במשך שנים לימדו אותנו לזהות הודעות מזויפות לפי הסימנים החיצוניים. עברית משובשת, פנייה כללית מסוג "לקוח יקר", כתובת אתר מוזרה. העצה הזאת עבדה, ולכן היא נשמרה.
היא כבר לא עובדת, ומי שממשיך להסתמך עליה מסתמך על מנגנון שנשבר.
מה נשבר בדיוק
שני דברים קרו במקביל. הראשון הוא איכות הכתיבה: כלי בינה מלאכותית מייצרים היום עברית תקינה לחלוטין, ולכן שגיאות הכתיב שהיו סימן ההיכר המרכזי פשוט נעלמו.
השני משמעותי יותר. לפי ניתוח של ESET מאוגוסט 2026, כלים מבוססי בינה מלאכותית הורידו כמעט לאפס את העלות של איסוף מידע פומבי על אדם מסוים. מה שפעם דרש שעות עבודה ידנית והיה משתלם רק מול יעד בעל ערך גבוה, מתבצע היום בהיקף המוני.
התוצאה המעשית היא שההודעה שמגיעה אליכם עשויה לכלול את שמכם המלא, את שם הבנק שבו אתם באמת לקוחות, ולעיתים פרט נוסף שנאסף מרשת חברתית או מדליפת מידע קודמת. ההודעה נראית אמיתית כי היא מכילה מידע אמיתי.
שלושת הכללים שהחליפו את זיהוי הטעויות
מכיוון שאי אפשר עוד לזהות לפי המראה, צריך לזהות לפי המבנה. שלושה כללים מכסים את הרוב המוחלט של המקרים, והם עובדים בלי קשר לכמה ההודעה משכנעת.
הכלל הראשון: בנק לעולם לא מבקש פעולה דחופה דרך קישור בהודעה. לא אימות, לא חידוש, לא ביטול עסקה. אם באמת יש בעיה בחשבון, היא תחכה לכם באפליקציה או באתר שאתם פותחים בעצמכם.
הכלל השני: לחץ זמן הוא הסימן. "תוך 24 שעות", "החשבון ייחסם", "עסקה חשודה תאושר". המטרה של הניסוח הזה היא למנוע מכם את הרגע שבו תעצרו לחשוב, כי הרגע הזה הוא זה שמסכל את ההונאה.
הכלל השלישי, והחשוב מכולם: לעולם לא לוחצים על הקישור בהודעה. פותחים את האפליקציה של הבנק או מתקשרים למספר שמופיע בגב כרטיס האשראי. אם ההודעה אמיתית, המידע יופיע גם שם.
הצורה שהתחפושת לובשת השנה
ראוי להכיר גם וריאציה שהתפשטה מאוד. במקום קישור, ההודעה או המייל מכילים קוד QR לסריקה.
ההיגיון של התוקף פשוט: קוד QR מסתיר את כתובת היעד לחלוטין, ואי אפשר לרחף מעליו כדי לבדוק לאן הוא מוביל. לפי דוח האיומים של ESET למחצית הראשונה של 2026, קודי QR זדוניים הופיעו באחד עשר אחוזים מכלל הודעות הפישינג בתקופה זו.
הכלל נשאר זהה: לא סורקים קוד QR שהגיע בהודעה לא צפויה, גם אם הוא נראה כמו קוד תשלום או אימות רגיל.
ההורים המבוגרים - למה העצה הרגילה לא מספיקה
כאן צריך לומר משהו לא נוח. רוב העצות בנושא מבוססות על ההנחה שאפשר ללמד מישהו לזהות. כשמדובר בהורה בן 78, ההנחה הזאת חלקית: לא בגלל חוסר הבנה, אלא כי ההונאות משתנות מהר יותר מכל הדרכה, וכי הן מתוכננות לפעול על לחץ ולא על ידע.
מה שעובד טוב יותר הוא להוריד את הצורך בזיהוי. שלוש פעולות עושות זאת.
• הסכם משפחתי פשוט: כל הודעה על כסף עוברת שיחת טלפון אליכם לפני כל פעולה, בלי יוצא מן הכלל ובלי בושה
• מגבלות בבנק - תקרת העברה יומית נמוכה ואישור טלפוני לפעולות חריגות, שנקבעות פעם אחת מול הבנק
• הגנה בטלפון שחוסמת אתרי פישינג ברמת הרשת, כך שגם לחיצה על קישור לא מגיעה ליעד
השילוב של השלושה חשוב יותר מכל אחד מהם. השניים הראשונים קונים זמן, והשלישי עוצר את המקרה שבו לא היה זמן.
למה הניסוח של השיחה קובע
יש מלכודת בשיחה הזאת. הורה שמרגיש שבודקים אותו או מתייחסים אליו כאל מי שאינו מסוגל, ידווח פחות - ובעיקר לא ידווח על טעות שכבר קרתה. וזה בדיוק הרגע שבו דיווח מהיר עוד יכול לעצור העברה.
לכן כדאי למסגר את ההסכם כהדדי ולא כהגנה חד-כיוונית: גם אתם מתקשרים אליהם לפני העברה חריגה. זה הופך את זה לנוהל משפחתי ולא לפיקוח.
כשהתמונה מתהפכת
ההונאות האלה מצליחות לא בגלל שהקורבן תמים, אלא בגלל שהן מתוכננות בקפידה לרגע של לחץ שבו כל אחד היה מגיב מהר מדי. עובדה שקל לשכוח כשמדובר במישהו אחר וקשה להכחיש כשזה קורה לנו.
ההגנה הטובה ביותר היא לכן זו שלא דורשת מהאדם לזהות נכון בזמן אמת: כלל אחד קבוע לכל נושא כסף, מגבלה שנקבעה מראש, ושכבת חסימה בטלפון שפועלת גם כשהכללים נשכחו. ESET מציעה הגנה כזאת למכשירים ניידים, וקומסקיור מייצגת אותה בישראל עם תמיכה בעברית - כולל למי שמעדיף שיסבירו לו בטלפון ולא במדריך.