"שלחתי לך קוד בטעות": כך גונבים לכם את הוואטסאפ

מגיעה אליכם הודעת SMS עם קוד בן שש ספרות שלא ביקשתם, וכמעט באותו רגע הודעה מחבר, ממישהו בקבוצת ההורים של בית הספר או מ"טכנאי של וואטסאפ": "סליחה, שלחתי לך קוד בטעות, תוכל להעביר לי אותו?". זה נראה כמו טובה קטנה ולא חשובה, אבל הקוד הזה הוא המפתח לחשבון שלכם. אם תשלחו אותו, מישהו אחר ירשום את מספר הוואטסאפ או הטלגרם שלכם בטלפון שלו, אתם תאבדו את הגישה, והנוכל יתחיל לכתוב לכל אנשי הקשר שלכם בהתחזות אליכם. הכלל פשוט ואין לו יוצאים מן הכלל: קוד אימות לא משתפים אף פעם, עם אף אחד.

איך מתבצעת ההשתלטות על החשבון?

וואטסאפ וטלגרם מזהים את החשבון שלכם לפי מספר הטלפון. כשמישהו מתקין את האפליקציה בטלפון חדש ומקליד מספר, השירות שולח קוד ב-SMS (או בשיחה, או בתוך האפליקציה עצמה) לטלפון של בעל המספר, כדי לוודא שהמספר שייך לו. הנוכל צריך בדיוק את מה שהגיע אליכם עכשיו.

התסריט בדרך כלל מתנהל כך:

1. הנוכל מקליד את המספר שלכם בטלפון שלו ומתחיל את ההרשמה. אתם מקבלים את ה-SMS הרשמי עם הקוד.
2. הוא כותב לכם כדי לבקש אותו. פעמים רבות מהחשבון של איש קשר אמיתי שכבר נגנב, ולכן ההודעה מגיעה ממישהו שאתם סומכים עליו. במקרים אחרים הוא מציג את עצמו כתמיכה של וואטסאפ, כמארגן של הגרלה או הצבעה, או כמי ש"טעה במספר".
3. הוא לוחץ. "זה דחוף", "יחסמו לי את החשבון", "זה רק רגע".
4. אם תשלחו לו את הקוד, החשבון עובר לטלפון שלו. הוואטסאפ שלכם מתנתק, ולעיתים קרובות הוא מפעיל אימות דו-שלבי משלו כדי שלא תוכלו לשחזר את החשבון בקלות.
5. הוא משתמש בזהות שלכם. הוא כותב לאנשי הקשר ולקבוצות שלכם ומבקש כסף דחוף, העברה בנקאית או תשלום מיידי (בספרד לרוב דרך Bizum, שירות תשלומים מקומי בנייד; בישראל למשל דרך ביט או פייבוקס) או, שוב, "את הקוד ששלחתי לך בטעות". כך השרשרת ממשיכה.

מהם סימני האזהרה?

• מגיע אליכם קוד שלא ביקשתם. זה הסימן הברור ביותר: מישהו מנסה להיכנס לחשבון שלכם.
• ב-SMS כתוב במפורש לא לשתף אותו. ההודעות הרשמיות של וואטסאפ, טלגרם, הבנק שלכם וכמעט כל שירות מזהירות מכך.
• מבקשים אותו בצ'אט, גם אם זה חבר. אף אחד לא יכול לשלוח לכם "בטעות" קוד של החשבון שלו: קודים תמיד מגיעים למספר שנרשם.
• "התמיכה הטכנית" כותבת לכם. וואטסאפ וטלגרם לא יבקשו מכם קוד בצ'אט, ב-SMS או בטלפון.
• יש לחץ זמן או תירוץ מוזר: הגרלה, הצבעה, חשבון ש"עומד להיחסם".

מה אני עושה עכשיו אם מבקשים ממני את הקוד?

1. אל תעבירו את הקוד ואל תקריאו אותו בטלפון. אפילו לא חלק ממנו.
2. בדקו בערוץ אחר. אם ההודעה הגיעה מאיש קשר, התקשרו אליו למספר הרגיל או שאלו אותו פנים אל פנים. סביר מאוד שהחשבון שלו כבר נגנב; עדכנו אותו.
3. הפעילו עכשיו אימות דו-שלבי (נסביר בהמשך איך). כך, גם אם מישהו ישיג קוד, הוא יצטרך גם קוד PIN שרק אתם מכירים.
4. חסמו ודווחו על הצ'אט מתוך האפליקציה. אם ההודעה הגיעה ממספר לא מוכר, אפשר לדווח עליו גם במאגר מספרי הספאם.
5. הזהירו את האחרים: אם מישהו מתחזה דרך החשבון של חבר, ספרו על כך בקבוצה המשותפת שלכם כדי שאף אחד נוסף לא ייפול בפח.

איך מפעילים אימות דו-שלבי?

זה האמצעי שמגן הכי טוב מפני ההונאה הזו, וההפעלה לוקחת דקה:

• וואטסאפ: הגדרות חשבון אימות דו-שלבי הפעלה. בחרו קוד PIN בן שש ספרות שאינכם משתמשים בו בשום מקום אחר, והוסיפו כתובת אימייל כדי שתוכלו לאפס אותו אם תשכחו.
• טלגרם: הגדרות פרטיות ואבטחה אימות דו-שלבי. צרו סיסמה והוסיפו אימייל לשחזור.

גם את ה-PIN או את הסיסמה האלה אל תשתפו. התפריטים עשויים להשתנות מעט לפי גרסת האפליקציה, אבל האפשרות תמיד מופיעה בשם הזה. נצלו את ההזדמנות לבדוק את המכשירים המקושרים (בוואטסאפ: הגדרות מכשירים מקושרים; בטלגרם: הגדרות מכשירים) ולסגור כל הפעלה שאינכם מזהים.

ומה אם כבר שלחתי את הקוד?

פעלו מהר. ככל שתקדימו, יהיה קל יותר לשחזר את החשבון:

1. רשמו מחדש את המספר שלכם בטלפון שלכם. פתחו את וואטסאפ, הקלידו את המספר ואמתו אותו עם הקוד החדש שיגיע אליכם ב-SMS. כך ההפעלה של הנוכל נסגרת.
2. אם האפליקציה מבקשת PIN שאינכם מכירים, הנוכל הפעיל אימות דו-שלבי משלו. הוא לא יוכל למנוע מכם לשחזר את החשבון לנצח: אחרי תקופת המתנה של כמה ימים, וואטסאפ מאפשרת לרשום אותו מחדש בלי ה-PIN הזה. בינתיים, כתבו לתמיכה מתוך האפליקציה (הגדרות עזרה) והסבירו שהחשבון שלכם נגנב.
3. בטלגרם, היכנסו עם המספר שלכם, עברו להגדרות מכשירים והקישו על "סיום כל ההפעלות האחרות". לאחר מכן הגדירו סיסמת אימות דו-שלבי.
4. הזהירו את אנשי הקשר בדרך אחרת (SMS, שיחה, רשתות חברתיות או דרך בני משפחה): "גנבו לי את הוואטסאפ, התעלמו מכל הודעה ממני שמבקשת כסף או קודים".
5. אם הקוד הגיע מהבנק שלכם או מאפליקציית תשלומים, התקשרו מיד למספר הרשמי של הבנק (זה שמופיע על גב הכרטיס או באתר הבנק) כדי לחסום פעולות.
6. שמרו ראיות: צילומי מסך של ההודעות, המספר שפנה אליכם והשעה.

איפה מתלוננים ומי יכול לעזור?

• משטרה: בספרד, Policía Nacional (‏091) או Guardia Civil (‏062); במדינות אחרות, המשטרה במדינה שלכם. הגישו תלונה עם צילומי המסך, במיוחד אם התחזו אליכם או שמישהו הפסיד כסף. העובדה ששלחתם את הקוד לא הופכת אתכם לאשמים: אתם קורבנות של הטעיה.
• סיוע בסייבר: בספרד, קו 017 של INCIBE הוא קו סיוע חינמי וחסוי שמדריך צעד אחר צעד בשחזור החשבון ובאבטחת המכשירים, ומשרד אבטחת גולשי האינטרנט (OSI) של INCIBE מפרסם מדריכים להגדרה בטוחה של וואטסאפ וטלגרם. במדינות אחרות, פנו לגוף הסייבר הלאומי (בישראל, למשל, מערך הסייבר הלאומי).
• 112: רק במקרה חירום או איום מיידי (או מספר החירום המקומי במדינה שלכם).

אם ביקשו כסף מאנשי הקשר שלכם בשמכם, קראו גם איך פועלת הונאת "הילד בצרה" בוואטסאפ: זהו ההמשך הרגיל של הגניבה הזו.

שאלות נפוצות

קיבלתי קוד שלא ביקשתי, אבל לא נתתי אותו לאף אחד. אני בסכנה? לא. בלי הקוד הם לא יכולים להיכנס. זה אומר שמישהו ניסה את המספר שלכם; התעלמו מה-SMS, אל תענו למי שמבקש אותו והפעילו אימות דו-שלבי.

חבר אמיתי ביקש ממני, איך זו יכולה להיות הונאה? כי מי שכותב כנראה אינו החבר שלכם, אלא מי שגנב לו את החשבון. התקשרו אליו לפני שאתם עושים משהו.

הם יכולים לקרוא את השיחות הישנות שלי? באופן כללי, ברישום החשבון בטלפון חדש הצ'אטים הישנים שלכם לא יורדים, אלא אם יש להם גישה לגיבוי שלכם. מה שהם כן יכולים לעשות הוא לכתוב בשמכם ולראות הודעות חדשות שמגיעות כל עוד הם שולטים בחשבון.

יש טעם להחליף מספר? אין צורך. מספיק לשחזר את החשבון ולהפעיל אימות דו-שלבי.

בקיצור

קוד שמגיע ב-SMS שייך לכם ולאף אחד אחר: לא לחברים, לא ל"תמיכה טכנית" ולא להגרלות. אם מבקשים אותו, אל תשלחו, בדקו בערוץ אחר והפעילו אימות דו-שלבי. אם כבר שלחתם, רשמו מחדש את המספר, הזהירו את אנשי הקשר והגישו תלונה. ואם הניסיון הגיע ממספר לא מוכר, דווחו עליו במאגר מספרי הספאם של NoCall כדי שאחרים יזהו אותו בזמן.