החבילה מעוכבת במכס: ההודעה שגונבת כרטיס אשראי בשני שלבים, ומה החוק מחזיר אחריה
ההודעה מגיעה בצהריים, ממספר סלולרי רגיל: החבילה ממתינה במרכז המיון, נדרש תשלום דמי מכס בסכום של כמה שקלים בודדים, והקישור מקוצר. הדף שנפתח נושא לוגו של דואר ישראל, שדה המעקב מציג מספר משלוח, והטופס מבקש מספר כרטיס, תוקף ושלוש ספרות מהגב.
השלב השני מגיע כעבור דקה. הדף מודיע שהתשלום דורש אימות, ובמקביל נוחת מסרון אמיתי מחברת הכרטיסים עם קוד חד-פעמי. הלקוח מקליד אותו בדף המזויף, והנוכל, שיושב בצד השני עם פרטי הכרטיס שהוקלדו הרגע, משתמש בקוד כדי לצרף את הכרטיס לארנק דיגיטלי או לאשר חיוב גדול. דמי המכס היו הפיתיון; הקוד הוא הגניבה.
צירוף לארנק דיגיטלי הוא היעד המועדף על הנוכלים, כי מרגע שהכרטיס יושב במכשיר שלהם הם משלמים איתו בחנויות, הכרטיס הפיזי נשאר בארנק של הקורבן, והחיובים מופיעים בדף החיוב כעסקאות רגילות לכל דבר. המסרון מחברת הכרטיסים על צירוף כרטיס לארנק חדש הוא לכן הסימן הראשון שבודקים אחרי הקלדה בדף חשוד.
הגרסאות מתחלפות לפי העונה: מכס וחבילה לפני החגים, דוח חניה עירוני עם קישור לתשלום, חשבון חשמל שעומד להתנתק. לפי דיווחים על גרסאות שהופצו ב-2026, ההודעה מפנה גם לחוק בדוי על אבטחת משלוחים חוצי גבולות ומודיעה על בדיקה ידנית מדרג שני, ניסוחים שנועדו להסביר למה נדרשים הפרטים.
52 אלף שקל נעלמו מחשבון של לקוחה אחרי שנכנסה לקישור בהודעת עדכון חשבון מהסוג הזה, ורוב הסכום חזר אליה במשא ומתן מול הבנק.
חיוב שנוצר מפרטים שנגנבו בדף מתחזה מסווג בחוק שירותי תשלום כשימוש לרעה או כפעולה במסמך חסר - חיוב מרחוק, כשהכרטיס נשאר אצל בעליו. לפי סעיפים 24 ו-27, הלקוח נושא לכל היותר ב-450 שקל, וחברת הכרטיסים משיבה את היתר תוך שמונה ימי עסקים מההודעה. ה-450 עצמם הם תקרה: הסכום מחושב כ-75 שקל ועוד 30 שקל לכל יום מהחיוב הראשון ועד ההודעה, ומרגע ההודעה האחריות של הלקוח מתאפסת. סעיף 29 מוסיף חלון של 30 יום מקבלת דף החיוב לערער על פעולה במסמך חסר, באותו מועד השבה.
הקוד שהוקלד בדף המזויף מטריד נפגעים רבים יותר מהכסף, כי הבנקים נהגו לטעון שמסירת קוד שוללת את ההגנה. חוות דעת של משרד המשפטים מ-2021 קבעה אחרת: מסירת קוד למי שהתחזה לבנק או לבית עסק משאירה את הלקוח בתוך ההסדר, וההשתתפות העצמית נשארת 450 שקל. הפיקוח על הבנקים אכף את זה ב-2025 במסגרת השבה של 33 מיליון שקל ללקוחות. הסעיפים המלאים, המועדים ומה קורה כשהבנק מסרב - להרחבה: מה הבנק חייב להחזיר אחרי הונאה.
השעה הראשונה: חסימת הכרטיס במוקד ההונאות של חברת הכרטיסים ומסירת הודעה על שימוש לרעה, מהמספר שמודפס על גב הכרטיס; בדיקה אם הכרטיס צורף לארנק דיגיטלי חדש; שמירת ההודעה וצילום מסך במקום מחיקה, ודיווח למוקד 119 של מערך הסייבר; והחלפת סיסמה אם הוקלדה בדף. מצב החבילה נבדק בהקלדה ידנית של כתובת אתר הדואר או באפליקציה שלו, והקישור שבהודעה נשאר סגור. מכאן סופרים שמונה ימי עסקים להשבה, ועוקבים 30 יום אחרי דף החיוב, כי חיוב מארנק גנוב יכול להופיע גם שבועות אחרי ההודעה.
הסימנים חוזרים בכל גרסה: שולח שהוא מספר סלולרי או מספר מחו"ל, דומיין קצר ומוזר במקום כתובת הגוף הרשמי, לרוב עם סיומת זרה ומחרוזת אותיות אחרי שם הדואר, סכום קטן שנועד להרדים, ודחיפות. מדריך ההונאות הדיגיטליות ומדריך ההונאות על גיל שלישי מרחיבים על השילוב של דחיפות והתחזות לרשות. גרסת הטלפון של אותה הונאה, נציג בנק שמבקש את הקוד בקול - להרחבה: קוד אימות שהוקרא למתחזה.
- "800 שקל ליום מהבית": המשרה שהופכת את העובד לחשבון פרד, ומה חוק איסור הלבנת הון אומר עליו
- שומה של 520 אלף שקל על עוסק שנפתח בזהות גנובה: עשרת הצעדים לפני שהגניבה הופכת לחוב
מוקד 119 טיפל ב-2025 בכ-13.7 אלף דיווחי פישינג, עלייה של כ-35% לעומת 2024, לפי הנתונים שפורסמו על הדוח השנתי של מערך הסייבר, והמספר הזה מונה את מי שטרח לדווח בלבד, כך שההיקף בפועל גדול יותר.
