קוד אימות הוא מספר חד-פעמי, בדרך כלל בן ארבע עד שמונה ספרות, שנשלח ב-SMS, במייל או באפליקציה כדי לוודא שאתם באמת אתם. הוא משמש להתחברות, לאיפוס סיסמה או לאישור פעולה. מי שמחזיק את הקוד יכול לפעול בשמכם, ולכן הכלל פשוט: לא מעבירים אותו לאף אחד, בשום מצב.
מה זה קוד אימות ולמה מקבלים אותו?
קוד אימות הוא הוכחה. כשאתם מתחברים לשירות ממכשיר חדש, מאפסים סיסמה או מאשרים תשלום, השירות רוצה לדעת שאתם מחזיקים במשהו שרק לכם יש: הטלפון, המספר, או המייל. הוא שולח קוד, ואתם מקלידים אותו באותו מקום שבו ביקשתם. אם הקוד נכון, השירות מניח שזה אתם.
יש כמה מקרים נפוצים שבהם מקבלים קוד. הראשון, התחברות ראשונה ממכשיר חדש, כמו טלפון חדש או מחשב של העבודה. השני, איפוס סיסמה ששכחתם. השלישי, אישור פעולה רגישה כמו העברה בנקאית או קנייה באשראי. הרביעי, רישום לאפליקציה כמו וואטסאפ, טלגרם או סיגנל, שקושרות את החשבון למספר הטלפון.
הקוד תקף בדרך כלל לזמן קצר ולשימוש אחד בלבד. זה הופך אותו לבטוח יותר מסיסמה קבועה, אבל רק כל עוד הוא נשאר אצלכם. ברגע שהוא עובר למישהו אחר, הוא עובד גם בשבילו.
למה אסור לשתף קוד אימות?
כי הקוד הוא לא מידע עליכם. הוא המפתח עצמו. סיסמה שדלפה עדיין צריכה בדרך כלל עוד צעד, אבל קוד אימות הוא בדיוק הצעד הזה. מי שמבקש אותו כבר נמצא, ברוב המקרים, באמצע תהליך התחברות לחשבון שלכם, ומחכה רק לכם.
כדאי לזכור עובדה פשוטה: לאף שירות אמיתי אין סיבה לבקש מכם להקריא לו קוד שהוא עצמו שלח. הבנק יודע מה הקוד, וואטסאפ יודעת מה הקוד, חברת הסלולר יודעת מה הקוד. הקוד נועד שתקלידו אותו באפליקציה או באתר, לא שתמסרו אותו לאדם. גם בהודעות של הרבה שירותים כתוב במפורש שלא מעבירים את הקוד לאף אחד.
מי שמבקש מכם קוד אימות, בכל ערוץ ובכל תירוץ, מנסה להיכנס לחשבון שלכם. אין יוצא מן הכלל לכלל הזה, גם כשמי שמבקש נשמע כמו חבר, נציג או בן משפחה.
איך משתלטים על וואטסאפ עם קוד אחד?
זו אחת ההונאות הנפוצות, והיא עובדת כך. התוקף מתקין וואטסאפ בטלפון שלו ומזין את המספר שלכם. וואטסאפ שולחת קוד ב-SMS למספר הרשום, כלומר אליכם. עכשיו התוקף צריך רק דבר אחד: שתעבירו לו את הקוד.
כדי לקבל את הקוד, התוקף משתמש בתירוץ. לפעמים הוא כותב מהחשבון של חבר שכבר נפרץ: “שלחתי לך קוד בטעות, תעביר לי?”. לפעמים הוא מתקשר ומציג את עצמו כנציג של וואטסאפ, של הבנק או של קופת החולים. ולפעמים הוא מבטיח פרס, הגרלה או החזר כספי שדורש “אימות”.
ברגע שהקוד אצלו, הוא מתחבר לחשבון, ואתם מתנתקים. מכאן הוא יכול לכתוב לכל אנשי הקשר שלכם בשמכם, לבקש מהם כסף ולבקש גם מהם קודים, וכך זה מתפשט. הכלל זהה גם בטלגרם, בסיגנל ובכל שירות שקושר חשבון למספר טלפון. הסבר רחב יותר על הודעות מתחזות יש במדריך פישינג: איך מזהים הודעה מזויפת.
דוגמה בדויה להודעה כזו
“היי, זה דני מהעבודה. ניסיתי להתחבר למחשב חדש והקוד הגיע אליך בטעות, כי שמתי את המספר שלך כגיבוי. תשלח לי אותו? זה דחוף, אני בפגישה”. השם, הסיפור והדחיפות בדויים, אבל המבנה אמיתי ומוכר: מכר, טעות תמימה ולחץ זמן. מה עושים? לא שולחים, ומתקשרים לדני במספר שאתם מכירים. אם החשבון שלו נפרץ, עזרו לו גם להבין את זה.
קיבלתי קוד אימות שלא ביקשתי. מה זה אומר?
ברוב המקרים זה אומר שמישהו הזין את המספר או המייל שלכם בשירות כלשהו. לפעמים זו טעות הקלדה תמימה של אדם אחר. לפעמים זה ניסיון התחברות לחשבון שלכם. מבחוץ אי אפשר לדעת, ולכן מתייחסים לזה ברצינות בלי להיבהל.
הדבר הכי חשוב: הקוד לבדו לא נותן לאף אחד גישה, כל עוד הוא נשאר אצלכם. לא צריך להקליד אותו בשום מקום ולא להגיב להודעה. אם הקוד הגיע משירות שיש לכם בו חשבון, היכנסו אליו בעצמכם, דרך האפליקציה או האתר הרשמיים, ובדקו שהכול תקין: שאין התחברויות לא מוכרות, ושהאימות הדו-שלבי מופעל.
יתרונות
- לא עושים עם הקוד כלום
- נכנסים לשירות בעצמכם ובודקים התחברויות
- מפעילים אימות דו-שלבי אם הוא לא מופעל
- מחליפים סיסמה אם יש סימן לניסיון פריצה
חסרונות
- לא מקלידים את הקוד באתר מקישור
- לא עונים להודעה עם הקוד
- לא מעבירים לאף אחד, גם לא לחבר
- לא מתעלמים אם מגיעים הרבה קודים ברצף
מסרתי קוד אימות. מה עושים עכשיו?
אל תתביישו ואל תחכו. אנשים זהירים מאוד נופלים בזה, בדיוק כי ההודעה מגיעה ממישהו מוכר. מה שחשוב הוא לפעול מהר:
- 1
מתחברים מחדש עם המספר שלכם
בוואטסאפ, פותחים את האפליקציה ומבצעים אימות מחדש עם המספר. כשאתם מאמתים את המספר במכשיר שלכם, מי שהתחבר במכשיר אחר מתנתק.
- 2
מחליפים סיסמה ומפעילים אימות דו-שלבי
בשירות שנפגע ובכל שירות שבו השתמשתם באותה סיסמה. בוואטסאפ מגדירים PIN לאימות דו-שלבי, וכך התחברות חדשה תדרוש אותו.
- 3
מודיעים לאנשי הקשר
מעדכנים בטלפון או בערוץ אחר שהחשבון נפרץ, ושלא יעבירו כסף או קודים לפי הודעות שנשלחו בשמכם.
- 4
מדווחים
לשירות עצמו דרך עזרה או תמיכה באפליקציה, ולמוקד 119 של מערך הסייבר הלאומי. אם מדובר בבנק או באשראי, מתקשרים אליהם מיד.
אם התוקף הספיק להגדיר אימות דו-שלבי משלו בחשבון, החזרה יכולה לקחת זמן. לפי וואטסאפ, ייתכן שתצטרכו לחכות 7 ימים לפני שתוכלו להתחבר בלי קוד האימות הדו-שלבי של התוקף. זו בדיוק הסיבה להפעיל את ההגנה הזו מראש, לפני שמישהו אחר עושה את זה בשבילכם.
איך מגינים על החשבונות מראש?
ההגנה הכי חזקה היא שכבה נוספת, שהתוקף לא יכול לקבל ב-SMS. בוואטסאפ זה PIN של אימות דו-שלבי, שמגדירים בהגדרות החשבון. בשירותים אחרים זו אפליקציית אימות או מפתח גישה. ככה, גם אם מישהו קיבל את קוד ה-SMS, הוא נתקע בשלב הבא. ההסבר המלא, שירות אחרי שירות, נמצא במדריך אימות דו-שלבי: איך מפעילים אותו בחמש דקות.
| שיטת אימות | איך זה עובד | חוזק | הערה |
|---|---|---|---|
| קוד ב-SMS | קוד נשלח בהודעה למספר | בסיסי | עדיף מכלום, אבל קל לשכנע אנשים למסור אותו |
| קוד במייל | קוד נשלח לתיבת הדואר | בסיסי | חזק בדיוק כמו ההגנה על המייל עצמו |
| אפליקציית אימות | קוד שמתחלף כל כמה שניות באפליקציה בטלפון | טוב | לא תלוי במספר הטלפון |
| PIN או סיסמה נוספת | קוד קבוע שרק אתם יודעים, נוסף על ה-SMS | טוב | בוואטסאפ זה האימות הדו-שלבי |
| מפתח גישה (Passkey) | אישור בטביעת אצבע או בזיהוי פנים במכשיר | חזק | אין קוד שאפשר למסור למישהו |
עוד שלושה הרגלים קטנים: לא לשים את המספר שלכם כ”גיבוי” בחשבונות של אחרים, לא לפרסם את מספר הטלפון בפומבי בלי צורך, ולהסביר להורים ולילדים בבית את הכלל של הקודים. אפליקציות כמו סיגנל מאפשרות גם להגדיר נעילת הרשמה עם PIN, שעובדת על אותו עיקרון.
קוד אימות בבנק, בחברת האשראי ובשיחות טלפון
בשירותים פיננסיים הקוד בדרך כלל לא רק מכניס אתכם לחשבון, אלא גם מאשר פעולה: העברה, הוספת מוטב או קנייה. לכן כדאי לקרוא את ההודעה ולא רק להעתיק את הספרות. אם בהודעה כתוב “קוד לאישור העברה” ואתם לא העברתם כלום, זה סימן לעצור ולהתקשר לבנק.
ובשיחות טלפון: “נציג” שמתקשר ואומר שנשלח אליכם קוד ושהוא צריך אותו “כדי לבטל את העסקה החשודה” הוא הונאה מוכרת. הבנק לא צריך את הקוד כדי לבטל משהו. מנתקים ומתקשרים בעצמכם למספר שבגב הכרטיס.
הרבה שירותים כותבים בהודעת הקוד למה הוא נשלח: התחברות, איפוס סיסמה או אישור תשלום. שתי שניות של קריאה מגלות אם הפעולה היא באמת שלכם.
קוד אימות לא מגיע: מה בודקים?
זה הצד השני של אותה מטבע, ומי שמחפש “קוד אימות” בגוגל נתקל בו לא פחות. ניסיתם להתחבר, ביקשתם קוד, והוא פשוט לא מגיע. לפני שמתקשרים לתמיכה, עוברים על הרשימה הזו לפי הסדר:
- המספר נכון? חזרו למסך שבו הזנתם את המספר ובדקו קידומת וספרות. טעות של ספרה אחת שולחת את הקוד למישהו אחר, ואם זה קרה, הוא יקבל קוד שלא ביקש.
- יש קליטה? קוד ב-SMS צריך רשת סלולרית, לא רק Wi-Fi. בחו״ל, ודאו שהקו מאפשר קבלת הודעות בנדידה.
- ההודעה נחסמה? בטלפונים רבים יש סינון של הודעות משולחים לא מוכרים. בדקו את התיקייה של הודעות מסוננות או ספאם באפליקציית ההודעות.
- חיכיתם מספיק? לפעמים הקוד מתעכב בדקה או שתיים. בקשה חוזרת מהר מדי יכולה לבטל את הקוד הקודם, ובחלק מהשירותים יש הגבלה על מספר הבקשות.
- שני כרטיסי SIM? בטלפון עם שני קווים, ודאו שהקוד נשלח לקו שנמצא בשימוש ושההודעות שלו לא כבויות.
- אפשרות אחרת? הרבה שירותים מציעים לקבל את הקוד בשיחה קולית, במייל או באפליקציית אימות. אם יש לכם קודי גיבוי ששמרתם כשהפעלתם אימות דו-שלבי, זה הזמן להשתמש בהם.
אם שום דבר לא עוזר, פונים לתמיכה של השירות דרך האתר או האפליקציה הרשמיים. ושימו לב: “שירות תמיכה” שמציע לעזור בקוד שלא מגיע בתגובה לפוסט ברשת חברתית, או בהודעה פרטית שלא ביקשתם, הוא לעיתים קרובות התחזות.
למה שירותים שולחים קוד ולא מסתפקים בסיסמה?
כי סיסמאות דולפות. אנשים משתמשים באותה סיסמה בכמה אתרים, וכשאתר אחד נפרץ, הסיסמה מגיעה לרשימות שתוקפים מנסים בשירותים אחרים. קוד שנשלח לטלפון מוסיף שכבה שקשורה למשהו פיזי שנמצא אצלכם, ולכן מי שיש לו רק את הסיסמה עדיין נתקע.
זה גם מסביר למה הונאות הקוד כל כך נפוצות. כשהסיסמה כבר לא מספיקה, התוקפים צריכים את השכבה השנייה, והדרך הקלה ביותר להשיג אותה היא לבקש אותה מכם. מבחינתם, שיחת טלפון משכנעת אחת שווה יותר מכל ניסיון פריצה טכני.
קוד אימות במייל או באפליקציה: אותו כלל?
כן, בדיוק אותו כלל. קוד יכול להגיע ב-SMS, במייל, בשיחה קולית אוטומטית או כהתראה באפליקציה, והעיקרון לא משתנה: הוא נועד שתקלידו או תאשרו אותו בעצמכם, במקום שבו ביקשתם להתחבר.
סוג אחד שכדאי להכיר הוא התראה לאישור. במקום קוד, מופיעה בטלפון שאלה כמו “האם אתם מנסים להתחבר?” עם כפתור אישור. גם כאן, אם לא אתם ניסיתם להתחבר באותו רגע, לא מאשרים. תוקפים שיש להם סיסמה לפעמים שולחים הרבה בקשות כאלה ברצף, בתקווה שמישהו יאשר רק כדי שההתראות ייפסקו. אם זה קורה לכם, החליפו מיד את הסיסמה של אותו חשבון, כי מישהו כנראה יודע אותה.
ומה עם קוד שמגיע במייל? הוא בטוח בדיוק כמו תיבת המייל עצמה. אם מישהו נכנס למייל שלכם, הוא יכול לאפס דרכו סיסמאות של שירותים אחרים ולקבל את הקודים שלהם. זו הסיבה שהמייל הוא החשבון הראשון שבו מפעילים אימות דו-שלבי חזק, ושבו לא משתמשים בסיסמה שחוזרת בשירותים אחרים.
קודי גיבוי: מה הם ואיפה שומרים אותם?
כשמפעילים אימות דו-שלבי, הרבה שירותים מציעים רשימה של קודי גיבוי. אלה קודים חד-פעמיים שמאפשרים להיכנס לחשבון גם אם הטלפון אבד, נגנב או הוחלף. הם חשובים, כי בלעדיהם אובדן הטלפון יכול לנעול אתכם מחוץ לחשבון לימים.
את קודי הגיבוי שומרים במקום שלא תלוי בטלפון: במנהל סיסמאות, או מודפסים בדף שנמצא במגירה בבית. לא שומרים אותם בצילום מסך בגלריה, ולא שולחים אותם לעצמכם בוואטסאפ, כי אז מי שמחזיק את הטלפון מחזיק גם אותם. וכמו כל קוד אחר, גם אותם לא מוסרים לאף אחד שמבקש.
איך מסבירים את הכלל להורים ולילדים?
הסברים טכניים נשכחים. כלל קצר נשאר. נסו משפט כמו “קוד שמגיע אליך בהודעה זה כמו המפתח של הבית. לא נותנים אותו לאף אחד, גם לא למי שאומר שהוא מהבנק או שהוא אני”. שווה להוסיף את החלק של “גם לא אני”, כי הונאות רבות מתחזות לבן משפחה.
עוד רעיון שעובד במשפחות: מילת קוד. בוחרים יחד מילה שרק בני המשפחה יודעים, ומי שמבקש כסף או קוד בדחיפות צריך להגיד אותה בשיחה קולית. ולהורים מבוגרים כדאי לעזור להפעיל אימות דו-שלבי בוואטסאפ ובמייל, כי זה מה שיציל את החשבון ביום שבו מישהו כן ישתכנע.
כדי לבדוק שהכלל באמת נקלט, אפשר לעשות תרגול קצר. מספרים מראש לבני המשפחה שמתישהו תבדקו אותם, ואחרי כמה ימים שולחים הודעה בנוסח “הגיע אליך קוד ממני בטעות, תעביר לי?”. אם מישהו עונה עם מספר, זה הזמן להסביר שוב, בסבלנות ובלי לנזוף. אם הוא שואל מי זה, או מתקשר לבדוק, הכלל עובד. ככה התרגול מרגיש כמו משחק ולא כמו מלכודת, והתגובה הנכונה הופכת להרגל.
מילון מונחים: קודים ואימות
- קוד אימות (OTP): סיסמה חד-פעמית שתקפה לזמן קצר ולשימוש אחד.
- אימות דו-שלבי (2FA): כניסה שדורשת שני דברים: סיסמה ומשהו נוסף, כמו קוד או אישור במכשיר.
- אפליקציית אימות: אפליקציה שמייצרת קודים מתחלפים בטלפון, בלי SMS.
- מפתח גישה (Passkey): שיטת כניסה בלי סיסמה, שמאושרת בטביעת אצבע או בזיהוי פנים במכשיר שלכם.
- השתלטות על חשבון: מצב שבו מישהו אחר נכנס לחשבון שלכם ומנתק אתכם ממנו.
- הנדסה חברתית: שכנוע של אדם למסור מידע או לבצע פעולה, באמצעות סיפור, לחץ או התחזות.
רשימת בדיקה: הגנה על הקודים שלכם
שאלות נפוצות
קיבלתי קוד של וואטסאפ ולא ביקשתי. מישהו פרץ לי?
לא בהכרח. זה אומר שמישהו הזין את המספר שלכם, אולי בטעות ואולי בכוונה. כל עוד לא מסרתם את הקוד, החשבון בסדר. ודאו שאימות דו-שלבי עם PIN מופעל.
חבר מבקש שאעביר לו קוד שהגיע אליי בטעות. מה לעשות?
לא להעביר. התקשרו אליו בטלפון במספר שאתם מכירים. ברוב המקרים החשבון של החבר כבר נפרץ, והקוד שהגיע אליכם פותח את החשבון שלכם.
נציג של הבנק ביקש את הקוד שהגיע. זה תקין?
לא. הבנק לא צריך שתקריאו לו קוד שהוא עצמו שלח. נתקו את השיחה והתקשרו בעצמכם למספר שבגב כרטיס האשראי או באתר הבנק.
מה עושים אם כבר מסרתי קוד?
מתחברים מחדש לשירות עם המספר שלכם, מחליפים סיסמה, מפעילים אימות דו-שלבי, מודיעים לאנשי הקשר ומדווחים לשירות ולמוקד 119 של מערך הסייבר.
למה מגיעים לי הרבה קודים ברצף?
ייתכן שמישהו מנסה שוב ושוב להתחבר עם המספר שלכם. אל תקלידו ואל תעבירו אף קוד, היכנסו לשירות בעצמכם ובדקו שאימות דו-שלבי מופעל.
האם מפתח גישה (Passkey) בטוח יותר מקוד ב-SMS?
כן, במובן שאין קוד שאפשר לשכנע אתכם למסור. הכניסה מאושרת במכשיר שלכם בטביעת אצבע או בזיהוי פנים, ולכן היא עמידה יותר להונאות מהסוג הזה.
האם מותר לשתף קוד אימות?
לא. גוף רשמי לא מבקש קוד אימות בטלפון או בהודעה, ומי שמבקש אותו מנסה להשתלט על החשבון.
קראו גם
- פישינג: איך מזהים הודעה מזויפת ומה עושים אם לחצתם
- אימות דו-שלבי: איך מפעילים אותו בחמש דקות ולמה זה הכרחי
- סיגנל: מה זה ובמה זה שונה מוואטסאפ
- וירוס באייפון: איך יודעים ומה עושים
