SMS מזויף ממס הכנסה: הסימנים, האימות והדיווח
איך מזהים הודעת טקסט שמתחזה לרשות המסים, איך מאמתים אותה בערוץ שלא ניתן לזייף, ומה סדר הפעולות אם כבר נמסרו פרטים.
הודעת טקסט שמגיעה בשם רשות המסים עובדת על משהו פשוט: כמעט לכל אחד יש חוב, החזר או טופס פתוח מול המדינה, ולכן ההודעה נשמעת סבירה עוד לפני שקוראים אותה עד הסוף. בעל עסק קטן חשוף במיוחד, כי אצלו החשבון בבנק, כרטיס האשראי של הקמפיינים והחשבונות ברשתות מחוברים זה לזה. המדריך הזה נכתב מהצד המגן: איך מזהים את ההודעה בזמן אמת, איך מאמתים אותה בערוץ שלא ניתן לזייף, מה עושים אם כבר נלחץ קישור, ולאן מדווחים.
SMS מזויף ממס הכנסה: איך מזהים את ההודעה ומה עושים איתה
הדבר הראשון שכדאי להפנים הוא שההודעה עצמה אינה ראיה לכלום. שם השולח בהודעת טקסט אינו מזוהה ואינו מאומת, ולכן אפשר להציג בו כמעט כל מחרוזת, כולל שם של רשות ממשלתית. אותה הודעה יכולה להיראות זהה לחלוטין להודעה לגיטימית, ואפילו להשתרשר לאותו חלון שיחה שבו יושבות הודעות אמיתיות מהעבר, מפני שהטלפון מקבץ הודעות לפי שם השולח המוצג. מכאן שכל ניסיון להכריע לפי המראה של ההודעה מתחיל בעמדת נחיתות.
הבדיקה שכן עובדת אינה מסתכלת על ההודעה אלא על הבקשה שבתוכה. גוף ממשלתי מנהל את הקשר מול הציבור באזור האישי שלו ובדואר רשמי, ולא במסלול שבו הנמען מקליד פרטי אשראי או קוד אימות בטופס שהגיע מקישור. לכן השאלה היחידה שצריך לשאול היא מה בדיוק מבקשים ממני כאן, ולא מי כתוב שכתב את זה.
למה דווקא רשות המסים היא עילה נוחה
עילה טובה בהונאה היא עילה שקשה להפריך בראש בלי לבדוק. חוב מס, קנס שנצבר או החזר שממתין הם בדיוק כאלה: רוב האנשים אינם יודעים בעל פה מה מצבם מול הרשות, וגם מי שיודע נוטה להניח שייתכן שמשהו נשמט. לכך נוסף פער סמכות, כי מול רשות אוכפת נוצרת נטייה למהר ולסגור את העניין, ולא לעצור ולבדוק.
שתי גרסאות חוזרות. הראשונה מאיימת: חוב פתוח, הליך גבייה, עיקול שיופעל אם לא ישולם היום. השנייה מפתה: החזר מס שמגיע לכם, שנשאר רק להזין אליו פרטי חשבון. השנייה מסוכנת יותר דווקא מפני שהיא נעימה, והיא מגיעה בעונות שבהן אנשים באמת מגישים בקשות להחזר, כך שהתזמון שלה נראה הגיוני.
ארבעה סימנים שחוזרים כמעט בכל הודעה כזאת
- קישור בגוף ההודעה. הפנייה ישירה לטופס במקום הפנייה לאזור האישי היא הסטייה המשמעותית ביותר מהתנהלות רשמית.
- לחץ זמן קונקרטי. נוסח שקובע שהיום הוא היום האחרון, או שההליך יופעל בתוך שעות, נועד למנוע את הבדיקה שאתם עומדים לעשות עכשיו.
- בקשה לפרטי תשלום או לקוד. תשלום לרשות מתבצע בשירותי התשלום הממשלתיים, ולא בהקלדת מספר כרטיס בעמוד שהגיע בהודעה.
- כתובת יעד שאינה ממשלתית. שירות ממשלתי ישראלי יושב תחת דומיין ממשלתי. שם הרשות שמופיע כמילה בתוך כתובת אחרת, או כתת־דומיין של אתר זר, אינו הופך את הכתובת לשייכת לרשות.
אף אחד מהסימנים אינו הכרחי, ואפשר להיתקל בהודעה מזויפת נקייה משגיאות כתיב ומנוסחת היטב. שגיאות ניסוח הן אינדיקציה חלשה שהשתפרה מאוד בשנים האחרונות, ולכן עדיף להישען על מבנה הבקשה. אותו היגיון מפורט אצלנו במדריך על הודעות פישינג וזיהוין.
מה ההודעה טוענת, מול מה שקורה באמת
| מה כתוב בהודעה | מה גוף רשמי עושה בפועל | הבדיקה שמפרקת את זה |
|---|---|---|
| יש לכם חוב מס, שלמו עד היום כדי למנוע הליך | חוב מופיע באזור האישי ובדואר רשמי, והליך גבייה אינו נפתח בהודעת טקסט | להיכנס לאזור האישי ידנית ולראות אם החוב קיים שם |
| מגיע לכם החזר מס, הזינו פרטי חשבון לקבלתו | החזר מועבר לחשבון בנק שרשום במערכת, ולא נדרש כרטיס אשראי כדי לקבל כסף | בקשה לפרטי אשראי לצורך קבלת כסף היא סתירה פנימית. עוצרים כאן |
| לאימות זהותכם, הקלידו את הקוד שנשלח אליכם | אינו מבקש קוד חד־פעמי בשום ערוץ, גם לא בשיחה יזומה | קוד אימות אינו נמסר לאיש. הבקשה עצמה היא הזיהוי |
| עדכנו פרטים אחרת השירות ייחסם | עדכון פרטים נעשה בטפסים באזור האישי, בלי מועד אחרון שנשלח בהודעה | לבדוק את יעד הקישור לפני הלחיצה, לא אחריה |
אימות דרך הערוץ האמיתי, בשלוש דקות
העיקרון הוא שהערוץ שבו הגיעה ההודעה לעולם אינו הערוץ שבו מאמתים אותה. הקישור, מספר הטלפון והכתובת שמופיעים בהודעה שייכים כולם לצד ששלח אותה, ולכן הם מאמתים את עצמם. אימות אמיתי מתחיל מחוץ להודעה.
- לא ללחוץ, לא להשיב ולא לחייג למספר שמופיע בהודעה.
- להיכנס לאזור האישי ברשות דרך כתובת שאתם מקלידים בעצמכם או דרך סימנייה שמורה, ולראות אם ההתראה קיימת גם שם.
- אם צריך לדבר עם אדם, לחייג למספר שמופיע באתר הרשמי שהגעתם אליו בדרך הזאת.
- אם ההודעה נוגעת לתיק שמנהל רואה חשבון או יועץ מס מטעמכם, לשאול אותו לפני כל פעולה.
שלושת השלבים האלה עולים דקות ספורות, ואם ההודעה הייתה אמיתית לא הפסדתם דבר: אותו חוב ואותו החזר ימתינו לכם באזור האישי.
אם כבר לחצתם, או שנמסרו פרטים
בשעה הראשונה
לחיצה על קישור בלבד, בלי שהוקלד דבר, היא במקרים רבים אירוע שנגמר בכך. אם הוקלדו פרטים, סדר הפעולות חשוב יותר מהמהירות של כל פעולה בנפרד.
- לחסום את אמצעי התשלום מול הבנק וחברת האשראי, בשיחה שאתם יוזמים למספר שעל גב הכרטיס.
- להחליף את הסיסמה של החשבון שדרכו נמסרו הפרטים, וכל חשבון אחר שמשתמש באותה סיסמה.
- לבדוק בהגדרות האבטחה של אותם חשבונות אילו מכשירים והפעלות מחוברים, ולנתק את מה שאינכם מזהים.
- לוודא שכתובת הדואר האלקטרוני ומספר הטלפון לשחזור לא הוחלפו, כי החלפתם היא הצעד הראשון של מי שמשתלט על חשבון.
ביממה שאחריה
כדאי לעקוב אחר חיובים קטנים וחריגים, שנועדו לבדוק אם הכרטיס פעיל לפני חיוב גדול, ולשים לב להודעות אימות שמגיעות בלי שביקשתם אותן. הודעה כזאת אינה תקלה אלא סימן שמישהו מנסה להתחבר ברגע זה. באתר יש הרחבה על מקרים שבהם חשבון נפרץ בלי שנלחץ קישור בכלל, שמסבירה את הצד הזה.
איפה מדווחים, ולמה זה לא מיותר
דיווח אינו מחזיר כסף באופן ישיר, אבל הוא מה שמאפשר לחסום תשתית הונאה מול הספקים ומזין את התמונה הכללית. אפשר לדווח למערך הסייבר הלאומי, להגיש תלונה במשטרת ישראל אם נגרם נזק כספי, ולהעביר את ההודעה לחברת הסלולר בערוץ הדיווח שהיא מפעילה. מול הרשות עצמה, פנייה דרך האזור האישי מתעדת את האירוע בתיק שלכם, וזה שימושי אם בהמשך תופיע פעולה שלא ביצעתם.
אם ההודעה הגיעה לעובדים בעסק, שווה לשלוח הודעה פנימית קצרה שמתארת את הנוסח. עובד שראה את הדוגמה שעה לפני שהיא הגיעה אליו מגיב אחרת לגמרי.
מה מקטין את הסיכון מראש
אי אפשר למנוע מהודעות להגיע, אבל אפשר לצמצם מאוד את מה שהן מסוגלות לעשות. הכיוון הנכון אינו לזהות טוב יותר, אלא לבנות מצב שבו גם זיהוי שגוי אינו מספיק כדי לאבד גישה.
- אימות דו־שלבי על הדואר האלקטרוני ועל החשבונות העסקיים, ועדיף באפליקציית קודים או במפתח פיזי ולא בהודעת טקסט. הרחבנו על כך במדריך אבטחת חשבון עסקי ואימות דו־שלבי.
- סיסמה נפרדת לכל חשבון, שמורה במנהל סיסמאות. ההיגיון המלא נמצא במדריך סיסמה חזקה לחשבונות עסקיים.
- סימניות שמורות לאזורים האישיים שאתם משתמשים בהם, כדי שהכניסה לא תעבור דרך חיפוש או קישור.
- כלל אחד לצוות, קצר מספיק כדי שייזכר: אף גורם אינו מבקש קוד אימות, ואף תשלום אינו מתבצע מקישור שהגיע בהודעה.
ההודעה תמשיך להגיע, בנוסחים משתנים ובעילות שיתחלפו לפי העונה. מה שלא משתנה הוא המבנה: עילה סבירה, לחץ זמן, וקישור שמוביל לטופס. ברגע שמזהים את המבנה הזה, השאלה מי לכאורה שלח את ההודעה מפסיקה להיות רלוונטית.
שאלות נפוצות
איך אפשר לדעת אם ה-SMS באמת הגיע מרשות המסים?
לא לפי ההודעה. שם השולח בהודעת טקסט אינו מאומת ואפשר להציג בו כל מחרוזת, כולל שם של רשות, ולכן ההודעה יכולה גם להשתרשר לאותו חלון שבו יושבות הודעות אמיתיות מהעבר. הבדיקה היחידה שעובדת היא להיכנס לאזור האישי ברשות דרך כתובת שאתם מקלידים בעצמכם, בלי לגעת בקישור שבהודעה, ולראות אם אותה התראה מופיעה גם שם. אם היא לא מופיעה באזור האישי, היא לא הגיעה מהרשות.
לחצתי על הקישור אבל לא הזנתי שום פרט. מה עכשיו?
במרבית המקרים לחיצה בלבד היא אירוע שנגמר בה, מפני שהמטרה של הדף היא לגרום להקלדה. כדאי בכל זאת לסגור את הדף בלי למלא דבר, לא לאשר הורדה או התקנה שהוצעה שם, ולעבור על הגדרות האבטחה של הדואר האלקטרוני ולבדוק שלא נוספו מכשירים מחוברים או כתובת שחזור שאינכם מכירים. אם הוקלדו פרטים בשלב כלשהו, יש להתייחס לזה אחרת ולחסום מיד את אמצעי התשלום מול הבנק.
ההודעה מבטיחה החזר מס ומבקשת פרטי כרטיס אשראי. זה הגיוני?
זו סתירה פנימית שמספיקה כדי לעצור. כסף שמועבר אליכם מגיע לחשבון בנק שרשום במערכת, וכרטיס אשראי הוא אמצעי לחייב ולא לזכות. גם בקשה לצילום כרטיס, לשלוש הספרות שבגבו או לקוד חד־פעמי שנשלח אליכם אינה חלק משום תהליך החזר. ברגע שהבקשה הזאת מופיעה, אין צורך להכריע מי שלח את ההודעה.
לאן מדווחים על הודעה מזויפת בשם רשות ממשלתית?
אפשר לדווח למערך הסייבר הלאומי, ולהגיש תלונה במשטרת ישראל כאשר נגרם נזק כספי או נמסרו פרטים. במקביל כדאי להעביר את ההודעה לחברת הסלולר בערוץ הדיווח שהיא מפעילה, ולתעד את האירוע בפנייה דרך האזור האישי ברשות עצמה. הדיווח לא מחזיר כסף בעצמו, אבל הוא מה שמאפשר לחסום את התשתית ומשאיר תיעוד אם בהמשך תופיע פעולה שלא ביצעתם.
