הנציג ידע את השם, את הסניף ואת 4 הספרות: מה מגיע בחוק ללקוח שהקריא קוד אימות למתחזה
השיחה מגיעה ממספר שנראה כמו של הבנק, והנציג פותח בשם המלא של הלקוח, בשם הסניף ובארבע הספרות האחרונות של הכרטיס. זוהתה עסקה חשודה בחנות בחו"ל, הוא מסביר, והוא כאן כדי לבטל אותה לפני שתאושר. כדי לוודא שהוא מדבר עם בעל החשבון, הוא מבקש להקריא את הקוד בן שש הספרות שהבנק שלח הרגע במסרון. הקוד באמת הגיע מהבנק. מה שהלקוח מקריא הוא האישור שהנוכל צריך כדי לצרף את הכרטיס לארנק דיגיטלי במכשיר שלו, ומאותו רגע הוא משלם איתו בחנויות בזמן שהכרטיס הפיזי נשאר בארנק של הלקוח. הונאת הארנק הדיגיטלי תוארה בפירוט בתחילת 2026, כולל השלבים שהנוכל עובר לפני השיחה.
הגרסה השנייה מדלגת על השיחה: הנוכל מנייד את מספר הטלפון של הלקוח לכרטיס SIM שבידיו, הקו של הלקוח מת פתאום, וקודי האימות זורמים למכשיר של הנוכל. כך רוקנו 11 חשודים חשבונות של כ-70 קשישים בסכום של כמיליון שקל, בפרשה שנחשפה באפריל 2026. הצוות הבין-מגזרי של הפיקוח על הבנקים, המשטרה ומשרד התקשורת פרסם באותו חודש את התשובה: ניוד קו ידרוש אישור מפורש של הלקוח, למשטרה נפתח ערוץ מהיר לתלונות שמגיעות מהבנקים, והמגזר הפיננסי מקים שרת מרכזי שמסמן מספרים שנוידו לאחרונה, כדי שקוד אימות שנשלח לקו שהוחלף לפני שעה ייעצר.
ההודעה לבנק היא הרגע שממנו האחריות של הלקוח מתאפסת, לפי סעיף 24 לחוק שירותי תשלום, ועד אליו היא מוגבלת ל-75 שקל ועוד 30 שקל ליום, עד 450 שקל. הבנקים טענו שנים שלקוח שהקריא קוד בעצמו איבד את ההגנה, כי העמיד את הרכיב החיוני לרשות אדם אחר. משרד המשפטים דחה את הטענה בחוות דעת מ-2021: ההסדר בחוק ביטוחי במהותו, רשלנות הלקוח אינה חלק מהמבחן, ומי שמסר קוד למי שהתחזה לבנק זכאי לאותה תקרה של 450 שקל. חוות הדעת הוסיפה שקוד אימות לבדו, כשפרטי הכרטיס עצמם חסרים לנוכל, ספק אם הוא בכלל רכיב חיוני כהגדרתו בחוק. הפיקוח על הבנקים הפך את חוות הדעת להנחיה, ובדוח 2025 שלו דיווח על השבה של 33 מיליון שקל לכ-300 אלף לקוחות, כשסירוב לפצות במקרי התחזות היה אחד משני הליקויים הרוחביים שאיתר. הסעיפים, המועדים והמקרים שבהם ההגנה כן נופלת - להרחבה: מה הבנק חייב להחזיר אחרי הונאה.
הוראה 426 של הפיקוח על הבנקים, בתוקף מסוף מאי 2026, מחייבת כל בנק וחברת כרטיסים להפעיל מענה אנושי לחששות הונאה 24 שעות ביממה, כולל שבת וחג, עם המתנה של עד שש דקות ברוב השיחות (עד 15% מהשיחות בחודש רשאיות לחרוג, ובהן הממוצע מוגבל לשמונה דקות) ועדיפות בנתב לבני 70 ומעלה. ההוראה מביאה כדוגמה מענה ברוסית, בגלל ריבוי ההונאות בקרב דוברי רוסית, ומתירה צ'אט ואפליקציה כתוספת לקו בלבד. הבנק חייב לנטר את זמני ההמתנה ולדווח עליהם להנהלה, והפיקוח יבחן את יעילות ההסדר תוך שלוש שנים. המספר שאליו מתקשרים הוא זה שמודפס על גב הכרטיס או מופיע באתר הבנק, אחרי ניתוק השיחה החשודה.
הגרסה המסוכנת יותר של אותה שיחה מדלגת על הקוד. הנציג המזויף מודיע שהחשבון נפרץ, ומציע להעביר את הכסף באופן זמני לחשבון בטוח שהבנק פתח ללקוח, עם מספר חשבון שהוא מקריא בטלפון. ההעברה הזאת מבוצעת בידי הלקוח עצמו, ולכן החוק מסווג אותה כהוראת תשלום מורשית: ההשתתפות העצמית של 450 שקל וחובת ההשבה תוך שמונה ימי עסקים חלות על שימוש לרעה בלבד, ומי שהעביר במו ידיו נשאר עם תביעת רשלנות נגד הבנק כדרך יחידה. בית משפט השלום בבת ים פסק ב-2026 לחברה 225 אלף שקל מתוך 300 אלף שיצאו מחשבונה, אחרי שקבע שהבנק התעלם מניסיונות העברה כושלים באותו יום, אבל זו פסיקה ברשלנות, ומרחק גדול מזכות אוטומטית.
נציג אמיתי חוסם כרטיס מהמערכת שלו, והקוד החד-פעמי נועד לאשר פעולה שהלקוח יזם, ולכן הבקשה להקריא אותו היא סימן ההונאה עצמו. הדחיפות היא הסימן השני: הנציג המזויף דורש פעולה בתוך דקות, לפני שהעסקה החשודה תאושר, ומדריך ההונאות על גיל שלישי מונה שבעה סימנים כאלה, בזמן שמדריך ההונאות הדיגיטליות מוסיף את המעצר הדיגיטלי ותסריטים נוספים. הגרסה הכתובה של אותה הונאה, מסרון שמתחזה לדואר או למכס עם קישור לתשלום, מקבלת מדריך משלה.
מוקד 119 של מערך הסייבר הלאומי קיבל ב-2025 כ-26.5 אלף דיווחים, לפי הנתונים שפורסמו על הדוח השנתי שלו, עלייה של יותר מ-50% לעומת 2024. השרת המרכזי למספרים שנוידו נמצא עדיין בפיתוח, וההמלצה של הצוות הבין-מגזרי להקים גוף לאומי אחד למאבק בהונאות ממתינה להחלטה.
