ההודעה מגיעה מחבר. הפרופיל שלו, התמונה שלו, וההיסטוריה של השיחה ביניכם פתוחה מעליה. הוא כותב שהוא בצרה וצריך העברה דחופה, או שנשאר לו כרטיס להופעה שהכרטיסים אליה אזלו. בבריטניה ספרו כמה כסף ההודעות האלה מייצרות, והסכום עלה פי יותר מחמישה בשנה אחת.

מה קרה

שירות הדיווח הלאומי על הונאות בבריטניה, Report Fraud, פתח ב-5 באוקטובר בקמפיין הסברה שקורא לציבור לנטוש את הסיסמאות. לפי הנתונים שפרסם, הסכום שנגנב מקורבנות של פריצה לחשבונות מייל ורשתות חברתיות הגיע ל-6.3 מיליון פאונד בשנת 2025/6, לעומת 1.2 מיליון בשנה שלפניה, זינוק של 417 אחוזים. מספר הדיווחים על פריצות מהסוג הזה גדל בשליש באותה תקופה, וזה נשאר סוג עבירת הסייבר שמדווח שם יותר מכל אחר.

אז מה התוקפים עושים עם חשבון שנפרץ? לפי Report Fraud, הדרך הנפוצה היא הפשוטה ביותר: כותבים לאנשים ברשימת הקשר בתור בעל החשבון, בדרך כלל בסיפור על מצוקה שדורשת כסף עכשיו. ערוץ שני הוא מכירת כרטיסים שלא קיימים. שבעים אחוזים מהדיווחים על הונאות כרטיסים להופעות מאז אוגוסט נגעו להופעות של Oasis, הנזק הממוצע לקורבן עמד על 346 פאונד, ובמקרים חריגים הגיע לאלף.

“עבור רוב האנשים, להיפרץ הוא לא עניין טכני אלא עניין אישי”, נכתב בהודעת Report Fraud מפי ראש פעילות השירות, אמנדה וולף. “מה שמתחיל בחשבון אחד שנפרץ מתגלגל מהר למשפחה, לחברים ולעבודה, כי הרמאים מנצלים אמון שכבר קיים.”

ההמלצה המרכזית בקמפיין היא לוותר על הסיסמה עצמה. במקום סיסמה שנשמרת אצל האתר, הטלפון או המחשב שומרים מפתח סודי שלא עובר לשום מקום, וההתחברות מאושרת בטביעת אצבע, בזיהוי פנים או בקוד של המכשיר. למנגנון הזה קוראים passkey, והוא קשור קריפטוגרפית לכתובת האמיתית של האתר, כך שעמוד מזויף מושלם לא מצליח לקבל ממנו כלום. גם אם האתר עצמו נפרץ, המפתח הפרטי נשאר על המכשיר שלכם. מה-NCSC, הגוף הלאומי לאבטחת סייבר בבריטניה, נמסר מפי ג'ונתן אליסון שה-passkey “פשוט, מהיר ובטוח יותר” ושהוא מחזק את העמידות של כל המשק מול פישינג (הודעות מזויפות שמתחזות לגורם אמין כדי לגנוב פרטים).

לצד הקמפיין פורסם סקר של NordVPN בקרב 4,896 בריטים, ובו 96 אחוזים ענו נכון על השאלה איך בונים סיסמה חזקה, ורק 16 אחוזים ידעו איפה לשמור אותה.

למה זה חשוב לכם

התרגיל הזה לא נשאר באנגליה. מערך הסייבר הלאומי הזהיר בתחילת ספטמבר ממודעות בפייסבוק ובאינסטגרם שהציעו כרטיסים חינם למופעים, וסופן היה בקשה למסור קוד אימות שהגיע ב-SMS, קוד ששימש להשתלטות על קו הסלולר. אותו היגיון בדיוק עובד כאן: לא פורצים לבנק שלכם, פורצים למישהו שאתם סומכים עליו. רשימת הקשר בחשבון המייל או באינסטגרם היא הנכס האמיתי, לא התכתבויות העבר.

מה עושים?

הפעילו passkey בכל שירות שמציע אותו, ובראש הרשימה החשבון שפותח את כל השאר: גוגל, אפל או מיקרוסופט. וואטסאפ, פייסבוק ואינסטגרם תומכים בזה גם.

אל תמסרו קוד אימות שהגיע ב-SMS לאף אחד, גם לא למי שמציג את עצמו כנציג של חברה. אין מצב לגיטימי שבו נציג מבקש אותו.

הודעה מחבר שמבקשת כסף, גם אם היא נשמעת בדיוק כמוהו: התקשרו אליו למספר שאתם מכירים, ולא דרך הצ'אט שממנו הגיעה הבקשה.

כרטיסים להופעות קונים רק במערכת המכירה הרשמית או בזירת המכירה החוזרת שלה, ולא בהעברה בנקאית או בביט לאדם פרטי מתוך מודעה.

חשבון מייל אחד שנפרץ לא נגמר באותו חשבון. הוא ממשיך לכל מי שנמצא בתוכו.