מנהלת החשבונות מקבלת הודעה בווטסאפ מהמנהל. הסגנון מוכר, השעה סבירה, הבקשה דחופה אבל לא מוזרה: יש עסקה שצריכה להיסגר היום, חשוב לשמור על דיסקרטיות, נא להעביר תשלום לספק. היא מתקשרת לוודא. הקול בצד השני הוא בדיוק הקול של המנהל, כולל אופן הדיבור וההיסוס האופייני. היא מעבירה את הכסף. שעתיים לאחר מכן מתברר שהמנהל מעולם לא כתב ומעולם לא דיבר.

התרחיש הזה כבר אינו תיאורטי. מה שהיה לפני שנתיים הדגמה של חוקרים הפך לכלי עבודה זמין, זול ומהיר בידי קבוצות הונאה, וכיום הוא פוגע גם בעסקים בסדר גודל של עשרות עובדים ולא רק בתאגידים בינלאומיים. חשוב להבין את המנגנון, כי דווקא כאן ההגנה הטובה ביותר אינה מוצר שקונים אלא נוהל שמחליטים עליו.

המקרה שהפך לסמל

בפברואר 2024 קיבל עובד במחלקת הכספים של חברת ההנדסה Arup בהונג קונג הודעה שנראתה כאילו הגיעה מסמנכ"ל הכספים. ההודעה דיברה על עסקה חסויה. העובד הוזמן לשיחת וידאו כדי לאשר את הפרטים, ובשיחה הופיעו מנהלים בכירים שהוא הכיר.

לפי פרטי המקרה שפורסמו בעקבות חקירת משטרת הונג קונג, כל המשתתפים מלבד העובד היו דמויות שנוצרו או עובדו בבינה מלאכותית. העובד ביצע חמש עשרה העברות לחמישה חשבונות, בסכום כולל של כעשרים וחמישה מיליון דולר. המקרה מוזכר גם בהתרעת FinCEN הרשמית על הונאות באמצעות זיוף עמוק, כדוגמה לכך שמתחזים למנהלים ולעובדים מהימנים כדי להורות על תשלום.

הלקח אינו ששיחת וידאו מסוכנת יותר משיחת טלפון. הלקח הוא שגם וידאו אינו עוד הוכחת זהות. פנים מוכרות, קול מוכר ורקע שנראה כמו חדר ישיבות יכולים להיות חלק מאותו זיוף. לכן צריך להעביר את האימות מן המסך אל תהליך נפרד שהמתחזה אינו שולט בו.

איך ההונאה עובדת בפועל

הצעד הראשון של התוקף הוא איסוף חומר, והוא כמעט תמיד גלוי לכולם. ראיון שהמנכ"ל נתן לכתבה מקצועית, סרטון תדמית באתר, הרצאה בכנס שהועלתה ליוטיוב, סטורי באינסטגרם או הודעה קולית שנשלחה פעם בקבוצת ווטסאפ. די בכמות קטנה מאוד של אודיו כדי לאמן שכפול קול משכנע, ומודלים מסחריים מגיעים לדמיון גבוה מהקלטה של שניות בודדות.

הצעד השני הוא מיפוי הארגון. מי מאשר תשלומים, מי מבצע אותם בפועל, מי נמצא בחופשה, מי הספקים הקבועים. הרבה מהמידע הזה נמצא בלינקדאין, באתר החברה ובחתימות מייל.

הצעד השלישי הוא יצירת לחץ. כמעט בכל המקרים המתועדים חוזרים אותם שלושה מרכיבים: דחיפות שלא מאפשרת לחשוב, סודיות שמונעת מהעובד לשאול אדם נוסף, וסמכות שמקשה לסרב. שכפול הקול הוא רק מה שהופך את שלושת אלה לאמינים.

הצעד הרביעי הוא הביצוע, ובו התוקף לרוב לא מבקש דבר חריג. הוא מבקש פעולה שהעסק עושה כל שבוע, רק לחשבון אחר.

המספרים שמסבירים למה זה קורה עכשיו

הנתונים העדכניים אינם אומרים שכל שיחת התחזות משתמשת בזיוף קול, אבל הם מראים שהטלפון והזהות האנושית הפכו לחלק מרכזי יותר בהונאות:

• דוח האיומים של CrowdStrike לשנת 2025 מצא עלייה של 442 אחוז בפעילות וישינג, כלומר פישינג קולי, בין המחצית הראשונה למחצית השנייה של 2024.
• FinCEN דיווח בנובמבר 2024 על גידול בדיווחים של מוסדות פיננסיים על שימוש חשוד במדיה מזויפת, במיוחד במסמכי זהות שנועדו לעקוף תהליכי אימות.
• ה-FBI התריע במאי 2025 על קמפיין שבו תוקפים השתמשו בהודעות טקסט ובהודעות קול שנוצרו בבינה מלאכותית כדי להתחזות לבכירים, לבנות אמון ולהגיע לחשבונות או לכסף.
• דוח של בנק ישראל שפורסם בתחילת 2026 קובע שבישראל ובעולם התרחבה תופעת ההונאות הפיננסיות באמצעות התחזות קולית וכלי בינה מלאכותית, לרבות התחזות לבנקים, לחברות אשראי ולגורמי שלטון.

באפריל 2026 קיימה ועדת המדע והטכנולוגיה של הכנסת דיון נוסף בהונאות פיננסיות מבוססות בינה מלאכותית. במהלך הדיון הוצג סרטון מזויף שבו נעשה שימוש בדמותו ובקולו של יושב ראש הוועדה כדי לקדם השקעה במטבעות דיגיטליים. ביוני הונחה הצעת חוק פרטית לחובת גילוי של תוכן מטעה מבוסס בינה מלאכותית, אך נכון לספטמבר 2026 היא עדיין בשלב דיון מוקדם ואינה תחליף לבקרות בתוך העסק.

המשמעות לבעל עסק פשוטה: אין צורך לחכות לחוק או לכלי שמזהה זיוף בוודאות. אפשר לעצור את הנזק בשלב שבו בקשה חריגה הופכת לפעולה כספית, באמצעות אימות עצמאי ואישור נוסף.

למה אי אפשר להסתמך על העין או האוזן

ההנחה הנפוצה היא שעובד זהיר ישמע שמשהו אינו טבעי או יבחין בתקלה בתנועות הפנים. זו אינה בקרת אבטחה מספקת. בהתרעת ה-FBI נכתב שקולות שנוצרו בבינה מלאכותית יכולים להישמע כמעט זהים לקול של אדם מוכר, ושלעיתים קשה לזהות תוכן שנוצר בבינה מלאכותית.

גם רשימת סימנים כמו השהיה בשיחה, צל לא טבעי או תנועה משונה אינה מספיקה. סימנים כאלה יכולים לעורר חשד, אבל הם משתנים עם כל כלי ועם כל עדכון. בנוסף, שיחה קצרה, לחץ זמן ואיכות קול נמוכה מסתירים את הפגמים שעוד נשארו.

לכן ההגנה צריכה לשבת בתהליך ולא באוזן. אם בקשת תשלום חריגה תמיד מחייבת שיחה חוזרת למספר שכבר שמור בארגון, המתחזה יכול להישמע מושלם ועדיין לא לשלוט בערוץ האימות.

למה עסק קטן הוא מטרה נוחה במיוחד

בעל עסק שקורא על הונאה של עשרים וחמישה מיליון דולר עלול להסיק שזה לא נוגע אליו. בפועל, מבנה של עסק קטן מקל על התוקף דווקא:

• שרשרת אישורים קצרה. בעסק קטן לרוב אדם אחד מאשר ואדם אחד מבצע, ולעיתים זה אותו אדם. אין ועדת השקעות שתעכב.
• היכרות אישית מחליפה נוהל. כשכולם מכירים אישית, בקשה חריגה מהבוס נשמעת סבירה ולא מעוררת בדיקה.
• חשיפה ציבורית של הבעלים. דווקא עסקים קטנים משקיעים בשיווק אישי, סרטוני וידאו ופודקאסטים, וכל אלה הם חומר גלם מצוין לשכפול קול.
• אין מחלקת אבטחת מידע. אין מי שיגדיר נוהל תשלומים, יבדוק אותו ויתרגל אותו.
• סכומי היעד קטנים ולכן פחות חשודים. תוקף שמבקש שלושים אלף שקל בעסק קטן מקבל אותם מהר יותר משמבקש מיליון בתאגיד.

נוסף על כך, כלי בינה מלאכותית מאפשרים לתוקף להריץ את אותה מתקפה על מאות עסקים במקביל בעלות אפסית. הרעיון שעסק קטן מדי מכדי לעניין מישהו כבר אינו נכון.

המחסום היחיד שעובד: תהליך ולא טכנולוגיה

המסקנה המשותפת לכל המקרים המתועדים היא שהטכנולוגיה לא הייתה טובה מדי, אלא שהתהליך לא כלל בדיקה שנייה. במקרה של Arup לא הייתה נקודת עצירה בין ההוראה לביצוע. בפרארי הייתה, בדמות שאלה אנושית אחת, וההונאה נעצרה.

לכן ההגנה נבנית משלושה עקרונות פשוטים:

1. אימות חוזר בערוץ אחר

כל בקשה לתשלום, לשינוי פרטי חשבון של ספק או לאיפוס סיסמה מאומתת בשיחה חוזרת למספר שמופיע בכרטיס איש הקשר בארגון, ולא למספר שממנו הגיעה הפנייה ולא למספר שנשלח בהודעה. אם הפנייה הגיעה בטלפון, מאמתים בערוץ אחר, ולהפך.

2. מילת קוד פנימית

מילה או שאלה שסוכמו מראש בין הבעלים לבין מי שמבצע תשלומים, ואינן מופיעות בשום מקום דיגיטלי. זה נשמע פשוט מדי, וזו בדיוק הסיבה שזה עובד. תוקף שמחזיק שכפול קול מושלם עדיין לא יודע איזה קינוח הזמנתם בארוחת סוף השנה.

3. כלל ארבע העיניים על סכומים

מעל סכום שנקבע מראש, כל העברה מחייבת אישור של שני אנשים. אין צורך במערכת מורכבת, מספיק שזה יהיה כתוב ומוסכם.

לצד השלושה, כדאי להוסיף כלל תרבותי אחד: בעל העסק מכריז מראש ובאופן מפורש שלעולם לא יבקש תשלום דחוף וסודי בערוץ מיידי, ושכל עובד שיעצור בקשה כזו לבדיקה יקבל על כך מילה טובה גם אם התברר שהבקשה הייתה אמיתית. עובד שחושש להיראות חשדן מול הבוס הוא הפרצה הכי גדולה במערכת.

צ'קליסט להטמעה בעסק

1. להגדיר סף סכום לאישור כפול ולכתוב אותו בנוהל קצר שכולם רואים.
2. לקבוע מילת קוד בין הבעלים לבין הנהלת החשבונות, ולהחליף אותה מדי כמה חודשים.
3. לאסור שינוי פרטי בנק של ספק על סמך מייל או הודעה בלבד, ולחייב שיחה חוזרת למספר מוכר.
4. להפעיל אימות דו שלבי בכל חשבונות המייל, הבנק והמערכות העסקיות, כדי שהתוקף לא יוכל להשתלט על תיבה ולנהל ממנה שיחה אמינה.
5. לצמצם חשיפה מיותרת של תפקידי מפתח ופרטי קשר ישירים בעמודי צוות ובחתימות מייל.
6. להריץ תרגול אחד בשנה. להתקשר לעובד עם בקשה חריגה ולראות מה קורה. תרגול אחד שווה יותר מעשר הרצאות.
7. להסביר לצוות שזה קיים. עובד שיודע ששכפול קול אפשרי מגיב אחרת לגמרי מעובד ששומע על כך לראשונה תוך כדי הונאה.
8. לתעד למי פונים. מספר טלפון של הבנק, של איש המחשוב ושל הבעלים, במקום שכולם מכירים.

תרגיל של רבע שעה לצוות הכספים

כדי להפוך את הרשימה לנוהל שעובד גם ברגע של לחץ, קובעים תרגיל קצר עם בעל העסק, מנהלת החשבונות ומי שמחליף אותה בהיעדרה. מציגים בקשה דמיונית לשינוי חשבון בנק של ספק קבוע ולתשלום עוד באותו היום. המשתתפים צריכים להחליט מי עוצר את הבקשה, לאיזה מספר מתקשרים, מי האדם השני שמאשר ואיפה מתעדים את האישור. המטרה אינה לתפוס עובד בטעות, אלא לגלות מראש אם יש שלב שאיש אינו אחראי עליו.

במהלך התרגיל כדאי לבדוק שלוש גרסאות של אותה בקשה: מייל שנראה כאילו הגיע מהבעלים, הודעת ווטסאפ ממספר חדש ושיחת טלפון בקול מוכר. בכל שלושת המקרים התשובה צריכה להיות זהה: לא משתמשים בפרטי הקשר שהגיעו בתוך הבקשה, לא מדלגים על אישור בגלל דחיפות ולא מעבירים כסף לפני אימות בערוץ עצמאי. כך העובד אינו צריך להחליט אם הקול אמיתי. הוא רק צריך לבצע את אותו רצף פעולות בכל פעם.

בסיום כותבים דף אחד, לא חוברת נהלים: אילו פעולות דורשות אימות, מהו סף הסכום לאישור כפול, מהם המספרים המאושרים לחזרה ומי ממלא מקום כשאחד המאשרים אינו זמין. שומרים את הדף במקום נגיש גם כאשר המייל אינו עובד. חוזרים על התרגיל אחרי קליטת עובד חדש, שינוי בעלי תפקידים או אירוע אבטחה. נוהל קצר שנוסה בפועל יהיה שימושי יותר ממסמך ארוך שאיש אינו פותח בזמן אמת.

מה עושים אם זה כבר קרה

אם התברר שבוצעה העברה בעקבות בקשה מזויפת, סדר הפעולות בשעות הראשונות הוא מה שקובע:

• ליצור קשר מיידי עם הבנק ולבקש ניסיון עצירה או השבה של ההעברה. ככל שזה נעשה מהר יותר, הסיכוי גדל.
• להגיש תלונה במשטרה ולתעד את כל ההתכתבויות, ההקלטות ופרטי החשבון שאליו הועבר הכסף.
• להחליף סיסמאות בתיבות המייל ובמערכות הרלוונטיות, ולבדוק אם הוגדרו כללי העברה אוטומטית שמסתירים הודעות.
• לבדוק אם הייתה חדירה נוספת. הרבה פעמים ההונאה הקולית מגיעה אחרי שהתוקף כבר קרא מיילים ולמד את שגרת העסק.
• ליידע ספקים ולקוחות רלוונטיים אם קיים חשש שהמידע שלהם שימש בהונאה או ישמש בהמשך.
• לעדכן את הנוהל ולא רק את האנשים. הונאה שהצליחה פעם אחת מלמדת בדיוק היכן הפער.

סיכום

זיוף קול ווידאו הפך משעשוע טכנולוגי לכלי הונאה זמין, וההגנה מפניו אינה טכנולוגית ברובה. אי אפשר לצפות מאדם לזהות זיוף שמומחים אינם מזהים, אבל אפשר בהחלט לבנות תהליך שבו אף בקשה כספית חריגה אינה מבוצעת על סמך קול או תמונה בלבד. שיחה חוזרת למספר מוכר, מילת קוד מוסכמת ואישור של שני אנשים הם שלושה צעדים שאינם עולים כסף, לוקחים שעה להגדיר, ומבטלים כמעט לחלוטין את היתרון של התוקף. העסקים שנפגעו לא נפלו כי הטכנולוגיה הייתה חכמה מדי, אלא כי לא הייתה נקודת עצירה אחת בדרך.