כשלא הזנתם פרטים ולא הורדתם קובץ. סגרו את הדף, אל תתקינו שום דבר שהוצע, ודאו שהמערכת מעודכנת, והיו ערניים להודעות חשודות בימים הקרובים.
איך יודעים אם הודעה מהבנק אמיתית?
לא בודקים דרך ההודעה. פותחים את אפליקציית הבנק או מתקשרים למספר שמופיע בגב הכרטיס או באתר הרשמי. אם יש בעיה אמיתית, תמצאו אותה שם.
לאן מדווחים על פישינג בישראל?
למוקד 119 של מערך הסייבר הלאומי, שזמין 24/7, או במייל ל-119@cyber.gov.il. אם נגרם נזק כספי, מדווחים גם לבנק או לחברת האשראי ולמשטרה.
האם אנטי וירוס מגן מפישינג?
חלק מהכלים מזהים אתרים מוכרים כמסוכנים, וגם דפדפנים עושים את זה. אבל אתרים חדשים מופיעים כל הזמן, ולכן ההגנה העיקרית היא ההרגל לא ללחוץ ולהיכנס רק דרך ערוצים רשמיים.
למה אני מקבל הודעות כאלה? איך השיגו את המספר שלי?
לרוב ההודעות נשלחות בכמויות גדולות למספרים רבים, ולא בגלל משהו שעשיתם. מספר טלפון לבדו לא מאפשר לגנוב חשבון. הסכנה מתחילה רק כשמוסרים פרטים או קודים.
קראו גם
- קוד אימות: למה מקבלים אותו ולמה אסור לשתף
- אימות דו-שלבי: איך מפעילים אותו בחמש דקות ולמה זה הכרחי
- וירוס באייפון: איך יודעים ומה עושים
- כלל הגיבוי 3-2-1: איך שומרים על הקבצים החשובים
