לפני שמזהים זיוף, עוצרים את הבקשה
הדרך המעשית להתגונן מהונאות מבוססות AI אינה להחליט בתוך שניות אם הקול אמיתי. עדיף לקבוע מראש אילו פעולות אינן מתבצעות בעקבות פנייה נכנסת בלבד: העברת כסף, מסירת קוד כניסה, שינוי פרטי תשלום והתקנת תוכנה. כשמגיעה בקשה כזאת, עוצרים ומאמתים אותה בערוץ שבחרתם בעצמכם. הכלל תקף גם כשהפונה נשמע מוכר, יודע פרטים אישיים או מציג תמונה משכנעת.
AI יכול לשפר את הניסוח וההתאמה האישית של הודעות מטעות ולסייע ביצירת קול או תמונה שנראים מוכרים. עם זאת, לא כל הונאה משתמשת ב-AI, ואין צורך להוכיח שימוש בו כדי להימנע מפעולה מסוכנת. השאלה החשובה היא מה מבקשים מכם לעשות ובאיזה בסיס אתם סומכים על הבקשה. גם הודעה בשפה תקינה לחלוטין אינה ראיה לזהות השולח.
בחרו כלל ביתי פשוט: בקשה חריגה עוברת בדיקה נוספת. רשמו במקום נגיש מספרי טלפון של קרובים, הבנק ואיש קשר בעבודה, מתוך מקורות שכבר מוכרים לכם. מי שמתקשה לתפעל יישומים יכול להכין כרטיס מודפס עם אנשי קשר אמינים. מטרת ההכנה היא להפוך את הבדיקה לפעולה קלה ברגע של לחץ, לא לדרוש מכולם להיות מומחי סייבר.
קול מוכר ושיחת וידאו אינם תעודת זהות
ה-FTC, רשות הגנת הצרכן האמריקאית, הזהירה מפני הונאות חירום משפחתיות המשתמשות בשיבוט קול. המלצתה המרכזית היא לפנות לאדם במספר מוכר ולא לסמוך על הקול לבדו. אם אינו זמין, אפשר לנסות להגיע אליו דרך קרוב או חבר. אין להסיק מחוסר מענה שהסיפור אמיתי, אך גם אין להתעלם מסכנה ממשית: ממשיכים לבדוק באמצעות אנשים וגורמים שאפשר לזהות באופן עצמאי.
לדוגמה היפותטית, אדם מתקשר בקול שנשמע כמו בן משפחה ומבקש להעביר כסף מיד, בלי לספר לאף אחד. התגובה אינה חייבת להיות ויכוח או ניסיון לחשוף את הזיוף. אפשר לומר שתבדקו, לסיים את השיחה ולחייג למספר השמור אצלכם. אל תשתמשו במספר חלופי שהמתקשר מסר, ואל תאפשרו לו להישאר על הקו ולהכתיב את צעדי הבדיקה.
אפשר לקבוע מראש מילת קוד משפחתית שאינה מפורסמת ברשת ואינה פרט ביוגרפי שקל לנחש. היא שכבת עזר, לא אישור אוטומטי להעברת כסף. אם נחשפה, מחליפים אותה. גם תשובה נכונה אינה מחליפה שיחה חוזרת כשמדובר בבקשה חריגה. בשיחת וידאו, תנועות לא טבעיות או קול שאינו תואם לתמונה עשויים לעורר חשד, אבל העדרם אינו הוכחה לאמינות. עדיף לבדוק את הבקשה מחוץ לשיחה מאשר להסתמך על מבחן חזותי מאולתר.
הודעה משכנעת בודקים דרך השירות עצמו
הודעת משלוח, חיוב, החזר מס או חסימת חשבון יכולה להיראות שגרתית דווקא מפני שהיא כתובה היטב. במקום לבדוק רק שגיאות כתיב, בדקו את ההקשר: האם ציפיתם לפנייה, האם נדרשת פעולה חריגה, והאם אפשר לראות את אותה בקשה בתוך היישום או האתר שאתם רגילים להשתמש בו. שם תצוגה מוכר ותמונת פרופיל אינם מספיקים כדי לענות על השאלות האלה.
אם הודעה טוענת שיש בעיה בחשבון, פתחו בעצמכם את היישום הרשמי או הקלידו כתובת מוכרת. אל תעברו דרך הקישור שבהודעה כדי לבצע את הבדיקה. סימן מנעול בדפדפן אינו מבטיח שהאתר שייך לגוף הנכון. גם קוד QR יכול להוביל ליעד מטעה, ולכן אין סיבה להעניק לו אמון מיוחד רק משום שאינו נראה כמו קישור רגיל.
אין צורך להדביק הודעה הכוללת מידע אישי לתוך כלי AI כדי לקבל הכרעה. כלי כזה עשוי להציע סימני אזהרה, אך אינו יודע בהכרח מי שלח את ההודעה או אם החשבון נפרץ. אם נעזרים בו, מסירים קודם פרטים רגישים ומתייחסים לתשובה כעזר בלבד. ההכרעה צריכה להישען על אימות מול השירות, ולא על ניסוח בטוח של תשובה אוטומטית.
תמיכה מזויפת: לא נותנים למתקשר שליטה
נציג תמיכה מתחזה עשוי לטעון שהמחשב נגוע, שהבנק זיהה פעילות חריגה או שנדרש טיפול מיידי בחשבון עסקי. סימן האזהרה המעשי הוא הדרישה: להתקין תוכנת שליטה מרחוק, לשתף מסך, למסור סיסמה או להקריא קוד. עצרו לפני הפעולה וצרו קשר עם הגוף דרך יישום מוכר או פרטי קשר שבדקתם בנפרד. גם אדם סבלני ומקצועי יכול להיות מתחזה.
שיתוף מסך עלול לחשוף הודעות, מסמכים ופרטים שלא התכוונתם למסור. לפני תמיכה לגיטימית שאתם יזמתם, סגרו חלונות שאינם קשורים לתקלה וודאו מה הנציג יוכל לראות או לבצע. אל תיכנסו לחשבון בנק בזמן שאדם לא מאומת צופה במסך. אישור התקנה או הרשאה אינו עניין טכני שולי: הוא עשוי לשנות את הגישה למכשיר ולמידע שבו.
קוד חד-פעמי נועד לפעולה מסוימת. קראו את ההודעה שמלווה אותו ואל תמסרו אותו למי שפנה אליכם. אם לא יזמתם כניסה או תשלום, אל תאשרו התראה רק כדי שתיעלם. גם רצף בקשות אישור אינו סיבה ללחוץ על הסכמה. היכנסו לשירות באופן עצמאי ובדקו את אבטחת החשבון. במקום העבודה פונים לאיש התמיכה בערוץ הארגוני המוכר.
WhatsApp ורשתות חברתיות: החשבון מוכר, הבקשה חדשה
הודעה שמגיעה משיחה קיימת יכולה להגיע מחשבון שנפגע, ולא בהכרח מבעליו. לכן בקשה חריגה לכסף, לקוד או להצבעה באמצעות התחברות חדשה מחייבת בדיקה גם כשכל היסטוריית השיחה נראית רגילה. התקשרו לחבר במספר שכבר היה שמור אצלכם. אם הפנייה טוענת שהמספר הוחלף, נסו את המספר הישן או אדם משותף לפני שאתם מעדכנים פרטים ופועלים.
אל תסרקו קוד או תאשרו קישור מכשיר רק מפני שמישהו מכנה זאת אימות זהות. קראו מה היישום עצמו אומר שהפעולה עושה. בהגדרות החשבון, עברו מדי פעם על מכשירים מקושרים ועל פעילות שאינכם מזהים, והסירו חיבורים לא מוכרים. הפעילו את אפשרויות ההגנה שמציע השירות ושמרו את פרטי השחזור במקום שאפשר להגיע אליו גם אם הטלפון אובד.
כשמתגלה התחזות, שמרו צילום מסך, את שם החשבון ואת זמן הפנייה לפני חסימה ודיווח בפלטפורמה. אם חשבונכם שימש לפניות, הזהירו אנשי קשר בערוץ אחר. כתבו בקצרה אילו בקשות לא הגיעו מכם ומה עליהם להימנע מלעשות. אין צורך להפיץ שוב קישור חשוד כדי להמחיש את האירוע; אפשר לתארו בלי ליצור הזדמנות נוספת ללחיצה.
בעסק קטן: מפרידים בין בקשה לאישור תשלום
בעסק קטן, פנייה מזויפת יכולה להיראות כמו הוראה מהבעלים או עדכון חשבון בנק של ספק. קבעו שכל שינוי פרטי תשלום מאומת בשיחה למספר הרשום במערכת, ולא למספר המצורף לבקשת השינוי. גם חשבונית שנראית תקינה אינה מחליפה את הבדיקה. כאשר אפשר, אדם נוסף מאשר העברה חריגה לאחר שראה כיצד אומתו הפרטים.
יש חשיבות גם לחריגים. אם בעל העסק בחופשה, הספק לוחץ או התשלום דחוף, נוהל שלא מתאים למצבים האלה עלול להישאר על הנייר. הגדירו מראש מחליף וסכום שמעליו אין דילוג על אישור נוסף. אל תיצרו תרבות שבה עובד חושש לעצור בקשה שנראית כאילו הגיעה מהמנהל. האחריות של המנהל היא לאפשר בדיקה, גם כאשר היא מעכבת אותו.
תרגיל קצר יכול להשתמש בדוגמה מומצאת: הודעה מספק מוכר שמבקש להעביר תשלום לחשבון חדש. העובדים מסבירים למי יחייגו, היכן נמצא המספר ומי יאשר את ההעברה. אין צורך לשלוח לעובדים הודעות מפחידות או לאסוף סיסמאות כדי לתרגל. המטרה היא לבדוק אם הדרך הבטוחה זמינה וברורה, ולתקן פערים בתהליך לפני אירוע אמיתי.
אם כבר לחצתם, התאימו את התגובה למה שנחשף
לחיצה על קישור, מסירת סיסמה והעברת כסף אינם אותו אירוע. רשמו מה עשיתם בפועל: האם רק נפתח דף, האם הוזנו פרטים, האם הורד קובץ והאם אושרה הרשאה. אם רק פתחתם דף בלי למסור דבר, סגרו אותו ובדקו אם התבצעה הורדה או התקנה. אל תניחו שכל לחיצה היא פריצה, ואל תתעלמו משינוי לא מוכר במכשיר.
אם מסרתם סיסמה, החליפו אותה דרך השירות הרשמי ממכשיר מהימן, ובכל מקום שבו השתמשתם באותה סיסמה. בדקו פרטי שחזור, חיבורים פעילים והרשאות, ובטלו גישה שאינכם מזהים. אם נמסר קוד או אושר חיבור, שינוי סיסמה לבדו עשוי שלא להספיק. בחשבון עבודה דווחו מיד לגורם האחראי, כדי שיוכל לבדוק גם את ההרשאות ואת הפעילות הארגונית.
אם העברתם כסף או מסרתם פרטי תשלום, פנו מיד לבנק או לספק התשלום במספר מוכר ובקשו לבדוק אפשרויות עצירה וחסימה. אין הבטחה להשבת הכסף. אם הותקנה תוכנת שליטה לא מוכרת, נתקו את המכשיר מהרשת ופנו לסיוע ממכשיר אחר. שמרו ראיות ככל שאפשר בלי לעכב עצירת נזק. אל תשלמו למי שמבטיח להחזיר כספים בתמורה למקדמה נוספת.
דיווח בישראל והכנה לפעם הבאה
לפי מערך הסייבר הלאומי, המרכז הארצי לניהול אירועי סייבר מקבל דיווחים ומעניק סיוע ראשוני בטלפון 119, ללא תשלום, בכל שעות היממה. אפשר לפנות גם כשיש חשד ולא רק לאחר שנגרם נזק. הכינו תיאור קצר, שעות, צילומי מסך ופרטים על הפעולות שביצעתם. אל תשלחו סיסמאות או קודי כניסה כחלק מתיאור האירוע.
דיווח סייבר אינו מחליף פנייה לבנק כשכסף נמצא בסיכון, תלונה במשטרה כשנחשד מעשה פלילי או פנייה לשירותי החירום כשקיימת סכנה מיידית. אין צורך להמתין לתשובה מערוץ אחד לפני שפועלים בערוץ מתאים אחר. אם מכשיר עבודה מעורב, עדכנו גם את הארגון ואל תמחקו חומר שעשוי להיות נחוץ לבדיקתו בלי הנחיה.
אחרי הטיפול, עדכנו את ההרגל שנכשל: מספר טלפון חסר, סיסמה משותפת, הרשאה מיותרת או אישור תשלום שלא נבדק. עברו עם המשפחה על דרך ההתקשרות החלופית ושמרו פרטי שחזור מעודכנים. שיחה עניינית בלי האשמה מקלה על דיווח מוקדם בפעם הבאה. ההגנה היעילה היא רצף צעדים שאפשר לבצע גם תחת לחץ: לעצור, לאמת בנפרד, לצמצם נזק ולדווח.