הונאת פישיניג (Phishing) - מה זה ואיך להזהר

מה זה פישינג, ולמה הוא מצליח גם מול אנשים זהירים

פישינג הוא שם כולל לשיטות הונאה שבהן התוקף מתחזה לגוף לגיטימי כדי לגרום לקורבן למסור מידע רגיש מרצונו. השם נגזר מהמילה האנגלית לדיג: התוקף "משליך פיתיון" בדמות הודעה, שיחה או אתר, ומחכה שמישהו "ינשך". המטרה היא כמעט תמיד אחת משלוש: שם משתמש וסיסמה לשירות מקוון, פרטי כרטיס אשראי, או קוד אימות חד-פעמי שמאפשר לבצע פעולה בשם הקורבן. השירותים המועדפים על התוקפים הם כאלה שאפשר לשלם דרכם או להעביר מהם כסף, כמו חשבון בנק, PayPal, eBay או חשבון Google שמחובר לאמצעי תשלום.

הכוח של השיטה הוא באמינות. הודעת פישינג יכולה לכלול לוגו מדויק, חתימה רשמית ועיצוב שמחקה אחד לאחד את ההודעות האמיתיות של הגוף. היא יכולה להגיע מכתובת מייל או ממספר טלפון שנבדלים מהמקוריים באות אחת או בספרה אחת. לא פעם היא פונה בשם הפרטי או בשם המלא, ומזכירה פרטים אמיתיים: כתובת מגורים, שמות של בני משפחה או מספר טלפון נכון. כל אלה נאספים ממאגרים שדלפו, מרשתות חברתיות או מהונאות קודמות, ונועדו להוריד את רמת החשד.

רוב מסעות הפישינג נשלחים בכמויות עצומות. התוקף אינו צריך שכולם ייפלו: מספיק שאחוז קטן מהנמענים יגיב כדי שההונאה תשתלם. לכן אותה הודעה בדיוק מגיעה לפעמים גם למי שאין לו קשר לגוף שבשמו היא נשלחה, ודווקא זה רמז שימושי. לפי הדוח השנתי של מערך הסייבר הלאומי, ב-2025 עסקו 52% מכלל הדיווחים למוקד 119 בפישינג, ו-11% נוספים עסקו בפריצה לחשבונות ברשתות חברתיות, בדואר אלקטרוני או בחשבון Google. הנתונים משקפים רק את מי שטרח לדווח, ולכן ההיקף האמיתי גדול יותר.

מקור: ביזפורטל - הדוח השנתי של מערך הסייבר הלאומי לשנת 2025

פישינג במייל ובאתר מזויף - התרחיש הנפוץ ביותר

הגרסה הוותיקה והנפוצה של פישינג מתחילה במייל שנראה כאילו נשלח מ-Facebook, מ-PayPal, מבנק, מחברת הכבישים או מכל שירות אחר שיש לכם בו חשבון. התוכן משתנה, אבל הדפוס קבוע: הסיסמה עומדת לפוג ויש לחדש אותה, נמצא חוב פתוח שצריך להסדיר, ממתינה הודעה חשובה בתיבת ההודעות באתר, או שהחשבון יינעל אם לא תבוצע פעולה. התחזות לגבייה של כביש אגרה, למשל, עובדת היטב כי אנשים רבים באמת נוסעים בו ואינם זוכרים כל חיוב. מי שרוצה להבין איך נראה חיוב אמיתי יכול לעיין במדריך על מחירון כביש 6 ודרכי התשלום, ולהשוות מול מה שכתוב בהודעה.

איך פועל אתר הדמה

הקישור במייל מוביל לדף שנראה כמו דף הכניסה של האתר האמיתי, לעיתים עד רמת הפיקסל. הדף מבקש שם משתמש וסיסמה, ובמקרים שבהם ההודעה דיברה על חוב הוא ממשיך לבקש גם פרטי כרטיס אשראי. בפועל הגולש נמצא באתר אחר לגמרי, וכל תו שהוא מקליד נשלח אל התוקף. כדי לא לעורר חשד, אתרי דמה רבים מעבירים את הגולש מיד אחרי ההקלדה לאתר האמיתי, כך שהוא נכנס לחשבון כרגיל ואינו מבין שמשהו קרה. הכניסה "החלקה" לאתר האמיתי אחרי הקלדת הפרטים אינה הוכחה לכך שהכול תקין, כי היא חלק מתכנון ההונאה.

סימן ה-@ בכתובת הקישור

אחת הדרכים להסוות את היעד האמיתי של קישור היא שימוש בסימן "@" (שטרודל) בתוך הכתובת. דפדפנים מתעלמים מכל מה שמופיע לפני הסימן, ומובילים אל מה שמופיע אחריו. כך כתובת בנוסח bank-example.co.il@another-site.com נראית במבט חטוף כמו כתובת של בנק, אבל מובילה בפועל לאתר אחר לגמרי. השם שלפני ה-@ הוא קישוט בלבד. לפני הקלדה של סיסמה או פרטי אשראי, כדאי לבדוק בשורת הכתובת של הדפדפן מה שם האתר שבו נמצאים בפועל, במיוחד כשהגעתם אליו דרך קישור ולא בהקלדה ידנית.

פישינג במסרון - חבילה במכס, דוח חניה וניתוק חשמל

בשנים האחרונות עבר חלק גדול מהפישינג מהמייל אל המסרון, שיטה שמכונה לעיתים סמישינג (Smishing). הודעה קצרה בטלפון נקראת מהר, הקישור בה מקוצר ואינו חושף את היעד, ומסך קטן מקשה לבדוק כתובת. התרחישים הנפוצים בישראל משתמשים בגופים שכמעט כל אחד מתנהל מולם: הודעה על דוח חניה עירוני שטרם שולם, התראה על ניתוק חשמל בגלל חוב, או עדכון על חבילה שממתינה בדואר. מי שמקבל הודעה על דוח יכול לבדוק אותו ישירות מול הרשות המקומית, כפי שמוסבר במדריך על דוח חניה - איך מערערים ומתי כדאי לשלם. מי שמקבל התראה על חוב חשמל יכול לבדוק את מצב החשבון האמיתי, ולהיעזר במדריך חשבון החשמל - איך קוראים אותו כדי לדעת מה אמור להופיע בחשבון.

הונאת "החבילה מעוכבת במכס" והקוד החד-פעמי

התרחיש הזה בנוי בשני שלבים. המסרון מגיע ממספר נייד רגיל, נושא את הלוגו של דואר ישראל, ודורש דמי מכס של כמה שקלים בלבד, עם קישור מקוצר. הסכום הנמוך נועד להוריד את החשד: מעטים יתעכבו על תשלום זניח. הדף המזויף מבקש מספר כרטיס, תוקף ושלוש ספרות בגב הכרטיס. כדקה אחרי הזנת הפרטים מגיע מחברת האשראי קוד חד-פעמי אמיתי לגמרי, והדף המזויף מבקש להקליד גם אותו. בשלב הזה התוקף כבר משתמש בפרטים כדי להוסיף את הכרטיס לארנק דיגיטלי חדש במכשיר שלו, או כדי לאשר חיוב גדול, והקוד הוא האישור האחרון שחסר לו.

מסרון מחברת האשראי על צירוף הכרטיס לארנק דיגיטלי, כשלא ביקשתם לצרף אותו, הוא סימן האזהרה הראשון שהפרטים נגנבו. לפי כתבה מספטמבר 2026, מוקד 119 של מערך הסייבר טיפל ב-2025 בכ-13,700 דיווחים על פישינג, עלייה של כ-35% לעומת 2024. כלל האצבע פשוט: קוד חד-פעמי שמגיע מחברת האשראי או מהבנק מיועד לפעולה שאתם יזמתם באתר או באפליקציה הרשמיים, ואין סיבה להקליד אותו בדף שהגעתם אליו מקישור במסרון.

פישינג טלפוני, במלון ופנים אל פנים

לא כל פישינג עובר דרך קישור. חלק מההונאות מתבצעות בשיחה, ושם אין כתובת לבדוק ואין לוגו להשוות, יש רק קול בטוח בעצמו ולחץ זמן. דוגמאות נפוצות הן שיחה ממי שמציג את עצמו כנציג של רשות המסים וטוען לחוב שצריך להסדיר מיד בכרטיס אשראי, שיחה "מבית הספר של הילד", או שיחה מסוכנות נסיעות שמבקשת "לאמת" את פרטי התשלום על כרטיסי טיסה. מערך הסייבר הלאומי התריע גם על שיחות אוטומטיות באנגלית שמתחזות ל-Google וטוענות שמספר הטלפון בחשבון שונה. ההנחיה במקרה כזה היא לנתק, לא למסור סיסמה או קוד אימות, ולבדוק את החשבון רק דרך האפליקציה או האתר הרשמיים.

בכל שיחה כזו כדאי לבקש מהנציג פרטים מזהים על ההזמנה או על החשבון, ולבדוק שהמספר המחייג תואם את הגוף. אבל הבדיקה הבטוחה ביותר היא לנתק ולחייג בעצמכם למספר הרשמי, כזה שמופיע על גב הכרטיס, בחשבונית או באתר של החברה.

הונאת המלון - שיחה "מהקבלה"

זו גרסה מתוחכמת במיוחד של פישינג טלפוני. התוקף עומד בתור מאחורי האורחים בדלפק הקבלה ושומע את מספר החדר, או עוקב אחריהם עד הדלת. דקות אחרי הצ'ק-אין הוא מתקשר לחדר מטלפון פנימי במלון, או מבקש מהמרכזייה להעביר אליו שיחה חיצונית. הטלפון בחדר מציג שיחה פנימית, וזה מחזק מאוד את האמינות. המתקשר מספר שהכרטיס שנמסר בקבלה "לא עבר", מבקש לאמת את הפרטים, ולפעמים אף מזכיר את סוג הכרטיס שראה בעיניו. כל הפרטים מתחברים, ולכן גם אורחים חשדנים נופלים בה. הפתרון: לא למסור פרטי כרטיס בטלפון, ולרדת לדלפק הקבלה כדי לברר שם.

פישינג פנים אל פנים

במקרים מסוימים המתחזה מגיע פיזית: לבית, לפגישה בבית קפה או למשרד שנראה רשמי. הוא מציג את עצמו כנציג של בנק או של חברת כרטיסי אשראי, מציע הטבה או עסקה משתלמת במיוחד, ומבקש פרטים מזהים או את פרטי הכרטיס כדי "להפעיל" אותה. נציג אמיתי של בנק או של חברת אשראי אינו צריך שתמסרו לו את מספר הכרטיס המלא ואת הקוד שבגבו, כי המידע הזה כבר נמצא אצל הגוף שהוא מייצג.

גישה מרחוק והנזק שפישינג עלול לגרום

אחד התרחישים המסוכנים ביותר הוא מסירת גישה מרחוק למחשב או לטלפון. דפדפנים ואפליקציות שומרים פרטי כניסה ומתחברים אוטומטית לשירותים רבים: נכנסים ל-Facebook, לתיבת המייל או ל-PayPal בלי להקליד סיסמה בכל פעם. מי ששולט במכשיר מרחוק, באמצעות תוכנת שליטה מרחוק או שיקוף מסך, נהנה מאותה כניסה אוטומטית. הוא יכול להזיז את העכבר, להקליד במקלדת, לפתוח את החשבונות ולפעול בהם בשם בעל המכשיר, בלי לדעת אף סיסמה. לכן בקשה להתקין תוכנה כזו, בדרך כלל בתירוץ של "תמיכה טכנית" או "בדיקת חשבון", צריכה להדליק נורה אדומה מיידית.

מה הנזק האפשרי

היקף הנזק תלוי במה שהתוקף השיג. בתרחיש הקל, בעל החשבון ננעל מחוץ לתיבת המייל או לחשבון ברשת חברתית ונדרש לשחזר אותו. בתרחיש חמור יותר, החשבון מכיל מסמכים, צילומי תעודות או התכתבויות רגישות, וכל אלה עוברים לידי התוקף. בתרחיש חמור עוד יותר, יש לו גישה ישירה לרכישות בכרטיס האשראי או להעברות כספים מהחשבון. בתרחיש החמור מכולם, התוקף מצרף פרטים שאסף מכמה שירותים ומתחזה לקורבן גם מחוץ לרשת, למשל כדי לפתוח חשבון בנק על שמו.

חשוב לזכור שחשבון המייל הוא לעיתים קרובות המפתח לכל השאר. דרכו משחזרים סיסמאות לשירותים אחרים, ולכן פריצה אליו פותחת שרשרת. כאן משתלם להפריד בין שימושים: מי שמנהל עסק, למשל, יכול לשקול תיבה נפרדת לעבודה, כפי שמתואר במדריך על פתיחת מייל עסקי בגוגל, כך שפריצה לתיבה אחת לא תחשוף את כל השאר. ההפרדה אינה מונעת פישינג, אבל היא מצמצמת את מה שהתוקף מרוויח מהצלחה אחת.

איך מזהים הודעה או שיחה מתחזה

אין סימן אחד שמזהה כל הונאה, אבל יש כמה בדיקות שמסננות את רובן. הבדיקה הראשונה היא כתובת השולח. במייל, כדאי לוודא שהכתובת שייכת לשם המתחם הרשמי של הגוף, ולחשוד בכתובות ארוכות, מוזרות או כאלה שדומות מאוד לכתובת האמיתית אבל אינן זהות לה. הבדיקה השנייה היא יעד הקישורים: האם אחרי הלחיצה הגעתם באמת לאתר הנכון, או לאתר שכתובתו רק מזכירה אותו? הבדיקה השלישית היא להתעלם מכל מה שאי אפשר לאמת. שם שולח, לוגו, מספר טלפון שכתוב בגוף ההודעה וחתימה רשמית הם טקסט שכל אחד יכול להקליד.

מי שיודע את השם שלכם אינו בהכרח אמין

גם אם הפונה יודע את השם המלא, את הכתובת ואפילו את מספר תעודת הזהות, זה עדיין לא אומר שהוא מגיע מטעם הגוף שהוא טוען שהוא מייצג. פרטים כאלה דולפים, נמכרים ונאספים מרשתות חברתיות.

טוב מכדי להיות אמיתי

ירושה מקרוב משפחה רחוק בחו"ל, זכייה בהגרלה שלא השתתפתם בה, או היכרות ברשת שהופכת לאהבה גדולה בתוך יומיים ומיד אחר כך לבקשת כסף: את כל אלה כדאי לפסול על הסף, לחסום ולהתעלם. דפוס דומה של הבטחות רווח מהירות מופיע גם בהונאות השקעה, כפי שמתואר במדריך על הונאות פרמידה. עם זאת, פישינג רבים אינם צריכים סיפור דרמטי בכלל: הם רק מבקשים להיכנס לחשבון כדי לקרוא הודעה או לאשר פעולה.

לגוף הרשמי כבר יש את הפרטים

בנק, חברת אשראי או שירות מקוון אמיתי אינם מבקשים סיסמה מלאה, קוד אימות או פרטי כרטיס מלאים בטלפון, במייל או במסרון. לעובדי התמיכה של Facebook או של Google יש כלים לטפל בחשבון בלי לדעת את הסיסמה. שירות שבבסיסו ניתן ללא עלות, כמו Gmail, אינו אמור לבקש פרטי תשלום כדי "לשמור על החשבון". וגם בשירות בתשלום, החיוב מתבצע בדרך כלל בעמוד סליקה מאובטח ולא בהקראת מספרים לנציג, כפי שמוסבר במדריך על סליקה באינטרנט. לכל היותר נציג עשוי לבקש מספר תעודת זהות או ארבע ספרות אחרונות של הכרטיס לצורך זיהוי, וגם אז עדיף לנתק ולחייג בעצמכם למספר הרשמי. ומי שמתלבט מול הודעה חשודה יכול פשוט להראות אותה לבן משפחה או לחבר: מבט נוסף, רגוע ומבחוץ, מזהה לא פעם את מה שהלחץ הסתיר.

כלים שמקטינים את הסיכון

מעבר לערנות, יש כמה כלים טכניים שעושים חלק מהעבודה. הראשון הוא הדפדפן עצמו. דפדפנים מודרניים, ובמיוחד Chrome, מזהים חלק מאתרי הפישינג המוכרים ומציגים אזהרה בולטת על המסך, בצבע אדום או צהוב, לפני הכניסה לאתר. האזהרה הזו אינה מופיעה סתם, ואין סיבה לעקוף אותה. גם Gmail מזהה חלק מההודעות המתחזות באופן אוטומטי, מציג לידן אזהרה או מעביר אותן לתיקיית הספאם. ל-Chrome קיים גם הכלי Password Alert, שמתריע כאשר מקלידים את סיסמת Google באתר שאינו של Google, בדיוק התרחיש של אתר דמה.

אימות דו-שלבי

אימות דו-שלבי מוסיף שלב נוסף אחרי הקלדת הסיסמה, בדרך כלל קוד חד-פעמי שנשלח לטלפון או נוצר באפליקציה. מי שגנב רק את הסיסמה אינו יכול להיכנס בלי הקוד, ולכן כדאי להפעיל אותו בכל שירות שמאפשר זאת. ההגנה הזו יעילה לא רק נגד פישינג אלא גם נגד דליפות סיסמאות ופריצות אחרות. אימות דו-שלבי מגן רק כל עוד הקוד נשאר אצלכם, ולכן אסור להקליד אותו בדף שהגעתם אליו דרך קישור בהודעה. הונאת החבילה במכס בנויה בדיוק סביב הנקודה הזו: היא אינה עוקפת את הקוד, אלא משכנעת את הקורבן למסור אותו בעצמו.

אמצעי תשלום שמגבילים את הנזק

לקניות ברשת אפשר להשתמש בכרטיס נפרד עם מסגרת נמוכה, כך שגם אם הפרטים ייגנבו, הנזק יהיה מוגבל. במדריך על כרטיס אשראי וירטואלי מוסבר איך עובד כרטיס שמיועד לעסקאות מקוונות, ובמדריך על כרטיס דביט מוסבר ההבדל בינו לבין כרטיס אשראי רגיל. כדאי גם להפעיל התראות על כל חיוב, כדי לזהות פעולה חשודה בתוך דקות ולא בסוף החודש.

לאן מדווחים על הודעה חשודה

דיווח על הודעת פישינג אינו רק עניין אישי. כל דיווח עוזר לחסום את האתר המזויף ולהזהיר משתמשים אחרים לפני שייפלו באותה הונאה. בישראל הכתובת המרכזית היא מוקד 119 של מערך הסייבר הלאומי, שהוא חלק מצוות התגובה הלאומי לאירועי סייבר. המוקד מאויש 24 שעות ביממה, הפנייה אליו אינה כרוכה בתשלום ואפשר לפנות בחיוג מקוצר או בדואר אלקטרוני, ופרטי הפונים נשמרים בסודיות. כדאי לדווח גם כשלא נגרם נזק, למשל כשמגיע מסרון מזויף ואף אחד לא לחץ על הקישור.

דיווח ב-Gmail

במחשב, פותחים את ההודעה החשודה, לוחצים על סמל שלוש הנקודות שליד כפתור התשובה ובוחרים "דיווח על פישינג". הדיווח עוזר למערכת לשפר את הזיהוי האוטומטי. חשוב לזכור ש-Gmail לעולם אינו מבקש סיסמה במייל, ולכן כל הודעה שמבקשת אותה בשם Google היא מתחזה.

דיווח ל-Apple

הודעת מייל חשודה שמתחזה ל-Apple מעבירים אל הכתובת reportphishing@apple.com. במסרון חשוד שמתחזה ל-Apple מצלמים את המסך ושולחים את הצילום לאותה כתובת. בהודעה שהגיעה באפליקציית Messages אפשר ללחוץ על "Report Junk" שמופיע מתחת להודעה. שיחת FaceTime חשודה מדווחים בצילום מסך אל reportfacetimefraud@apple.com.

דיווח לגוף שבשמו נשלחה ההודעה

רוב הבנקים, חברות האשראי וחברות השירות מקבלים דיווחים על הודעות שמתחזות אליהם. הפנייה צריכה להיעשות דרך ערוץ שמצאתם בעצמכם, באתר הרשמי או באפליקציה, ולא דרך מספר או קישור שמופיעים בהודעה החשודה.

מה עושים אם כבר מסרתם פרטים

גם אנשים זהירים נופלים, והזמן שעובר מהרגע שמבינים שמשהו לא תקין הוא הגורם החשוב ביותר. סדר הפעולות המומלץ:

1. חוסמים את הכרטיס מיד, בחיוג למספר שמופיע על גב הכרטיס.
2. מדווחים לחברת האשראי על שימוש לרעה, ומבקשים לבדוק אם הכרטיס צורף לארנק דיגיטלי חדש.
3. שומרים את ההודעה המקורית וצילומי מסך של הדף המזויף.
4. מדווחים למוקד 119 של מערך הסייבר הלאומי.
5. מחליפים כל סיסמה שהוקלדה בדף המזויף, וגם בכל שירות אחר שבו נעשה שימוש באותה סיסמה.
6. עוקבים אחרי פירוט החיובים בשבועות הקרובים, כי חיובים מארנק דיגיטלי גנוב עלולים להופיע גם זמן רב אחרי ההונאה.

מה קובע חוק שירותי תשלום

לפי חוק שירותי תשלום, התשע"ט-2019, כשנעשה שימוש לרעה בכרטיס שנותר ברשות הלקוח, החבות של הלקוח מוגבלת ל-450 ש"ח לכל היותר, וחברת האשראי מחזירה את היתרה בתוך 8 ימי עסקים מההודעה. יש 30 יום מקבלת פירוט החיובים כדי להשיג על חיוב שלא אושר, ואחרי ההודעה לחברת האשראי החבות על חיובים נוספים מתאפסת. לפי חוות דעת של משרד המשפטים מ-2021, גם מי שמסר קוד אימות למי שהתחזה לבנק או לבית עסק אינו יוצא מההסדר, וההשתתפות העצמית נשארת עד 450 ש"ח. המשמעות המעשית: גם אחרי טעות, כדאי לפנות לחברת האשראי ולדרוש החזר, ולא להניח שהכסף אבד.

מענה אנושי בבנקים

מ-31 במאי 2026 חלה על הבנקים הוראת ניהול בנקאי תקין 426 של בנק ישראל (חוזר 2834 מ-30 בנובמבר 2025). לפי ההוראה, הבנק נדרש לתת מענה טלפוני אנושי ומקצועי לחשש להונאה בשירותי תשלום בכל שעות היממה ובכל ימות השבוע, בזמן המתנה של עד 6 דקות מתחילת השיחה ככלל.

מקורות: ביזפורטל - הונאת החבילה במכס וזכויות הלקוח; בנק ישראל - חוזר 2834, הוראת ניהול בנקאי תקין 426

מקורות

• ביזפורטל - הדוח השנתי של מערך הסייבר הלאומי לשנת 2025: https://www.bizportal.co.il/general/news/article/20028307
• ביזפורטל - הונאת "החבילה מעוכבת במכס", הקוד החד-פעמי וזכויות הלקוח: https://www.bizportal.co.il/financialconsumerism/news/article/20042641
• ynet - התרעת מערך הסייבר על שיחות שמתחזות ל-Google: https://www.ynet.co.il/news/article/hjyye2mpzx
• ויקיפדיה - מערך הסייבר הלאומי: https://he.wikipedia.org/wiki/מערך_הסייבר_הלאומי
• Google - דיווח על פישינג ב-Gmail: https://support.google.com/mail/answer/8253?hl=iw
• Apple - דיווח על הודעות פישינג: https://support.apple.com/en-us/102568
• בנק ישראל - חוזר 2834, הוראת ניהול בנקאי תקין 426: https://boi.org.il/media/ka4igc2s/202527.pdf