הונאת פישינג בנקאית: איך מזהים, מונעים ומדווחים

הונאת פישינג בנקאית לא מנסה לפרוץ לבנק. היא מנסה לגרום לכם לפתוח את הדלת בעצמכם, ובשביל זה היא צריכה רק שני דברים: סיבה שנשמעת הגיונית ולחץ זמן שלא משאיר רגע לחשוב. בעל עסק קטן הוא יעד נוח במיוחד, מפני שאצלו הבנק, כרטיס האשראי של הקמפיינים וחשבונות הרשתות החברתיות מחוברים זה לזה, וגישה לאחד מהם מובילה לשאר. המדריך הזה מסביר איך התבנית עובדת, איך מזהים אותה בזמן אמת, ומה עושים בשעה הראשונה אם כבר נמסרו פרטים.

הונאת פישינג בנקאית: איך התבנית עובדת ואיך עוצרים אותה

כל הונאת פישינג בנקאית בנויה מארבעה חלקים, תמיד באותו סדר. ראשון הוא העילה: חיוב חריג, חבילה שנתקעה במכס, החזר מס, עדכון פרטים שהבנק כביכול דורש. שני הוא הערוץ, שנבחר כדי לעקוף את הזהירות הרגילה שלכם, ולכן ההודעה מגיעה בדרך כלל בהודעת טקסט או בשיחת טלפון ולא במסמך רשמי. שלישי הוא הבקשה עצמה, שנשמעת כמו אימות ולא כמו מסירת פרטים. הרביעי, והוא הלב של כל העסק, הוא הקוד החד־פעמי: המספר שנשלח אליכם בזמן שהצד השני כבר עומד במסך ההתחברות וממתין לו.

ההבנה הזאת משנה את שאלת ההגנה. אין צורך לזהות אתר מזויף לפי העיצוב שלו, ואי אפשר להסתמך על תחושת בטן מול קול אנושי משכנע. מספיק לזכור דבר אחד: אף גורם לגיטימי לא יבקש מכם קוד אימות, סיסמה או צילום של כרטיס. ברגע שהבקשה הזאת נשמעת, הזהות של מי שמדבר כבר לא רלוונטית.

ארבעת הערוצים, ומה באמת קורה בכל אחד

למה הקוד החד־פעמי הוא כל הסיפור

אימות דו־שלבי הפך את גניבת הסיסמה לחסרת ערך כמעט, ולכן ההונאה עברה למקום שבו האימות נשבר: אצלכם. הסיסמה נאספת בטופס, ואז המסך אומר שנשלח קוד לאימות הזהות ומבקש להקליד אותו. באותה שנייה בדיוק מתבצעת התחברות אמיתית מהצד השני, והקוד שאתם מקלידים משלים אותה. אותה תבנית בדיוק עוברת מהבנק לרשתות החברתיות, ולכן חשבון עסקי נפרץ לעיתים קרובות ימים ספורים אחרי אירוע בנקאי. הרחבנו על הגרסה החברתית של אותה תבנית במדריך על זיהוי ומניעה של פישינג לעסקים בפייסבוק, ובניתוח של חשבון שנפרץ בלי שאיש לחץ על קישור.

סוג האימות משנה

קוד בהודעת טקסט הוא החוליה החלשה, כי אפשר להעביר אותו הלאה בטעות ואפשר גם לגנוב את קו הטלפון עצמו. אפליקציית אימות מייצרת קוד מקומית במכשיר, ומפתח כניסה שמאומת בטביעת אצבע או בזיהוי פנים אינו ניתן להקלדה בטופס מזויף כלל, ולכן הוא מפרק את התבנית ולא רק מקשה עליה. את ההגדרה בפועל תיארנו במדריך האימות הדו־שלבי.

סימני האזהרה שאפשר לזהות בשלוש שניות

• לחץ זמן מספרי: שעתיים, עד סוף היום, אחרת החשבון ננעל. גורם אמיתי לא סוגר חשבון בגלל טופס שלא מולא בערב.
• בקשה לקוד, לסיסמה, לצילום כרטיס או לצילום תעודת זהות בצ׳אט או בטלפון.
• הפניה להעביר כסף לחשבון בטוח או לחשבון על שמכם. אין דבר כזה.
• כתובת דומיין שנראית כמעט נכונה: אות שהוחלפה, מקף שנוסף, סיומת שונה.
• שיחה יזומה שבה הצד השני יודע פרטים נכונים עליכם. פרטים ידועים אינם הוכחת זהות, הם חומר גלם.
• בקשה להתקין אפליקציית שיתוף מסך או תמיכה מרחוק בזמן השיחה.

השעה הראשונה: מה עושים אם כבר נמסרו פרטים

הסדר כאן חשוב, כי כל דקה שבה אמצעי התשלום פעיל היא דקה שאפשר לחייב בה. ההיגיון הוא לעצור קודם ולברר אחר כך.

1. לחסום את הכרטיס ואת האמצעים מול הבנק וחברת האשראי, בשיחה שאתם יוזמים למספר שמופיע על גב הכרטיס או באתר הרשמי.
2. להחליף סיסמה לחשבון הבנק, ובנפרד גם לתיבת הדואר ששולטת בשחזור שלו. תיבת דואר פרוצה מחזירה את הבעיה מיד.
3. לבדוק בהגדרות האבטחה של כל חשבון מרכזי אילו מכשירים והפעלות מחוברים, ולנתק כל מה שאינו מזוהה.
4. לבדוק שלא נוספה הפניית דואר או כלל סינון אוטומטי. זו הפעולה השקטה שמאפשרת המשך גישה גם אחרי החלפת סיסמה.
5. לצלם מסך של ההודעה, של מספר המתקשר ושל השעות המדויקות. התיעוד הוא מה שהופך דיווח לתלונה שאפשר לטפל בה.
6. להגיש תלונה במשטרת ישראל ולדווח לקו הסיוע של מערך הסייבר הלאומי, שמספרו 119.
7. לעבור על חשבון המודעות ולוודא שלא נוסף אמצעי תשלום או משתמש חדש. תיארנו את הטיפול במצב הזה במדריך על כרטיס אשראי שנחסם בקמפיין.

מה מקטין את החשיפה מראש

שלוש הגדרות עושות את רוב העבודה, וכולן חד־פעמיות. הראשונה היא הפרדת אמצעי תשלום: כרטיס נפרד ובעל מסגרת מוגבלת לפרסום ולמנויים דיגיטליים, כך שאירוע אחד אינו נוגע בחשבון התפעולי. השנייה היא התראות מיידיות על כל חיוב, כי זיהוי בתוך דקות הוא ההבדל בין ביטול לבין בירור ממושך. השלישית היא מעבר מקוד בהודעת טקסט לאפליקציית אימות או למפתח כניסה בכל חשבון שתומך בכך, כולל הרשתות החברתיות שדרכן עובר הכסף של העסק.

ואם החשש הוא לא רק לחשבון הבנק אלא גם לנכסים הדיגיטליים שנפגעים באותו גל, ריכזנו את סדר הפעולות המלא במדריך על החזרת השליטה בחשבון עסקי שנחסם או נגנב.