הודעות SMS מזויפות: איך מזהים עוקץ ומה עושים אם כבר לחצתם על הקישור

עודכן ב-29 באוקטובר 2026

סמישינג (smishing) הוא פישינג בהודעות טקסט: הודעת SMS או וואטסאפ שמתחזה לדואר ישראל, לכביש 6, לבנק, לביטוח לאומי או לבן משפחה, ומנסה לגרום לכם ללחוץ על קישור, לשלם סכום קטן או למסור קוד. כדי להתגונן, אל תשתמשו בקישורים ובמספרי הטלפון שמופיעים בהודעה שלא ציפיתם לה. בדקו מול הגוף עצמו: באפליקציה הרשמית, באתר הרשמי או במספר שאתם כבר מכירים. אם כבר הזנתם פרטי אשראי או שילמתם, התקשרו קודם כול לחברת כרטיס האשראי או לבנק.

הודעה כזו מגיעה בין הודעות מאנשים שאתם מכירים, ולכן קל ללחוץ עליה לפני שעוצרים לחשוב.

התסריטים הנפוצים

• דואר ישראל. חבילה ממתינה, חסר מספר רחוב בכתובת או מכס של כמה שקלים, עם קישור לאתר שנראה כמו האתר של הדואר. בספטמבר 2023, למשל, נשלחה הודעה כזו לאלפי ישראלים, עם קישור מקוצר לאתר מתחזה שביקש פרטי אשראי, ודואר ישראל הבהיר שתשלומים מתבצעים רק באזור האישי באתר הרשמי.
• כביש 6. דרישה לשלם חוב על נסיעה בכביש, עם קישור לאתר מתחזה. ביוני 2026 הזהיר מערך הסייבר הלאומי מהודעות כאלה, שהופיעו אפילו בתוך שרשרת ההודעות של GOV.IL, והבהיר שלא נשלחו מטעם המדינה. חיובים בודקים רק באתר או באפליקציה הרשמיים של כביש 6.
• חברת החשמל. ביולי 2026 הזהירה חברת החשמל מהודעות שמבטיחות החזר כספי דרך קישור חיצוני, והבהירה שאין ללחוץ עליו ואין למסור בו פרטים אישיים או פרטי אשראי.
• ביטוח לאומי. באפריל 2026 הזהיר מערך הסייבר מהודעות על מסלול פיצויים מיוחד שכללו את השם המלא ואת מספר תעודת הזהות של הנמען, כנראה ממאגרים שדלפו בעבר. הודעה אמיתית מהביטוח הלאומי מגיעה מהשולח BituahLeumi, הקישורים בה מסתיימים ב-gov.il, והמוסד לא מבקש פרטי אשראי כדי להעביר תשלומים.
• בנקים וחברות כרטיסי אשראי. הודעה על חיוב חשוד או על כרטיס שנחסם, עם קישור לאתר שמתחזה לבנק או מספר לחזרה. בנק ישראל, המשטרה ומשרד התקשורת מנו באפריל 2026 את ההונאות ב-SMS ואת האתרים המתחזים לבנקים בין דפוסי ההונאה המרכזיים.
• משטרה ודוחות תנועה. הפרת תנועה שלא שולמה וקישור לתשלום. ביולי 2026 המליצה המשטרה לא להיכנס לקישור ולמחוק את ההודעה. לפי המשטרה, דוחות תנועה נשלחים בדואר רשום לכתובת של בעל הרכב, ולא ב-SMS.
• פיקוד העורף ואפליקציות חירום. במרץ 2026 הזהיר מערך הסייבר מהודעות שהתחזו לפיקוד העורף וקישרו להורדת אפליקציה לשהייה במקלטים, שהיא בעצם נוזקה. את האפליקציה הרשמית של פיקוד העורף מורידים רק מחנות האפליקציות של הטלפון.
• חבר שמבקש כסף בוואטסאפ. נוכלים משתלטים על חשבון וואטסאפ אחרי שבעליו מסר להם את קוד האימות בן שש הספרות, ואז כותבים בשמו לחברים ולקבוצות ומבקשים כסף בדחיפות. ב-mako תוארו מקרים כאלה, ובהם בקשה להפיק קוד למשיכת מזומן באפליקציית הבנק.

אותם תסריטים מגיעים גם על נייר, כקוד QR על פתק או על דוח שהושאר על השמשה. על כך כתבנו במדריך לקודי QR מזויפים.

סימני אזהרה

סימן אחד לבדו לא מוכיח שמדובר בהונאה, אבל כל אחד מהם הוא סיבה לעצור ולבדוק.

• לא ציפיתם להודעה, והיא מגיעה ממספר לא מוכר או מחו"ל. גם שם שולח מוכר אינו הוכחה: אפשר לזייף אותו, והודעה מזויפת יכולה להופיע באותה שרשרת עם הודעות אמיתיות.
• הקישור מקוצר, כך שאי אפשר לראות לאן הוא מוביל, או ששם האתר דומה לאמיתי אבל לא זהה לו.
• מבקשים סכום קטן כדי לשחרר חבילה או כדי להימנע מקנס. הסכום הקטן מרדים את החשדנות, והמטרה האמיתית היא פרטי האשראי.
• יש לחץ לפעול מיד: חוב שיועבר להוצאה לפועל, חשבון שייחסם, חבילה שתוחזר לשולח.
• מבקשים קוד אימות. קוד כזה מקלידים רק באפליקציה או באתר של הגוף עצמו, ואף פעם לא מוסרים אותו לאחרים.
• מבקשים להתקין אפליקציה. התקינו אפליקציות רק מחנות האפליקציות הרשמית של הטלפון.
• ההודעה כוללת את השם או את מספר הזהות שלכם. זה לא מוכיח שהיא אמיתית: פרטים כאלה דלפו ממאגרים רבים.

איך בודקים הודעה לפני שלוחצים

בלי שום אפליקציה

1. אל תלחצו על הקישור ואל תתקשרו למספר שמופיע בהודעה.
2. קראו בעיון את שם האתר (הדומיין) בקישור. הוא מסתיים לפני הלוכסן הבודד הראשון, ומה שקובע הוא הסוף שלו: בדרך כלל שני החלקים האחרונים, או שלושה בסיומות כמו .co.il ו-.gov.il. בכתובת https://israelpost.co.il.parcel.example/pay האתר הוא parcel.example ולא האתר של דואר ישראל: כל אחד יכול להוסיף מילים מוכרות בהתחלה.
3. קישור מקוצר מסתיר את שם האתר לגמרי. התייחסו אליו כאל קישור לא ידוע, לא כאל קישור בטוח.
4. פנו לגוף בעצמכם: באפליקציה שלו, באתר שאתם מכירים או במספר שמופיע על הכרטיס או על החשבון. אם ההודעה אמיתית, תמצאו שם את אותו עדכון.
5. אם חבר או בן משפחה מבקשים כסף בדחיפות, או כותבים ממספר חדש, התקשרו אליהם למספר שאתם מכירים לפני שאתם מעבירים משהו.

איך קוראים כתובת אתר, איך מזהים דומיין מתחזה ובאילו כלים חינמיים אפשר לבדוק קישור חשוד, הסברנו במדריך איך לבדוק אם קישור בטוח.

עם אפליקציה לבדיקת קישורים

האפליקציה שלנו, LinkShield לאנדרואיד, תעלה בקרוב ל-Google Play. משתפים אליה קישור או מדביקים אותו בה, והיא בודקת את מבנה הקישור, מחפשת בו סימני סיכון ומשווה אותו לרשימות מובנות של אתרי פישינג ונוזקות ידועים, הכול על הטלפון. היא גם שואלת את שירות ה-DNS המוצפן של Quad9, ועבור משתמשי Pro גם את Google Web Risk, דרך שרת שאנחנו מפעילים ואינו שומר את הכתובת. היא לא קוראת את ההודעות שלכם: אתם בוחרים איזה קישור לבדוק.

אף בודק לא תופס הכול. ייתכן שאתר שהוקם לפני שעה עוד לא מופיע באף רשימה, ולכן תוצאה נקייה אומרת רק שהקישור לא תאם אף איום ידוע בזמן הבדיקה. כשהודעה מבקשת כסף, ההרגלים שתיארנו למעלה עדיין קודמים לכול.

אם כבר לחצתם על הקישור

פתיחת הדף לבדה בדרך כלל לא גורמת נזק. מה שחשוב הוא מה עשיתם אחר כך. אם הזנתם פרטים, שילמתם, מסרתם קוד או התקנתם משהו, פעלו מהר, לפי הסדר הזה:

1. פרטי אשראי או תשלום: התקשרו לחברת כרטיס האשראי או לבנק, במספר שמופיע על גב הכרטיס או באפליקציה הרשמית. בקשו לחסום את הכרטיס ולהכחיש את העסקה.
2. קוד אימות: ייתכן שמישהו מתחבר לחשבון שלכם ממש עכשיו. היכנסו דרך האפליקציה הרשמית, החליפו סיסמה והתנתקו ממכשירים אחרים. בוואטסאפ, בדקו במכשירים מקושרים שאין מכשיר שאתם לא מזהים.
3. סיסמה: החליפו אותה באתר האמיתי ובכל חשבון אחר שבו השתמשתם בה, והפעילו אימות דו-שלבי בדוא"ל, בבנק ובוואטסאפ.
4. אפליקציה שהתקנתם: הסירו אותה, ובדקו בהגדרות הטלפון אם יש אפליקציות שאתם לא מזהים, או אפליקציות שקיבלו הרשאת נגישות שלא התכוונתם לתת.
5. עקבו אחרי פירוט החיובים בחודשים הקרובים, וחפשו חיובים שלא ביצעתם.
6. דווחו. דיווח עוזר לעצור את אותה הודעה לפני שאנשים נוספים ייפלו בפח.

לאן מדווחים על הודעה מזויפת

• מוקד 119 של מערך הסייבר הלאומי פועל בכל שעות היממה ומקבל דיווחים על פישינג ועל הודעות מתחזות. אפשר גם לשלוח את ההודעה בוואטסאפ לבוט של המערך, במספר 050-6251119, או לדווח באתר gov.il. צרפו צילום מסך של ההודעה ואת הקישור שהופיע בה.
• אם נגרם לכם נזק כספי, הגישו תלונה במשטרה, בתחנה או בבקשה מקוונת.
• עדכנו את הגוף שההודעה התחזתה אליו, דרך האתר הרשמי שלו, כדי שיוכל להזהיר לקוחות אחרים.
• חסמו את השולח. בוואטסאפ אפשר גם לדווח עליו מתוך האפליקציה.

שאלות ותשובות

פתיחה של הודעת SMS מזויפת יכולה לפרוץ לטלפון?

קריאת ההודעה לבדה כמעט אף פעם לא פוגעת בטלפון. הסיכון מתחיל כשלוחצים על הקישור ואז מזינים פרטים, משלמים או מתקינים משהו. את הפרצות הנדירות שמנוצלות נגד יעדים מסוימים סוגרים עדכוני מערכת, ולכן כדאי להתקין אותם בזמן.

לחצתם על הקישור ולא הקלדתם כלום. יש סיבה לדאגה?

כנראה שלא. סגרו את הדף ומחקו את ההודעה. אם הדף הוריד קובץ, מחקו אותו בלי לפתוח, ובדקו שלא נוספה לטלפון אפליקציה חדשה.

איך הנוכלים השיגו את המספר שלכם, ואפילו את מספר הזהות?

בדרך כלל אף אחד לא בחר דווקא בכם: הודעות כאלה נשלחות בכמויות לרשימות ארוכות של מספרים, וחלק מהרשימות מגיעות ממאגרים שדלפו, ולכן ההודעה יכולה לכלול גם את השם ואת מספר הזהות שלכם.

כדאי להשיב הסר?

לא להודעה חשודה. תשובה רק מאשרת לנוכלים שמישהו קורא את ההודעות במספר הזה. הסר מתאים להודעות פרסומת מעסק שאתם מכירים ונרשמתם אליו. על הודעה חשודה דווחו, חסמו את השולח ומחקו את ההודעה.

ההודעה הופיעה באותה שרשרת עם הודעות אמיתיות. זה אומר שהיא אמיתית?

לא בהכרח. אפשר לזייף את שם השולח, ולכן הודעה מזויפת יכולה להופיע לצד הודעות אמיתיות, כמו שקרה בהודעות על כביש 6. שפטו את ההודעה לפי מה שהיא מבקשת מכם לעשות, ובדקו דרך האפליקציה או האתר הרשמיים.