פישינג מבוסס בינה מלאכותית: איך לזהות התחזות לשירותים מוכרים בישראל

הפישינג תמיד התבסס על ניצול אמון, אבל הבינה המלאכותית משנה את כללי המשחק. במקום שגיאות כתיב וניסוחים מגושמים, התוקפים מייצרים כיום הודעות שנשמעות טבעיות, מותאמות אישית ואף משכנעות. בישראל, שבה רבים מנהלים תקשורת שוטפת עם בנקים, חברות סליקה, קופות חולים וחברות משלוחים, ההתחזות לשירותים מוכרים יכולה להיראות כמעט אמיתית. ההגנה הטובה ביותר היא לא פחד אלא הרגלי בדיקה קפדניים.

התחזות לשירותים מוכרים: איך זה עובד?

התוקפים אוספים מידע על השירותים שאתם משתמשים בהם: לוגואים, צבעי מיתוג, שמות סניפים, נוסחי הודעות ואפילו שעות פעילות. באמצעות מודלי שפה הם מנסחים מייל, SMS או הודעת וואטסאפ שמזכירה את התקשורת הרשמית. לעיתים ההודעה כוללת פרטים נכונים חלקית, כמו ארבע ספרות אחרונות של כרטיס אשראי או שם מלא, כדי לבסס אמינות. המטרה היא לגרום לכם ללחוץ על קישור, למסור סיסמה, קוד אימות או פרטי כרטיס.

בעבר, פישינג היה קל יותר לזיהוי בגלל עברית משובשת ותרגום מכונה. כיום, כלי בינה מלאכותית יודעים לכתוב עברית תקינה, לחקות סגנון של הודעות שירות ולהתאים את עצמם להקשר. למשל, הודעה על חבילה שנשלחה אליכם לקראת החגים, או התראה על חיוב חריג בחשבון הבנק. ההתחזות לשירותים מוכרים נעזרת גם בפסיכולוגיה: היא יוצרת דחיפות, סמכות או פחד מהפסד.

חשוב להבין שרוב השירותים המוכרים בישראל לא מבקשים פרטים רגישים בערוצים לא מאובטחים. בנקים לא שולחים קישור ישיר לעדכון סיסמה במייל, קופות חולים לא מבקשות קוד אימות בוואטסאפ, וחברות משלוחים לא דורשות תשלום נוסף באמצעות קישור ב-SMS. אם הודעה חורגת מהדפוס הזה, סביר להניח שמדובר בניסיון התחזות.

סימנים לזיהוי הודעות פישינג

גם כשהטקסט רהוט, יש סימנים לזיהוי הודעות פישינג. בדקו את כתובת השולח: לפעמים היא דומה אך מכילה תוספת, מקף או שגיאת כתיב קלה. שימו לב לפנייה כללית מדי, כמו לקוח יקר, או ללחץ זמן מלאכותי: החשבון ייחסם בעוד שעה. הודעות שמבקשות קוד אימות חד-פעמי, סיסמה או תשלום דחוף הן חשודות במיוחד. עוד סימן הוא קישור שמבטיח להעביר אתכם לאתר המוכר, אך כתובת האתר שונה.

סימנים נוספים כוללים קבצים מצורפים לא צפויים, בקשה לפתוח קובץ אקסל או PDF, ופנייה בערוץ לא שגרתי. אם קיבלתם הודעה מבנק בוואטסאפ, בעוד שהבנק תמיד מתקשר במייל או באפליקציה, זהו דגל אדום. גם שגיאות בשם הנמען, או שימוש בתאריך לא מדויק, יכולים להעיד על הודעה אוטומטית. עם זאת, אין סימן אחד מובהק, ולכן חשוב לשלב כמה בדיקות.

כדאי לזכור שתוקפים משתמשים גם בהנדסה חברתית מתקדמת. הם עשויים להתחזות לעובד תמיכה, לשלוח הודעה המשך לשיחה קודמת, או להציג מסמך שנראה רשמי. במקרים כאלה, האינסטינקט הראשון צריך להיות עצירה. אל תפעלו לפי ההוראה בהודעה. במקום זאת, צרו קשר עם השירות בערוץ רשמי שאתם בוחרים בעצמכם.

בדיקת קישורים ושולחים לפני לחיצה

לפני לחיצה על קישור, רחפו מעליו בעכבר או לחצו לחיצה ארוכה בנייד כדי לראות את הכתובת האמיתית. חפשו את הדומיין הראשי: לדוגמה, אתר רשמי של בנק בישראל יופיע עם סיומת co.il או bank, ולא עם כתובת מוזרה. אל תתנו לקיצור קישורים להסתיר את היעד. בדקו את כתובת השולח במלואה, לא רק את השם המוצג. אם קיבלתם הודעה משירות מוכר, התחברו אליו באפליקציה או הקלידו את הכתובת ידנית.

בדיקת שולחים דורשת תשומת לב לפרטים. כתובת מייל רשמית של חברה ישראלית תסתיים בדרך כלל בדומיין הראשי שלה, ולא בשירות מייל חינמי. עם זאת, גם כתובת שנראית רשמית יכולה להיות מזויפת, כי קל לזייף שמות תצוגה. לכן, אין להסתמך רק על שם השולח. אם ההודעה דורשת פעולה דחופה, עצרו ובדקו בערוץ אחר.

בנייד, קישורים יכולים להיות מוסתרים מאחורי טקסט או כפתור. לחצו לחיצה ארוכה כדי לראות תצוגה מקדימה, או העתיקו את הכתובת למקום בטוח בלי לפתוח אותה. אם אתם משתמשים בדפדפן, ודאו שיש סימן מנעול ו-https, אך זכרו שגם אתרים זדוניים יכולים להשתמש ב-https. הסימן החשוב ביותר הוא הדומיין עצמו. אם הדומיין אינו מוכר לכם, אל תיכנסו.

הגנה מפני הונאות דיגיטליות בישראל

הגנה מפני הונאות דיגיטליות מתחילה בהרגלים פשוטים. הפעילו אימות דו-שלבי בכל חשבון חשוב, והעדיפו אפליקציית אימות או מפתח אבטחה על פני SMS. עדכנו את מערכת ההפעלה, הדפדפן והאפליקציות. השתמשו בסיסמאות ארוכות וייחודיות, ואם אפשר – במנהל סיסמאות. דווחו על הודעות חשודות לגוף הרלוונטי, למשל לבנק או לחברת האשראי, ושמרו את ההודעה כראיה.

בישראל, ניתן לדווח על הונאות דיגיטליות גם לרשות להגנת הפרטיות, למשטרה או לגופים כמו הרשות הלאומית להגנת הסייבר. חשוב לשמור על ערנות גם ברשתות חברתיות, שם מתבצעות התחזויות לחנויות, לדפי מכירות ולנותני שירות. אל תמסרו צילום תעודת זהות או כרטיס אשראי בצ’אט. אם אתם מנהלים עסק קטן, הדריכו את העובדים לזהות הודעות חשודות ולא ללחוץ על קישורים.

בנוסף, הגנו על המכשירים שלכם: השתמשו בקוד נעילה, הצפינו את המסך, והתקינו עדכוני אבטחה. גיבו מידע חשוב, כדי שתוכלו לשחזר אותו במקרה של כופרה או פריצה. שימו לב להרשאות שאפליקציות מבקשות. אם אפליקציה פשוטה דורשת גישה לאנשי קשר או למיקרופון, שאלו מדוע. זכרו: ערנות קבועה יעילה יותר מכל כלי בודד.

פישינג מבוסס בינה מלאכותית אינו חייב להפחיד אתכם, אבל הוא מחייב שינוי הרגלים. במקום לסמוך על מראה ההודעה, סמכו על בדיקה יזומה: מי השולח, לאן הקישור מוביל, והאם הבקשה הגיונית. שירותים מוכרים בישראל פועלים בדפוסים מוכרים, וכל חריגה מהם צריכה לעורר שאלה. עם קצת תשומת לב, אפשר לצמצם משמעותית את הסיכון ליפול קורבן להונאה דיגיטלית.