הודעה על חוב, קישור לתשלום, ולפעמים גם אזכור של דוח תנועה כדי שזה יישמע אמיתי. ב-10 באוגוסט התריע מערך הסייבר הלאומי על גל של הודעות כאלה שהתחזו לרשות המסים, והקישור שבהן הוביל לעמוד תשלום שנראה כמו אתר ממשלתי לכל דבר וביקש פרטים אישיים ומספר כרטיס אשראי. היום פרסמו הרשות והמערך משהו שאפשר לעשות עם הודעה כזאת לפני שלוחצים עליה.
מה קרה
השתיים הפעילו מערכת לאימות קישורים והודעות חשודים. מי שקיבל SMS או מייל שנראים כאילו הגיעו מרשות המסים יכול להיכנס לעמוד ייעודי, להזין שם את הקישור, ולקבל תשובה אם הוא באמת נשלח מטעם הרשות. ההודעה על ההפעלה פורסמה הבוקר בערוץ הרשמי של מערך הסייבר הלאומי, ולצידה הפניה לדף של הרשות שמסביר איך מזהים הודעה מתחזה.
השיטה שהמערכת נועדה לחסום היא הודעה מזויפת שמתחזה לגורם רשמי כדי שתמסרו לה פרטים מרצונכם. קוראים לזה פישינג. העצה הרגילה נגדו, לבדוק את הכתובת לפני שלוחצים, עובדת פחות טוב משנדמה: כתובת ארוכה נחתכת באמצע במסך של הטלפון, שמות של דומיינים ממשלתיים מזכירים זה את זה, וההודעה מגיעה בדרך כלל עם לחץ של זמן שלא משאיר מקום לבדיקה. עמוד שעונה במקומכם על השאלה הזאת חוסך את כל ההתלבטות.
למה זה חשוב לכם
רשות המסים היא אחד השמות היעילים ביותר להתחזות בישראל, כי כמעט לכל אחד יש איתה עניין פתוח כלשהו, והודעה על חוב מייצרת בדיוק את הבהלה שגורמת לאנשים ללחוץ מהר. מי שנופל לא מסכן רק את הסכום שבהודעה. באזהרה קודמת של המערך, על אתר שהתחזה לדואר ישראל, הודגשה נקודה שכדאי להכיר: הפרטים שמוקלדים בעמוד מזויף עוברים לתוקפים כבר תוך כדי ההקלדה, עוד לפני שלוחצים על כפתור השליחה. לחזור בך באמצע לא בהכרח מציל אותך.
שווה לדעת גם מה המערכת לא עושה. היא עונה על שאלה אחת בלבד, אם ההודעה נשלחה מרשות המסים. היא לא בודקת קישורים שהגיעו כאילו מהבנק, מחברת הסלולר או מחברת המשלוחים, ותשובה מרגיעה עליה לא הופכת את שאר ההודעות בטלפון שלכם לבטוחות.
מה עושים?
קיבלתם הודעה בשם רשות המסים ומשהו בה מרגיש לא נכון? אל תלחצו על הקישור. העתיקו אותו והדביקו אותו בעמוד הבדיקה של הרשות.
חוב אמיתי אפשר לראות ולשלם בלי הקישור שבהודעה. היכנסו לאתר רשות המסים דרך כתובת שאתם מקלידים בעצמכם או דרך חיפוש, והתחברו לאזור האישי משם.
אל תמסרו קוד אימות שהגיע אליכם ב-SMS לאף אחד שפנה אליכם ביוזמתו, גם אם הוא מציג את עצמו כנציג של הרשות או של הבנק.
כבר הזנתם פרטי אשראי בעמוד כזה? התקשרו לחברת האשראי לחסימת הכרטיס, ודווחו למוקד 119 של מערך הסייבר הלאומי, שפתוח לאזרחים בחיוג חינם.
העיקרון שמאחורי העמוד החדש שווה יותר מהעמוד עצמו: את זהותו של מי שפנה אליכם בודקים בערוץ שאתם בחרתם, לא בזה שהוא בחר בשבילכם.
תגובות