"צהריים טובים, מדבר [שם] מטעם צוות אבטחת החשבונות של גוגל, בקו מוקלט. האם אני מדבר עם לארי בויילס?" זה לא תמליל של שיחה שהוקלטה. זה הטקסט שהופיע בתוך מודעת דרושים בטלגרם, שחיפשה אנשים שיתקשרו לאנשים אמיתיים ויגידו אותו.

מה קרה

אנליסטים של חברת Trellix מצאו את המודעה בחודש אוגוסט בערוץ טלגרם שנקרא UK Fraudsters, ופרסמו אותה בסדרה שבה הם חושפים ומלעיגים על טעויות של עבריינים ברשת. המודעה חיפשה גברים ונשים לתפקיד "Mail Callers", דרשה מועמדים מארצות הברית או מקנדה עם מבטא מקומי, וקבעה בהדגשה תנאי אחד: אסור להקריא מתסריט. שתי שורות אחר כך היא הדפיסה את התסריט.

הטכניקה עצמה פשוטה, וזה בדיוק כוחה. מתקשרים אליכם, מציגים את עצמם כגורם שאתם סומכים עליו, ומשכנעים אותכם למסור קוד, סיסמה או אישור בזמן אמת, בעודכם על הקו. לשיטה הזאת קוראים vishing, פישינג שנעשה בשיחת טלפון. התוספת "בקו מוקלט" היא זו שעושה את העבודה בתסריט הזה: חברות אמיתיות באמת אומרות את זה, ולכן היא נשמעת כמו נוהל ולא כמו הונאה. האנליסטים של Trellix העירו שבקרת האיכות של המגייס אמינה בדיוק כמו צוות גוגל שהוא מתחזה אליו.

מעבר לבדיחה, המודעה מראה שיש כאן שוק עבודה מסודר. דוברי אנגלית ילידית הם מהכישורים המבוקשים בפורומים הפליליים, וחברת ReliaQuest דיווחה שמספר מודעות הדרושים שמחפשות אותם יותר מהוכפל בין 2024 ל-2025. ה-FBI מדווח שההפסדים מהונאות אינטרנט ב-2025 הגיעו ל-20.87 מיליארד דולר, לפי תלונות שהוגשו לו. וגוגל מדווחת שהפישינג הטלפוני זינק בשנה החולפת למקום השני ברשימת הדרכים שבהן תוקפים משיגים דריסת רגל ראשונה בארגון, ולמקום הראשון כשמדובר בפריצה לסביבות ענן.

למה זה חשוב לכם

המודעה הזאת חיפשה דוברי אנגלית לשיחות לארצות הברית ולקנדה, ולא לישראל, וכדאי לומר את זה במפורש. מה שכן עובר בין שפות הוא התבנית: שיחה יזומה, מישהו שנשמע כמו נציג רשמי, ולחץ לפעול עכשיו. חשבון גוגל הוא אצל רובנו גם תיבת הדואר וגם המקום שמשחזר סיסמאות של כל שאר השירותים, כך שמי שמקבל אליו גישה מקבל מפתח לשאר הבית.

מה עושים?

שיחה שמציגה את עצמה כ"צוות האבטחה" של גוגל, של הבנק או של חברת האשראי היא הסימן לעצור. נתקו, וחייגו בעצמכם למספר שמופיע באתר הרשמי או על גב הכרטיס. גוגל אינה מתקשרת ביוזמתה לדבר איתכם על אבטחת החשבון.

קוד אימות לא נמסר בטלפון, לאף אחד. אם מישהו בשיחה מבקש את הקוד שקיבלתם ב-SMS או באפליקציה, זו הונאה, בלי יוצא מן הכלל.

עברו בחשבון גוגל לכניסה עם passkey או עם מפתח אבטחה פיזי במקום קוד חד-פעמי. את אלה אי אפשר להכתיב בטלפון, ולכן שיחה כזאת פשוט לא מגיעה לשום מקום.

אם כבר מסרתם משהו, שנו סיסמה מיד, ואז היכנסו להגדרות חשבון גוגל ובדקו את רשימת המכשירים המחוברים. כל מה שאינכם מזהים, הוציאו.

ההונאה הזאת אינה נשענת על חולשה כלשהי בגוגל. היא נשענת על כך שמישהו בקו יישמע כמו עובד שעושה את העבודה שלו.