פישינג הוא אחד מסוגי ההונאות הנפוצים ביותר באינטרנט. הוא יכול להגיע במייל, ב־SMS, בוואטסאפ, בהודעה שמתחזה לבנק, לחברת אשראי, לחברת משלוחים, לספק שירות, ל־Microsoft, ל־Google או אפילו לאדם שאתם מכירים.
המטרה של פישינג היא לגרום לכם לבצע פעולה: ללחוץ על קישור, להזין סיסמה, למסור קוד אימות, להוריד קובץ, לפתוח חשבונית מזויפת או לאשר פעולה שלא באמת ביקשתם לבצע.
הבעיה היא שהודעות פישינג רבות נראות היום אמינות מאוד. הן יכולות לכלול לוגו מוכר, ניסוח בעברית, שם של חברה אמיתית, מספר הזמנה, אזהרה על חסימת חשבון או דרישה דחופה לעדכון פרטים.
במדריך הזה נסביר איך לזהות פישינג ב־SMS, בוואטסאפ, במיילים, בהודעות שמתחזות לבנקים, במסמכים ובחשבוניות שנשלחים למייל, ומה לעשות אם כבר לחצתם על קישור חשוד או הזנתם פרטים באתר מזויף.
מה זה פישינג?
פישינג, או בעברית דיוג, הוא ניסיון לגרום למשתמש למסור מידע רגיש או לבצע פעולה מסוכנת באמצעות התחזות לגורם אמין.
לדוגמה, הודעה שנראית כאילו נשלחה מהבנק ומבקשת לעדכן פרטים, מייל שמתחזה ל־Microsoft ומבקש לאמת סיסמה, הודעת וואטסאפ שמבקשת קוד אימות, או חשבונית במייל שמכילה קובץ מסוכן.
במקרים רבים הפישינג לא מנסה לפרוץ למחשב בכוח. הוא מנסה לגרום לכם לעשות את הפעולה בעצמכם מתוך לחץ, בלבול או אמון בגורם שממנו כביכול נשלחה ההודעה.
איפה פוגשים ניסיונות פישינג?
פישינג יכול להגיע כמעט מכל ערוץ תקשורת:
- הודעת SMS עם קישור.
- הודעת וואטסאפ מאדם לא מוכר או מחשבון שנפרץ.
- מייל שמתחזה לבנק, ספק, חברת משלוחים או Microsoft.
- הודעה שמבקשת לעדכן סיסמה.
- חשבונית או מסמך שנשלחו כקובץ מצורף.
- קישור לתשלום.
- הודעה על חבילה שממתינה לשחרור.
- הודעה על חסימת חשבון.
- קובץ ZIP, PDF, Word או Excel שנראה כמו מסמך עסקי.
- הודעה שמתחזה לעובד, מנהל, לקוח או ספק.
- שיחת טלפון מגורם שמתחזה לבנק, חברת אשראי, נציג תמיכה, חברת תקשורת או גוף רשמי, ומבקש לאשר פעולה, למסור קוד SMS, סיסמה או פרטים אישיים.
לכן לא מספיק לבדוק רק מיילים. היום הרבה ניסיונות פישינג מגיעים דווקא דרך SMS ווואטסאפ, כי שם אנשים מגיבים מהר יותר ופחות בודקים לפני לחיצה.
סימנים מחשידים בהודעת SMS
הודעות SMS הן כלי נפוץ לפישינג, במיוחד כשהן מתחזות לבנקים, חברות אשראי, דואר ישראל, חברות משלוחים, ביטוח לאומי, קופות חולים או שירותים ממשלתיים.
סימנים מחשידים:
- ההודעה כוללת קישור מקוצר או כתובת לא מוכרת.
- יש תחושת דחיפות: “החשבון ייחסם”, “נדרש אימות מיידי”, “פעולה חריגה”.
- מבקשים להזין סיסמה, פרטי אשראי, תעודת זהות או קוד אימות.
- יש שגיאות כתיב או ניסוח מוזר.
- שם השולח נראה מוכר, אבל הקישור לא קשור לאתר הרשמי.
- ההודעה מגיעה בלי הקשר ברור.
- מבקשים לשלם סכום קטן כדי לשחרר חבילה או למנוע חסימה.
- הקישור מוביל לאתר שנראה דומה לאתר אמיתי, אבל הכתובת שונה.
הכלל הפשוט: אם קיבלתם SMS עם קישור לבנק, חברת אשראי, שירות ממשלתי או חברת משלוחים, אל תיכנסו דרך הקישור. פתחו את האפליקציה הרשמית או הקלידו את כתובת האתר בעצמכם.
פישינג בוואטסאפ
וואטסאפ הפך לערוץ מרכזי לפישינג, כי אנשים נוטים לסמוך על הודעות שמגיעות לשם יותר מאשר על מיילים.
ניסיונות פישינג בוואטסאפ יכולים להיראות כך:
- הודעה מחבר שמבקש להעביר קוד שקיבלתם.
- קישור למבצע שנראה טוב מדי.
- הודעה מקבוצה עם קישור חשוד.
- בקשה לעזרה כספית דחופה.
- הודעה שמתחזה לנציג שירות.
- קישור לטופס התחברות.
- קובץ או מסמך שנשלח בלי הסבר ברור.
- הודעה שמבקשת לאמת את חשבון הוואטסאפ.
חשוב לדעת: אם מישהו מבקש מכם קוד אימות שקיבלתם ב־SMS, לא להעביר אותו. קוד אימות מיועד רק לכם. העברה שלו יכולה לאפשר השתלטות על חשבון.
אם חבר שולח הודעה מוזרה, במיוחד בקשה לכסף או קישור חריג, עדיף להתקשר אליו ישירות ולאמת שהוא באמת שלח את ההודעה.
הודעות שמתחזות לבנקים וחברות אשראי
פישינג שמתחזה לבנק הוא אחד הסוגים המסוכנים ביותר, כי הוא עלול להוביל לגניבת כסף, פרטי אשראי, סיסמאות וקודי אימות.
דוגמאות נפוצות:
- “זוהתה פעילות חריגה בחשבון”.
- “החשבון שלך נחסם”.
- “יש לעדכן פרטים כדי להמשיך להשתמש בשירות”.
- “נדרש אימות לקוח”.
- “נא לאשר פעולה”.
- “לחץ כאן לביטול חסימה”.
- “בוצעה עסקה חריגה, לחץ כאן אם לא אתה ביצעת”.
הודעות כאלה מנצלות לחץ ופחד. הן גורמות למשתמש להרגיש שאם לא יפעל מיד, ייגרם נזק.
מה נכון לעשות?
במקום ללחוץ על הקישור, פתחו את אפליקציית הבנק הרשמית או התקשרו למוקד הבנק מהמספר שמופיע באתר הרשמי או בגב כרטיס האשראי. לא מהמספר שמופיע בהודעה החשודה.
לעולם אל תמסרו קוד אימות חד־פעמי, סיסמה, מספר כרטיס מלא או פרטי התחברות בעקבות הודעה שקיבלתם.
פישינג בשיחת טלפון – כשמתקשרים ומבקשים קוד SMS או פרטים
פישינג לא מגיע רק במייל, SMS או וואטסאפ. במקרים רבים התוקף מתקשר בטלפון ומתחזה לנציג בנק, חברת אשראי, Microsoft, חברת תקשורת, חברת שליחויות או גוף רשמי אחר.
במהלך השיחה הוא עשוי לטעון שיש בעיה בחשבון, ניסיון התחברות חשוד, עסקה חריגה, חסימה צפויה או צורך באימות פרטים. לאחר מכן הוא יבקש מכם למסור קוד שקיבלתם ב־SMS, לאשר פעולה באפליקציה, למסור פרטי אשראי, תעודת זהות, סיסמה או פרטי התחברות.
חשוב לדעת: קוד אימות שנשלח אליכם ב־SMS מיועד רק לכם. אם אדם בטלפון מבקש את הקוד הזה, גם אם הוא נשמע מקצועי או יודע עליכם פרטים, זו נורת אזהרה משמעותית.
בעידן ה־AI חשוב להיזהר גם משיחות שנשמעות כאילו הן מגיעות מאדם מוכר. כיום ניתן לזייף קול או לחקות סגנון דיבור, ולכן גם אם הקול נשמע מוכר, לא מוסרים קוד SMS, סיסמה, פרטי אשראי או אישור פעולה בלי לוודא את הבקשה בערוץ נוסף ובטוח.
במצב כזה לא מוסרים קוד, לא מאשרים פעולה ולא נותנים פרטים אישיים. מנתקים את השיחה, ונכנסים בעצמכם לאפליקציה הרשמית של הבנק או מתקשרים למספר הרשמי שמופיע באתר הבנק, חברת האשראי או ספק השירות.
פישינג במיילים
מיילים הם עדיין אחד הערוצים המרכזיים לפישינג, במיוחד בעסקים קטנים. מייל פישינג יכול להתחזות ללקוח, ספק, חברת שליחויות, Microsoft 365, Google, חשבונית, הצעת מחיר או מסמך לחתימה.
סימנים מחשידים במייל:
- כתובת השולח לא תואמת לשם החברה.
- שם השולח נראה מוכר, אבל הדומיין שונה.
- יש קובץ מצורף שלא ציפיתם לקבל.
- הניסוח כללי מדי או דחוף מדי.
- מבקשים לפתוח קובץ ולהפעיל תוכן.
- מבקשים להתחבר לחשבון דרך קישור.
- המייל כולל דרישה לשינוי פרטי תשלום או פרטי בנק.
- יש קישור שמוביל לאתר לא מוכר.
- הקובץ המצורף מגיע בפורמט ZIP, HTML, ISO, EXE או מסמך Office חשוד.
לפני שלוחצים, כדאי לבדוק את כתובת המייל המלאה של השולח ולא רק את שם התצוגה. תוקפים יכולים להציג שם מוכר, אבל לשלוח מכתובת אחרת לגמרי.
מסמכים וחשבוניות שנשלחים במייל
הרבה ניסיונות פישינג מתחילים ממייל שנראה עסקי לגמרי: חשבונית, קבלה, דרישת תשלום, הצעת מחיר, אישור הזמנה או מסמך לחתימה.
זה מסוכן במיוחד לעסקים, כי פתיחת חשבוניות וקבצים מצורפים היא פעולה יומיומית.
סימנים מחשידים במסמכים וחשבוניות:
- קיבלתם חשבונית מספק שלא ציפיתם לקבל ממנו מסמך.
- שם הקובץ מוזר או כללי מדי.
- הקובץ נמצא בתוך ZIP ללא סיבה.
- המסמך מבקש “Enable Content” או “Enable Macros”.
- הקובץ מבקש להזין סיסמה כדי לפתוח אותו.
- המייל מבקש לשנות פרטי בנק לתשלום.
- הסכום או מספר ההזמנה לא מוכרים.
- המסמך מפנה לקישור חיצוני כדי “לצפות בחשבונית”.
- הקובץ נשלח מכתובת מייל שלא תואמת לספק.
במקרה של חשבונית חשודה, אל תפתחו קבצים ואל תבצעו תשלום לפני בדיקה מול הספק בערוץ מוכר. עדיף להתקשר למספר שכבר שמור אצלכם, לא למספר שמופיע במייל החשוד.
איך לבדוק קישור לפני שלוחצים עליו?
לפני לחיצה על קישור, כדאי לבדוק:
- האם הדומיין נראה נכון.
- האם יש שגיאת כתיב בכתובת.
- האם הקישור מוביל לאתר הרשמי או לאתר דומה בלבד.
- האם יש תווים מוזרים, מקפים או תוספות לא מוכרות.
- האם הקישור קצר ומסתיר את הכתובת האמיתית.
- האם ההודעה הגיעה ממקור צפוי.
- האם יש לחץ לפעולה מיידית.
במחשב אפשר לעמוד עם העכבר מעל הקישור בלי ללחוץ ולראות לאן הוא מוביל. בטלפון זה פחות נוח, ולכן עדיף להימנע מלחיצה על קישורים חשודים בכלל.
כאשר מדובר בבנק, חברת אשראי, Microsoft, Google או שירות חשוב אחר, עדיף להיכנס עצמאית לאתר הרשמי או לאפליקציה הרשמית.
איך לזהות אתר התחברות מזויף?
אתר פישינג יכול להיראות כמעט זהה לאתר אמיתי. הוא יכול לכלול לוגו, צבעים, טופס התחברות ואפילו ניסוח בעברית.
מה לבדוק:
- כתובת האתר בשורת הכתובת.
- האם הדומיין הרשמי נכון.
- האם האתר מבקש פרטים רבים מדי.
- האם מבקשים גם סיסמה וגם קוד אימות.
- האם הגעתם לאתר דרך קישור בהודעה חשודה.
- האם האתר מבקש פרטי אשראי בלי סיבה ברורה.
- האם יש שגיאות כתיב או עיצוב חריג.
חשוב לדעת: מנעול ליד כתובת האתר לא מוכיח שהאתר אמין. גם אתר מתחזה יכול להשתמש בחיבור מאובטח ובתעודה חוקית. לכן חשוב לבדוק את כתובת האתר, הדומיין, מקור ההודעה וההקשר שבו הגעתם לקישור. גם אם הקישור נראה מאובטח, כמו בדוגמה של CAL בגלריה, מספיק סימן חשוד אחד כדי לעצור ולא להזין פרטים.
מה לעשות אם לחצתם על קישור חשוד?
אם רק לחצתם על קישור אבל לא הזנתם פרטים ולא הורדתם קובץ, עדיין כדאי להיות זהירים:
- סגרו את האתר.
- אל תזינו פרטים.
- אל תאשרו הורדות.
- אל תאשרו הרשאות בדפדפן.
- אל תתקינו אפליקציה.
- בדקו אם ירד קובץ למחשב או לטלפון.
- אם מדובר במחשב עסקי, עדכנו את איש המחשוב.
אם הורדתם קובץ, לא לפתוח אותו. אם פתחתם אותו והוא ביקש להפעיל תוכן, מאקרו או הרשאות, לא לאשר.
מה לעשות אם הזנתם סיסמה באתר חשוד?
אם הזנתם סיסמה באתר שנראה חשוד, צריך לפעול מהר:
- החליפו סיסמה מיד מהאתר הרשמי.
- אל תשתמשו שוב באותה סיסמה.
- הפעילו אימות דו־שלבי אם לא פעיל.
- בדקו התחברויות אחרונות לחשבון.
- נתקו מכשירים לא מוכרים.
- בדקו אם נוספו כללי העברת מיילים.
- אם מדובר בבנק או אשראי, צרו קשר מיד עם הבנק או חברת האשראי.
- אם מדובר בחשבון עסקי, עדכנו את מנהל המערכת או איש המחשוב.
במקרה של חשבון Microsoft 365 או Google Workspace, חשוב לבדוק גם אם התוקף יצר העברת מיילים אוטומטית, שינה אמצעי שחזור או התחבר ממיקום לא מוכר.
איך להקטין את הסיכון לפישינג בעתיד?
אי אפשר למנוע לגמרי ניסיונות פישינג, אבל אפשר להקטין משמעותית את הסיכון:
- להפעיל אימות דו־שלבי לחשבונות חשובים.
- לא להשתמש באותה סיסמה בכמה אתרים.
- להשתמש בסיסמאות חזקות וייחודיות.
- לא ללחוץ על קישורים חשודים.
- להיכנס לאתרים חשובים דרך האפליקציה או הכתובת הרשמית.
- לעדכן את מערכת ההפעלה והדפדפן.
- להשתמש באנטי וירוס מעודכן.
- להיזהר מקבצים מצורפים לא צפויים.
- לבדוק היטב בקשות לשינוי פרטי תשלום.
- להדריך עובדים בעסק איך לזהות הודעות חשודות.
בעסקים קטנים, גם הדרכה קצרה לעובדים יכולה למנוע נזק משמעותי. מספיק שעובד אחד יזין סיסמה באתר מתחזה כדי לחשוף מייל עסקי, מסמכים, חשבוניות ולקוחות.
מתי כדאי לפנות לטכנאי או איש מחשוב?
כדאי לפנות לעזרה מקצועית אם:
- לחצתם על קישור חשוד והורדתם קובץ.
- הזנתם סיסמה באתר חשוד.
- החשבון מבקש אימותים שלא יזמתם.
- יש הודעות התחברות ממקומות לא מוכרים.
- המחשב התחיל להתנהג מוזר.
- לקוחות מקבלים מכם מיילים שלא שלחתם.
- נעלמו מיילים או נוספו כללי העברה.
- יש חשד שנפרץ חשבון Microsoft 365 או Gmail.
- עובד בעסק קיבל חשבונית או קובץ חשוד.
במקרים כאלה עדיף לא להמתין. בדיקה מהירה יכולה לצמצם נזק, לעצור גישה לא מורשית ולמנוע פגיעה נוספת בחשבונות או במחשב.
שאלות נפוצות
האם כל SMS עם קישור הוא פישינג?
לא בהכרח, אבל SMS עם קישור שקשור לבנק, אשראי, חבילה, תשלום או חסימת חשבון דורש זהירות. עדיף להיכנס דרך האפליקציה הרשמית ולא דרך הקישור.
האם אפשר לזהות פישינג לפי שגיאות כתיב?
לפעמים כן, אבל לא תמיד. היום הודעות פישינג יכולות להיות כתובות בעברית טובה ולהיראות אמינות. לכן צריך לבדוק גם את הקישור, השולח וההקשר.
האם קובץ PDF יכול להיות מסוכן?
כן. לא כל PDF מסוכן, אבל קובץ PDF יכול לכלול קישורים חשודים או לשמש כחלק מהונאה. אם לא ציפיתם לקבל את הקובץ, כדאי לבדוק לפני פתיחה או לחיצה על קישורים בתוכו.
האם חשבונית במייל יכולה להיות פישינג?
כן. חשבוניות מזויפות הן שיטה נפוצה לגרום לעסקים לפתוח קבצים, ללחוץ על קישורים או לבצע תשלום לחשבון שגוי.
מה לעשות אם מסרתי קוד אימות?
אם מסרתם קוד אימות, יש סיכון שמישהו ניסה להתחבר לחשבון שלכם. החליפו סיסמה, בדקו התחברויות אחרונות, נתקו מכשירים לא מוכרים ופנו לתמיכה של השירות הרלוונטי.
האם אנטי וירוס מספיק נגד פישינג?
לא, אנטי וירוס יכול לעזור בזיהוי קבצים מסוכנים, אתרים חשודים או תוכנות זדוניות, אבל הוא לא מספק הגנה הרמטית מפני פישינג. פישינג מבוסס הרבה פעמים על התחזות והטעיה של המשתמש, למשל הודעת SMS, וואטסאפ, שיחת טלפון או מייל שנראים אמינים. לכן גם כאשר יש אנטי וירוס מותקן ומעודכן, עדיין חשוב להפעיל שיקול דעת ולא ללחוץ על קישורים או למסור פרטים בלי בדיקה.
