אם כבר הזנתם פרטי כרטיס, סיסמה או קוד אימות, צריך לפעול לפי מה שנמסר, בלי להמתין לחיוב חשוד נוסף. פנו לבנק או למנפיק הכרטיס דרך ערוץ שמצאתם בעצמכם, הגנו על החשבון והיעזרו במוקד 119 של מערך הסייבר הלאומי. המוקד פועל בכל שעות היממה. ההנחיות כאן נבדקו ב-16 באוקטובר 2026, והן אינן מבטיחות שכל לחיצה גרמה נזק או שכל סכום יוחזר.
קודם בודקים את הבקשה, ורק אחר כך את מראה ההודעה
פישינג, או דיוג, הוא ניסיון לגרום לאדם למסור מידע או לבצע פעולה באמצעות התחזות. בהודעות לצרכנים, הבקשה יכולה להיראות שגרתית: לעדכן כתובת, לאשר כניסה, להסדיר תשלום או למנוע החזרת חבילה. מסרון קצר נוח במיוחד לתרגיל כזה, מפני שהוא מציג מעט הקשר ודוחף לפעולה אחת.
הבדיקה הראשונה היא מה בדיוק רוצים מכם. בקשה למסור פרטי כרטיס, סיסמה או קוד חד-פעמי בעקבות הודעה שלא יזמתם דורשת עצירה. איום במחיקה או בחיוב נוסף אינו סיבה לעקוף את הבדיקה. ככל שמישהו דוחק בכם לא להתייעץ ולא לפנות לשירות הלקוחות, כך חשוב יותר לצאת מהשיחה ולבדוק בנפרד.
לדוגמה בלבד, הודעה בדיונית ללא קישור: "החבילה שלך ממתינה. יש לעדכן את אמצעי התשלום כדי למנוע את החזרתה". אין צורך לדעת מי שלח אותה כדי לבחור פעולה בטוחה: לא להקליד פרטים מתוך ההודעה, אלא לבדוק את ההזמנה במקום שבו ביצעתם אותה. אין בדוגמה הזאת דיווח על חברה מסוימת או על מסרון אמיתי.
מה אפשר ללמוד מהכתובת, ומה אי אפשר
כתובת שאינה מתאימה לאתר הרשמי, שגיאת כתיב בשם השירות או שרשרת הפניות הן סימני אזהרה. גם אפל, בהנחיותיה לזיהוי התחזות, ממליצה שלא למסור מידע בתגובה לפנייה חשודה וליצור קשר עם החברה דרך פרטי קשר מוכרים. הדפדפן אינו צריך להפוך למעבדת בדיקה של הקישור שקיבלתם.
הופעת שם מותג בתוך כתובת ארוכה אינה מוכיחה שזה האתר שלו. כך גם סימן מנעול או HTTPS: הם אינם אישור לזהות העסק או ליושר של מי שמפעיל את האתר. אפשר להימנע מההכרעה הטכנית כולה באמצעות כניסה עצמאית לאפליקציה שכבר מותקנת אצלכם, או הקלדת הכתובת הרשמית המוכרת.
שפה תקינה אינה תעודת אמינות, ושגיאת כתיב אינה הוכחה יחידה להונאה. עדיף לבדוק אם הפעולה שביקשו קיימת גם בחשבון שלכם ואם פרטי העסקה תואמים. אין צורך להתקשר למספר שמופיע בהודעה כדי "לוודא": ייתכן שגם הוא חלק מאותו ניסיון התחזות.
גם הודעה אישית יכולה להיות התחזות
ב-28 בדצמבר 2025 הזהיר מערך הסייבר הלאומי מפני ניסיונות פישינג ממוקדים שנחזים לפניות מגורמים מוכרים ומופצים באפליקציות תקשורת. המשמעות לצרכן היא שפרט אישי בתוך ההודעה אינו מספיק כדי לאשר אותה. פנייה שמכירה את השם שלכם עדיין צריכה לעבור בדיקה נפרדת.
ב-1 בספטמבר 2026 פרסמה רשות המסים הנחיה לציבור תחת הכותרת "קיבלתם הודעה מרשות המסים? אל תלחצו לפני שתבדקו את מקור ההודעה". היא כוללת גם צעדים למי שכבר הזינו פרטים. זו דוגמה מתועדת לכך שהתחזות אינה מוגבלת לחבילות או לחנויות, ואינה סיבה להסיק שכל הודעה מרשות ציבורית מזויפת.
בוואטסאפ יש עוד מלכודת פשוטה: היכרות עם בעל החשבון אינה מוכיחה שהוא האדם שמבקש עכשיו קוד או העברה כספית. כשהבקשה חריגה, התקשרו אליו בדרך שכבר הייתה שמורה אצלכם. בקשה להעביר קוד שנשלח לטלפון שלכם אינה הופכת לבטוחה מפני שהיא הגיעה מתוך שיחה ישנה.
לחצתם בלבד, או גם מסרתם משהו
חשוב להפריד בין מצבים. אם פתחתם דף אך לא הקלדתם פרטים, לא הורדתם קובץ ולא אישרתם התקנה או הרשאה, סגרו אותו והימנעו מהמשך פעולה. עצם הלחיצה אינה הוכחה שהחשבון נפרץ, אבל גם לא מאפשרת להבטיח שלא קרה דבר. אם הייתה הורדה, התראה חריגה או ספק לגבי מה שאושר, פנו להכוונה.
אם מסרתם סיסמה, היכנסו לשירות האמיתי דרך כתובת או אפליקציה מוכרות ושנו אותה. אם אותה סיסמה משמשת שירותים נוספים, החליפו גם שם. בדקו פרטי שחזור, מכשירים מחוברים ופעילות חשבון, ככל שהשירות מאפשר, ונתקו חיבורים שאינכם מזהים. הפעילו אימות דו-שלבי דרך ההגדרות הרשמיות, לא דרך האדם שפנה אליכם.
אם הותקנה אפליקציה בעקבות ההודעה, ניתנה שליטה מרחוק או נמסר קוד אימות לבנק, זה כבר אינו רק עניין של מחיקת מסרון. השתמשו, ככל האפשר, במכשיר אחר שאתם סומכים עליו כדי לפנות לבנק ולמוקד הסייבר. תארו מה הותקן ומה אושר, ואל תבצעו הוראות נוספות של מי שטוען שהוא "מתקן" את הבעיה.
פרטי תשלום נמסרו: פונים למי שיכול לעצור שימוש בהם
אם הזנתם מספר כרטיס או אישרתם פעולה כספית, צרו קשר בהקדם עם מנפיק הכרטיס או הבנק. מסרו אם הוקלדו רק פרטי הכרטיס, אם הועבר גם קוד חד-פעמי ואם בוצעה העברה. בקשו הנחיות לחסימה, להחלפה ולבירור הפעולות בהתאם למקרה. אל תסתפקו בהחלפת הסיסמה לאתר המתחזה, שאינה מגינה על הכרטיס שכבר נחשף.
שמרו צילום של ההודעה, השעה, סכום החיוב אם הופיע ומספר הפנייה שקיבלתם. אין לפרסם בקבוצות צילומים הכוללים מספר כרטיס מלא, תעודת זהות או קודי אימות. תיעוד מיועד לגוף המטפל, ולא לשרשרת העברות שבה המידע האישי נחשף שוב.
לא כל חיוב לא מוכר הוא בהכרח הונאה, ולא כל תשלום שאושר יוחזר אוטומטית. גם מנפיקי כרטיסים מבקשים להבחין בין עסקה שלא בוצעה לבין מחלוקת עם ספק. אם מדובר בקנייה אמיתית שהמוצר בה לא סופק, עיינו גם במדריך לביטול קנייה באינטרנט. תיאור מדויק של האירוע מקדם את הטיפול יותר מהגדרה כללית של "עקצו אותי".
מדווחים בלי לתת להודעה עוד תפוצה
מערך הסייבר הלאומי מפעיל את מוקד 119 ומפרסם גם כתובת דיווח בדואר אלקטרוני, [email protected], וטפסים מקוונים. דיווח יכול לסייע בהכוונה ובטיפול באיום, אך אינו מחליף פנייה למנפיק הכרטיס כשכסף או פרטי תשלום מעורבים, ואינו תחליף לתלונה במשטרה כאשר היא נדרשת.
את הערוצים הרשמיים אפשר למצוא בשירות הדיווח על אירוע סייבר. העדיפו להגיע אליו בעצמכם ולא דרך אדם שמציג את עצמו כמתקשר מהמוקד. אין למסור קוד אימות לאדם רק מפני שמספר הטלפון המוצג נראה מוכר.
כשמזהירים בני משפחה, העבירו את ההסבר ואת הדרך לבדיקה עצמאית. אין צורך להפיץ הלאה את הקישור החשוד כקישור פעיל. צילום שבו הוסתרו הפרטים האישיים מספיק לעיתים כדי להראות את השיטה, בלי לפתוח לאחרים מסלול לחיצה נוסף.
סינון בטלפון עוזר, אבל אינו מחליף שיקול דעת
בתיעוד Apple מופיעות אפשרויות לסינון הודעות משולחים לא מוכרים. ב-Google Messages אפשר לחסום שיחה ולדווח עליה כספאם. שמות התפריטים והאפשרויות משתנים לפי גרסה, מכשיר ואפליקציית ההודעות, ולכן עדיף להסתמך על הוראות היצרן המתאימות למכשיר ולא על צילום מסך ישן.
גם הודעה שהסינון לא חסם עשויה להיות בעייתית, והודעה שסוננה עשויה להיות תקינה. בדקו מדי פעם את תיקיית ההודעות המסוננות כדי לא להחמיץ הודעה נחוצה, אך אל תהפכו את עצם הגעתה לתיקייה מסוימת להוכחה לאמינות. המטרה היא להפחית עומס, לא להעביר לטלפון את האחריות על החלטה כספית.
לבעלי עסקים, כדאי להסדיר גם מי רשאי לאשר תשלומים ושינוי פרטי ספק, נושא שמורחב במאמר על התגוננות מאיומי סייבר לעסקים בישראל. במשפחה אפשר להתחיל בכלל קצר אחד: כשמגיעה בקשת כסף או קוד מתוך הודעה, לא ממשיכים מתוך ההודעה. עוברים לערוץ מוכר ובודקים.
למדריכים נוספים במדור אינטרנט.
