מתחזים לשרית חדד: העוקץ החדש שמרוקן חשבונות בנק

קמפיין פישינג חדש שעולה בימים האחרונים ברשתות החברתיות מנצל את שמה של הזמרת שרית חדד כדי לגנוב פרטי חשבונות בנק מגולשים תמימים. הפוסטים, שנוצרו באמצעות בינה מלאכותית, מזמינים את הגולשים לרכוש כרטיסים למופע מיוחד של הזמרת, אך מובילים בפועל לאתר מזויף שמטרתו אחת: לשאוב מידע פיננסי רגיש.

אופן הפעולה של העוקץ מתוחכם ומדויק. מי שנכנס לאתר המזויף מתבקש להשאיר פרטים אישיים לכאורה לצורך רכישת הכרטיסים. בשלב הבא, "נציג" חוזר לקורבן בטלפון ומבקש אישור פרטים, ולעיתים אף קוד אימות חד-חדשי שמתקבל ב-SMS בזמן אמת. באמצעות אותו קוד, התוקפים משתלטים על חשבון הבנק של הקורבן ומרוקנים אותו.

מתן גידיניאן, מייסד אפליקציית Fisherman למניעת הונאות וספאם, הזהיר מהתופעה וציין כי אינה חדשה. "ראינו כבר מתקפה כזאת בעבר כשאייל גולן היה המוקד, וכעת שרית חדד ובנק לאומי", אמר גידיניאן. לדבריו, "חשוב מאוד לא ללחוץ על הלינק, לא להשאיר פרטי אשראי ולא לשתף קודים שמגיעים ב-SMS עם אף אחד".

לצד הקמפיין המזויף שמתחזה למופע של שרית חדד, נרשמו בתקופה האחרונה גם קמפיינים דומים המתחזים לבנק לאומי, וכן ניסיון הונאה נוסף שהתבסס על כרטיסים כביכול להופעה של הזמר אייל גולן. המשותף לכל המקרים הוא השימוש בדמויות ציבוריות מוכרות ומוערכות כפיתיון, מה שמקנה לאתרים המזויפים אמינות מיידית בעיני הקורבנות הפוטנציאליים.

הונאות הפישינג הפכו בשנים האחרונות לשיטת הפעולה הנפוצה ביותר בקרב האקרים ברחבי העולם. הסיבה לכך פשוטה: השיטה מאפשרת השגה מהירה ויעילה של מידע רגיש ממספר רב של קורבנות בזמן קצר, בעיקר בזכות התחזות לגורמים מוכרים ואמינים כמו בנקים, גופים רשמיים או אמנים פופולריים.

הבינה המלאכותית, שבעבר שימשה בעיקר ליצירת תוכן שיווקי לגיטימי, הופכת כלי מרכזי גם בידי גורמי הונאה. באמצעותה ניתן לייצר במהירות ובעלות נמוכה פוסטים משוכנעים, תמונות ואף עמודי אינטרנט שנראים אמינים למראה, מה שמקשה על הגולש הממוצע להבחין בין תוכן אמיתי לזיוף.

מומחי סייבר ממליצים על כמה כללי זהב פשוטים שיכולים למנוע פגיעה כלכלית משמעותית: לא ללחוץ על קישורים המגיעים מפוסטים או הודעות לא מוכרות, לא למסור פרטי אשראי או פרטים אישיים באתרים חדשים ולא מוכרים, ובשום מקרה לא לשתף קוד אימות שמתקבל ב-SMS עם אף גורם, גם אם הוא מציג את עצמו כנציג רשמי של חברה או בנק.

בנקים וחברות סליקה מדגישים כי נציג רשמי מטעמם לעולם לא יבקש מלקוח למסור קוד אימות טלפוני. כל בקשה כזו, יהיו הנסיבות מה שיהיו, מהווה סימן אזהרה ברור להונאה. מי שנתקל בפוסט או בהודעה חשודה מתבקש לא להגיב לה ולדווח עליה לפלטפורמה הרלוונטית.

עם התרבות המקרים בהם דמויות ציבוריות מנוצלות ללא ידיעתן לצורכי הונאה, צפוי כי גופי אכיפה ורשתות חברתיות יידרשו להגביר את המעקב אחר קמפיינים חשודים המתבססים על תוכן שנוצר באמצעות בינה מלאכותית. בשלב זה, האחריות למניעת נפילה בפח נותרת בעיקר בידי הגולשים עצמם.