פישינג והונאות דיגיטליות
שיטות הונאה שמנסות לגרום לכם לחשוף מידע פיננסי רגיש, וכיצד לזהות ולהתגונן מפניהן
בקצרה
פישינג (Phishing, ובעברית דיוג) הוא ניסיון להשיג פרטים אישיים מהגורם הנתקף באמצעות שליחת קישור, בדואר אלקטרוני או ב-SMS, שמפנה לאתר מתחזה שבו הלקוח נדרש למלא את פרטיו. לפי בנק ישראל, בהרבה מהמקרים ניסיונות ההונאה מסוג פישינג מופנים נגד לקוחות המערכת הבנקאית, במטרה לגנוב כספים מחשבונותיהם.2
סדר הפעולות של התוקף מובנה. בשלב הראשון הוא מנסה לגנוב את פרטי הזיהוי שמשמשים לכניסה לחשבון באתר הבנק או באתרים של חברות תשלומים, ובדרך כלל גם פרטים אישיים נוספים. הדף המתחזה מבקש שילוב שלם: קוד זיהוי לאתר וסיסמה, מספר חשבון, מספר תעודת זהות, שם פרטי ומשפחה, כתובת, תאריך לידה, שם האם לפני הנישואין, מספר טלפון, מספר כרטיס אשראי, תוקף ושלוש הספרות בגב הכרטיס. בשלב השני הוא מנסה להעביר כספים מהחשבון לחשבון אחר שממנו יוכל למשוך אותם, או לבצע עסקאות בבתי עסק.2
אין צורך לזהות איזה גוף מתחזים אליו. הכלל אחיד לכל הגופים הפיננסיים: בנק או חברה לגיטימית לעולם לא יבקשו מכם למסור אמצעי זיהוי בדואר אלקטרוני. בקשה לעדכון פרטים נעשית רק אחרי תהליך זיהוי לקוח, למשל דרך אתר הבנק או החברה עצמם.2 המערכת הבנקאית משקיעה משאבים בהפחתת הסיכונים האלה, אך בנק ישראל עצמו מדגיש שגם הציבור צריך להיות ערני ולנהל את הסיכון.5
סוגי הונאות נפוצים
- Smishing (SMS Phishing): הודעת SMS או WhatsApp מזויפת עם קישור, שנראית כאילו הגיעה מבנק או מחברת כרטיסי אשראי. בנק ישראל מציין את הערוץ הזה במפורש לצד הדואר האלקטרוני.2
- Vishing (Voice Phishing): שיחת טלפון מאדם שמתחזה לנציג הבנק ומבקש פרטי חשבון או קוד אימות.
- הונאת השקעות: הצעות השקעה מזויפות, לרוב ברשתות החברתיות ובפלטפורמות דיגיטליות. רשות ניירות ערך מדווחת על עלייה בניסיונות ההונאה בערוצים האלה בשנים האחרונות.4
איך מזהים הודעת פישינג, לפי בנק ישראל
- בדקו שכתובת השולח מוכרת לכם ושהיא כתובה במדויק. שגיאה מינורית אחת, תוספת או החלפת אות, מספיקה כדי להסוות זיוף.2
- בדקו אם ההודעה כללית. פנייה בנוסח "לקוח יקר" בלי פרטים מזהים אמורה להעלות חשד.2
- בדקו את השפה. חברה ישראלית תתכתב איתכם בעברית תקנית. נוסח עילג, שגיאות כתיב, או שפה שונה מזו שבה החברה נוהגת לפנות אליכם, הם סימן חשוד.2
- בדקו את כתובת הקישור לפני שאתם לוחצים. במייל אפשר לעמוד עם העכבר על הקישור ולראות את כתובת היעד.2
- התקינו תוכנות הגנה במחשב ובטלפון והקפידו על עדכניות מערכת ההפעלה.2
כלל הזהב
אין למסור אמצעי זיהוי או פרטים אישיים בשום מקרה, גם אם הנימוקים נשמעים משכנעים, למשל צורך לעדכן פרטים לשיפור השירות או שדרוג אמצעי אבטחה לטובתכם.2 אל תלחצו על קישור בהודעה שמבקשת לאמת חשבון או לעדכן פרטים, אלא היכנסו ישירות לאתר הרשמי. אם קיבלתם שיחה חשודה, נתקו וחייגו בעצמכם למספר הרשמי. דווחו על ניסיון ההונאה למשטרה ולמערך הסייבר הלאומי, שמפעיל ערוץ ייעודי לדיווח על אירוע סייבר וערוץ התרעות לציבור.1
שכבת ההגנה השנייה
הפעילו אימות דו-שלבי (2FA) בכל חשבון פיננסי. גם אם סיסמה נגנבה בפישינג, האימות הדו-שלבי מוסיף מחסום. שימו לב שהמחסום הזה קורס ברגע שאתם מוסרים בעצמכם את קוד האימות, וזו בדיוק המטרה של שיחת הווישינג.
מה החוק אומר על מי סופג את הנזק
חוק שירותי תשלום, התשע״ט-2019, מסדיר את אחריות הלקוח ל"שימוש לרעה" באמצעי תשלום, ומגביל אותה. לפי סעיף 24(ב), הלקוח אינו אחראי כלל לשימוש לרעה שנעשה לאחר שמסר הודעה לנותן שירותי התשלום על גניבה, אובדן או שימוש לרעה. על שימוש לרעה שנעשה לפני ההודעה, סעיף 24(ג) קובע תקרה: הנמוך מבין סכום קבוע של 75 ש״ח בתוספת 30 ש״ח לכל יום מהמועד שבו נודע ללקוח ועד מסירת ההודעה, לבין סכום העסקאות שבוצעו בפועל. אם ההודעה נמסרה בתוך 30 ימים מהשימוש לרעה הראשון, האחריות לא תעלה על 450 ש״ח.3
וכאן נמצאת הנקודה שהופכת את זה לרלוונטי לפישינג דווקא. סעיף 24(ד) קובע שהגבלת האחריות לא תחול אם השימוש נעשה לאחר שהלקוח העמיד את "הרכיב החיוני" באמצעי התשלום לרשותו של אדם אחר, בין בידיעתו ובין שלא בידיעתו, למעט מקרים שבהם הרכיב נמסר בנסיבות סבירות למטרת שמירה בלבד או שנגנב מאותו אדם. מסירת סיסמה או קוד אימות לעבריין שמתחזה לנציג הבנק היא בדיוק מסירת הרכיב החיוני לאדם אחר. לכן פישינג מוצלח אינו רק פרצת אבטחה, אלא גם אירוע שיכול להסיר את תקרת האחריות שהחוק העניק לכם.3
שני כלים מעשיים שהחוק נותן ללקוח: לפי סעיף 22, אפשר לבקש בכל עת מנותן שירותי התשלום שהנפיק את האמצעי להקפיא מיידית את השימוש בו, לתקופה שביקשתם ושלא תעלה על 14 ימים, אלא אם אושרה תקופה ארוכה יותר. ולפי סעיף 27(א), משחויבתם בגין פעולה שנעשתה בשימוש לרעה, נותן שירותי התשלום חייב להשיב את סכום החיוב, בניכוי הסכום שבו אתם חייבים לפי סעיף 24, לא יאוחר משמונה ימי עסקים ממועד ההודעה. סעיף 26 מבהיר שמי שפעל בכוונת מרמה אינו נהנה מההגבלות האלה כלל.3
בדיקת ידע
קיבלתם שיחה, ובמסך הטלפון מופיע בדיוק המספר הרשמי של הבנק. הנציג מבקש שתמסרו את קוד ה-SMS שקיבלתם כדי "לאמת את זהותכם". מה נכון לעשות?
רוצים להעמיק מעבר להגדרה? המדריך להגנה מפני הונאות מרחיב על דרכי הזיהוי והתגובה למתקפות, והמדריך לאבטחת בנקאות דיגיטלית מסביר את שכבות ההגנה על החשבון. מושגים קרובים: אימות דו-שלבי (2FA) ואבטחת סייבר בבנקאות.
בנק ישראל מציין שהרבה מניסיונות הפישינג מופנים נגד לקוחות המערכת הבנקאית, במטרה לגנוב כספים מחשבונותיהם, ומצביע במפורש על דואר אלקטרוני, SMS ו-WhatsApp כערוצים. דפוס הפעולה האופייני הוא שליחת הודעה למספר גדול מאוד של אנשים, בתקווה שכמה מהם יאמינו שמדובר בפנייה לגיטימית, למשל בטענה שיש חשש שגורם זר עשה שימוש בכרטיס האשראי שלהם. במקביל, רשות ניירות ערך מדווחת על עלייה בניסיונות הונאה בהצעות השקעה ברשתות החברתיות ובפלטפורמות דיגיטליות.
מסירת ההודעה היא הפעולה שקובעת מבחינה משפטית, ולכן היא הראשונה. לפי סעיף 24(ב) לחוק שירותי תשלום אינכם אחראים כלל לשימוש לרעה שנעשה אחרי שמסרתם הודעה, ולפי סעיף 22 אתם רשאים לדרוש הקפאה מיידית של אמצעי התשלום לתקופה של עד 14 ימים. הודיעו לנותן שירותי התשלום מיד, שנו את הסיסמאות לחשבונות שנחשפו, הגישו תלונה במשטרה ודווחו למערך הסייבר הלאומי. לפי סעיף 27(א), אחרי ההודעה הכספים שחויבתם בהם בשימוש לרעה אמורים לחזור אליכם לא יאוחר משמונה ימי עסקים, בניכוי הסכום שבו אתם חייבים לפי סעיף 24.
בנק ישראל מפרט כמה סימנים. ראשית, כתובת השולח או הקישור: שגיאה מינורית אחת בשם, תוספת או החלפת אות, היא הסימן הנפוץ ביותר, ולכן כדאי לעמוד עם העכבר על הקישור ולראות את כתובת היעד לפני שלוחצים. שנית, פנייה כללית בנוסח "לקוח יקר" בלי פרטים מזהים. שלישית, נוסח לא תקני או שפה שונה מזו שבה החברה נוהגת לפנות אליכם. רביעית, בקשה למסור כמה אמצעי זיהוי יחד, כמו סיסמה, תעודת זהות וספרות גב הכרטיס. סמל המנעול לבדו אינו הוכחה. הדרך הבטוחה היא לא להגיע מקישור אלא לגשת לאתר ישירות.
חוק שירותי תשלום, התשע״ט-2019 מגביל את אחריות הלקוח לשימוש לרעה באמצעי תשלום. אין אחריות כלל על שימוש שנעשה אחרי מסירת ההודעה (סעיף 24(ב)), ועל שימוש שקדם להודעה יש תקרה: הנמוך מבין 75 ש״ח בתוספת 30 ש״ח ליום, לבין סכום העסקאות בפועל, ולא יותר מ-450 ש״ח אם ההודעה נמסרה בתוך 30 ימים מהשימוש הראשון. אבל סעיף 24(ד) קובע שהגבלת האחריות אינה חלה כשהלקוח העמיד את הרכיב החיוני, כמו סיסמה או קוד, לרשות אדם אחר, וזה בדיוק מה שקורה בפישינג מוצלח. סעיף 26 שולל את ההגבלות ממי שפעל בכוונת מרמה. זו הסיבה שהמענה בפועל תלוי בנסיבות, ושכדאי לפנות לנותן שירותי התשלום בכתב ולשמור תיעוד.
העיקרון הוא לצמצם את החלון שבין ההונאה לגילוי, כי החוק מודד את אחריות הלקוח לפי הזמן שחלף עד מסירת ההודעה. הגדירו התראות על כל עסקה בחשבון כדי שהגילוי יהיה מיידי, הגדירו מגבלת העברה יומית נמוכה, וודאו שבן משפחה יודע איך לבקש הקפאה מיידית של אמצעי התשלום לפי סעיף 22 לחוק. הסבירו כלל אחד ופשוט: אף גוף לגיטימי לא מבקש סיסמה או קוד אימות בטלפון או בהודעה. שיחה על אפשרויות ההגנה הזמינות מול הגוף הפיננסי שאיתו הם עובדים שווה את הזמן.
שלושתם שיטות הונאה שמשתמשות בהתחזות, אבל בערוצים שונים. פישינג (Phishing) הוא דרך מייל עם קישור לאתר מזויף. וישינג (Vishing) הוא דרך שיחת טלפון, בדרך כלל עם מתחזה לגורם אבטחה. סמישינג (Smishing) הוא דרך הודעת SMS או WhatsApp עם קישור, וזה ערוץ שבנק ישראל מציין במפורש לצד הדואר האלקטרוני. ההגנה אחידה בשלושתם: לא לוחצים על קישור בהודעה, לא מוסרים אמצעי זיהוי בשום ערוץ, ותמיד ניגשים לאתר הרשמי ישירות.
רשות ניירות ערך מרכזת דגלים אדומים להונאות בשוק ההון. ככל שהתשואה המובטחת גבוהה יותר כך גם הסיכון עולה, ולכן הצהרה על "שבירת השוק" או הבטחה לתשואה גבוהה ללא סיכון היא סימן אזהרה. לחץ להשקיע "כעת" בטענה של הזדמנות חד-פעמית הוא סימן שני. הצעה להחזיר לכם את הכסף במקרה של הפסד היא סימן שלישי, כי הפסדים הם חלק בלתי נפרד ממסחר ומהשקעה, ומי שמבטיח לבטל אותם מתאר עסקה שאינה כשורה.
מושגי מפתח
Social Engineering
הנדסה חברתית, מניפולציה פסיכולוגית שמנצלת אמון, דחיפות או פחד כדי לגרום לאנשים לחשוף מידע רגיש או לבצע פעולות.
Spoofing
התחזות טכנולוגית, זיוף מספר טלפון, כתובת אימייל או אתר אינטרנט כדי שההודעה תיראה כאילו הגיעה ממקור אמין.
רכיב חיוני באמצעי תשלום
המונח בחוק שירותי תשלום לרכיב שמאפשר שימוש באמצעי התשלום, כמו סיסמה או קוד. העמדתו לרשות אדם אחר שוללת את הגבלת אחריות הלקוח לפי סעיף 24(ד).
Authorized Push Payment Fraud
הונאה שבה הקורבן מבצע בעצמו העברה בנקאית לחשבון העבריין, לאחר שהונה להאמין שמדובר בתשלום לגיטימי.
- מערך הסייבר הלאומי, משרד ראש הממשלה. עמוד הפישינג של המערך, ערוץ הדיווח על אירוע סייבר וערוץ ההתרעות לציבור gov.il ↗ ↩נבדק לאחרונה: 12/08/2026
- בנק ישראל, מידע ושירות לציבור, מידע וחינוך פיננסי, קמפיינים: הונאות פיננסיות. "פישינג (דיוג)": הגדרת הפישינג, שלבי פעולת התוקף, רשימת הפרטים שדף מתחזה מבקש, וכללי ההתנהגות להתגוננות, ובכללם שבנק או חברה לעולם לא יבקשו אמצעי זיהוי בדואר אלקטרוני ושבקשה לעדכון פרטים נעשית רק לאחר תהליך זיהוי לקוח. עודכן 11.5.2026 boi.org.il ↗ ↩נבדק לאחרונה: 12/08/2026
- חוק שירותי תשלום, התשע"ט-2019, ספר החוקים 2778. סעיף 22 (הקפאת השימוש באמצעי תשלום לבקשת המשלם, עד 14 ימים), סעיף 24 (הגבלת אחריות המשלם לשימוש לרעה: פטור מלא לאחר ההודעה, תקרה של 75 ש"ח בתוספת 30 ש"ח ליום ולא יותר מ-450 ש"ח בהודעה בתוך 30 ימים, וסייג 24(ד) בהעמדת רכיב חיוני לרשות אדם אחר), סעיף 26 (מרמה) וסעיף 27 (השבת סכומי חיוב בתוך שמונה ימי עסקים)(2019) fs.knesset.gov.il ↗ ↩נבדק לאחרונה: 12/08/2026
- רשות ניירות ערך, אתר המשקיעים: דגלים אדומים להונאות בשוק ההון. עלייה בניסיונות ההונאה ברשתות החברתיות ובפלטפורמות דיגיטליות, והסימנים המרכזיים: הבטחת תשואה גבוהה ללא סיכון, לחץ להשקיע מיד בטענת הזדמנות חד-פעמית, והבטחה להחזיר את הכסף במקרה של הפסד(פורסם ב-16/12/2025) investors.isa.gov.il ↗ ↩נבדק לאחרונה: 12/08/2026
- בנק ישראל, מידע ושירות לציבור, מידע וחינוך פיננסי, קמפיינים: הונאות פיננסיות. מדריך הונאות פיננסיות: הונאה פיננסית בעולם הדיגיטלי, ניסיונות להונאות לקוחות הבנקים באמצעים דיגיטליים ודרכי התגוננות, ומוקדי ההונאות של התאגידים הבנקאיים. עודכן 10.6.2026 boi.org.il ↗ ↩נבדק לאחרונה: 12/08/2026
מייסד
נכתב ונבדק על ידי מערכת מידע-הון
השקעתי שנים בהייטק ובשוק ההון. ניהלתי בעצמי את הפנסיה, הביטוחים וההשקעות שלי, של המשפחה ושל החברים, ובמקביל אני מוביל קהילת משקיעים פעילה כבר שנים. כל ערך במידע-הון מתורגם ישירות מהחוק והרגולציה לעברית קריאה, כדי שהמסמך הבא שיגיע אליך בדואר יהיה מובן. גם בעשר וחצי בלילה.
תחומי מומחיות