מישהו ביקש קוד SMS: למה אף גורם לגיטימי לא צריך אותו
הקוד שהגיע אליכם אמיתי לגמרי — וזה בדיוק מה שהופך את הבקשה להעביר אותו למסוכנת.
מישהו ביקש קוד SMS: מה באמת קורה ברגע הזה
שני מצבים דומים מתבלבלים כל הזמן, והם שונים לגמרי. באחד קיבלתם קוד אימות שלא
ביקשתם, ואיש לא פנה אליכם — סימן שמישהו מנסה להיכנס לחשבון, והטיפול בו מפורק
בקוד אימות שהגיע בלי שביקשתם. בשני, שהוא הנושא כאן, מישהו פונה אליכם ומבקש שתעבירו לו את
הקוד.
המצב השני מסוכן בהרבה, ומסיבה אחת: הוא דורש פעולה שלכם. כל השאר כבר מוכן,
והדבר היחיד שחסר לתוקף הוא שתקריאו לו שש ספרות.
המנגנון, בשלוש שורות
- התוקף מזין את מספר הטלפון או את כתובת המייל שלכם בתהליך התחברות או הרשמה.
- הפלטפורמה שולחת אליכם קוד — ולכן הקוד אמיתי לגמרי, מגיע מהמספר
הרשמי, ונראה בדיוק כמו שצריך. - הוא מבקש שתעבירו לו אותו. ברגע שזה קורה, הוא נכנס.
מכאן נובעת המסקנה שמייתרת כל שיקול דעת נוסף: הגעת הקוד אינה
הפריצה — מסירתו היא הפריצה. כל עוד הקוד נשאר אצלכם, לא קרה כלום.
התירוצים שחוזרים
| התירוץ | איך זה נשמע | למה זה עובד |
|---|---|---|
| טעות במספר | אדם מתנצל שהתבלבל ומבקש טובה קטנה | הבקשה נשמעת חסרת סיכון |
| נציג תמיכה | מבקש לאמת שזה באמת אתם | נשען על סמכות |
| קונה במרקטפלייס | שלח קוד כדי לוודא שאתם מוכר אמיתי | נשמע כמו נוהל מקובל |
| חבר בצרה | מבקש עזרה דחופה מחשבון מוכר | מגיע מאדם שאתם באמת מכירים |
| שליח או חברת משלוחים | צריך קוד לשחרור חבילה | מתלבש על ציפייה אמיתית |
השורה השלישית ראויה לתשומת לב מיוחדת, כי היא הפכה לנפוצה מאוד במכירות יד
שנייה. אין ולא היה שום נוהל שבו קונה מאמת מוכר באמצעות קוד — זו המצאה שנועדה
להישמע כמו נוהל. מוכר שמעביר את הקוד מאבד את חשבון ההודעות שלו, ולעיתים גם את
הגישה לקבוצות ולאנשי הקשר שבו.
המקרה שמפיל אנשים חכמים: הבקשה מחבר
כאן ההודעה מגיעה מחשבון אמיתי של אדם שאתם מכירים — כי החשבון שלו כבר נלקח,
והתוקף עובר על רשימת אנשי הקשר. הטקסט משכנע כי הוא מגיע מהמקום הנכון, ולעיתים
אפילו בסגנון הכתיבה הנכון.
שלושה סימנים מזהים אותו: הבקשה חריגה ביחס למה שאותו אדם בדרך כלל מבקש, יש בה
דחיפות, ויש התחמקות משיחת קול. הבדיקה פשוטה ולוקחת דקה — התקשרו
אליו. לא הודעה חוזרת באותו ערוץ, שיחה. אם הוא באמת ביקש, תדעו בעשר
שניות; ואם לא, זה עתה הצלתם גם אותו.
אין תרחיש שבו מסירת הקוד נכונה
שווה לנסח את זה כמו כלל ולא כמו עצה. קוד שנשלח למכשיר שלכם הוא הוכחה לזהות
שלכם, ולשום דבר אחר. אין לו שימוש אצל אדם אחר מלבד התחזות לכם, ולכן אף
גורם לגיטימי לא צריך אותו: לא הבנק, לא הפלטפורמה, לא הספק, לא הקונה ולא
המשלוח.
וגם: לא צריך להסביר, להתנצל או להתווכח. אין חובה לענות לבקשה כזו בכלל.
הדרך הנכונה היא לא להשיב, לדווח, ולחסום — כפי שמפורט לגבי כל משפחת הפניות האלה
בטיפול בבקשות הודעות מזרים.
אם כבר מסרתם את הקוד
פעלו בדקות, לא בשעות. לרוב יש חלון קצר שבו עדיין אפשר לתפוס את החשבון
בחזרה:
- נסו להיכנס מיד, ועדיף ממכשיר שעדיין מחובר לחשבון. אל
תתנתקו ממנו ואל תמחקו את האפליקציה. - החליפו סיסמה ונתקו את כל המכשירים המחוברים.
- בדקו את כתובת המייל וטלפון השחזור והחזירו אותם אם
שונו. - הפעילו אימות דו־שלבי קבוע. באפליקציות הודעות זהו קוד קבוע
שאתם בוחרים, והוא מונע רישום מחדש של המספר גם אם קוד חד־פעמי דלף — הפירוט נמצא
בהגנה על מספר עסקי בערוצי הודעות. - הזהירו את אנשי הקשר שלכם. עכשיו אתם ה״חבר״ בגרסה של מישהו
אחר, וההודעות יוצאות בשמכם.
סדר הפעולות המלא, כולל למה מתחילים דווקא בתיבת המייל, מפורט בסדר החלפת הסיסמאות.
מה בעצם קורה לחשבון אחרי שהוא נלקח
שווה להבין למה התוקף טורח, כי זה מסביר גם למה הזמן קריטי וגם למה חובה להזהיר
אנשים. חשבון הודעות אינו המטרה — הוא כלי:
- רשימת אנשי הקשר הופכת לרשימת יעדים. אותה בקשת קוד נשלחת
הלאה, עכשיו משמכם — ומי שמקבל אותה מכיר אתכם ולכן נוטה להאמין. - בקשות כסף לקרובים. הודעה קצרה על מצוקה זמנית, לחשבון
העברה כלשהו, בסגנון שנראה כמו שלכם. - קבוצות. חשבון שנלקח נכנס לכל הקבוצות שהייתם בהן, כולל
קבוצות עבודה או משפחה, ומשתמש באמון שנבנה בהן. - עסקאות בשמכם. מכירה שלא ביצעתם, גבייה מקונים תמימים,
ותלונות שיגיעו בסוף אליכם.
לכן ההודעה לאנשי הקשר אינה נימוס אלא חלק מהטיפול, וכדאי לשלוח אותה בערוץ
אחר — שיחה, רשת אחרת או הודעה מחשבון של בן משפחה — ולא לחכות עד שתחזרו לחשבון.
כל שעה שעוברת היא עוד אנשים שקיבלו בקשה בשמכם.
למה דווקא הקוד ב־SMS הוא החוליה החלשה
קוד שנשלח במסרון ניתן להוצאה בשתי דרכים שאינן דורשות פריצה טכנית כלל: בקשה
ישירה, כפי שתואר כאן, והעברת המספר לכרטיס אחר. שתיהן עוקפות סיסמה חזקה
לחלוטין.
לכן, בחשבונות שחשוב לכם לשמור עליהם, עדיף גורם שני שאינו נשלח לאף אחד —
אפליקציית אימות או מפתח פיזי. ועם זאת, שווה לומר את זה במפורש: אימות דו־שלבי
במסרון עדיף בהרבה על היעדר אימות דו־שלבי. אם זו האפשרות היחידה שיש, הפעילו
אותה.
שורה תחתונה: הקוד שהגיע אליכם שייך לכם. אין אדם, נציג או שירות שזקוק לו,
והבקשה עצמה היא כל הראיה שצריך. אל תעבירו, אל תסבירו — דווחו וחסמו. ואם ההודעה
הגיעה מחבר, הרימו טלפון: זו הדקה שמצילה שני חשבונות. סימנים נוספים ממשפחת
ההודעות הזו מפורטים בזיהוי הודעות פישינג.
שאלות נפוצות
קיבלתי קוד ומישהו מבקש שאעביר לו אותו. זה יכול להיות אמיתי?
לא. קוד שנשלח למכשיר שלכם הוא הוכחה לזהות שלכם ולשום דבר אחר, ואין לו שימוש אצל אדם אחר מלבד התחזות לכם. לכן אף גורם לגיטימי אינו זקוק לו — לא הבנק, לא הפלטפורמה, לא ספק, לא קונה ולא חברת משלוחים. שימו לב שהקוד עצמו אמיתי לחלוטין ומגיע מהמספר הרשמי, וזה בדיוק מה שמבלבל: התוקף הזין את הפרטים שלכם בתהליך התחברות, והדבר היחיד שחסר לו הוא שתקריאו לו את הספרות.
הבקשה הגיעה מחבר שאני מכיר. מה עושים?
מתקשרים אליו. ברוב המקרים החשבון שלו כבר נלקח והתוקף עובר על רשימת אנשי הקשר, ולכן ההודעה מגיעה ממקום אמיתי ונשמעת אמינה. שלושה סימנים חוזרים: הבקשה חריגה ביחס למה שאותו אדם בדרך כלל מבקש, יש בה דחיפות, ויש התחמקות משיחת קול. שיחת טלפון של דקה מכריעה את השאלה, ואם התברר שהחשבון שלו נלקח — הרגע הזה גם מציל אותו, כי הוא לא בהכרח יודע.
קונה ביקש קוד כדי לוודא שאני מוכר אמיתי. זה נוהל מקובל?
לא, ומעולם לא היה. זו המצאה שנועדה להישמע כמו נוהל, והיא נפוצה מאוד במכירות יד שנייה. מה שקורה בפועל הוא שהתוקף מתחיל רישום מחדש של אפליקציית ההודעות שלכם עם המספר שלכם, הקוד מגיע אליכם, והעברתו מעבירה לו את החשבון — כולל השיחות, הקבוצות ואנשי הקשר. אין שום מנגנון אימות מוכר שדורש ממוכר להקריא קוד שהגיע לטלפון שלו. אל תעבירו, ודווחו על המשתמש.
העברתי את הקוד. מה עכשיו?
פעלו בדקות. נסו להיכנס מיד לחשבון, ועדיף ממכשיר שעדיין מחובר אליו — אל תתנתקו ממנו ואל תמחקו את האפליקציה, כי הוא הדרך המהירה פנימה. אחר כך החליפו סיסמה, נתקו את כל המכשירים המחוברים, ובדקו שכתובת המייל וטלפון השחזור לא שונו. הפעילו אימות דו־שלבי קבוע, שמונע רישום מחדש של המספר גם אם קוד חד־פעמי דלף. ולבסוף הזהירו את אנשי הקשר שלכם, כי ההודעות יוצאות עכשיו בשמכם.
