להתגונן מהונאות AI: דיפ-פייק, שיבוט קול והודעות פישינג חכמות

עד לפני שנתיים, הונאה ברשת הייתה קלה לזיהוי: מייל בעברית עילגת, “הנסיך מניגריה”, לוגו בנק מעוות. היום זה נגמר. כלי AI זמינים לכל אחד, והרמאים היו מהראשונים שאימצו אותם. הם מקליטים 10 שניות מהסטורי שלכם באינסטגרם ומייצרים מהן שיחת טלפון “מהבן שנתקע בחו”ל”. הם כותבים מייל מ“מחלקת הנהלת חשבונות” בעברית זורמת ומדויקת, עם השמות הנכונים של האנשים בחברה שלכם. הם עורכים שיחת וידאו שבה “המנכ”ל” מבקש העברה דחופה.

המדריך הזה מיועד לכל מי שיש לו טלפון וחשבון בנק: הורים, סבים וסבתות, עצמאים, מנהלי כספים בעסקים קטנים, ובעצם כל מי שמקבל הודעות. לא צריך שום רקע טכני. מה שכן צריך זה לאמץ כמה הרגלים חדשים, להגדיר הגנות פעם אחת, וללמוד להשתמש ב-AI כדי לבדוק AI. בסוף המדריך תמצאו צ’קליסט של 15 דקות שכדאי לעבור עליו עוד היום, ורצוי יחד עם המשפחה.

למה ההונאות של היום נראות אחרת

כדי להתגונן, חשוב להבין מה בדיוק השתנה. שלושה דברים:

1. הסקייל. פעם רמאי היה צריך להשקיע שעות בכל קורבן. היום הוא כותב פרומפט אחד, ומודל שפה מייצר לו אלף גרסאות מותאמות אישית של אותו מייל, כל אחת עם השם, התפקיד ופרטי החברה של הנמען. עלות ההונאה ירדה כמעט לאפס, ולכן היא פוגעת גם באנשים “לא מעניינים” שפעם לא היו מטרה.

2. האיכות. מודלים כמו ChatGPT, Claude ו-Gemini כותבים עברית טובה יותר מרוב האנשים. הסימן הישן ביותר להונאה, שגיאות כתיב וניסוח מוזר, פשוט נעלם. אותו דבר עם תמונות, לוגואים ואתרים מזויפים.

3. הזהות. זה החלק המפחיד באמת. כלי שיבוט קול צריכים בין 3 ל-30 שניות של הקלטה כדי לייצר קול משכנע. סרטון וידאו קצר מטיקטוק, הודעה קולית בווטסאפ, או אפילו הודעת “השאירו הודעה אחרי הצליל” מספיקים. ודיפ-פייק בווידאו, שפעם דרש מחשב חזק ושבועות עבודה, זמין היום כשירות.

המסקנה החשובה: אי אפשר יותר לזהות הונאה לפי “איך זה נראה” או “איך זה נשמע”. ההגנה עוברת מהעיניים והאוזניים אל התהליך: מה אתם עושים כשמישהו מבקש מכם משהו.

הכלל הכי חשוב: עצירה ואימות בערוץ נפרד

אם תיקחו מהמדריך הזה דבר אחד בלבד, שיהיה זה:

כל בקשה שמערבת כסף, סיסמה, קוד אימות או פרטים אישיים, ומגיעה עם תחושת דחיפות, מאומתת בערוץ אחר לפני שעושים משהו.

“ערוץ אחר” פירושו: אם קיבלתם שיחה, מנתקים ומתקשרים בעצמכם למספר שכבר שמור אצלכם. אם קיבלתם מייל, לא לוחצים על “השב” אלא מתקשרים לאדם או מחפשים את המספר באתר הרשמי. אם קיבלתם הודעת ווטסאפ ממספר חדש “זה אמא, החלפתי מספר”, מתקשרים למספר הישן.

למה זה עובד? כי הרמאי שולט בערוץ שדרכו הוא פנה אליכם, אבל הוא לא שולט בספר הטלפונים שלכם. הוא יכול לזייף את הקול של הבת שלכם, אבל הוא לא יכול לענות בטלפון שלה כשאתם מתקשרים אליה.

וכאן נכנס הטריק הפסיכולוגי שכל הונאה מבוססת עליו: דחיפות. “אני בתחנת משטרה, אין לי זמן”, “ההעברה חייבת לצאת עד השעה 16:00”, “החשבון ייחסם בעוד שעה”. דחיפות נועדה למנוע מכם לחשוב ולאמת. לכן הכלל הפרקטי הוא: ככל שהלחץ גדול יותר, ההשהיה צריכה להיות ארוכה יותר. אף בקשה לגיטימית לא תתמוטט בגלל חמש דקות של בדיקה. אף בנק אמיתי לא יכעס שניתקתם וחזרתם אליו.

שיבוט קול: השיחה מ“הנכד”, מ“הבן” ומ“המנכ”ל”

התרחיש הקלאסי: סבתא מקבלת שיחה. הקול של הנכד, בוכה, לחוץ: “סבתא, עשיתי תאונה, אני צריך כסף לערבות, אל תספרי להורים”. הקול נשמע נכון. הבכי נשמע נכון. הלב לא עומד בזה.

הגרסה העסקית: מנהלת כספים מקבלת שיחה מ“המנכ”ל” שנמצא בחו“ל, מבקש העברה דחופה לספק חדש, “אני אשלח מייל עם הפרטים, תעבירי היום”. הקול, הסגנון, הביטויים המוכרים, הכול תואם.

מה עושים?

מגדירים מילת קוד משפחתית. זה הטיפ החשוב ביותר במדריך ורוב האנשים לא עושים אותו. שבו הערב עם המשפחה הקרובה וקבעו מילה או משפט שרק אתם יודעים. לא שם החיה, לא עיר הולדת, לא משהו שמופיע בפייסבוק. משהו אקראי ומצחיק: “פלאפל בשלג”, “הדוד משה שר אופרה”. הכלל: כל בקשה טלפונית לכסף או עזרה דחופה מתחילה בשאלה “מה מילת הקוד?”. אם הצד השני מתבלבל, מתחמק, או אומר “אין לי זמן לשטויות”, זו הונאה. אותו דבר לעסק: מילת קוד בין המנכ“ל למי שמורשה להעביר כספים.

שואלים שאלה שהתשובה עליה לא נמצאת ברשת. “מה אכלנו בארוחת שישי האחרונה?”, “איך קוראים לשכן שאתה שונא?”. שיבוט קול מחקה את הצליל, לא את הזיכרון. שימו לב: לא לשאול “מה השם של הכלב” או “באיזה בית ספר למדת”, כי את זה הרמאי כבר אסף מהרשתות החברתיות.

מנתקים ומתקשרים חזרה. גם אם הקול שכנע אתכם ב-100%. במיוחד אם הוא שכנע אתכם ב-100%. אם הנכד באמת בצרה, הוא יענה במספר שלו.

מצמצמים את “טביעת הקול” שלכם. אי אפשר להיעלם מהרשת, אבל אפשר לצמצם: הפכו את האינסטגרם והטיקטוק לפרטיים אם אתם לא יוצרי תוכן. החליפו את הודעת התא הקולי להודעה הסטנדרטית של החברה במקום הקול שלכם. אל תענו על “כן” בתחילת שיחה ממספר לא מוכר (יש הונאות שמקליטות אישור קולי), פשוט אמרו “הלו, מי מדבר?”.

טיפ שלא מוצאים בכל מקום: שיבוט קול מתקשה עם הפרעות. קטעו את הדובר באמצע משפט עם שאלה לא קשורה. מערכות סינתזה בזמן אמת מגיבות לעיתים קרובות בעיכוב מוזר, חוזרות על עצמן או מתעלמות מהקטיעה. זה לא מבחן חד-משמעי, אבל זה עוד דגל אדום.

דיפ-פייק בווידאו: כשגם “ראיתי אותו בעיניים” לא מספיק

שיחות וידאו מזויפות כבר לא מדע בדיוני. היו מקרים של עובדים שהעבירו מיליוני דולרים אחרי שיחת וידאו קבוצתית שבה כל המשתתפים, כולל “סמנכ”ל הכספים”, היו דיפ-פייק.

בדיקות שאפשר לעשות בזמן אמת בשיחת וידאו חשודה:

• בקשו מהאדם להסתובב בפרופיל מלא ואז לחזור. הרבה מודלים של החלפת פנים עדיין מתקשים בזוויות צד קיצוניות ומייצרים “מריחה” של הפנים.
• בקשו להעביר יד לפני הפנים או להרים חפץ מול המצלמה. חפיפה בין יד לפנים היא נקודת תורפה ידועה.
• שימו לב לסנכרון בין השפתיים לקול, לתאורה שלא תואמת את הרקע, ולמצמוץ מוזר או חסר.
• בקשו שיעברו לשיחה בערוץ אחר שאתם יוזמים: אתם מתקשרים, לא הם.

הסתייגות חשובה: הבדיקות האלה נחלשות עם כל שנה. אל תסמכו עליהן כהגנה יחידה. הן משלימות את הכלל המרכזי, לא מחליפות אותו. אישור העברת כספים לעולם לא ניתן באותה שיחה שבה הוא התבקש. נקודה.

לעסקים, גם הכי קטנים: הנהיגו אישור כפול על כל העברה מעל סכום שתגדירו (למשל 5,000 ₪), או על כל שינוי פרטי חשבון בנק של ספק. שני אנשים, שני ערוצים. זה מחסל את רוב הונאות “המנכ”ל” בלי שום טכנולוגיה.

פישינג חכם: מיילים והודעות SMS שכתובים בעברית מושלמת

מכיוון ששגיאות כתיב כבר לא מסגירות את ההונאה, צריך לעבור לסימנים שה-AI לא יכול לזייף:

1. הכתובת האמיתית, לא השם המוצג. בכל תוכנת מייל אפשר ללחוץ על שם השולח ולראות את הכתובת המלאה. “בנק הפועלים” עם כתובת service@poalim-secure-login.com זה הונאה. שימו לב במיוחד לאותיות מוחלפות: paypa1 במקום paypal, rn שנראה כמו m, או תווים לועזיים שדומים לעבריים.

2. לאן הקישור באמת מוביל. במחשב, רחפו עם העכבר מעל הקישור בלי ללחוץ ותראו את הכתובת האמיתית בפינת המסך. בטלפון, לחיצה ארוכה על הקישור מציגה את הכתובת. הכלל: לא לוחצים על קישורים בהודעות שמבקשות פעולה. נכנסים לאפליקציה או לאתר בעצמכם.

3. מה מבקשים מכם. בנקים, חברות אשראי, ביטוח לאומי, הדואר ורשות המסים לא מבקשים סיסמה, קוד אימות או פרטי כרטיס בהודעה. אף פעם. הודעת “החבילה שלכם מעוכבת, שלמו 8.90 ₪ לשחרור” היא הונאה ב-99% מהמקרים, גם אם באמת הזמנתם משהו.

4. קודי QR. הונאה חדשה יחסית: מדבקת QR מזויפת על חניון, על חשבונית, או במייל. ה-AI מייצר את הדף המזויף שהקוד מוביל אליו תוך שניות. סרקו קודים רק ממקורות שאתם בטוחים בהם, ובדקו את הכתובת שמופיעה לפני שהדפדפן נפתח.

5. אתרים מזויפים. רמאים מקימים חנויות אונליין שלמות עם ביקורות מזויפות שנכתבו על ידי AI. סימנים: מחירים נמוכים בצורה לא הגיונית, אין כתובת פיזית וטלפון, הדומיין נרשם לפני חודש, ותשלום רק בהעברה בנקאית או בביט בלי אפשרות אשראי (שנותן לכם הגנה).

להפוך את ה-AI לשומר שלכם: פרומפטים לבדיקת הודעות

הכלים שהרמאים משתמשים בהם עובדים גם לטובתכם. ChatGPT, Claude ו-Gemini יודעים כולם לנתח טקסט ותמונות שאתם מדביקים או מעלים, וזה כלי מצוין לקבל “דעה שנייה” מהירה כשמשהו מרגיש לא בסדר.

הערה חשובה לפני שמתחילים: אל תדביקו סיסמאות, מספרי כרטיס או תעודת זהות בפרומפט. מחקו אותם או החליפו ב-XXX. ה-AI לא צריך אותם כדי לנתח את ההודעה.

פרומפט לבדיקת מייל או SMS חשוד:

אני מדביק כאן הודעה שקיבלתי. אני חושד שזו הונאה.
נתח אותה כמומחה אבטחת מידע ותן לי:
1. ציון סיכון מ-1 עד 10 והסבר קצר.
2. רשימת דגלים אדומים ספציפיים שמצאת (דחיפות, בקשה לפרטים, כתובת שולח, קישורים).
3. אם זה נראה לגיטימי, מה עדיין כדאי לבדוק לפני שאני פועל.
4. משפט אחד: מה לעשות עכשיו.
אל תרכך את התשובה. אם יש ספק, תגיד שיש ספק.

ההודעה:
[הדביקו כאן, אחרי שמחקתם פרטים אישיים]
כתובת השולח: [הדביקו]
הקישור בהודעה מוביל ל: [הדביקו את הכתובת המלאה]

פרומפט לבדיקת צילום מסך (בכל שלושת הכלים אפשר לצרף תמונה):

צירפתי צילום מסך של הודעה שקיבלתי בווטסאפ.
תאר לי מה אתה רואה, ואז ענה: האם יש פה דפוס של הונאה ידועה?
שים לב במיוחד למספר השולח, לסגנון הפנייה, לבקשה עצמה ולתחושת הדחיפות.
סיים בהמלצה חד-משמעית: לענות, להתעלם, או לאמת בערוץ אחר.

פרומפט לבדיקת אתר או חנות אונליין:

אני שוקל לקנות באתר בשם [שם האתר]. הכתובת היא [כתובת].
תן לי רשימה של 8 בדיקות קונקרטיות שאני יכול לעשות בעצמי בחמש דקות
כדי לוודא שהאתר לגיטימי: מה לחפש בדף "אודות", מה לבדוק באמצעי התשלום,
איך לבדוק את גיל הדומיין, ואיזה ניסוחים בביקורות מסגירים ביקורות שנכתבו על ידי AI.

פרומפט לתכנון ההגנה המשפחתית (זה שווה במיוחד להורים ולמי שדואג להורים מבוגרים):

אני רוצה להכין את המשפחה שלי להונאות טלפוניות מבוססות AI (שיבוט קול, "הנכד בצרה", "החלפתי מספר").
במשפחה יש: [תארו: למשל, שני הורים בני 70, שני ילדים בני 15 ו-19].
כתוב לי:
1. תסריט של 5 דקות להסביר להורים שלי את הסכנה בלי להפחיד אותם.
2. שלושה כללי ברזל בניסוח פשוט שאפשר להדפיס ולשים ליד הטלפון.
3. תרגיל משחק תפקידים קצר שנעשה יחד בארוחת שישי.
4. הצעות למילת קוד משפחתית שקשה לנחש אבל קל לזכור.

מה ה-AI לא יכול לעשות: הוא לא יכול לקבוע בוודאות אם הקלטה קולית או סרטון הם דיפ-פייק. יש כלים ייעודיים לזה, אבל גם הם לא אמינים ב-100%, ובטח לא בזמן אמת באמצע שיחה. אל תעלו הקלטה ל-ChatGPT ותשאלו “זה אמיתי?”, כי כל תשובה שתקבלו תהיה ניחוש. הבדיקה של קול ווידאו נעשית בתהליך (ניתוק, חיוג חוזר, מילת קוד), לא בטכנולוגיה.

הגנות שמגדירים פעם אחת ושוכחים

בנוסף להרגלים, יש כמה הגדרות טכניות שמורידות את הסיכון משמעותית:

אימות דו-שלבי (2FA) על כל דבר חשוב. מייל, בנק, ווטסאפ, רשתות חברתיות. עדיף באפליקציית אימות (Google Authenticator, Authy או המובנית בטלפון) ולא ב-SMS, כי גם SMS ניתן ליירוט. הווטסאפ הוא קריטי במיוחד: הגדרות ← חשבון ← אימות דו-שלבי. בלי זה, מי שמשתלט על החשבון שלכם שולח “היי, אני צריך הלוואה דחופה” לכל אנשי הקשר שלכם, ומהם הוא כבר לא צריך לזייף כלום.

סיסמה שונה לכל שירות, במנהל סיסמאות. אם סיסמה אחת דלפה, הרמאי מנסה אותה על כל שאר החשבונות שלכם. מנהל סיסמאות (המובנה באייפון ובאנדרואיד מספיק בהחלט) פותר את זה.

נעילת SIM. בקשו מחברת הסלולר להוסיף קוד סודי לכל שינוי בקו. הונאת “החלפת SIM” מאפשרת לרמאי להעביר את המספר שלכם לכרטיס שלו ולקבל את כל קודי האימות במקומכם.

התראות בזמן אמת מהבנק. הפעילו התראה על כל פעולה מעל סכום נמוך. גילוי מוקדם הוא ההבדל בין ביטול העברה לבין אובדן הכסף.

פרטיות ברשתות. עברו על מה שגלוי לציבור: תאריכי לידה, שמות ילדים, מקום עבודה, מסלולי חופשה בזמן אמת. כל פרט כזה הוא לבנה בהונאה מותאמת אישית.

טעויות נפוצות

“אני מזהה הונאות, זה לא יקרה לי.” הביטחון הזה הוא בדיוק מה שהרמאים מנצלים. ההונאות הטובות באמת לא נראות כמו הונאות. אנשים חכמים ומנוסים נופלים כל יום, כי ההונאה מכוונת לרגש (פחד, דאגה לילד, לחץ מהבוס), לא לשכל.

לאמת דרך הערוץ שהרמאי סיפק. “אם אתם לא בטוחים, התקשרו למספר הזה”. המספר שייך לרמאי. תמיד מחפשים את פרטי הקשר בעצמכם.

להתקשר חזרה למספר שהופיע בשיחה הנכנסת. זיהוי שיחה ניתן לזיוף. חייגו למספר ששמור אצלכם, לא לזה שמופיע על המסך.

להגיד “לא אספר לאף אחד”. “אל תספרי לאמא”, “זה סודי, אל תערבי את ההנהלה”. דרישה לסודיות היא כמעט תמיד סימן להונאה. הדבר הראשון שעושים כשמרגישים לחץ הוא לספר למישהו. ההונאה מתפרקת ברגע שאדם שני שומע עליה.

לחשוב שרק מבוגרים נופלים. בני נוער נופלים בהונאות “עבודה מהבית”, השקעות בקריפטו וסחיטה מינית מבוססת דיפ-פייק. דברו גם איתם.

להתבייש ולשתוק אחרי שנפלתם. הבושה משרתת רק את הרמאי. דיווח מהיר מגדיל את הסיכוי להחזר ומגן על אחרים.

להסתמך על “בדיקת דיפ-פייק” של AI במקום על תהליך. כאמור, אין כלי שיגיד לכם בוודאות אם שיחה מזויפת. הניתוק והחיוג החוזר כן.

לשים מילת קוד ואז לשכוח לתרגל. מילת קוד שאף אחד לא זוכר במצב לחץ שווה כלום. תרגלו אותה פעם-פעמיים בצחוק, ותכתבו אותה במקום פיזי (לא בטלפון) אצל ההורים המבוגרים.

אם כבר נפלתם: מה עושים בשעה הראשונה

הסדר חשוב, כי לכל דקה יש משמעות:

1. הבנק קודם. התקשרו למוקד החירום של הבנק או חברת האשראי (המספר בגב הכרטיס) ובקשו לעצור או להפוך את ההעברה ולחסום את הכרטיס. העברות בנקאיות לפעמים ניתנות לביטול בשעות הראשונות.
2. החליפו סיסמאות למייל ולכל חשבון שהפרטים שלו נחשפו, והפעילו אימות דו-שלבי אם עוד לא היה.
3. אם נתתם קוד אימות של ווטסאפ או השתלטו על חשבון, הודיעו מיד לאנשי הקשר שלכם בערוץ אחר שהחשבון נפרץ ולא לענות לבקשות ממנו.
4. הגישו תלונה במשטרה (אפשר אונליין) ושמרו את מספר התלונה, הבנק יבקש אותו.
5. תעדו הכול: צילומי מסך, מספרי טלפון, שעות, כתובות. ה-AI יכול לעזור לכם לסדר את זה:

נפלתי בהונאה ואני צריך לכתוב תיאור מסודר לבנק ולמשטרה.
הנה מה שקרה בסדר אקראי: [תארו בחופשיות, גם בבלגן].
סדר את זה לציר זמן ברור עם שעות, ערוצי תקשורת, סכומים ופרטי הרמאי שיש לי.
בסוף, רשום מה עדיין חסר לי ושכדאי לי לאסוף.

סיכום וצ’קליסט התחלה

הרעיון המרכזי של המדריך: אי אפשר יותר לסמוך על העיניים והאוזניים, אז סומכים על תהליך. דחיפות מפעילה השהיה, בקשה מפעילה אימות בערוץ נפרד, וכסף לא זז בלי אישור שני. את ה-AI מגייסים לצד שלכם כדי לנתח הודעות חשודות, אבל לא מצפים ממנו לזהות דיפ-פייק בקול או בווידאו.

צ’קליסט של 15 דקות לעשות היום:

• קבעתם מילת קוד משפחתית ואמרתם אותה בקול לכל בני המשפחה
• הפעלתם אימות דו-שלבי בווטסאפ (הגדרות ← חשבון ← אימות דו-שלבי)
• הפעלתם אימות דו-שלבי במייל הראשי ובבנק
• הפעלתם התראות בזמן אמת מהבנק על כל פעולה
• הוספתם קוד נעילה לשינויים בקו הסלולרי
• שמרתם את הפרומפט לבדיקת הודעות חשודות בהערות בטלפון, מוכן להדבקה
• הדפסתם שלושה כללים ושמתם ליד הטלפון של ההורים: “לנתק ולחייג חזרה”, “לשאול מילת קוד”, “לספר למישהו לפני שמעבירים כסף”
• הפכתם את הפרופילים ברשתות לפרטיים או ניקיתם פרטים אישיים גלויים
• בעסק: הגדרתם אישור כפול על העברות ועל שינוי פרטי בנק של ספקים

צ’קליסט לרגע האמת, כשמגיעה שיחה או הודעה חשודה:

• יש דחיפות? זה סימן להאט, לא למהר
• מבקשים כסף, קוד, סיסמה או סודיות? עוצרים
• מנתקים ומתקשרים בעצמכם למספר שמור
• שואלים את מילת הקוד או שאלה שאין לה תשובה ברשת
• מספרים למישהו נוסף לפני כל פעולה
• מדביקים את ההודעה (בלי פרטים אישיים) ב-ChatGPT, Claude או Gemini לחוות דעת שנייה

ההונאות ימשיכו להשתכלל, אבל ההרגלים האלה לא מתיישנים: הם לא תלויים באיכות הזיוף, אלא בכך שאתם לא נותנים לזיוף להיות הצעד האחרון לפני הפעולה. מדריכים נוספים על שימוש בטוח וחכם ב-AI תמצאו ב-/guides.