הונאות SMS בשם גופים ממשלתיים: איך מזהים, ומה עושים אם כבר לחצתם

״יש לך חבילה ממתינה, יש להסדיר תשלום מכס״, ״נמצא חוב פתוח על שמך, הרכב יעוקל״, ״מגיע לך החזר מס, לחץ לאישור״. הודעות כאלה מגיעות כמעט לכל טלפון בישראל, לפעמים כמה פעמים בשבוע. הן נראות רשמיות, משתמשות בשמות של גופים מוכרים ויוצרות תחושת דחיפות. מאחוריהן עומדים מתחזים שמטרתם אחת: לגרום לכם למסור פרטי כרטיס אשראי, סיסמאות או קודי אימות. המדריך הזה מסביר איך ההונאות האלה עובדות, איך לזהות אותן ומה לעשות אם בכל זאת נפלתם בפח.

איך ההונאה בנויה

רוב ההונאות מבוססות על אותו מבנה פשוט. ההודעה מתחזה לגוף שאתם סומכים עליו, כמו רשות ממשלתית, חברת דואר, בנק או חברת סלולר. היא מציגה בעיה דחופה או הזדמנות מפתה, ומפנה אתכם לקישור. הקישור מוביל לאתר שנראה כמעט זהה לאתר האמיתי, עם לוגו, צבעים ועיצוב מוכרים. שם מתבקשים להזין פרטים אישיים או לשלם סכום קטן.

הסכום הקטן הוא חלק מהתחבולה. כשמבקשים מכם לשלם כמה שקלים בודדים עבור ״דמי טיפול״ או ״הסדרת משלוח״, הסיכון נראה זניח. אבל המטרה האמיתית היא פרטי הכרטיס, שבעזרתם יבוצעו בהמשך חיובים גדולים בהרבה. לעיתים מבקשים גם קוד אימות שנשלח לטלפון, ומי שמוסר אותו מאפשר למעשה למתחזה להשתלט על חשבון או לאשר עסקה בשמו.

בשנים האחרונות ההונאות הפכו מתוחכמות יותר. ההודעות כתובות בעברית תקינה, לעיתים מופיעות באותו שרשור עם הודעות אמיתיות מאותו שולח, והאתרים המזויפים מאובטחים בתעודת אבטחה ומציגים מנעול בשורת הכתובת. המנעול הזה אומר רק שהחיבור מוצפן, לא שהאתר אמין.

סימני אזהרה שכדאי להכיר

הסימן הבולט ביותר הוא הדחיפות. ״תוך 24 שעות״, ״אחרת יוטל עיקול״, ״החבילה תוחזר לשולח״. גופים רשמיים כמעט אף פעם לא דורשים פעולה מיידית דרך הודעת טקסט עם קישור. הם שולחים מכתבים, מודיעים באזור האישי באתר הרשמי ומאפשרים פרק זמן סביר לטיפול.

סימן נוסף הוא כתובת הקישור. כדאי לבחון אותה בעיון לפני לחיצה. מתחזים משתמשים בכתובות שדומות לכתובת האמיתית, עם אות אחת שונה, מקף נוסף או סיומת לא מוכרת. אם אינכם בטוחים, אל תלחצו. היכנסו לאתר הרשמי דרך מנוע חיפוש או דרך האפליקציה הרשמית שכבר מותקנת אצלכם, ובדקו שם אם באמת יש משהו שממתין לטיפולכם.

שימו לב גם לבקשות חריגות. אף גוף רשמי לא יבקש מכם להעביר קוד אימות שקיבלתם בהודעה, לא יבקש סיסמה בטלפון ולא ידרוש תשלום בכרטיסי מתנה או בהעברה לחשבון פרטי. כל בקשה כזו היא נורה אדומה מהבהבת.

הקהלים הפגיעים במיוחד

מבוגרים הם יעד מועדף להונאות, אבל הם רחוקים מלהיות היחידים. בני נוער שמזמינים מוצרים מחו״ל מקבלים הודעות על חבילות תקועות, עובדים עצמאיים מקבלים הודעות על ״חובות למס הכנסה״, ומשפחות עם ילדים מקבלות הודעות על ״קצבאות שלא נוצלו״. המתחזים מתאימים את המסר לקהל.

כדאי להקדיש זמן לשיחה עם הורים ובני משפחה מבוגרים. הסבירו להם בפשטות שלא לוחצים על קישורים בהודעות, שאם יש ספק מתקשרים לבן משפחה לפני שעושים משהו, ושאין שום בושה לשאול. רבים מהנפגעים מתביישים לספר שנפלו בפח, וזה רק מעכב את הטיפול ומגדיל את הנזק.

לחצתם על הקישור? זה מה שעושים עכשיו

אם לחצתם על קישור אבל לא הזנתם שום פרט, הסיכון נמוך יחסית. סגרו את הדף, אל תורידו שום קובץ, ומחקו את ההודעה. אם הטלפון שלכם מבקש להתקין אפליקציה או פרופיל לא מוכר, סרבו. מומלץ גם לעדכן את מערכת ההפעלה ולהפעיל אנטי וירוס אם יש לכם כזה.

אם הזנתם פרטי כרטיס אשראי, התקשרו מיד לחברת האשראי או לבנק, דרך המספר שמופיע על גב הכרטיס, ובקשו לחסום אותו. ככל שתפעלו מהר יותר, הסיכוי למנוע חיובים גדל. אם מסרתם סיסמה, החליפו אותה מיד בכל השירותים שבהם השתמשתם באותה סיסמה, והפעילו אימות דו שלבי.

במקרה שמסרתם קוד אימות או שאתם חושדים שחשבון נפרץ, פנו לגוף הרלוונטי בהקדם, ושקלו להגיש תלונה במשטרה. שמרו צילומי מסך של ההודעה, של האתר המזויף ושל כל חיוב חשוד. התיעוד הזה יעזור בבירור מול הבנק ובהליך החזר.

• חסמו מיד כרטיס אשראי שפרטיו נמסרו
• החליפו סיסמאות והפעילו אימות דו שלבי
• תעדו את ההודעה והאתר בצילומי מסך
• דווחו לגוף שבשמו התחזו

גם שיחות טלפון והודעות ווטסאפ

ההונאות לא מוגבלות להודעות טקסט. מתחזים מתקשרים גם בטלפון, לעיתים עם מספר שנראה מקומי לגמרי, ומציגים את עצמם כנציגי בנק, חברת אשראי או משטרה. בווטסאפ נפוצה במיוחד הונאת ״בן המשפחה שהחליף מספר״, שבה מישהו מתחזה לילד או לנכד ומבקש העברת כסף דחופה. הכלל זהה: מנתקים, ומתקשרים בעצמכם למספר המוכר והרשמי כדי לוודא.

הרגלים שמגינים לאורך זמן

ההגנה הטובה ביותר היא הרגל פשוט: אף פעם לא לפעול מתוך הודעה. גם אם ההודעה נראית אמיתית לחלוטין, היכנסו בעצמכם לאתר או לאפליקציה הרשמיים ובדקו שם. ההרגל הזה מנטרל כמעט כל הונאת התחזות, בלי צורך לנתח כל הודעה לעומק.

הפעלת אימות דו שלבי בחשבונות החשובים, כמו דואר אלקטרוני, בנק ורשתות חברתיות, מקשה מאוד על מתחזים גם אם השיגו סיסמה. שימוש במנהל סיסמאות מאפשר סיסמה שונה לכל שירות, כך שדליפה אחת לא פותחת את כל הדלתות. רבים מהטלפונים מאפשרים גם סינון הודעות משולחים לא מוכרים, וכדאי להפעיל את האפשרות הזו.

לסיכום, הונאות ה־SMS לא ייעלמו בקרוב, והן ימשיכו להשתכלל. אבל רובן נשענות על אותו עיקרון: לחץ זמן ואמון עיוור. מי שעוצר לרגע, נושם, ובודק דרך הערוצים הרשמיים, מנטרל את רוב הסכנה. שתפו את המדריך הזה עם המשפחה, כי ההגנה הכי טובה היא מודעות.