בתקופה האחרונה הפייסבוק והאינסטגרם התמלאו במודעות מזויפות של אנשי עסקים ישראלים מוכרים, ובהם אייל ולדמן, גיא רולניק ויוסי ורדי, שרוצים ללמד אתכם להשקיע דרך הצטרפות ל"קבוצות הוואטסאפ שלהם". המודעות, שרצות כקמפיינים ממומנים בפלטפורמות של מטא, משתמשות בשלל תמונות אישיות, למשל של ולדמן עם בתו דניאל שנרצחה בפסטיבל הנובה ב-7.10, של ולדמן עם בר רפאלי, של המשקיע ביל אקמן מניח תפילין ועוד. במודעת ההתחזות אל גיא רולניק הוא אפילו מופיע מדבר באנגלית בסרטון דיפ-פייק.
כשלוחצים על המודעה של ולדמן מצטרפים לקבוצת וואטסאפ, שבה נכתבות הודעות על מניות שהולכות לזנק בעשרות אחוזים. לדברי בעלי הקבוצה, שמתנהלת באנגלית, לכל מצטרף יש 100 ימי התנסות בחינם, ואז צריך להתחיל לשלם להם עמלות – דרך קלאסית כדי ליצור אמון, ורק בהמשך לקבל פרטי אשראי כדי לגנוב או למכור אותם. בקבוצה יש פרופילים מזויפים שכל הזמן כותבים כמה הקבוצה מדהימה ועוזרת להם, כך מספר ל-mako מי שהצטרף לקבוצה כדי לבחון את ההונאה מקרוב.
גם ולדמן עצמו אישר שמדובר בהתחזות והזהיר מפניה. בעמוד הפייסבוק שלו הבהיר: "שימו לב!!! אלו לא פרופילים שלי. ולא המלצות שלי. זו התחזות. אל תתנו פרטים", וצירף צילומי מסך של הפרופילים המתחזים לו בפייסבוק, אשר שמם כתוב בעברית.
מדובר בהונאה שמצטרפת להונאות מהחודשים האחרונים של התחזות למותגי ענק בישראל, כמו איקאה, המחלקת כביכול פרסים למי שנולד בשנה מסוימת (שעדיין ממשיכה לרוץ ולהפיל בפח ישראלים), רשת הסופרמרקטים יוחננוף, שופרסל, ויזה כאל ועוד. כל החברות הללו הוציאו הכחשות וביקשו לא לתת פרטים אישיים בהודעות המיוחסות אליהן.
הונאות היו קיימות גם לפני הבינה המלאכותית הגנרטיבית, אבל ככל שכלי ה-AI משתפרים, כולל יכולות התרגום שלהם לעברית, כך המלאכה נהיה יותר פשוטה עבור הנוכלים ומסובכת יותר עבורנו.
דוח של OpenAI, החברה שעומדת מאחורי ChatGPT, שפורסם בפברואר 2025 חושף כי החברה עצמה פועלת באופן יזום נגד שימוש זדוני במודלים שלה – למשל על ידי ניטור ניסיונות לתרגם פוסטים באופן חשוד במטרה להפיץ הונאות בין שפות ואזורים גיאוגרפיים. בדוח תועדו מקרים של סגירת חשבונות שפעלו מקמבודיה, בהם נעשה שימוש ב-ChatGPT לצורך תרגום תוכן פישינג מיפנית לאנגלית, או להפך – תרגום תגובות לעברית כדי לשפר התחזות ברשתות החברתיות. מקרים דומים זוהו גם בזירות הקשורות לקבוצות פשיעה מרוסיה, סין, ניגריה, ואף באירופה – כאשר GenAI שימש ככלי עזר לבניית סיפור כיסוי מתוחכם יותר.
לא צריך ידע טכני בשביל פישינג - מספיק AI
חברת הסייבר הישראלית גארדיו (Guardio), חשפה ביום רביעי האחרון מחקר שנועד לבדוק את עמידותן של פלטפורמות בינה מלאכותית בפני ניצול לרעה לצורך קמפייני פישינג.
המחקר, שנערך ביחידת המחקר של חברת גארדיו בחן שלוש מערכות AI מרכזיות – ChatGPT ,Claude ו־Lovable – כדי לבדוק כיצד ניתן לנצל אותן להקמת תשתיות פישינג מתוחכמות. המונח החדש שטבעה גארדיו, "VibeScamming", מתאר תופעה שבה כלים של בינה מלאכותית מאפשרים יצירת קמפייני הונאות בצורה פשוטה ונגישה לכל אחד – כמעט ללא צורך בידע טכני מוקדם וללא כתיבה של שורת קוד אחת.
הממצאים מראים כי בעוד ש־ChatGPT הצליחה להשיג עמידות יחסית לניסיונות ניצול, הפלטפורמות Claude ו־Lovable הוכיחו פגיעות גבוהה בהרבה. במסגרת המחקר הצליחו הפלטפורמות לספק כלים כגון דפי התחברות מזויפים המעוצבים בצורה אמינה, דשבורדים למעקב אחר סיסמאות גנובות, וכלים לעקיפת מערכות זיהוי. במיוחד בלטה פלטפורמת Lovable, אשר הצליחה לייצר דף התחברות מזויף ל־Microsoft הנראה בדיוק כמו המקור, כולל קוד לשליחת הודעות SMS וכתובת אינטרנט חיה לשיתוף – כל זאת – באמצעות מספר קטן של בקשות בשפה טבעית מצד משתמש חסר כל ניסיון – מה שממחיש עד כמה קל כיום להפוך לאיום מתקדם ומסוכן בעזרת כלים זמינים.
החברה אף ביצעה ניסוי בשיתוף פעולה עם סטארט־אפ קטן, כדי להמחיש עד כמה קל היום להפיל בפח בלי לכתוב שורת קוד אחת. הם בחרו כמותג BUYME רק כדוגמה מובהקת: מותג ישראלי מוכר, רגע לפני פסח, שיא עונת הגיפטקארדים. העמוד שנוצר באמצעות AI נראה ברמה מאוד גבוהה, עם עיצוב כמעט זהה למקור, דומיין דומה ויכולת לאסוף סיסמאות ישירות לטלגרם.
במקרה הזה, המודל יצר 80 סמסים כחלק מהקמפיין. תוך 10 דקות בלבד, 8 עובדי הייטק הזינו שם משתמש וסיסמה ארגונית בתוך טופס מזויף. 10% הצלחה תוך דקות, בלי קוד, בלי ידע טכני.
"המחקר שלנו חושף עד כמה מערכות הבינה המלאכותית המתקדמות הפכו לכלים נגישים גם למטרות זדוניות. כשהטכנולוגיה כל כך נגישה, הסיכון הוא שכל אחד – גם ללא ידע טכני מתקדם – יכול להקים מקפיינים של הונאה ופישינג ברמת מאוד גבוהה", אומר נתי טל, מנהל קבוצת המחקר בגארדיו.
ההונאות פונות לחולשות האנושיות שלנו
"תעשיית ההונאות היא עצומה. לפי הערכות היא מגיעה לסדר גודל של טריליון דולר בשנה, זהו היקף שכבר משתווה לזה של תעשיית הסמים העולמית. בכל העולם יש נוכלים, אך בשנים האחרונות ישנה תופעה חדשה של מפעלי הונאה עצומים היושבים בעיקר באיזור דרום מזרח אסיה, מיאנמר, קמבודיה, וייטנאם ועוד, ומועסקים בהם מאות אלפי בני אדם שבחלקם הגדול הם עובדי כפייה שפותו באמצעות מודעות תעסוקה ואז נכלאו, דרכונם נלקח והם נדרשים לעסוק כל היום בהונאות ברשת", אומרת ל-mako אילת אליעזר, Chief Product Officer בחברה הישראלית BioCatch, שפיתחה תוכנה לזיהוי ומניעת הונאות במערכת הבנקאית.
"אך הם לא היחידים, אנחנו רואים גם הונאות שמקורן ברוסיה, בסין, בדרום אמריקה, באפריקה וגם באירופה. בדו"ח שפרסמנו לאחרונה גילינו כי 15% מהודעות הפישינג בעולם מגיעות מגרמניה. אז נוכלים יש בכל מקום והם מאורגנים ומתוחכמים מתמיד, ה-GenAI מאפשר להם לייצר בקלות תכנים בכל שפה, שהולכים ומשתפרים באיכותם ואמינותם. אם פעם היינו מקבלים הודעות משובשות מנסיך ניגרי הכותב לנו באנגלית שבורה, היום נקבל מודעות מנוסחות היטב ואפילו מותאמות תרבותית. המודעות שרצות לאחרונה בישראל משתמשות בדמויות שמזוהות עם הבנה והצלחה כלכלית, כמו ולדמן, אך הם גם מנסות לפרוט על נימי הרגש".
איך אפשר לזהות את ההונאות האלו?
אליעזר: "ישנם המון סוגים של הונאות, אך המכנה המשותף לכולן הוא הפנייה לחולשות האנושיות שלנו - פחד (מתקשרים מהבנק ואומרים לנו שהחשבון נפרץ ועלינו להעביר ממנו את הכסף בדחיפות) תאוות בצע או מצוקה כלכלית (מציעים לנו השקעות בתשואות פנומנליות במניות, קריפטו וכו'), בדידות (פונים או פונות אלינו פתאום גברים או נשים, מגיבים לנו ברשתות, מתחילים סמול טוק בוואטסאפ או טלגרם ולאט לאט מחמיאים, מתעניינים ויוצרים התקשרות רגשית שקל מאוד להוביל להונאה). צריך להבין שההונאות הן נשק סטטיסטי. מתוך אין-סוף ניסיונות, מספיק שאחוז קטן מהאוכלוסייה נוגס בפיתיון ונופל בפח, וזה כבר סכומי כסף עצומים.
"אנחנו כצרכנים צריכים לדעת לא להתפתות. חברות השקעה רציניות הן גוף מפוקח שבחיים לא יציע לנו עצות השקעה בקבוצות וואטסאפ. כך גם אנשים כמו אייל ולדמן, יוסי ורדי, גיא רולניק וביל אקמן שמככבים במודעות בישראל. ככלל, כל הצעה שנראית To good to be true, היא כנראה פשוט Not True. אם בכל זאת רוצים לבדוק, ניתן לנסות לגלוש פרואקטיבית לאתר של החברה המציעה לנו את ההשקעה או השירות או המוצר ולראות אם אכן ניתן למצוא את ההצעה באתרים הרשמיים. לעולם לא מומלץ ללחוץ על לינקים במודעות כי הם יובילו כנראה לאתר מתחזה שקל מאוד לייצר, שוב בזכות כלי GenAI. הכי חשוב זה לעולם לא להוריד שום דבר אלינו למכשיר, כי סביר שמדובר בנוזקות שמאפשרות גישה מרחוק, ולא לשתף פרטים אישיים ופרטי אשראי".
האם ל-OpenAI יש דרכים להילחם בהן?
"בהחלט כן, והדוח שלהם מוכיח זאת. ישנן התנהגויות מחשידות שמאפיינות פעילות הונאה שהם יכולים לנטר, לזהות ולסכל. מרגע שנוצר ה-Gen AI, החברות המפתחות את המודלים הופכות להיות חלק משרשרת האספקה של ההונאות, שכוללת גם את הרשתות החברתיות המספקות את מקום המפגש בין התוקפים והקורבנות, הבנקים וחברות האשראי שמאפשרים העברת כספים וכמובן הקורבנות עצמם. לכל אחד יש אחריות ויכולת להשפיע ולסכל הונאות. האידיאל צריך להיות שיתוף פעולה ושיתוף מידע בין הגורמים השונים בשרשרת שניתן בהחלט להשיג עם רגולציה נכונה.
"כיום במדינות בעולם כמו בריטניה ואוסטרליה, הבנקים מחייבים לשפות קורבנות הונאה ולהחזיר להם כסף שהם איבדו. אם אותה האחריות ואותו נטל כלכלי יוטל גם על חברות הביג טק שעומדות מאחורי הרשתות ומודלי הבינה המלאכותית, המאבק בהונאות יהיה הרבה יותר אפקטיבי כי המניע לפעול יהיה יותר משמעותי".
"ההתחזות הפכה למכת מדינה"
אור כצנלסון הוא שותף ומשנה למנכ"ל בחברת Vetric, המספקת תשתית דאטה המאפשרת למאות חברות מוצר, בהן מערכות ניטור, אנליטיקה וזיהוי הונאות, לזהות התחזויות, זיופים ואיומים דיגיטליים בהיקפים גדולים.
לדבריו, "התחזות למותגים ברשת הפכה למכת מדינה – במיוחד בתחומים עם חשיפה גבוהה לצרכנים. אנחנו רואים את זה הכי הרבה בפיננסים, קמעונאות, קוסמטיקה, טכנולוגיה ופארמה. מותגים כמו בנקים, רשתות אופנה, מותגי טיפוח ואפילו יצרני תרופות – כולם הפכו יעד לנוכלים שמנצלים את האמון של הציבור".
הרבה אנשים חושבים שהונאת מותג זה תמיד ניסיון למכור לך משהו מזויף, אבל בפועל – זה הרבה יותר רחב", מוסיף כצנלסון. "לפעמים המטרה היא לגנוב פרטים אישיים, לפעמים לגרום לך להוריד תוכנה זדונית, ויש גם התחזויות לשירות לקוחות שנועדו לדוג פרטי התחברות או אשראי. יש אפילו הונאות שמתחזות לגיוס עובדים או להצעות השקעה, כשכל מה שהן רוצות זה את הכסף או הזהות שלך".
האם יש דפוסים זהים של דפים מזויפים כאלה?
“בהחלט. כמעט תמיד מדובר באותו שטאנץ: שם דומיין שמזכיר את המותג עם טוויסט קטן, עמודים ברשתות החברתיות שעושים שימוש בשם המותג ומציעים הצעה שטובה כדי להיות אמיתית. לעיתים רבות גם נראה שפה עילגת או תרגום גרוע, עיצוב שמנסה לחקות את המקור אבל מפספס. גם האלמנט של לחץ זמן – ‘רק היום’, ‘המלאי אוזל’ – חוזר בהרבה מן ההונאות האלה. כשאתם מזהים כמה מהסימנים האלה – סיכוי טוב שמדובר בהונאה".
איך תיזהרו מהונאות ברשת?
רוב ההונאות האלה מתחילות בפרסום מפתה במדיה חברתית (פייסבוק, אינסטגרם) – למשל מודעת מבצע קיצוני, הגרלה, או סקר נושא פרס. משם הגולש מובל לקישור חיצוני – אתר מתחזה שנראה כמעט זהה לאתר הרשמי של המותג. לעיתים שם הדומיין דומה מאוד (עם שינוי או תוספת קלה), האתר משתמש בלוגו רשמי ותמונות מוצר אמיתיות כדי להיראות אמין. חלק מהאתרים אפילו מחזיקים בתעודת אבטחה (HTTPS), מה שמציג אייקון מנעול ומקשה על זיהוי ההונאה. במסגרת ההונאה הקורבן מתבקש להזין פרטים אישיים, פרטי תשלום, או לחלופין לשלם סכום כלשהו (סמלי) עבור “דמי משלוח/טיפול” לפני קבלת הפרס – ובכך נופל בפח.
להלן כמה סימני אזהרה בולטים שמציין כצנלסון:
- דומיין חשוד: שם האתר כולל תוספת או שגיאה קלה בשם המותג (למשל Leftiess.shop במקום Lefties, lululemon-sale וכד’). מותגים גדולים כמעט ואינם פועלים מדומיינים מוזרים או סיומות לא מזוהות.
- הצעה טובה מדי מכדי להיות אמיתית: מוצרים יקרים בחינם או בהנחה קיצונית, סכום זכייה גדול ללא סיבה (6,000 ש”ח עבור סקר של 4 שאלות) – אלו כמעט תמיד טריקים למשוך אתכם.
- אתר לא מקצועי: למרות ההעתקה, לעיתים קרובות מתגלים באתר המתחזה תקלות קטנות – למשל שפה מעורבבת, טעויות כתיב, עיצוב שלא תואם בדיוק למותג (בטקסט או בפונט). במקרה של שופרסל, בטקסט המזויף הפנייה הייתה מיושרת לשמאל במקום לימין, ונוסח ההודעה היה משובש – סימנים מחשידים מיד.
- דרישת פרטי אשראי לפרס: מותגים לגיטימיים לא יבקשו מכם לשלם כדי לקבל פרס שזכיתם בו, ובוודאי לא יבקשו הזנת קוד אימות (OTP) שנשלח אליכם – זה סימן מובהק לניסיון גניבת חשבון/כרטיס.
- אימות רשמי: מומלץ לבדוק אם לעמוד הפייסבוק/אינסטגרם יש סימון וי כחול (מאומת) ושם משתמש תקין. כך למשל, העמוד הרשמי של יוחננוף נקרא “יוחננוף - סופרשוק לכולם” ומאומת, בעוד העמוד המתחזה נקרא “יוחננוף - סופרמרקט” ללא אימות. במידה ועדיין לא בטוחים – היכנסו ידנית לאתר הרשמי של החברה ובדקו שם הודעות רשמיות. הרבה מותגים מפרסמים אזהרות רשמיות במקרים כאלה, כפי שעשו שופרסל, יוחננוף וחברות אשראי.
עוד אופציה היא לבדוק נוסחים של הודעות חשודות דווקא בעזרת AI. העתיקו את נוסח המודעה או העלו את הצילום שלה ל-ChatGPT, למשל, ושאלו אם מדובר לדעתו בבינה מלאכותית. תקבלו תשובה מפורטת ובסבירות גבוהה גם נכונה – אך כמובן אל תסתמכו רק על דרך הבדיקה הזו.