הודעות SMS מתחזות: איך מזהים הונאת פישינג לפני שלוחצים על הקישור

כמעט כל מי שמחזיק טלפון נייד בישראל קיבל לפחות פעם אחת הודעה חשודה: החבילה שלך מעוכבת ויש לשלם דמי משלוח, נמצא חוב פתוח מול רשות ממשלתית, החשבון שלך בבנק ננעל, או זכית בפרס. ההודעות האלה, שמכונות סמישינג, הן אחת משיטות ההונאה הנפוצות ביותר כיום. הן זולות לשליחה, מגיעות לאלפי אנשים בבת אחת, ומספיק שאחוז קטן מהנמענים ילחץ כדי שהמתחזים ירוויחו. ההבנה איך הן בנויות היא קו ההגנה הראשון.

איך פועלת הונאת SMS

המבנה הבסיסי חוזר על עצמו. ההודעה מתחזה לגורם מוכר ואמין: חברת שליחויות, דואר, בנק, חברת כרטיסי אשראי, רשות המסים, ספק תקשורת או אפילו קופת חולים. היא יוצרת תחושת דחיפות, למשל חבילה שתוחזר לשולח בתוך עשרים וארבע שעות, או קנס שיוכפל אם לא ישולם מיד. ובסופה יש קישור.

הקישור מוביל לאתר שנראה כמעט זהה לאתר האמיתי, עם הלוגו, הצבעים והגופנים. שם מתבקש המשתמש להזין פרטים: שם, תעודת זהות, פרטי כרטיס אשראי, ולעיתים קוד אימות שנשלח אליו. ברגע שהפרטים הוזנו, הם עוברים למתחזים, שמשתמשים בהם לחיובים, להשתלטות על חשבונות או למכירה הלאה.

בגרסאות מתוחכמות יותר, ההודעה מבקשת להתקין אפליקציה או לאשר הרשאות, ואז המתחזים מקבלים גישה למכשיר עצמו. יש גם הודעות שמבקשות להתקשר למספר מסוים, ושם ממתין נציג מזויף שמנסה לחלץ פרטים בשיחה.

סימני אזהרה שכדאי להכיר

למרות שההודעות הפכו מתוחכמות יותר, יש כמה סימנים שחוזרים כמעט תמיד. הסימן החשוב ביותר הוא הלחץ. גופים רשמיים לא דורשים בדרך כלל תשלום מיידי בהודעת SMS עם קישור, ולא מאיימים בעונשים דרמטיים בתוך שעות.

סימנים נוספים לשים לב אליהם:

• כתובת האתר בקישור אינה הכתובת הרשמית של הגוף, או כוללת תוספות, מקפים ואותיות משונות
• ההודעה כללית ואינה כוללת את שמך או פרטים ספציפיים שהגוף האמיתי היה יודע
• שגיאות כתיב, ניסוח מוזר או עברית שנשמעת כמו תרגום מכונה
• בקשה להזין פרטי כרטיס אשראי מלאים עבור סכום קטן, כמו כמה שקלים לדמי משלוח
• בקשה למסור קוד אימות שנשלח אליך, דבר שגוף אמיתי לעולם לא יבקש

חשוב לזכור שגם שם השולח שמופיע בהודעה יכול להיות מזויף. העובדה שההודעה הגיעה בשם של חברה מוכרת, ואפילו באותו שרשור של הודעות אמיתיות ממנה, אינה ערובה לכך שהיא אותנטית.

מה עושים כשמגיעה הודעה חשודה

הכלל הפשוט ביותר הוא לא ללחוץ על קישורים בהודעות לא צפויות. אם יש ספק, עדיף לפנות לגוף ישירות, דרך האפליקציה הרשמית, דרך האתר שאתם מקלידים בעצמכם בדפדפן או במספר הטלפון שמופיע בכרטיס האשראי או בחשבונית. אם באמת יש חבילה שממתינה או חוב פתוח, תוכלו לגלות זאת שם.

כדאי לדווח על ההודעה. ברוב הטלפונים אפשר לסמן הודעה כספאם, ובכך לעזור לסנן הודעות דומות בעתיד. ניתן גם לדווח לגורמי הסייבר הלאומיים, שאוספים מידע על קמפיינים פעילים ופועלים להורדת האתרים המתחזים. אחרי הדיווח, פשוט מוחקים את ההודעה.

כדאי גם לספר לבני המשפחה, ובמיוחד להורים ולסבים. אנשים מבוגרים הם לעיתים קרובות יעד מועדף, ושיחה קצרה על הנושא יכולה לחסוך להם הפסד כספי ועוגמת נפש.

לחצתי על הקישור: מה עכשיו

לפעמים, ברגע של חוסר תשומת לב, לוחצים. לא צריך להיבהל, אבל צריך לפעול מהר. אם רק נכנסתם לאתר ולא הזנתם שום פרט, הסיכון בדרך כלל נמוך. סגרו את הדף, ואם התבקשתם להוריד קובץ או להתקין אפליקציה, אל תעשו זאת.

אם הזנתם פרטי כרטיס אשראי, התקשרו מיד לחברת האשראי או לבנק, דווחו על החשד ובקשו לחסום את הכרטיס. ככל שהפנייה מהירה יותר, כך גדל הסיכוי למנוע חיובים או לבטל אותם. אם הזנתם סיסמה, החליפו אותה מיד, וגם בכל אתר אחר שבו השתמשתם באותה סיסמה. אם מסרתם קוד אימות, פנו לשירות הרלוונטי ובקשו לבדוק פעילות חשודה בחשבון.

אם התקנתם אפליקציה לא מוכרת, הסירו אותה ושקלו לפנות לאיש מקצוע שיבדוק את המכשיר. במקרים של נזק כספי, כדאי גם להגיש תלונה במשטרה, שעשויה להידרש לצורך החזר מהבנק.

הגנות טכנולוגיות שכדאי להפעיל

מעבר לערנות, יש כמה צעדים טכניים שמקטינים את הסיכון. הפעלת אימות דו-שלבי בכל החשבונות החשובים מבטיחה שגם אם סיסמה דלפה, הפורץ לא יוכל להיכנס בלי גורם נוסף. עדיף להשתמש באפליקציית אימות או במפתח גישה ולא רק בקוד SMS, שיכול להיות מנוצל בהונאות מתקדמות.

שימוש במנהל סיסמאות הוא הגנה נוספת, כי הוא ממלא סיסמה רק באתר האמיתי ולא באתר מתחזה. עדכוני מערכת הפעלה ואפליקציות סוגרים פרצות אבטחה, ולכן כדאי להפעיל עדכונים אוטומטיים. בחלק מהטלפונים ומהחבילות של חברות הסלולר קיימים גם שירותי סינון שמזהים קישורים זדוניים ומזהירים לפני הכניסה.

בנוסף, כדאי להגדיר בחברות האשראי התראות על כל חיוב. כך, גם אם משהו חמק, מגלים זאת מיד ולא בסוף החודש.

לחשוב כמו המתחזים

המתחזים עוקבים אחרי מה שמעסיק את הציבור. בתקופות של קניות מרובות לפני חגים מגיעות הודעות על חבילות. בתקופות של החזרי מס מגיעות הודעות על החזר שממתין. בזמני משבר מגיעות הודעות על מענקים ופיצויים. ההבנה שההונאה מותאמת לאירועים עוזרת לזהות אותה.

השאלה שכדאי לשאול את עצמכם בכל פעם היא פשוטה: האם ציפיתי להודעה הזו? ואם כן, האם אני יכול לבדוק אותה בדרך עצמאית, בלי ללחוץ על הקישור? ברוב המקרים, התשובה לשאלה הזו מספיקה כדי להימנע מנזק.

לסיכום, הונאות SMS הן תופעה רחבה שתמשיך ללוות אותנו, אבל אפשר להתגונן מפניהן. ערנות לסימני האזהרה, הימנעות מלחיצה על קישורים לא צפויים, פנייה ישירה לגופים הרשמיים והפעלת הגנות טכנולוגיות יפחיתו מאוד את הסיכון. ואם בכל זאת קרתה טעות, תגובה מהירה מול הבנק וחברת האשראי היא המפתח לצמצום הנזק.