איך לזהות הודעת הונאה בוואטסאפ: 5 סימנים שמצילים אתכם

הודעה קצרה קופצת בוואטסאפ: "שלום, החבילה שלך ממתינה לאישור, לחצו כאן כדי למנוע החזרה לשולח." או אולי: "אבא, זה המספר החדש שלי, הטלפון נשבר."אנחנו רואים את ההודעות האלה כל יום, וגילינו שהן כבר לא נראות כמו פעם. השלב הראשון בלמידה איך לזהות הודעת הונאה בוואטסאפ הוא להבין שהיא לא חייבת להיות מגוחכת או כתובה בעברית שבורה. היום היא קצרה, נקייה, אישית ומשכנעת. יש בה לוגו, קישור שנראה כמעט אמיתי, ותמיד אותה תחושה קטנה של לחץ: תעשו משהו עכשיו. המטרה כמעט תמיד זהה. לגרום לכם ללחוץ על קישור, למסור קוד, להעביר פרטים אישיים או לשלוח כסף לפני שהספקתם לחשוב. בדקנו את השיטות הנפוצות, ואספנו את חמשת הסימנים שמפרידים בין הודעה תמימה להודעה שעלולה לעלות לכם ביוקר. כדי להבין את גודל התופעה, מספיק להסתכל על הנתונים. לפי הרשות האמריקאית להגנת הצרכן (FTC), הפסדים מהונאות התחזות הגיעו ל-2.95 מיליארד דולר בשנת 2024 בלבד, מתוך 845,806 דיווחים. אלה לא מקרים בודדים, אלא תעשייה שלמה.

הסימן הראשון איך לזהות הודעת הונאה בוואטסאפ: הלחץ להגיב מיד

להונאות יש הרבה צורות, אבל כמעט לכולן יש מכנה משותף אחד: דחיפות. "החשבון ייחסם היום." "זו ההזדמנות האחרונה." "החבילה תוחזר בעוד שעה." "שלחו את הקוד מיד." הנוכל לא רוצה שתבדקו, הוא רוצה שתגיבו מתוך לחץ. חברה אמיתית יכולה לשלוח הודעה חשובה, אבל היא לא תגרום לכם למסור סיסמה, קוד אימות או פרטי תשלום דרך קישור שקיבלתם בהפתעה. הכלל שאנחנו ממליצים לאמץ פשוט: ככל שההודעה דורשת תגובה מהירה יותר, כך צריך להאט יותר. שנייה של עצירה שווה יותר מכל בדיקה טכנית.

הצורות הנפוצות: חבילה שלא הזמנתם, בנק ופרס מפתיע

כשבדקנו את ההודעות שחוזרות שוב ושוב, זיהינו כמה תבניות קבועות. הכרה שלהן מראש היא חצי מהעבודה.

• הודעת החבילה:"החבילה שלך ממתינה, שלמו דמי מכס קטנים כדי לשחרר אותה." הסכום זעום בכוונה, כדי שלא תהססו למסור פרטי כרטיס.
• התחזות לבנק:"זוהתה פעילות חריגה בחשבונך, אמתו את זהותך עכשיו." הבנק לעולם לא יבקש סיסמה או קוד דרך קישור בהודעה.
• הפרס שלא נרשמתם אליו:"זכית! לחצו כדי לממש." אם לא השתתפתם בשום הגרלה, לא זכיתם בשום דבר.

המשותף לכולן הוא שהן פונות אליכם בלי שביקשתם דבר. הודעה שמגיעה בהפתעה, ודורשת פעולה מיידית, ראויה לחשד עוד לפני שקראתם אותה עד הסוף.

"אמא, זה המספר החדש שלי": הונאה שמתחילה בהודעה תמימה

אחת ההונאות המוכרות ביותר מתחילה במשפט שלא נשמע חשוד בכלל. גופי אבטחה בעולם מכנים אותה "הונאת ההורים", כי היא מכוונת ישירות לרגש.

תמונת המחשה שנוצרה בבינה מלאכותית

אחר כך מגיע הסיפור. הטלפון נפל למים, הסוללה נהרסה, אין גישה לחשבון הבנק, צריך לשלם משהו דחוף. הנוכל לא צריך להכיר אתכם לעומק, הוא רק צריך לתפוס אתכם ברגע לא טוב: באמצע העבודה, בנסיעה או כשאתם רואים את המילה "אמא" ומגיבים לפני שאתם בודקים. מה אנחנו עושים במקום? לא עונים לאותו מספר. מתקשרים למספר הישן שאנחנו כבר מכירים. אם אין מענה, פונים לבן משפחה אחר או מנסים שיחת וידאו. אל תסמכו על תמונת פרופיל או על שם שמופיע באנשי הקשר. חשוב לדעת: גם אם ההודעה נשלחה מחשבון של אדם מוכר, ייתכן שהחשבון שלו נפרץ. לכן לא מעבירים כסף רק כי ההודעה נראית כאילו הגיעה ממישהו קרוב.

הקישור נראה אמיתי? תסתכלו על האותיות הקטנות

הודעות הונאה רבות משתמשות בקישורים שנראים כמעט זהים לאתר אמיתי. זו הנקודה שבה רובנו נופלים, כי אנחנו מסתכלים רק על המילים הראשונות בכתובת.

לפעמים שם החברה מופיע בתוך הכתובת, אבל הדומיין עצמו שונה לגמרי. הכתובת יכולה לכלול שם של חנות או חברת משלוחים, ולהסתיים באתר שאינו קשור אליה. לפעמים מוסיפים אותיות כפולות, מספרים במקום אותיות או כתובת ארוכה מדי שאי אפשר להבין ממנה לאן היא מובילה. הפתרון שאנחנו נוקטים בו פשוט: לא נכנסים דרך הקישור. פותחים את האפליקציה הרשמית של החברה, או מקלידים בעצמנו את הכתובת שאנחנו כבר מכירים. קיבלתם הודעה על חבילה? בדקו את ההזמנה באתר שבו קניתם. הודעה מהבנק? פתחו את אפליקציית הבנק, לא את הקישור. גם ה-FTC ממליץ במפורש לא ללחוץ על קישורים בהודעות בלתי צפויות, אלא לבדוק מול החברה דרך פרטי קשר שמצאתם בעצמכם.

קיבלתם קוד אימות? הוא לא מיועד לאף אחד אחר

זה אולי הכלל החשוב ביותר בכל הרשימה, ולפי גופי האבטחה הונאת קוד האימות היא עדיין שיטת ההתקפה המצליחה ביותר.

קוד האימות בן שש הספרות שקיבלתם ב-SMS או בשיחה הוא שלכם בלבד. אף חבר, נציג שירות, בן משפחה או "תמיכה טכנית" לא אמור לבקש אותו. אם מישהו שולח הודעה כמו "שלחתי לך קוד בטעות, תעביר לי אותו", הוא מנסה להשתלט על חשבון הוואטסאפ שלכם. הקוד משמש לאימות מספר הטלפון בעת כניסה לחשבון. בוואטסאפ מדגישים שאין לשתף קוד רישום או קוד אימות דו שלבי עם אף אדם, גם אם הוא מציג את עצמו כנציג רשמי. ברגע שמישהו אחר נכנס לחשבון, הוא יכול לפנות לאנשי הקשר שלכם בשמכם, ומכאן הדרך קצרה להודעות כמו "נתקעתי, אפשר הלוואה?".

תמונת פרופיל, לוגו ושם מוכר לא מוכיחים כלום

הרבה אנשים בודקים רק דבר אחד: האם יש תמונת פרופיל שנראית אמיתית? אבל תמונה אפשר להעתיק, שם אפשר לשנות ולוגו אפשר להוסיף. אז מה כן בודקים? ריכזנו את השאלות שאנחנו שואלים את עצמנו לפני כל תגובה:

• האם המספר מוכר לנו בכלל?
• האם ההודעה הגיעה בלי שביקשנו דבר?
• האם הניסוח מוזר ביחס לאדם שאמור לעמוד מאחוריו?
• האם מבקשים מאיתנו כסף, קוד, פרטים או לחיצה על קישור?
• האם יש לחץ להגיב מהר?

כשיש יותר מתשובת "כן" אחת, אנחנו לא ממשיכים בשיחה. עוצרים ובודקים בדרך אחרת.

מה עושים אם כבר לחצתם על הקישור?

קודם כול, לא נכנסים לפאניקה. לחיצה על קישור לא תמיד אומרת שנגרם נזק, אבל היא כן אומרת שכדאי לפעול נכון ומהר. אם נפתח דף שמבקש פרטים, אל תזינו סיסמה, מספר כרטיס או קוד אימות, פשוט סגרו אותו. אם כבר הזנתם סיסמה, החליפו אותה מיד באתר או באפליקציה האמיתיים, ואם השתמשתם בה גם במקומות אחרים, החליפו גם שם. מסרתם פרטי כרטיס? פנו לחברת האשראי דרך המספר הרשמי שבגב הכרטיס. מסרתם קוד וואטסאפ? נסו להיכנס מחדש לחשבון מיד, והפעילו אימות דו שלבי שמוסיף שכבת הגנה נוספת. בישראל אפשר וכדאי לדווח על אירועים כאלה למערך הסייבר הלאומי, שמטפל בהודעות דיוג, התחזות וחטיפת חשבונות.

לא עונים, לא מתווכחים, לא מותחים את הנוכל

לפעמים יש פיתוי לענות כדי להבין מי עומד מאחורי ההודעה, או פשוט לצחוק על הנוכל. בפועל, כל תגובה מאשרת שמדובר במספר פעיל ורק מזמינה ניסיונות נוספים. הפעולה הנכונה פשוטה: חוסמים את החשבון, מדווחים עליו מתוך וואטסאפ, מוחקים את ההודעה, ומעדכנים בני משפחה אם מדובר בהונאה שעלולה להגיע גם אליהם. הגנה על אחרים היא חלק מההגנה על עצמנו. שווה גם להקדים תרופה למכה. הפעילו אימות דו שלבי בהגדרות הוואטסאפ, אל תפרסמו את מספר הטלפון שלכם בפומבי ברשתות, ודברו עם ההורים והסבים על השיטות האלה. הנוכלים מהמרים על כך שמישהו במשפחה עדיין לא שמע על הודעת "אמא, זה המספר החדש שלי", ושיחה קצרה יכולה לסכל את כל התרגיל.

שאלות ותשובות

איך לזהות הודעת הונאה בוואטסאפ ממספר לא מוכר?

בדקו שלושה דברים: האם ביקשתם את ההודעה, האם מבקשים מכם משהו רגיש כמו קוד או כסף, והאם יש לחץ להגיב מהר. שילוב של השלושה הוא כמעט תמיד סימן להונאה, ואז עוצרים ומאמתים בערוץ אחר.

מה עושים אם העברתי בטעות קוד אימות וואטסאפ?

נסו להיכנס מחדש לחשבון מיד באמצעות קוד חדש שיישלח למספר שלכם, כדי לנתק את מי שהשתלט. לאחר מכן הפעילו אימות דו שלבי, ועדכנו את אנשי הקשר שלכם שההודעות ששלח החשבון בזמן הזה לא הגיעו מכם.

האם תמונת פרופיל אמיתית מוכיחה שההודעה בטוחה?

לא. תמונות פרופיל, לוגו ושמות אפשר להעתיק בקלות, ולעיתים גם החשבון עצמו נפרץ. לכן לא מסתמכים על מראה ההודעה, אלא על אימות עצמאי מול האדם או החברה דרך פרטי קשר שאתם מכירים. הונאה טובה לא נראית כמו הונאה, היא נראית כמו הודעה קטנה שלא הספקנו לחשוב עליה. ולכן ההגנה הכי טובה היא לא לזהות כל תרמית בעולם, אלא פשוט להפסיק לפעול מתוך לחץ.

ואם החבילה שלכם באמת נתקעה ואין כאן שום הונאה, ריכזנו איך לגלות בדיוק היכן נתקעה חבילה מחו״ל.