אזהרת שב״כ ומערך הסייבר: כך מזהים פישינג שמתחיל בשיחה ולא בקישור
גורמי מודיעין איראניים פנו לעיתונאים ולאנשים העוסקים בפעילות ציבורית דרך WhatsApp ו-Telegram, תוך התחזות לדמויות מוכרות והצעות לראיונות או לשיתופי פעולה. הסימן הראשון אינו בהכרח קישור חשוד: לעיתים התוקף מנהל תחילה שיחה אמינה ובונה אמון. לכן הבדיקה החשובה ביותר היא אימות זהותו של הפונה בערוץ אחר שכבר מוכר לכם.
הודעה מתקבלת ב-WhatsApp ממספר לא שמור, אבל השם ותמונת הפרופיל מוכרים. הפונה מציג את עצמו כעיתונאי, איש ציבור או גורם מקצועי ומציע ראיון, שיתוף פעולה או מידע בלעדי. הוא יודע במה אתם עוסקים, מתנסח היטב ואינו שולח קישור מיד.
רק לאחר כמה הודעות הוא מבקש כתובת מייל, מציע לעבור לשיחת וידאו או שולח הזמנה לפגישה מקוונת. בשלב הזה השיחה כבר נראית לגיטימית – ודווקא אז מגיעה הבקשה להזין סיסמה, לפתוח קובץ או למסור קוד אימות.
זהו דפוס התקיפה שעליו הזהירו שירות הביטחון הכללי ומערך הסייבר הלאומי ב-16 באוגוסט 2026. האזהרה מתייחסת לקמפיין ממוקד נגד עיתונאים, אנשי תקשורת ואנשים העוסקים בפעילות פוליטית, ציבורית, ממשלתית או ביטחונית. אין ראיה שמדובר בגל פישינג המוני נגד כלל הישראלים, אבל השיטה שבה נעשה שימוש רלוונטית לכל מי שמנהל קשרים מקצועיים באמצעות אפליקציות מסרים.
התשובה המעשית: אם אדם מוכר פונה אליכם ממספר או מחשבון חדש, אל תפתחו קישור, אל תמסרו כתובת מייל ואל תזינו סיסמה או קוד אימות לפני שאימתם את הפנייה דרך מספר, כתובת או חשבון שכבר היו מוכרים לכם קודם.
מה בדיוק פרסמו שב״כ ומערך הסייבר
ב-16 באוגוסט פרסמו שב״כ ומערך הסייבר הלאומי הודעה משותפת על גל נוסף של ניסיונות דיוג ממוקד מצד גורמי מודיעין איראניים. הפרסום הפומבי הראשוני שאותר הופיע באזהרה הרשמית של מערך הסייבר הלאומי.
לפי ההודעה, הפניות נעשו בעיקר באמצעות WhatsApp ו-Telegram. התוקפים התחזו לגורמים מוכרים, ולעיתים לעיתונאים אחרים, ושלחו הודעות שהותאמו לתחום העיסוק של הנמען.
בין סיפורי הכיסוי שתוארו:
- הצעה לראיון;
- הזמנה לשיחה מקצועית;
- בקשה לשיתוף פעולה;
- הצעה לקבלת מידע או חומר בלעדי;
- הזמנה לפגישה מקוונת.
מטרת הפנייה הייתה לבנות אמון ולהוביל את היעד לפתיחת קישור או קובץ, או לדף התחברות מזויף המבקש פרטי חשבון Google. לפי הערכת גורמי הביטחון, השתלטות על החשבון או המכשיר יכולה לאפשר גישה למקורות, להתכתבויות, לחומרי עבודה ולאנשים נוספים ברשת הקשרים של היעד.
ההודעה הרשמית אינה מייחסת את הקמפיין לקבוצת תקיפה מסוימת. לכן אין בסיס לקבוע שמדובר ב-APT42, ב-Charming Kitten או בקבוצה אחרת, גם אם קבוצות איראניות השתמשו בעבר בשיטות דומות.
למה ״חפשו לינק חשוד״ כבר אינה עצה מספיקה
רוב ההדרכות על פישינג מתחילות בסימנים מוכרים: שגיאות כתיב, כתובת מוזרה, ניסוח מאיים וקישור שמופיע כבר בהודעה הראשונה.
בקמפיין ממוקד, הסימנים האלה עשויים לא להופיע בתחילת השיחה.
בריאיון שנערך באותו יום הסביר אוהד משולם, ראש מרכז ההגנה במערך הסייבר הלאומי, כי מבחינת התוקף ״הגביע הקדוש״ הוא להגיע למצב שבו הקורבן כבר מתכתב עם החשבון, נבנה אמון ונוצרה היסטוריה של שיחות. בריאיון עם ראש מרכז ההגנה במערך הסייבר הוא ציין כי עשרות רבות של עיתונאים היו על הכוונת, אך רק בודדים הגיבו לפניות.
גם מחקר טכני שפורסם ב-2025 על מתווה איראני דומה תיעד שההודעות הראשונות לא כללו קישור. לפי מחקר של Check Point על שיטת תקיפה דומה, התוקפים התחילו בפנייה מקצועית מותאמת אישית, ניהלו שיחה, ביקשו כתובת מייל ורק לאחר מכן שלחו הזמנה שהובילה לדף התחברות מזויף.
המחקר עוסק בקמפיין קודם ואינו הוכחה שזהות התוקפים או כל שלבי הפעולה זהים לאירוע הנוכחי. הוא כן ממחיש מדוע עצם היעדרו של קישור בהודעה הראשונה אינו הופך את הפנייה לבטוחה.
כך נראית שרשרת התקיפה
לא כל ניסיון כולל את כל השלבים, אבל זהו המתווה שאפשר לבנות מהאזהרה הנוכחית ומהתקדים הטכני המתועד.
1. איסוף מידע על היעד
התוקף בודק את תחום העיסוק, מקום העבודה, פרסומים אחרונים, קשרים מקצועיים ושמות של אנשים שהיעד עשוי להכיר.
חלק ניכר מהמידע הזה זמין ברשתות חברתיות, באתר הארגון, בכתבות, בכנסים ובפרופילים מקצועיים.
2. התחזות לאדם אמיתי
החשבון מקבל שם ותמונת פרופיל של עיתונאי, עמית, איש ציבור או נציג ארגון. עצם העובדה שהשם והתמונה נכונים אינה מוכיחה שהחשבון שייך לאותו אדם.
3. פתיחת שיחה לגיטימית לכאורה
ההודעה הראשונה עוסקת בנושא הגיוני מבחינת הנמען: כתבה, ראיון, תגובה, שיתוף פעולה או מידע המתאים לתחום עבודתו.
בשלב הזה לא בהכרח מופיעים קישור, קובץ או בקשה לסיסמה.
4. בניית אמון
התוקף ממשיך להתכתב, מגיב לשאלות ומציג ידע על האדם או על הארגון שאליהם התחזה. הוא עשוי לבקש לעבור לערוץ אחר או לקבל כתובת מייל לצורך שליחת הזמנה.
5. יצירת סיבה ללחוץ
לאחר שנוצר אמון מגיעה הזמנה לפגישת וידאו, קובץ שנראה כמו חומר מקצועי או קישור שנחזה להיות Google Drive, Google Meet, Zoom או שירות מוכר אחר.
6. בקשת פרטי התחברות
העמוד שאליו מגיע הקורבן מבקש להזין סיסמה, ולעיתים גם קוד אימות דו-שלבי. בקשה כזו מסוכנת במיוחד כאשר המשתמש כבר מחובר לחשבונו בדפדפן ולא אמור להקליד שוב את הסיסמה.
7. שימוש בחשבון כדי להגיע לאחרים
לאחר השתלטות על חשבון אמיתי, התוקף יכול לפנות לאנשים נוספים מתוך זהות שכבר מוכרת להם. כך נוצר רצף שבו כל חשבון שנפרץ משפר את אמינות הפנייה הבאה.
שישה סימני אזהרה שמופיעים עוד לפני הקישור
הפנייה מגיעה מחשבון חדש בשם אדם מוכר
השם מוכר, אבל המספר, שם המשתמש או כתובת המייל אינם אלה ששימשו את האדם בעבר. זהו סימן שמחייב אימות, גם כאשר תמונת הפרופיל נראית אמינה.
ההצעה מותאמת בדיוק לתחום שלכם
התאמה אישית אינה הוכחה לאמינות. להפך: בפישינג ממוקד היא יכולה להעיד שהתוקף ביצע מחקר מקדים.
הפונה מבקש לעבור לערוץ אחר
בקשה לעבור מ-WhatsApp למייל, מטלגרם לשיחת וידאו או מפלטפורמה מקצועית לחשבון פרטי אינה בהכרח זדונית, אבל היא יוצרת נקודה שבה צריך לעצור ולאמת את הזהות.
מבקשים את כתובת המייל לצורך ״הזמנה״
בקשה כזו יכולה לשמש את התוקף כדי להתאים את דף הפישינג לכתובת האמיתית של הקורבן ולגרום לו להיראות משכנע יותר.
נוצרה דחיפות לא רגילה
״צריך לדבר עכשיו״, ״החומר זמין רק לזמן קצר״ או ״הפגישה מתחילה בעוד כמה דקות״ נועדו לצמצם את הזמן שבו הקורבן יכול לבדוק את זהות הפונה.
מתבקשים להקליד סיסמה או קוד אימות
פגישה, קובץ או שיתוף פעולה מקצועי אינם סיבה למסור לאדם אחר קוד אימות. גם אם הדף נראה כמו Google, WhatsApp או שירות מוכר, אסור להזין בו פרטים רק מפני שהקישור הגיע לאחר שיחה שנראתה לגיטימית.
איך מאמתים את האדם לפני שממשיכים
ההנחיה המרכזית של מערך הסייבר היא לאמת את זהות הפונה באמצעי תקשורת נוסף. בפועל, ״אמצעי נוסף״ אינו כל מספר או כתובת שהפונה מסר באותה שיחה.
השתמשו בערוץ שהיה מוכר לכם קודם
חייגו למספר שכבר שמור אצלכם, שלחו הודעה לחשבון קודם של האדם או פנו אליו דרך הארגון שבו הוא עובד.
אין לאמת זהות באמצעות מספר חלופי שהתוקף עצמו סיפק.
בדקו את הפנייה מול הארגון
כאשר אדם מציג את עצמו כנציג כלי תקשורת, משרד ממשלתי, חברה או מוסד אקדמי, אפשר ליצור קשר עם המרכזייה או עם איש קשר רשמי ולבדוק אם הפנייה מוכרת.
שאלו שאלה שאינה ניתנת למציאה ברשת
עדיף להשתמש בפרט מהיכרות קודמת או מהתכתבות פרטית, ולא בתאריך לידה, תפקיד או מידע מקצועי שמופיע באינטרנט.
אל תסתפקו בשם ובתמונת פרופיל
שניהם ניתנים להעתקה בתוך דקות. גם מספר עם קידומת ישראלית או ידע בפרטים אישיים אינם הוכחה לזהות.
אל תראו בשיחת וידאו הוכחה יחידה
עצם ההזמנה לשיחת וידאו אינה הופכת את הקישור לבטוח. גם במהלך שיחה אין למסור סיסמה, קוד אימות או אישור לחיבור מכשיר.
השיחה יכולה להיות רכיב נוסף בתהליך האימות, אך היא אינה מחליפה פנייה עצמאית לאדם דרך ערוץ מוכר.
מה לבדוק ב-WhatsApp
קוד הרישום בן שש הספרות של WhatsApp נועד לאפשר התחברות לחשבון. אין למסור אותו לאיש, גם אם הפונה טוען שהקוד נשלח בטעות או נדרש לצורך אימות פגישה.
גם קוד ה-PIN של האימות הדו-שלבי הוא פרטי. הוא שונה מקוד הרישום ואינו אמור להימסר לנציג שירות, לחבר, לעמית או למי שמציג את עצמו כגורם אבטחה.
בהנחיות האבטחה והשחזור הרשמיות של WhatsApp מוסבר כי ניתן להחזיר שליטה בחשבון באמצעות התחברות מחדש עם קוד הרישום. התחברות מחדש מנתקת את המכשירים האחרים מהחשבון. אם התוקף הפעיל PIN של אימות דו-שלבי שאינכם יודעים, ייתכן שתידרשו להמתין שבעה ימים לפני שתוכלו להיכנס ללא הקוד.
כדאי לבצע שלוש בדיקות:
- להיכנס ל-WhatsApp.
- לפתוח Settings ולאחר מכן Linked Devices.
- לנתק כל מכשיר או דפדפן שאינכם מזהים.
לאחר מכן יש להפעיל אימות דו-שלבי ולהוסיף כתובת מייל לשחזור.
מה לבדוק ב-Telegram
ב-Telegram יש לבדוק אילו מכשירים מחוברים לחשבון דרך:
Settings > Devices
או, בגרסאות מסוימות:
Privacy and Security > Active Sessions
יש לנתק כל Session שאינכם מזהים, ולהפעיל Two-Step Verification עם סיסמה נפרדת וכתובת מייל לשחזור.
מנגנון הקודים ב-Telegram שונה מזה של WhatsApp. קוד כניסה לחשבון יכול להגיע בצ׳אט השירות המאומת של Telegram או בדרך אחרת שהשירות מציג. קוד שמתקבל באפליקציה אינו מיועד להעברה לאדם שפנה אליכם.
חשוב גם לדעת שיציאה מלאה מחשבון Telegram עלולה למחוק מהמכשיר Secret Chats והודעות שנשמרו בהם. לכן במקרה של חשד עדיף להתחיל בניתוק Sessions לא מוכרים, ולא להתנתק מיד מכל החשבון בלי לבדוק את ההשלכות.
כבר לחצתי או מסרתי פרטים: מה עושים
רק ניהלתי שיחה
הפסיקו את ההתכתבות, אמתו את האדם בערוץ אחר ושמרו צילום מסך של החשבון, המספר, שם המשתמש וההודעות.
אין צורך להמשיך את השיחה כדי ״לבדוק מי עומד מאחוריה״.
לחצתי על קישור אבל לא הזנתי דבר
לפי ראש מרכז ההגנה במערך הסייבר, במתווה הספציפי שתואר בקמפיין הנוכחי, מי שרק לחץ ולא הזין סיסמה לא נפגע.
זו אינה הבטחה כללית לגבי כל קישור זדוני. אם הורד קובץ, הותקנה אפליקציה, ניתנה הרשאה או שהמכשיר מתנהג באופן חריג, יש לערב מיד גורם אבטחה או את מוקד 119.
הזנתי סיסמה
יש לשנות אותה מיד באמצעות כניסה עצמאית לשירות, ולא דרך הקישור שקיבלתם.
לאחר מכן:
- נתקו חיבורים פעילים ומכשירים שאינכם מזהים;
- הפעילו אימות דו-שלבי;
- בדקו אם שונו כתובת השחזור או מספר הטלפון;
- אם אותה סיסמה משמשת בחשבונות נוספים, החליפו גם אותם;
- בחשבון ארגוני, דווחו מיד לצוות ה-IT או אבטחת המידע.
מסרתי קוד אימות של WhatsApp
התחברו מחדש ל-WhatsApp עם מספר הטלפון ובקשו קוד רישום חדש. לאחר החזרת השליטה, בדקו את Linked Devices והפעילו אימות דו-שלבי.
הורדתי קובץ או התקנתי אפליקציה
אל תסתפקו בהחלפת סיסמה. במצב כזה ייתכן שהסיכון הוא למכשיר עצמו ולא רק לחשבון אחד.
במכשיר עבודה יש לנתק את האירוע מהמשך טיפול עצמאי ולדווח מיד לצוות האבטחה בארגון. במכשיר פרטי ניתן לפנות למוקד 119 לקבלת הכוונה.
איבדתי גישה לחשבון
פעלו לפי מנגנון השחזור הרשמי של השירות, פנו לספק הסלולר אם קיים חשד להשתלטות על מספר הטלפון ודווחו לארגון אם החשבון שימש לעבודה.
איך מדווחים בישראל
מערך הסייבר הלאומי מפעיל את מוקד 119 לקבלת דיווחים על הודעות דיוג והתחזות, דפים מזויפים, פריצה לחשבונות וחטיפת חשבונות WhatsApp.
אפשר לדווח בטלפון או באמצעות טופס הדיווח הרשמי על אירוע סייבר.
כדאי לצרף:
- צילום מסך של ההודעה ושל פרופיל הפונה;
- מספר הטלפון או שם המשתמש;
- מועד קבלת ההודעה;
- הקישור שנשלח, בלי לפתוח אותו שוב;
- כתובת האתר שאליה הגעתם;
- הקובץ או שם הקובץ, אם התקבל;
- תיאור הפעולות שכבר ביצעתם;
- פרטי חשבון או מכשיר שנפגעו.
הדיווח למערך הסייבר אינו מחליף תלונה במשטרה כאשר קיים חשד לעבירה פלילית, גניבה, סחיטה או נזק כספי.
מי באמת על הכוונת
האזהרה הנוכחית אינה מתארת קמפיין המוני נגד כלל הציבור. היעדים המרכזיים הם עיתונאים, אנשי תקשורת ואנשים בעלי נגישות למידע או לקשרים בתחומי פעילות ציבורית, פוליטית, ממשלתית וביטחונית.
הסיבה ברורה: חשבון של אדם כזה עשוי לספק גישה למקורות, למסמכים, להתכתבויות ולאנשים נוספים בעלי ערך מודיעיני.
עם זאת, אין צורך להיות עיתונאי כדי להיתקל באותה טכניקה. התחזות לעמית, לבנקאי, לעורך דין, לספק או לנציג תמיכה יכולה להשתמש באותו רצף: מידע אישי, שיחה אמינה, בניית אמון ורק לאחר מכן בקשה מסוכנת.
לכן הלקח הרחב אינו שכל ישראלי נמצא על הכוונת של המודיעין האיראני. הלקח הוא ששם מוכר, תמונת פרופיל נכונה ושיחה מקצועית אינם עוד הוכחה מספקת לזהות.
שאלות ותשובות
איך אפשר לדעת אם הפונה ב-WhatsApp הוא באמת האדם שהוא טוען שהוא?
צרו קשר עם האדם דרך מספר, כתובת מייל או חשבון שהיו מוכרים לכם עוד לפני הפנייה. אין לאמת אותו באמצעות פרטי קשר שנמסרו באותה שיחה.
האם שיחת וידאו מוכיחה שהפונה אמיתי?
לא לבדה. אין ללחוץ על קישור או למסור פרטי התחברות רק מפני שהפונה הציע שיחת וידאו. יש לאמת את האדם בערוץ נפרד ומוכר.
לחצתי על הקישור אבל לא הזנתי סיסמה. האם החשבון נפרץ?
לפי תיאור מערך הסייבר, בקמפיין הנוכחי מי שרק לחץ ולא הזין סיסמה לא נפגע. עם זאת, הקביעה אינה חלה על כל קישור זדוני. אם הורד קובץ, אושרה הרשאה או הותקנה אפליקציה, יש לפנות לבדיקה.
איך בודקים אם מישהו מחובר ל-WhatsApp שלי?
נכנסים ל-Settings ואז ל-Linked Devices. יש לנתק כל מכשיר או דפדפן שאינכם מזהים.
מסרתי קוד אימות של WhatsApp. מה לעשות?
יש להתחבר מחדש באמצעות קוד רישום חדש, לבדוק את המכשירים המחוברים ולהפעיל אימות דו-שלבי. אם אינכם מצליחים להיכנס, פעלו לפי תהליך שחזור החשבון הרשמי.
איך בודקים חיבורים פעילים ב-Telegram?
נכנסים ל-Settings ואז ל-Devices או ל-Active Sessions. משם ניתן לנתק חיבורים שאינם מוכרים ולהפעיל אימות דו-שלבי.
לאן מדווחים על הודעת פישינג בישראל?
אפשר לדווח למוקד 119 של מערך הסייבר הלאומי או באמצעות טופס הדיווח באתר gov.il. במקרה של חשד לעבירה פלילית, הדיווח אינו מחליף פנייה למשטרה.
השאלה החשובה מגיעה לפני הקישור
ההגנה מפני פישינג ממוקד אינה מתחילה בבדיקת כתובת האתר. היא מתחילה כמה הודעות קודם, כאשר אדם מוכר לכאורה פונה מחשבון חדש ומציג סיבה משכנעת להתחיל לדבר.
בשלב הזה אין בהכרח קישור, קובץ או שגיאת כתיב שיחשפו את ההתחזות. לכן השאלה החשובה ביותר אינה ״האם ההודעה נראית אמינה״, אלא ״האם אימתתי באופן עצמאי שהאדם הזה באמת פנה אליי״.
אם התשובה שלילית, אין סיבה לפתוח את ההזמנה, למסור את כתובת המייל או להמשיך לשלב הבא. כמה דקות של אימות בערוץ נפרד יכולות לעצור את התקיפה עוד לפני שהיא הופכת לאירוע סייבר.
