הטלפון מצלצל. על הקו הקול של הבן שלך, או של הנכדה, או של אח שגר בחו"ל. הקול נשמע לחוץ: הייתה תאונה, או שהוא נעצר, או שאיבד את הארנק. הוא צריך כסף עכשיו, בהעברה מהירה, ואל תספרו לאף אחד. רק שזה לא הוא. זה קול שנוצר בבינה מלאכותית, מתוך כמה שניות של הקלטה שנלקחו מסרטון ברשת החברתית או מהודעה קולית.
התרחיש הזה כבר לא שייך לסרטי מדע בדיוני. כלים לשיבוט קול ולייצור סרטונים מזויפים זמינים היום לכל אחד, חלקם בחינם, והם הולכים ומשתפרים. ראש מערך הסייבר במשטרת ישראל, נצ"מ דוד כץ, הזהיר שארגוני פשיעה בישראל כבר מאמצים בינה מלאכותית לצורכי התחזות וסחיטה, ושמדובר באיום פעיל ולא תיאורטי. במאי פרסם מערך הסייבר הלאומי אזהרה דחופה על הונאה שהשתמשה בסרטוני דיפפייק של הרב הראשי, הרב דוד יוסף, כדי לפתות אנשים לאתרים מזויפים שגונבים פרטים אישיים ופרטי תשלום.
החדשות הטובות הן שרוב ההונאות האלה, גם המתוחכמות ביותר, נשענות על אותם טריקים פסיכולוגיים ותיקים: לחץ, דחיפות, סודיות ופחד. והחדשות הטובות עוד יותר: יש כמה צעדים פשוטים, שלוקחים פחות משעה, שיכולים להגן על רוב המשפחה מרוב התרחישים. המדריך הזה מסביר מה השתנה, למה זה עובד, ומה בדיוק לעשות.
מה השתנה
בעבר, אפשר היה לזהות הודעת פישינג לפי העברית המשובשת, הלוגו המטושטש או השולח המוזר. בינה מלאכותית מחקה את כל הסימנים האלה. היא כותבת עברית תקינה, מתאימה את הסגנון לנמען, ויכולה לשלב בהודעה פרטים אמיתיים עליך שנאספו מהרשת או מדליפות מידע. בשבועות האחרונים, למשל, דווח על דליפת מידע אצל Amadeus, ספקית מערכות ההזמנות של חברות תעופה רבות, שחשפה מספרי הזמנות, שמות ופרטי טיסות של נוסעים. מידע כזה הוא חומר גלם מושלם להודעה מזויפת שנראית כאילו הגיעה מחברת התעופה.
גם הקול והפנים כבר לא הוכחה. כדי לשבט קול, מספיקות לעיתים כמה שניות של הקלטה. כדי לייצר סרטון מזויף של אדם מוכר, מספיקות כמה תמונות וסרטונים קיימים. התוצאה לא תמיד מושלמת, אבל בשיחת טלפון לחוצה, באמצע הלילה, עם קול שנשמע כמו של מישהו שאתה אוהב, מעטים יעצרו לבדוק את איכות השמע.
שלושת התרחישים הנפוצים
התרחיש הראשון הוא "בן משפחה בצרה": שיחה או הודעה קולית ממי שנשמע כמו קרוב משפחה, עם בקשה דחופה לכסף. התרחיש השני הוא "דמות סמכותית": סרטון או הודעה ממי שנראה כמו ידוען, רב, פוליטיקאי או מנהל בנק, שממליץ על השקעה, על אפליקציה או על קישור. בישראל, משקיעים איבדו מאות אלפי שקלים בהונאה שבה פרסומות מזויפות התחזו לאנשי ציבור כדי לנפח מניה ואז להפיל אותה.
התרחיש השלישי הוא "הגורם הרשמי": הודעה שנראית כמו מהבנק, מחברת האשראי, מדואר ישראל, מחברת התעופה או מגוף ממשלתי, עם קישור לתשלום, לעדכון פרטים או ל"אימות" חשבון. התרחיש הזה ותיק, אבל הבינה המלאכותית הופכת אותו לאמין הרבה יותר, ומאפשרת לתוקפים לשלוח אלפי גרסאות שונות, כל אחת מותאמת לנמען שלה.
עשרה צעדים לסופ״ש הזה
הצעד הראשון והחשוב ביותר: קבעו מילת קוד משפחתית. מילה או משפט שרק בני המשפחה הקרובה מכירים, ושלא מופיעים ברשת. אם מישהו מתקשר בשם בן משפחה ומבקש כסף בדחיפות, שאלו אותו את מילת הקוד. זה נשמע פשוט מדי, אבל זו אחת ההגנות היעילות ביותר נגד שיבוט קול, כי הבינה המלאכותית יכולה לחקות את הקול, אבל לא לדעת סוד שלא נאמר מעולם בפומבי.
הצעד השני: נתקו והתקשרו בחזרה. אם מגיעה שיחה מבהילה, גם ממספר שנראה מוכר, נתקו והתקשרו בעצמכם למספר השמור אצלכם בטלפון. מספרים אפשר לזייף, וזה קורה. שלושים שניות של בדיקה עדיפות על פני העברה שאי אפשר לבטל.
הצעד השלישי: אף פעם לא למסור קודים. הבנק, חברת האשראי, וואטסאפ וגוגל לעולם לא יבקשו מכם להקריא קוד אימות שקיבלתם ב-SMS. בנק ישראל ממליץ במפורש לא למסור קודי אימות או מידע רגיש לאף אחד. מי שמבקש קוד כזה, הוא כמעט תמיד מתחזה.
הצעד הרביעי: הפעילו אימות דו-שלבי בכל מקום שאפשר, ובמיוחד בוואטסאפ, בדוא"ל ובחשבון הבנק. בוואטסאפ זה נמצא בהגדרות, תחת חשבון ואז אימות דו-שלבי, וזה מונע ממישהו להשתלט על החשבון שלכם גם אם הצליח להוציא מכם את הקוד שנשלח ב-SMS. במקומות שמציעים מפתחות גישה (Passkeys), השתמשו בהם. הם קשים הרבה יותר לגניבה מסיסמה.
הצעד החמישי: האטו. כמעט כל הונאה מבוססת על דחיפות. "עכשיו", "תוך שעה", "אחרת החשבון ייחסם". כשמישהו לוחץ עליכם לפעול מהר, זה בדיוק הרגע לעצור. גוף אמיתי ייתן לכם זמן לבדוק.
הצעד השישי: אל תלחצו על קישורים בהודעות. גם אם ההודעה נראית אמינה לגמרי, היכנסו לאתר או לאפליקציה בעצמכם, דרך הדפדפן או האפליקציה הרשמית. אם יש בעיה אמיתית בחשבון, תראו אותה שם.
הצעד השביעי: היזהרו מהמלצות השקעה ברשתות. סרטון של ידוען שממליץ על מניה, על קריפטו או על אפליקציית מסחר הוא כמעט תמיד הונאה, גם אם הוא נראה אמיתי לגמרי. אנשי ציבור אמיתיים לא ממליצים לכם באופן אישי על השקעות בפרסומות בפייסבוק.
הצעד השמיני: דברו עם ההורים. המבוגרים במשפחה הם לא תמיד המטרה היחידה, אבל הם מטרה מועדפת, בין היתר כי הם נוטים יותר לענות לשיחות ממספרים לא מוכרים ולהאמין לקול מוכר. שיחה של רבע שעה, שבה מסבירים להם את התרחישים ומסכמים על מילת הקוד, יכולה לחסוך הרבה כסף והרבה כאב.
הצעד התשיעי: דברו גם עם הילדים. ילדים ובני נוער הם מטרה לסוג אחר של הונאות, כמו סחיטה באמצעות תמונות מזויפות או הצעות "לעבוד מהבית". הם צריכים לדעת שאם משהו כזה קורה, הם יכולים לספר לכם בלי לפחד מעונש. רוב נזקי הסחיטה נגרמים כי הקורבן מתבייש לספר.
הצעד העשירי: דעו לאן לפנות. אם אתם חושדים בהונאה, או נפלתם בה, פנו מיד לבנק או לחברת האשראי כדי לנסות לעצור את ההעברה, ודווחו למערך הסייבר הלאומי במוקד 119 ולמשטרה. מהירות התגובה חשובה: לפעמים אפשר לעצור העברה אם פונים בתוך דקות או שעות.
ומה עם מה שאנחנו מפרסמים? אין צורך להיעלם מהרשת, אבל כדאי לחשוב רגע לפני שמעלים סרטונים ארוכים שבהם מדברים ישירות למצלמה, או הודעות קוליות לקבוצות פתוחות. כדאי גם לבדוק את הגדרות הפרטיות בפייסבוק, באינסטגרם ובטיקטוק, ולהגביל את מי שרואה את רשימת החברים ואת פרטי המשפחה. ככל שלתוקף יש פחות מידע עליכם, כך יהיה לו קשה יותר לבנות סיפור משכנע.
ומי שמנהל עסק, גם קטן, צריך לדעת שהוא מטרה מועדפת. הונאת "המנכ"ל המזויף", שבה עובד מקבל שיחה או הודעה מ"המנהל" שמבקש העברה דחופה לספק חדש, קיימת שנים, אבל עם קול משובט היא משכנעת הרבה יותר. הכלל פשוט: כל בקשה להעברת כסף או לשינוי פרטי חשבון בנק של ספק מאומתת בשיחה חוזרת למספר מוכר, ורצוי גם באישור של אדם שני. שום מנהל אמיתי לא ייעלב מבדיקה כזו.
והכי חשוב
אין צורך להיכנס לפאניקה. רוב השיחות וההודעות שאתם מקבלים הן אמיתיות, ורוב האנשים לא ייפלו קורבן להונאה מתוחכמת. אבל העולם השתנה, והאינסטינקט הישן, "אני מכיר את הקול הזה, אז זה בטח הוא", כבר לא מספיק. ההגנה הטובה ביותר היא לא טכנולוגיה, אלא הרגל: לעצור, לבדוק, ולשאול שאלה שרק האדם האמיתי יודע לענות עליה. שווה להקדיש לזה את ארוחת שישי הקרובה.
