הפרטים שלכם הופיעו בדליפה של מאגר ישראלי? ככה תעבדו עם Claude ו-ChatGPT כדי לצמצם את הנזק

בשנים האחרונות דליפות של מאגרים ישראליים הפכו לעניין שגרתי. זה קרה לחברות ביטוח, לרשתות קמעונאיות, לאפליקציות, לגופים ציבוריים ולספקי שירות קטנים שאף אחד לא שמע עליהם עד שהשם שלהם הופיע בכותרת. בדרך כלל זה מתחיל ככה: חבר שולח צילום מסך מקבוצת טלגרם, או שמגיעה הודעה רשמית בנוסח “ייתכן שפרטיכם נחשפו”. ואז השאלה המתבקשת: מה עושים עכשיו?

רוב המדריכים בנושא נעצרים ב“החליפו סיסמה”. זה רחוק מלהספיק. חלק מהמידע שדולף הוא מידע שאי אפשר להחליף, כמו מספר תעודת זהות, תאריך לידה, כתובת או שמות הילדים. הסיכון העיקרי בדרך כלל לא בא מהדליפה עצמה, אלא מהשימוש שנעשה בה אחר כך: הודעות עוקץ שמכירות אתכם בשם, יודעות איפה אתם מבוטחים ומציינות את ארבע הספרות האחרונות של הכרטיס.

המדריך הזה מיועד למי שהפרטים שלו נחשפו, או שהוא חושד שכך קרה, ורוצה תוכנית מסודרת. Claude, ChatGPT ו-Gemini לא יגידו לכם אם הפרטים שלכם נמצאים בקובץ מסוים, ואסור לבקש מהם לחפש בקבצים דלופים. הם כן טובים מאוד בשלושה דברים שחסרים לכם ברגע של לחץ: הם עושים סדר, מנסחים בקשות רשמיות ומנתחים הודעות חשודות בלי להיבהל.

לפני הכול: 30 הדקות הראשונות

ברגע הראשון רוב הנזק נגרם מפאניקה ולא מהדליפה. כמה כללים לפני שפותחים צ’אט:

1. אל תלחצו על קישורים בהודעות על הדליפה עצמה. גם הודעה בנוסח “בדקו אם נפגעתם כאן” יכולה להיות פישינג. זה אחד העוקצים הראשונים שעולים אחרי כל דליפה גדולה. היכנסו לאתר של הגוף שדלף רק דרך כתובת שאתם מקלידים בעצמכם או דרך האפליקציה הרשמית.
2. אל תורידו את קובץ הדליפה כדי “לבדוק”. קבצים כאלה מסתובבים בטלגרם ולפעמים מכילים נוזקות. חוץ מזה, החזקה והפצה שלהם מעוררות בעיות משפטיות ואתיות.
3. אל תדביקו לצ’אטבוט את כל הפרטים שלכם כדי שיעזור לכם. זה נשמע מובן מאליו, אבל בלחץ אנשים מדביקים את מספר תעודת הזהות המלא, את מספר הכרטיס ואת הסיסמה הישנה. בהמשך תראו איך עובדים עם “פרטים מוסווים”.
4. רשמו מה אתם יודעים. מי דלף, מתי, מאיפה שמעתם, ואם יש לכם חשבון אצלם, מה מסרתם להם לאורך השנים.

עוד טיפ קטן: ב-ChatGPT אפשר לפתוח שיחה זמנית (Temporary Chat), וב-Claude יש מצב שיחה אנונימית (Incognito). בשניהם השיחה לא נשמרת בהיסטוריה. בנושא כזה זו ברירת מחדל טובה. הגדרות ושמות של פיצ’רים משתנים מדי פעם, אז בדקו מה מופיע אצלכם בממשק.

שלב 1: לברר מה בדיוק נחשף

השאלה החשובה היא איזה סוגי מידע נחשפו, ולא אם הפרטים שלכם דלפו. דליפה של שם וטלפון היא דבר אחד, ודליפה של תעודת זהות, צילום רישיון ופרטי פוליסה היא דבר אחר לגמרי.

מקורות מידע אמינים לבירור:

• הודעה רשמית מהגוף שדלף, באתר שלו, במייל שאפשר לאמת או במכתב.
• פרסומים של הרשות להגנת הפרטיות ושל מערך הסייבר הלאומי.
• כתבות בכלי תקשורת מוכרים שמתארות את סוגי השדות שנחשפו.
• שירותים כמו Have I Been Pwned, שבודקים לפי כתובת מייל אם היא הופיעה בדליפות מוכרות. הם לא מכסים כל דליפה ישראלית, אבל הם נקודת התחלה.

אחרי שאספתם את המידע, תנו ל-AI לעשות ממנו סדר. העתיקו את הטקסט של ההודעה או הכתבה, בלי פרטים אישיים, והשתמשו בפרומפט כזה:

אני תושב/ת ישראל. קיבלתי הודעה (או קראתי כתבה) על דליפת מידע מגוף שאני לקוח/ה שלו.
הנה הטקסט המלא: [הדביקו כאן]

אני מבקש/ת:
1. רשימה מסודרת של סוגי המידע שנחשפו לפי הטקסט, ולצד כל אחד ציון אם זה נאמר במפורש או רק משתמע.
2. מה הטקסט לא אומר: אילו שאלות חשובות נשארו פתוחות (למשל: האם נחשפו סיסמאות, ואם כן, האם הן מוצפנות).
3. רשימת שאלות שכדאי לשלוח לגוף עצמו כדי לקבל תשובה מדויקת.
אל תנחש. אם משהו לא כתוב, כתוב "לא ידוע".

ההוראה “אל תנחש” חשובה. בלעדיה מודלים נוטים להשלים את החסר בהנחות סבירות לכאורה, כמו “כנראה נחשפו גם כתובות”, ואתם עלולים לפעול על סמך מידע שלא קיים.

השלב הבא: מיפוי עצמי. הגוף שדלף יודע עליכם רק מה שמסרתם לו. נסו להיזכר מה זה היה, ובקשו מה-AI לעזור לכם לא לפספס:

אני לקוח/ה של [סוג הגוף, למשל: חברת ביטוח / קופת חולים / רשת קמעונאית / אפליקציית משלוחים] כבר [מספר] שנים.
עזור לי לבנות רשימת "מה ייתכן שמסרתי להם" לפי מה שגופים כאלה אוספים בדרך כלל בישראל: פרטים מזהים, פרטי קשר, אמצעי תשלום, מסמכים שהעליתי, מידע על בני משפחה, מידע רפואי או פיננסי.
הצג טבלה עם שלוש עמודות: סוג מידע | סביר שמסרתי? (כן/אולי/לא) | איך אוכל לוודא.

בעמודה “איך אוכל לוודא” תגלו דברים ששכחתם. למשל, שפעם העליתם צילום של תעודת זהות כדי לפתוח חשבון, או שרשמתם את בן או בת הזוג כמשתמשים נוספים.

שלב 2: מה מחליפים קודם, ומה אי אפשר להחליף

כאן AI באמת חוסך זמן. במקום עשרים משימות בערבוביה, תקבלו רשימה מסודרת לפי דחיפות.

הנה ההיגיון המקובל, בקיצור:

מה נחשף	אפשר להחליף?	מה עושים
סיסמה (גם מוצפנת)	כן	מחליפים מיד, בכל אתר שבו השתמשתם באותה סיסמה
פרטי כרטיס אשראי	כן	מתקשרים לחברת האשראי, שוקלים חסימה והנפקה מחדש, ומפעילים התראות על עסקאות
כתובת מייל	חלקית	מפעילים אימות דו-שלבי ומעלים את רמת החשדנות כלפי מיילים
מספר טלפון	קשה	מפעילים אימות דו-שלבי שאינו ב-SMS איפה שאפשר ומגנים על חשבון הוואטסאפ
מספר תעודת זהות, תאריך לידה	לא	ניטור לאורך זמן, חשדנות כלפי כל מי ש“מאמת” אתכם באמצעותם
כתובת מגורים, בני משפחה	לא	מודעות לעוקצים שמשתמשים בפרטים האלה
מידע רפואי או ביטוחי	לא	זהירות מפניות בשם הגוף, ובדיקה של כל פנייה בערוץ הרשמי

עכשיו תנו ל-AI לבנות לכם תוכנית אישית:

לפי הממצאים האלה, אלה סוגי המידע שנחשפו אצלי: [רשימה, בלי הערכים עצמם].
הרגלים רלוונטיים: [למשל: אני משתמש/ת באותה סיסמה בכמה אתרים / אין לי אימות דו-שלבי בג'ימייל / הבנק שלי שולח קודים ב-SMS].

בנה לי תוכנית פעולה בשלוש קבוצות:
- היום (פעולות שמונעות נזק מיידי)
- השבוע
- החודש הקרוב ואילך (ניטור)
לכל פעולה: מה בדיוק לעשות, כמה זמן זה לוקח בערך, ולמה היא בעדיפות הזו.
אל תמציא שמות של שירותים או אפליקציות ישראליות שאינך בטוח בקיומם. אם אינך בטוח, כתוב "בדקו מול הבנק/הספק".

ההוראה האחרונה קריטית. מודלים לפעמים “ממציאים” פיצ’ר של בנק ישראלי או שירות ממשלתי שנשמע אמין לגמרי. עדיף לקבל “בדקו מול הבנק” מאשר הוראה מדויקת שלא קיימת.

טיפ שלא מוצאים בכל מקום: כשאתם מחליפים סיסמאות, התחילו מהחשבון ששולט בכל השאר, כלומר תיבת המייל הראשית. מי ששולט במייל יכול לאפס כמעט כל סיסמה אחרת. אם אתם מחליפים את הסיסמה בבנק אבל המייל נשאר פרוץ, עשיתם עבודה כפולה.

עוד טיפ: אם נחשף מספר הטלפון, ודאו שאימות דו-שלבי מופעל בוואטסאפ (קוד PIN של שש ספרות בהגדרות החשבון). השתלטות על חשבונות וואטסאפ היא אחת השיטות הנפוצות להפיץ עוקץ לאנשי הקשר שלכם.

אם נחשפו פרטים פיננסיים או מספר תעודת הזהות, כדאי גם לעקוב אחרי דוח נתוני האשראי שלכם, כדי לזהות הלוואה או חשבון שלא פתחתם. במדריך ניהול דירוג האשראי תמצאו איך לעשות את זה עם AI.

שלב 3: להוריד מידע ממאגרי מידע ומגוגל

את הדליפה אי אפשר לבטל, אבל אפשר לצמצם את כמות המידע עליכם שמסתובבת בחוץ. ככה גם הדליפה הבאה תכאב פחות.

מול הגוף שדלף ומול מאגרים אחרים

חוק הגנת הפרטיות נותן לכם כמה זכויות מעשיות:

• זכות עיון: לבקש מבעל מאגר מידע לראות איזה מידע הוא מחזיק עליכם.
• זכות תיקון: לבקש לתקן או למחוק מידע שגוי, לא שלם או לא מעודכן.
• דיוור ישיר: לבקש שימחקו אתכם ממאגר שמשמש לפניות שיווקיות.

תיקון 13 לחוק, שנכנס לתוקף באוגוסט 2025, חיזק משמעותית את סמכויות האכיפה של הרשות להגנת הפרטיות. גופים מתייחסים היום לבקשות כאלה ברצינות רבה יותר. ובכל זאת, ניסוח מסודר עושה הבדל, וכאן AI חוסך לכם חצי שעה:

נסח לי מכתב רשמי בעברית לחברת [שם החברה], שבמאגר שלה דלף מידע.
המטרות:
1. לממש את זכות העיון לפי חוק הגנת הפרטיות ולקבל העתק של המידע שהם מחזיקים עליי.
2. לשאול אילו מהפרטים שלי נחשפו בדליפה.
3. לבקש למחוק מידע שאינו נחוץ עוד לצורך מתן השירות (למשל: צילומי מסמכים ישנים, אמצעי תשלום שכבר לא בשימוש).
4. אם אני לא לקוח/ה פעיל/ה: לבקש למחוק אותי ממאגרי דיוור ושיווק.
טון: ענייני ומנומס, לא מאיים. השאר מקומות ריקים לשם, מספר לקוח ותאריך.
אל תצטט מספרי סעיפים אלא אם אתה בטוח בהם. אם אינך בטוח, כתוב "לפי חוק הגנת הפרטיות".

שלחו את המכתב בערוץ שמשאיר תיעוד, כמו מייל או טופס פנייה באתר, ושמרו צילום מסך עם תאריך. אם לא קיבלתם מענה בזמן סביר, אפשר להגיש תלונה לרשות להגנת הפרטיות. גם את התלונה ה-AI יכול לעזור לנסח, על בסיס התכתובת ששמרתם.

טיפ: אל תסתפקו בגוף שדלף. נצלו את ההזדמנות לעשות “ניקוי אביב”. בקשו מ-Claude או מ-ChatGPT:

עזור לי לבנות רשימה של סוגי גופים בישראל שסביר שמחזיקים מידע עליי: [תארו בקצרה: שכיר/עצמאי, הורה, בעל רכב, חברים במועדוני לקוחות וכו'].
סמן אילו מהם כנראה כבר לא נחוצים לי (מועדוני לקוחות שאני לא משתמש בהם, אפליקציות שמחקתי, אתרים שנרשמתי אליהם פעם אחת).
בסוף תן לי נוסח קצר וגנרי לבקשת מחיקה, שאוכל להעתיק לכל אחד מהם.

כל מועדון לקוחות שאתם עוזבים הוא מאגר אחד פחות שיכול לדלוף בעתיד.

מול גוגל

לגוגל יש כלי בשם “תוצאות עליכם” (Results about you), שמאפשר לבקש הסרה של תוצאות חיפוש שמכילות פרטי קשר אישיים, כמו טלפון, כתובת או מייל. יש גם טופס בקשה להסרת מידע אישי רגיש מתוצאות החיפוש. שני דברים חשובים להבין:

• ההסרה היא מתוצאות החיפוש בלבד. הדף עצמו נשאר באתר המקורי, ואת ההסרה ממנו צריך לבקש מבעלי האתר.
• גוגל מחליטה בעצמה אם לאשר. בקשה שמסבירה בבירור למה המידע חושף אתכם לסיכון, למשל אחרי דליפה, מתקבלת בדרך כלל טוב יותר.

הנה איך AI עוזר כאן:

מצאתי בגוגל את התוצאות הבאות שמציגות את הפרטים האישיים שלי (תיאור בלי הפרטים עצמם):
1. [אתר מדריך טלפונים שמציג שם, טלפון ועיר]
2. [פוסט בפורום ישן עם כתובת המייל שלי]
3. [אתר שמפרסם רשימה מתוך דליפה]

לכל אחד:
- איזה מסלול הסרה מתאים (פנייה לבעל האתר, בקשה לגוגל, או שניהם)
- נוסח קצר באנגלית ובעברית לבקשה
- מה הסיכוי הסביר להצלחה ולמה

שימו לב: אם מצאתם אתר שמפרסם בגלוי מידע מתוך דליפה ישראלית, זה כבר לא רק עניין של הסרה. דווחו עליו לרשות להגנת הפרטיות ולמערך הסייבר הלאומי (מוקד 119).

שלב 4: לזהות עוקץ שבנוי על הדליפה

זה החלק החשוב ביותר במדריך, כי כאן נגרם רוב הנזק הכספי. עוקץ שמבוסס על דליפה שונה מספאם רגיל: הוא יודע דברים אמיתיים עליכם. הוא פונה בשם המלא, מציין את חברת הביטוח הנכונה ולפעמים גם מספר פוליסה. המוח מתרגם “הם יודעים עליי פרטים נכונים” ל“הם בטח לגיטימיים”. זו בדיוק המלכודת.

דפוסים נפוצים אחרי דליפה:

• “פיצוי לנפגעי הדליפה”: הודעה שמבטיחה החזר או פיצוי ומבקשת “לאמת פרטים” או לשלם “דמי טיפול”.
• “מחלקת אבטחה”: שיחה ממי שמציג את עצמו כנציג הבנק או חברת האשראי, מספר שזוהתה פעילות חשודה בעקבות הדליפה, ומבקש קוד שנשלח אליכם ב-SMS.
• עדכון פרטים: “בעקבות אירוע הסייבר, יש לעדכן את פרטי האשראי בקישור”.
• התחזות לרשות: פנייה בשם משטרה, רשות המסים או מערך הסייבר שדורשת פעולה מיידית.
• עוקץ משפחתי: הודעה שמשתמשת בשמות של בני משפחה שהופיעו בדליפה (“הבן שלך X ביקש שאפנה אליך”).

הכלל המרכזי: גוף אמיתי לעולם לא יבקש מכם קוד חד-פעמי שקיבלתם ב-SMS, לא יבקש סיסמה, ולא ילחיץ אתכם לפעול תוך דקות.

ניתוח הודעה חשודה עם AI

כשמגיעה הודעה חשודה, צלמו מסך או העתיקו את הטקסט. אל תלחצו על שום דבר. החליפו פרטים מזהים בסימונים והדביקו:

קיבלתי את ההודעה הבאה ב-[SMS / וואטסאפ / מייל]. ידוע לי שפרטים שלי דלפו לאחרונה ממאגר של [סוג הגוף].
[הדביקו את ההודעה, עם [שם] / [מספר] במקום הפרטים האמיתיים. את הקישור כתבו כטקסט, בלי ללחוץ עליו.]

נתח את ההודעה:
1. אילו סימנים מעידים על עוקץ ואילו על הודעה לגיטימית? פרט כל סימן.
2. האם הפרטים הנכונים שמופיעים בה יכולים להגיע מהדליפה?
3. מה בדיוק ההודעה מנסה לגרום לי לעשות?
4. איך אני מאמת אותה בלי להשתמש באף פרט שמופיע בה (לא בקישור ולא במספר הטלפון שבה)?
תן ציון סיכון מ-1 עד 10 והסבר.

ב-Claude, ב-ChatGPT וב-Gemini אפשר להעלות צילום מסך במקום להעתיק טקסט. זה שימושי כשמספר השולח או מבנה ההודעה הם חלק מהרמז. רק טשטשו קודם את מה שלא צריך להופיע.

חשוב להבין את המגבלה: הצ’אטבוט לא יודע אם כתובת מסוימת זדונית, ולא בודק אותה בזמן אמת אלא אם הוא מחפש ברשת, וגם אז אין לו ודאות. השתמשו בו כדי לזהות דפוסים ולתכנן איך לאמת, ולא כ“אנטי-וירוס”. האימות האמיתי הוא תמיד אותו דבר: מנתקים, ופונים לגוף בערוץ שאתם מכירים, כמו המספר שעל גב הכרטיס או האפליקציה הרשמית.

תרגול מראש: “שיחה בטוחה”

טיפ שכמעט לא מופיע במדריכים: תרגלו מראש. עוקצים טלפוניים עובדים כי הם תופסים אתכם לא מוכנים. בקשו מה-AI לשחק את התפקיד:

שחק תפקיד של נוכל שמתקשר אליי בטענה שהוא מ"מחלקת האבטחה" של הבנק, אחרי דליפה שבה נחשפו השם, תעודת הזהות והטלפון שלי. השתמש בטכניקות לחץ אמיתיות.
אני אענה, ואחרי כל תגובה שלי תעצור ותגיד לי אם הגבתי נכון ומה היה עדיף.
בסוף תן לי משפט אחד קבוע שאוכל להגיד בכל שיחה חשודה.

זה מתאים במיוחד להורים מבוגרים. שבו איתם ותרגלו יחד פעם או פעמיים. משפט כמו “אני אחזור אליכם דרך המספר שמופיע באתר” שווה יותר מכל הסבר. בנושא הזה כדאי לקרוא גם את המדריך על זיהוי והתגוננות מפני דיפפייקים, כי עוקצי קול מזויף משתמשים לא פעם בפרטים מדליפות.

שלב 5: ניטור לטווח ארוך

מידע שדלף נשאר בחוץ לתמיד. העוקצים מבוססי הדליפה ממשיכים להגיע חודשים ושנים אחרי שהכותרות נעלמו. לכן כדאי לבנות שגרה קבועה ולא רק להגיב לאירוע.

כך תעשו את זה עם AI:

1. צרו “פרויקט” ייעודי. ב-Claude (Projects) או ב-ChatGPT (Projects) פתחו פרויקט בשם “אבטחת מידע אישית”. שמרו בו את רשימת הפעולות, המכתבים ששלחתם והתשובות שקיבלתם. בלי פרטים רגישים עצמם.
2. בקשו תזכורות מובנות:

על בסיס התוכנית שבנינו, צור לי צ'קליסט חודשי של 10 דקות לניטור אחרי דליפה:
מה לבדוק בכל חודש, מה כל שלושה חודשים ומה פעם בשנה.
נסח כל סעיף כפעולה קצרה שאפשר לסמן V.

3. הכניסו את הצ’קליסט ליומן כאירוע חוזר, או השתמשו ביכולת התזכורות או המשימות המתוזמנות של הצ’אטבוט, אם היא זמינה אצלכם.

טעויות נפוצות

• להחליף רק את הסיסמה באתר שדלף. אם השתמשתם באותה סיסמה במקומות אחרים, היא כבר נמצאת ברשימות שתוקפים מנסים אוטומטית מול שירותים אחרים. החליפו בכל מקום, ועברו למנהל סיסמאות.
• להדביק לצ’אטבוט פרטים מלאים. אין צורך בתעודת הזהות המלאה כדי לקבל עזרה. “[ת.ז.]” עובד בדיוק אותו דבר.
• לסמוך על הודעה כי “היא יודעת עליי פרטים נכונים”. אחרי דליפה, פרטים נכונים לא מוכיחים שום דבר. זה בדיוק מה שהדליפה נותנת לנוכלים.
• לחפש את עצמכם בקובץ הדלוף. זה מסוכן טכנית ובעייתי משפטית, וזה לא משנה את מה שאתם צריכים לעשות בפועל.
• לקבל מה-AI “עובדה” על הבנק או על הרשות בלי לבדוק. מודלים לפעמים ממציאים נהלים, מספרי טלפון או שמות טפסים. כל מספר טלפון או כתובת לוקחים רק מהאתר הרשמי.
• לשכוח את המשפחה. אם פרטי בני משפחה הופיעו במאגר, גם הם יעדים. ספרו להם, במיוחד להורים ולילדים מתבגרים.
• להפסיק אחרי שבוע. הגל הגדול של העוקצים מגיע לפעמים חודשים אחרי הדליפה, כשכבר אף אחד לא זוכר אותה.
• לשלוח מכתב בקשה בלי לשמור תיעוד. בלי תאריך וצילום מסך יהיה לכם קשה להגיש תלונה בהמשך.

סיכום: צ’קליסט התחלה

דליפה היא לא סוף העולם, אבל היא כן סיבה לעבוד מסודר. ה-AI לא יגלה לכם מה בדיוק נמצא בקובץ, אבל הוא יעשה סדר בכאוס, ינסח בשבילכם את הבקשות הרשמיות, ויהיה “חבר שני” ששם לב לסימני עוקץ כשאתם לחוצים.

היום:

• לא ללחוץ על אף קישור בהודעות על הדליפה. להיכנס רק דרך ערוצים רשמיים.
• לברר מהמקורות הרשמיים אילו סוגי מידע נחשפו (פרומפט שלב 1).
• להחליף את סיסמת המייל הראשי ולהפעיל בו אימות דו-שלבי.
• להחליף את הסיסמה בגוף שדלף ובכל מקום אחר שבו השתמשתם בה.
• אם נחשפו פרטי אשראי: להתקשר לחברת האשראי ולהפעיל התראות על עסקאות.
• להפעיל קוד PIN בוואטסאפ.

השבוע:

• לבנות תוכנית פעולה אישית לפי עדיפויות (פרומפט שלב 2).
• לשלוח לגוף שדלף בקשת עיון ומחיקה, ולשמור תיעוד (פרומפט שלב 3).
• לבקש מגוגל להסיר תוצאות חיפוש עם פרטי הקשר שלכם.
• לעזוב מועדוני לקוחות ושירותים שאתם לא צריכים.
• לספר לבני המשפחה ולתרגל איתם “שיחה בטוחה”.

מעכשיו והלאה:

• להעביר כל הודעה חשודה דרך פרומפט הניתוח, ולאמת רק בערוץ שאתם מכירים.
• לעבור על הצ’קליסט החודשי.
• לבדוק מדי פעם את דוח נתוני האשראי.

למדריכים נוספים על ניהול החיים הדיגיטליים עם AI, היכנסו לספריית המדריכים.