הודעת פישינג: איך לזהות הונאה ומה עושים?

הטלפון מצפצף, ועל המסך מופיעה הודעה קצרה: יש לכם חוב בכביש 6, או שמגיע לכם החזר כספי מחברת החשמל. בסוף ההודעה יש קישור. השנייה הראשונה היא תמיד אותה שנייה של ספק — אולי זה באמת אמיתי? זו בדיוק המטרה של הודעת פישינג: לייצר רגע קצר של בלבול או לחץ, שבו האצבע לוחצת לפני שהמוח מספיק לשאול שאלות.

ההודעות האלה הפכו לחלק מהשגרה הישראלית. מערך הסייבר הלאומי טיפל ב-31,657 מתקפות פישינג במהלך 2025 — פי שבעה לעומת השנה שקדמה לה. הגוף שאליו התחזו הכי הרבה היה כביש 6, עם 19.5% מהמקרים, ואחריו בנקים וחברות אשראי עם 12%.

במאמר הזה נעבור על הסימנים שמסגירים הודעה מזויפת, על שתי הודעות אמיתיות שקיבלתי בעצמי, ובעיקר — על מה עושים אם כבר לחצתם.

מה זו הודעת פישינג?

הודעת פישינג היא הודעה מזויפת שנשלחת ב-SMS, במייל או בוואטסאפ, ומתחזה לגוף מוכר כמו בנק, חברת שילוח או רשות ממשלתית. מטרתה להוביל אתכם לאתר מזויף שנראה זהה לאתר האמיתי, ושם לגרום לכם להזין סיסמה, פרטי כרטיס אשראי או קוד אימות — שמגיעים ישירות לידי התוקף.

מה שהפך את התופעה למסוכנת כל כך אינו תחכום טכנולוגי אלא פסיכולוגיה. התוקף לא צריך לפרוץ לכם לטלפון — הוא צריך רק שתעשו את הפעולה בעצמכם, מרצונכם, כי לרגע האמנתם שאתם מדברים עם הבנק. זו הסיבה שכל ההודעות האלה עוסקות בכסף, בחוב או באיום: אלה הנושאים שגורמים לאדם לפעול לפני שהוא חושב.

המילה העברית הרשמית לתופעה היא "דיוג", מלשון דיג: התוקף זורק חכה למיליוני אנשים ומחכה שכמה יתפסו. כשההודעה נשלחת ב-SMS קוראים לזה גם "סמישינג", וכששולחים אותה בשיחת טלפון — "וישינג". השיטה זהה בכל המקרים: התחזות לגורם אמין כדי לשאוב מידע.

שתי הודעות פישינג שקיבלתי, ומה הסגיר אותן

בשבועות האחרונים הגיעו אליי שתי הודעות כאלה, ושתיהן דוגמאות מצוינות לאיך זה נראה במציאות.

הראשונה טענה שנמצאה תקלה בחישוב חשבון החשמל שלי מהחודש הקודם, ושמגיע לי החזר כספי. ההודעה הזאת לא הומצאה בשבילי — חברת החשמל פרסמה אזהרה רשמית בסוף יולי 2026 על גל מסרונים מזויפים שמבטיחים בדיוק את זה. החברה הבהירה שהודעות אמיתיות מטעמה כוללות פרטים מזהים של הלקוח ונשלחות רק בערוצים הרשמיים שלה.

השנייה הודיעה על חוב בגין נסיעות בכביש 6 צפון שהועבר להליכי הוצאה לפועל. כאן הכתיב עצמו הסגיר את העניין: בהודעה נכתב "קיימת חוב" במקום "קיים חוב", ו"אשר הועברה" במקום "אשר הועבר". שגיאות כאלה הן סימן אזהרה משמעותי, במיוחד כשהן מופיעות לצד קישור חשוד ואיום בתשלום.

שתי ההודעות חלקו עוד סימן משותף ובולט: הקישור שבהן היה קישור מקוצר מסוג t.co. קישור כזה מסתיר את כתובת היעד האמיתית, ולכן אי אפשר לדעת מה מסתתר מאחוריו רק מקריאת ההודעה. זה לא מוכיח לבדו שמדובר בהונאה, אבל יחד עם שאר הסימנים — זו סיבה טובה לא ללחוץ.

מה שמעניין בשתי ההודעות האלה הוא כמה הן מותאמות לישראלי ממוצע. כמעט לכל אחד יש חשבון חשמל, והרבה מאוד אנשים נוסעים בכביש 6 מדי פעם ולא זוכרים בדיוק מתי ובכמה חויבו. התוקף לא צריך לדעת עליכם שום דבר — הוא סומך על כך שהתרחיש יישמע סביר אצל מספיק אנשים מתוך המיליון שקיבלו את אותה הודעה.

הכלל שאני עצמי הולך לפיו פשוט: אני לא לוחץ על קישורים בהודעות. אם הודעה טוענת שיש חוב או החזר, אני נכנס לאתר או לאפליקציה של אותו גוף בעצמי ובודק שם. הסיבה היא שאתרי הפישינג של היום מעתיקים את האתר המקורי כמעט אחד לאחד — הלוגו, הצבעים, הפריסה — ואי אפשר להבחין ביניהם בעין.

איך מזהים הודעה מזויפת? שישה סימנים

1. קישור שנראה מוזר או מקוצר

קישורים מקוצרים (bit.ly, cutt.ly, t.co) מסתירים את היעד האמיתי. גם כתובת שנראית כמעט נכונה היא דגל אדום — אות שהוחלפה, סיומת שונה, או מילה שנוספה לשם הדומיין.

2. לחץ או איום

"החשבון ייחסם", "החבילה תוחזר", "הועבר להוצאה לפועל". הדחיפות היא כלי העבודה המרכזי של התוקף, כי אדם לחוץ בודק פחות. לגוף אמיתי אין שום סיבה לדרוש מכם לפעול בחמש הדקות הקרובות.

3. הבטחה שנשמעת טוב מדי

החזר כספי לא צפוי, זכייה, הטבה או בונוס. גופים לגיטימיים אכן מודיעים לפעמים על זיכוי, אבל אם ההודעה מפנה אתכם לקישור כדי "לקבל" את הכסף — אל תפעלו דרכה. בדקו את הזכאות באתר או באפליקציה הרשמית.

4. בקשה לפרטים רגישים

בנקים וחברות אשראי לא מבקשים בהודעה סיסמה, קוד אימות שנשלח אליכם או את קוד ה-CVV שמאחורי הכרטיס. בקשה כזאת היא סימן חד־משמעי להונאה.

5. שגיאות כתיב וניסוח מגושם

טעויות דקדוק, מילים חסרות או תרגום שנשמע לא טבעי. חלק מהקמפיינים מנוסחים היטב, אז היעדר שגיאות אינו הוכחה לאמינות — אבל נוכחות שלהן היא הוכחה כמעט ודאית לזיוף.

6. הודעה שאין לה הקשר אצלכם

חבילה שלא הזמנתם, נסיעה בכביש אגרה שלא נסעתם בו, חשבון בשירות שאינכם מנויים אליו. אם ההודעה לא מתחברת לשום דבר שעשיתם — היא כנראה נשלחה למיליון אנשים במקביל.

הסימנים האלה עובדים טוב יחד, וכמעט אף פעם לא לבד. הודעה עם קישור מקוצר וגם דחיפות וגם הבטחה כספית היא כמעט בוודאות זיוף. מצד שני, קמפיינים מתוחכמים יכולים להיראות נקיים לגמרי — ולכן הבדיקה מול המקור עדיפה תמיד על ניתוח ההודעה עצמה.

הונאת קוד האימות: השיטה שגונבת חשבונות וואטסאפ

יש סוג אחד של הונאה שכדאי להכיר בנפרד, כי הוא לא דורש מכם ללחוץ על שום קישור. התוקף מנסה להיכנס לחשבון וואטסאפ שלכם, וואטסאפ שולחת אליכם קוד אימות בן שש ספרות, ואז מגיעה הודעה מחבר — שהחשבון שלו כבר נחטף — שמבקשת "שלחתי לך בטעות קוד, אפשר להעביר לי?".

ברגע שהקוד עובר, החשבון עובר איתו. משם התוקף פונה לרשימת אנשי הקשר שלכם, מבקש כסף בשמכם, ומגלגל את ההונאה הלאה. הכלל כאן מוחלט: קוד אימות שהגיע אליכם לא נשלח לאף אחד, בשום נסיבות, גם לא לאדם שאתם מכירים היטב. שום גוף לגיטימי לא יבקש אותו.

ההגנה הפשוטה היא להפעיל אימות דו־שלבי בוואטסאפ — קוד קבוע בן שש ספרות שאתם בוחרים, ובלעדיו אי אפשר לרשום את המספר שלכם במכשיר חדש. ההגדרה נמצאת בתפריט ההגדרות תחת "חשבון", ולוקחת פחות מדקה.

לאילו גופים מתחזים הכי הרבה בישראל?

הרשימה הזאת שווה הכרות, כי כשמגיעה הודעה בשם אחד מהם — כדאי שהחשד יידלק אוטומטית.

שווה לדעת שהתוקפים למדו טריק מטריד: לפעמים ההודעה המזויפת מופיעה בתוך שרשור ההודעות האמיתי של אותו גוף בטלפון. זה קורה כי מערכת ההודעות מקבצת לפי שם השולח, וניתן לזייף את השם. הופעה בשרשור מוכר אינה ערובה לכך שההודעה אמיתית.

קיבלתי הודעה חשודה — מה עושים?

הסדר פשוט, וכדאי שיהיה אוטומטי:

1. לא ללחוץ על הקישור — גם לא "רק כדי לראות מה זה".
2. לא להשיב להודעה — תגובה מאשרת לתוקף שהמספר פעיל.
3. לא להתקשר למספר שמופיע בהודעה — הוא מוביל לאותם אנשים.
4. לבדוק מול המקור — להיכנס לאתר או לאפליקציה של הגוף באופן עצמאי.
5. לדווח — למוקד 119 של מערך הסייבר הלאומי, שפועל בכל שעות היממה.
6. למחוק ולחסום את השולח.

הדיווח נשמע כמו טרחה מיותרת, אבל הוא עובד: מערך הסייבר קיבל כ-14 אלף דיווחים מהציבור במהלך 2025, והם היוו נדבך מרכזי באיתור הקישורים הזדוניים. הקישורים שאותרו נחסמו בממוצע תוך כשש שעות.

איך בודקים קישור בלי להסתכן?

אם אתם חייבים לדעת אם ההודעה אמיתית, יש דרך בטוחה. הכלי הישראלי ScanMySMS מאפשר להעתיק את ההודעה כולה ולהדביק אותה לבדיקה — באתר, או דרך בוט בוואטסאפ ובטלגרם. הפלטפורמה עובדת בשיתוף עם מערך הסייבר הלאומי, שממליץ עליה לציבור.

הדרך השנייה, והפשוטה יותר, היא זו שתיארתי קודם: להתעלם לגמרי מהקישור ולהיכנס לשירות בעצמכם. אם באמת יש חוב או החזר, הוא יופיע באזור האישי. אם אין שם כלום — קיבלתם את התשובה.

חשוב איך נכנסים. לא לחפש את שם הגוף בגוגל וללחוץ על התוצאה הראשונה, כי לפעמים מודעות ממומנות מובילות לאתרים מתחזים. עדיף להשתמש באפליקציה הרשמית שכבר מותקנת אצלכם, בסימנייה ששמרתם בעבר, או להקליד את הכתובת ידנית. וכשמתקשרים לברר — מתקשרים למספר שמופיע על גב כרטיס האשראי או באתר הרשמי, אף פעם לא למספר שמופיע בהודעה החשודה.

עוד הרגל שמשתלם: לקרוא את כתובת האתר משמאל לימין ולחפש את הדומיין האמיתי ממש לפני הסלאש הראשון. תוקפים אוהבים לבנות כתובות ארוכות שמתחילות בשם מוכר ומסתיימות בדומיין זר לגמרי, בהסתמך על כך שרוב האנשים קוראים רק את ההתחלה.

שכבת הגנה נוספת שכדאי להפעיל מראש היא מנהל סיסמאות. מעבר לכך שהוא יוצר סיסמה שונה לכל שירות, הוא ממלא פרטים אוטומטית רק באתר שאליו הם שייכים — ולכן פשוט לא יציע למלא סיסמה באתר מזויף, גם אם הוא נראה זהה למקורי.

כבר לחצתי על הקישור. מה עכשיו?

קודם כול, נשימה. עצם הלחיצה על הקישור היא לרוב הרבה פחות חמורה מהמעשה שבא אחריה. הטבלה מסדרת את התגובה לפי מה שקרה:

בכל אחד מהמקרים החמורים כדאי גם להגיש תלונה במשטרה אם נגרם נזק כספי, ולעדכן את מוקד 119. אם אתם חושדים שמשהו נשאר על המכשיר, המדריך שלנו על איך לדעת אם הטלפון נפרץ מפרט את הסימנים שכדאי לחפש.

שאלות נפוצות

מה ההבדל בין פישינג, ספאם והונאה טלפונית?

ספאם הוא דיוור פרסומי מטריד אך לא זדוני. פישינג הוא ניסיון לגנוב מכם מידע באמצעות התחזות. הונאה טלפונית ("וישינג") היא אותה מטרה בדיוק, רק שהיא מתבצעת בשיחה חיה שבה מישהו מנסה ללחוץ עליכם בזמן אמת.

האם עצם פתיחת הקישור מסוכנת?

ברוב המקרים פתיחה בלבד לא תגרום נזק — האתר המזויף מחכה שתזינו בו משהו. הסיכון עולה משמעותית אם הקישור מוביל להורדת קובץ, וכאן כדאי לפנות ל-119.

איך מדווחים על הודעה מזויפת?

בחיוג 119 למערך הסייבר הלאומי, ללא תשלום ובכל שעה. אפשר גם להעביר את ההודעה לבדיקה ב-ScanMySMS.

קיבלתי הודעה על חבילה מדואר ישראל — איך אדע אם היא אמיתית?

להיכנס לאתר דואר ישראל בעצמכם ולהזין את מספר המשלוח. אם לא הזמנתם דבר ואינכם מצפים למשלוח, זו סיבה משמעותית לחשוד בהודעה.

למה ההודעה מופיעה בשרשור של הגוף האמיתי?

מפני ששם השולח ב-SMS ניתן לזיוף, והטלפון מקבץ הודעות לפי שם. זה לא אומר שהגוף נפרץ, וזה גם לא אומר שההודעה אמיתית.

האם אנטי־וירוס בטלפון מגן מפני פישינג?

חלק מהאפליקציות כוללות זיהוי קישורים זדוניים, וזה עוזר. עם זאת, גם כלי אבטחה טובים לא יכולים להבטיח שימנעו מכם להזין סיסמה באתר פישינג שעבר את מנגנוני הזיהוי שלהם. ההרגל של אי־לחיצה על קישורים חזק יותר מכל תוכנה.

הודעת פישינג — הכלל האחד שמספיק

אפשר לזכור שישה סימנים ורשימת גופים, אבל האמת היא שכל המאמר הזה מתכנס להרגל אחד: לא לוחצים על קישורים שמגיעים בהודעות. אם באמת יש חוב, החזר או חבילה — זה יחכה לכם באתר או באפליקציה שאליהם תיכנסו בעצמכם, בלי לחץ ובלי סיכון. ההודעה מנסה לקנות מכם שלוש שניות של פזיזות, והדרך לנצח אותה היא פשוט לא לתת לה אותן.

אם מעניין אתכם הצד הרחב יותר של האיומים בישראל, כתבנו גם על מצב הסייבר בישראל, ועל טכנולוגיית דיפ פייק שכבר משמשת להתחזות בווידאו ובקול.