באוקטובר 2024 קיבל עובד בחברת השקעות בניו יורק הודעה בשם המנכ"ל של החברה: "אנחנו צריכים לצרף אותך לעסקה שאנחנו עובדים עליה". אחר כך הגיעה שיחה, ובה הקול של המנכ"ל. העובד אישר העברה של 2.85 מיליון דולר, ומחלקת התפעול של החברה עצרה אותה. זה היה המקרה שבו ההונאה לא עבדה.

מה קרה

בבית המשפט הפדרלי במנהטן נפתח השבוע כתב אישום נגד שלושה: ג'ייקוב סואל בן ה-41, שחי בספרד ובבריטניה, שרון חזן בן ה-54 מישראל, וגיא שטרית בן ה-42, ישראלי שמתגורר גם באיחוד האמירויות. לפי התביעה האמריקאית גרפה החוליה יותר מ-129 מיליון דולר מחברות בכל העולם.

השיטה, לפי כתב האישום, לא כללה פריצה לשום חשבון בנק. התוקפים בחרו עובדים שמוסמכים להעביר סכומים גדולים, שלחו אליהם מסמכים דרך פלטפורמות חתימה דיגיטלית מוכרות כמו DocuSign, ואז התקשרו. בשיחות הם השתמשו בבינה מלאכותית כדי לחקות את הקול של המנכ"ל, ובחלק מהמקרים גם את הפנים בשיחת וידאו. כשהעובד ביקש אישור נוסף, הפנו אותו לעורכי דין במשרד בינלאומי גדול, שגם הם היו מתחזים. לסוג ההונאה הזה קוראים BEC, קיצור של Business Email Compromise, ובעברית הונאת מנכ"ל.

בין הקורבנות שמופיעים בכתב האישום יש רשת בתי חולים במיזורי שהעבירה כ-4.83 מיליון דולר, חברת פינטק בריטית עם 11.58 מיליון, בנק ברוד איילנד עם 2.68 מיליון ויצרנית מזון לחיות מחמד בפלורידה עם 5.24 מיליון. הכסף נדד בין חשבונות בתשע מדינות, מספרד ופורטוגל ועד סינגפור וסין, ומשם הומר למטבעות קריפטו.

פרט אחד מהחקירה מראה כמה מתוכננת הייתה העבודה. לפי התביעה נתפס דף הנחיות בכתב יד בשם "Lawyer Call", ובו נכתב למתחזים לטעון שהחברה הנרכשת נסחרת בבורסה, כדי להרחיק שאלות על מסחר במידע פנים, ושהסכמי הסודיות עדיין לא נחתמו.

שלושת הנאשמים נעצרו בחודשים האחרונים, סואל בספרד ביוני, חזן בספרד באוגוסט ושטרית בבריטניה בספטמבר, ובקשות ההסגרה לארצות הברית תלויות ועומדות. כל אחד מהם מואשם בשבעה אישומים, בהם קשירת קשר להונאה באמצעי תקשורת, גניבת זהות בנסיבות מחמירות והלבנת הון. אלה אישומים בלבד, ושלושת הנאשמים בחזקת חפים מפשע עד שיוכח אחרת.

למה זה חשוב לכם

הקול והפנים הפסיקו להיות הוכחת זהות. עד לא מזמן, שיחה שבה זיהיתם את הקול של הבוס או ראיתם את הפנים שלו נחשבה לאימות סביר, והיום מספיקות דקות של הקלטה כדי לייצר קול משכנע. ההונאה הזאת לא דרשה אפילו חולשה טכנית אחת.

וזה לא נשאר בעולם העסקי. אותו כלי שמחקה קול של מנכ"ל מחקה גם קול של בן משפחה שמבקש כסף בדחיפות, ומערך הסייבר הלאומי התריע בסוף אוקטובר על שיחות מתחזות שכל מטרתן ללחוץ אנשים לפעול בלי לבדוק.

מה עושים?

אל תתייחסו לקול או לווידאו כאימות. כשמגיעה בקשה כספית חריגה, אמתו אותה בשיחה חוזרת למספר שאתם מכירים מראש, ולא למספר שממנו פנו אליכם.

בעבודה, דרשו אישור של שני אנשים לכל העברה חריגה ולכל שינוי של פרטי בנק. זה בדיוק הנוהל שעצר את ההעברה של 2.85 מיליון הדולר בניו יורק.

התייחסו לדרישת הסודיות כאל סימן אזהרה. בקשה לא לשתף קולגות, יחד עם לחץ לסגור מהר, היא התבנית שחוזרת בכל אחד מהמקרים האלה.

בבית, קבעו עם המשפחה שאלה או מילת קוד שרק אתם יודעים, לכל שיחה שבה מישהו מבקש כסף בדחיפות.

אין פה חולשה שאפשר לסגור בעדכון. ההגנה היחידה היא נוהל שמחייב בדיקה שנייה לפני שהכסף יוצא.