שלחו לכם צילום מסך שהכסף הועבר? זה כבר לא אומר ששילמו לכם

מכרתם טלפון, רהיט או מחשב דרך אתר יד שנייה. הקונה מגיע לקחת את המוצר, מבצע לכאורה העברה בנקאית ומציג לכם צילום מסך: הסכום נכון, השם שלכם מופיע, יש לוגו של הבנק ואפילו מספר אסמכתא. האם אפשר למסור לו את המוצר?

התשובה היא שלא כדאי להסתמך על התמונה. צילום מסך שנראה בדיוק כמו אישור של בנק או אפליקציית תשלומים יכול כיום להיות מזויף או ערוך, והכלים שמאפשרים לעשות זאת נעשו נגישים יותר. לכן, לפני שמוסרים מוצר או מבצעים החזר, צריך לבדוק את הפעולה במערכת שבה היא אמורה להופיע - למשל בחשבון הבנק של מקבל התשלום.

חברת אבטחת המידע ESET מזהירה כי כלי עריכה וטכנולוגיות בינה מלאכותית מקלים על יצירת צילומי מסך מזויפים שנראים כאילו הגיעו מבנק, מחברת תעופה, מאתר מסחר או משירות תשלומים. מבחינת האדם שמקבל את התמונה, לעיתים קשה לדעת אם מדובר בצילום אמיתי או בתמונה שנבנתה במיוחד כדי לשכנע אותו שהפעולה כבר בוצעה.

"התרגלנו לראות בצילום מסך סוג של הוכחה, אבל היום זו כבר הנחה שצריך להיזהר ממנה", אומר אלכס שטיינברג, מנהל מוצרי ESET בקומסקיור, המפיצה הרשמית של החברה בישראל. לדבריו, כאשר מדובר בכסף, בהזמנות או במידע רגיש, יש לבדוק את הנתונים ישירות במערכת המקור ולא להסתפק במה שמופיע בתמונה.

האסמכתא נראית אמיתית, הכסף לא הגיע

אחד התרחישים הפשוטים הוא עסקה בין שני אנשים. הקונה שולח צילום מסך שמציג לכאורה העברה בנקאית, והמוכר מוסר או שולח את המוצר לפני שבדק שהכסף אכן התקבל.

אותו עיקרון יכול לשמש גם בהחזרים כספיים, בהזמנות של טיסות ומלונות, בהונאות השקעה ובמקרים שבהם נדרש להוכיח כי פעולה כספית מסוימת התבצעה. התמונה אינה חייבת להיות מזויפת כולה: ניתן לשנות בתמונה קיימת סכום, שם, תאריך, מספר הזמנה או פרט אחר ולהותיר את יתר המסך כפי שהיה.

זו גם הסיבה לכך שלוגו מוכר, עיצוב שנראה זהה לאפליקציה המקורית או מספר אסמכתא אינם מספיקים כשלעצמם. צילום מסך הוא בסופו של דבר תמונה של מידע. הוא אינו מוכיח שהמידע אכן קיים במערכת שממנה התמונה מתיימרת להגיע.

לפעמים דווקא צילום המסך האמיתי הוא הבעיה

יש גם תרחיש אחר שבו צילום המסך אינו מזויף כלל. תוקף שמנסה להשתלט על חשבון יכול לבקש מהמשתמש לצלם הודעה או מסך שקיבל ולשלוח לו את התמונה. אם בצילום מופיע קוד חד-פעמי או קוד לאיפוס סיסמה, המשתמש למעשה מוסר לתוקף את המידע הדרוש לו.

לכן צריך להפריד בין שתי שאלות: האם צילום המסך אמיתי, והאם בכלל בטוח להעביר את המידע שמופיע בו. גם צילום אמיתי לחלוטין עלול להכיל מידע שלא צריך להגיע לאדם אחר.

• סוכני ה־AI מזניקים את מניות הסייבר: קראודסטרייק ופאלו אלטו בשיא
• הסטארטאפ הישראלי שמגן על ChatGPT - תקף את המשתמשים

לא רק מוכרים ביד שנייה

הבעיה רלוונטית גם לעסקים ולארגונים. צוותי שירות לקוחות, כספים ומשאבי אנוש מקבלים לעיתים צילומי מסך כחלק מבקשות לזיכוי, להחזר כספי, לשינוי פרטי חשבון או להוכחת תשלום.

צילום מזויף יכול לשמש, למשל, כדי לטעון שמוצר שולם או שהלקוח זכאי להחזר. בתרחישים רגישים יותר ניתן להציג לעובד צילום של הודעה או שיחה שבה מנהל בכיר מאשר לכאורה תשלום דחוף או מסירת מידע.

הבעיה נוצרת כאשר התמונה עצמה הופכת לבסיס להחלטה. אם עובד יכול לאשר החזר או תשלום רק משום שהוצג בפניו צילום מסך, הזיוף אינו חייב לפרוץ למערכות הארגון - מספיק שהוא מצליח לשכנע את האדם שמפעיל אותן.

גם ניסיון שלא מצליח עלול לעלות כסף. בירור של טענות כאלה דורש זמן של צוותי שירות, כספים ואבטחת מידע, ולכן בארגונים נדרש תהליך שמאפשר להשוות את הטענה להיסטוריית החשבון, לרישומי תשלום, למשלוחים ולנתונים פנימיים.

אז איך יודעים אם באמת שילמו?

במקרה של העברה בנקאית, הבדיקה החשובה אינה מה מופיע בטלפון של מי שטוען ששילם, אלא מה מופיע אצל מקבל התשלום. יש להיכנס לחשבון הבנק או לשירות התשלומים באופן עצמאי ולבדוק אם הכסף התקבל ומה סטטוס הפעולה.

• ה-AirPods הבאות עשויות לראות את מה שאתם רואים - ואפל כנראה חשפה אותן בעצמה
• האיחוד האירופי רוצה שתדעו מה יצר AI: כך יעבוד הסימון החדש

גם הזמנה או החזר כספי כדאי לבדוק ישירות באתר או באפליקציה של החברה הרלוונטית. אם קיבלתם קישור יחד עם צילום המסך, עדיף שלא להשתמש בו אלא להיכנס לשירות בדרך הרגילה.

במקרים שבהם נדרשת הוכחה משמעותית יותר, ניתן להסתמך על מספרי אסמכתא שניתנים לבדיקה, מסמכי מקור, היסטוריית עסקאות ורישומים שנמצאים במערכת שאינה בשליטתו של האדם שמציג את ההוכחה.

אפשר להשתמש גם בכלים לבדיקת תמונות ומטא-דאטה, אך הם אינם מספקים בהכרח תשובה חד-משמעית. תמונה שלא נמצאו בה סימני עריכה אינה מוכיחה שהאירוע שמוצג בה אכן התרחש.

צילום מסך יכול אפוא להיות נקודת התחלה לבדיקה, אך לא נקודת הסיום שלה. אם העסקה חשובה מספיק כדי להעביר כסף, למסור מוצר או לחשוף מידע, האישור צריך להגיע מהמקום שבו הפעולה עצמה אמורה להופיע - ולא מהתמונה שמישהו שלח.