השתלטות על וואטסאפ עסקי: כך מגנים על החשבון

השתלטות על וואטסאפ עסקי יכולה להתחיל במסירת קוד אימות או באישור מכשיר מקושר שאינו שלכם. כדי לצמצם את הסיכון, הפעילו אימות דו־שלבי, בדקו מכשירים מקושרים ואל תאשרו חיבור בעקבות הודעה שקיבלתם. אם החשבון כבר נרשם אצל אדם אחר, פעלו במסלול השחזור הרשמי. במקביל, התריעו ללקוחות בערוץ חלופי על הודעות חשודות.

בעסק קטן, מספר הוואטסאפ מופיע באתר, בחשבוניות ולעיתים גם על הרכב. הלקוחות מכירים אותו וסומכים עליו. לכן הודעה מזויפת מהחשבון האמיתי יכולה להיראות אמינה יותר ממייל עם כתובת משונה. המטרה של המדריך היא לעזור לבעל העסק להגן על ערוץ העבודה הזה ולדעת מי מטפל בו בשעת אירוע.

איך משתלטים על החשבון בלי לדעת את הסיסמה?

הביטוי "בלי סיסמה" מתאר בעיקר ניצול של תהליך כניסה או קישור. הוא אינו אומר שאין בוואטסאפ אמצעי אימות נוספים. תוקף עשוי לבקש קוד בטענה ששלח אותו בטעות למספר שלכם. לחלופין, הוא יכול להציג בקשה לקישור מחשב בתור בדיקת אבטחה או חיבור לכלי עסקי. בשני המצבים, העובד רואה פעולה מוכרת אך אינו מבין למי הוא נותן גישה.

אלה שני תרחישים שונים. רישום המספר במכשיר אחר עשוי לנתק אתכם מהחשבון. לעומת זאת, מכשיר מקושר מאפשר עבודה נוספת לצד הטלפון הראשי. לכן העובדה שהטלפון עדיין שולח הודעות אינה מספיקה כדי לשלול גישה זרה. צריך לבדוק גם את רשימת החיבורים ולא להסתפק בתחושה שהכול פועל.

התרעה של National CERT בפקיסטן משנת 2026 מתארת ניצול של קודי אימות ושל קישור באמצעות QR. המסמך כולל גם WhatsApp Business בין המוצרים הרלוונטיים. מדובר במקור על שיטות ההונאה, ולא בנתון על היקף האירועים בישראל. אין צורך לטעון שכל עסק מותקף כדי להצדיק בדיקה בסיסית של החשבון.

קוד רישום אינו הודעה שאפשר להעביר הלאה

השתמשו בקוד הרישום רק בתהליך שאתם יזמתם. כשאדם אחר מבקש לקבל אותו, עצרו גם אם התמונה והשם מוכרים. ייתכן שמתחזה כבר מפעיל את החשבון של אותו אדם. אל תמשיכו את הבירור באותה התכתבות; התקשרו למספר מוכר ובדקו מה האדם באמת ביקש.

לדוגמה, דמיינו משרד שירות שבו לקוח קבוע כותב: "שלחתי אליך קוד שלי, תעביר לי מהר". זו דוגמה להמחשה, לא אירוע של לקוח Hot PC. העובד רוצה לעזור, ובאותו רגע הקוד נראה כמו פרט טכני שולי. נוהל קצר יכול לשנות את התגובה: קודי כניסה נשארים אצל מי שקיבל אותם, וכל בקשה חריגה עוברת לבדיקה.

גם מנהל העסק צריך לפעול לפי הכלל. אם המנהלים מבקשים מהצוות לשלוח קודים בצ'אט בשגרה, קשה לצפות מהעובדים לזהות את החריג. לכן סדרו מראש דרך מסודרת למתן גישה לעובד חדש. אל תהפכו העברת קודים להרגל עבודה שמתחזה יכול לחקות.

מכשירים מקושרים: בדיקה שגם עסק עסוק צריך לבצע

לפי התיעוד הרשמי של WhatsApp על חיבור מכשירים, כל מכשיר מקושר מתחבר לשירות באופן עצמאי. אפשר לקשר מכשיר באמצעות QR או באמצעות מספר טלפון. הטלפון הראשי נדרש לרישום החשבון ולקישור מכשירים חדשים. לכן קישור הוא פעולה שמעניקה גישה וצריך להבין אותה לפני שמאשרים.

פתחו בטלפון את מסך המכשירים המקושרים והשוו את הרשימה לעמדות שהעסק מפעיל. לכל מחשב צריך להיות הסבר: מי עובד עליו, למה החיבור נחוץ והאם העובד עדיין עובד אצלכם. אם אינכם מזהים מכשיר, בדקו במהירות עם האחראי ונתקו חיבור שאין לו בעלים מוכר. לאחר מכן בדקו אם מישהו שלח הודעות חריגות.

רצוי לנהל רשימה קצרה של עמדות מורשות, בלי לשמור בה סודות. שם העמדה, שם האחראי ותאריך הבדיקה מספיקים לתפעול בסיסי. בנוסף, כל החלפת מחשב או סיום עבודה של עובד צריכים להוביל לבדיקת החיבורים. כך הרשימה נשארת שימושית גם כשהצוות משתנה.

מתי QR הוא סימן לעצור?

לא כל QR קשור לכניסה לחשבון. עם זאת, אם סריקה מובילה לאישור חיבור בתוך WhatsApp, שאלו איזה מכשיר עומד להתחבר. בקשה שמגיעה בעקבות פרסומת, הודעת תמיכה מפתיעה או הבטחה להטבה דורשת עצירה. פתחו את השירות ביוזמתכם ובדקו את היעד לפני אישור.

בעסק, כדאי להגדיר שרק אדם מסוים מאשר קישור חדש. העובד בעמדת הקבלה אינו צריך להכריע לבדו אם הספק אכן הציג את החלון המקצועי הזה. אפשר להעביר לאחראי צילום של ההסבר, אך לא צילום שמכיל קוד פעיל. ההחלטה צריכה להתבסס על צורך עסקי ידוע ועל מחשב מזוהה.

גם הצפנה מקצה לקצה אינה מחליפה את הבדיקה הזאת. היא מגינה על התקשורת, אך הרשאה למכשיר זר יוצרת נקודת גישה נוספת. לכן ההדרכה לצוות צריכה לכלול גם את משמעות כפתור האישור, ולא רק אזהרה כללית מפני קישורים. הבנה פשוטה של הפעולה יעילה יותר מרשימת מילים מפחידות.

מה השתנה באימות הדו־שלבי ב־2026?

ב־25 באוגוסט 2026 פרסמה Meta עדכון אבטחה רשמי ל־WhatsApp. החברה תיארה מעבר מאימות דו־שלבי שמשתמש ב־PIN בן שש ספרות לסיסמה ארוכה, שיכולה לכלול אותיות, מספרים ותווים מיוחדים. היא הציגה גם אפשרויות כניסה באמצעות מפתחות גישה, המסתמכים על אמצעי האימות של המכשיר.

לכן מדריך שמורה תמיד להגדיר רק PIN בן שש ספרות עלול כבר לא להתאים למסך שלכם. עדכנו את האפליקציה ובדקו את האפשרויות שמופיעות בחשבון ובגרסה שבשימוש העסק. הפעילו את האימות הדו־שלבי ושמרו את אמצעי השחזור בצורה מסודרת. אין כאן הבטחה שכל אפשרות זמינה בכל חשבון WhatsApp Business באותו רגע.

מבחינה תפעולית, קבעו מי אחראי על ההגדרות ומי מחליף אותו כשהוא בחופשה. חשבון עסקי לא צריך להישען על זיכרון של עובד אחד. מנגד, אין להפיץ את סוד האימות בקבוצת העובדים כדי לפתור בעיית זמינות. השתמשו במנגנון מאובטח שמתאים לצוות ולמדיניות הגישה שלכם.

אילו סימנים מצדיקים בדיקה מיידית?

לקוח מדווח על בקשת תשלום או קישור שלא שלחתם.
האפליקציה מודיעה שמישהו רשם את המספר במכשיר אחר.
מופיע מכשיר מקושר שאף עובד אינו מזהה.
מגיע קוד אימות בלי שמישהו מורשה התחיל תהליך כניסה.
פרטי החשבון או ההודעות משתנים בלי הסבר מוכר.

סימן בודד אינו מוכיח את כל היקף האירוע. למשל, קוד לא צפוי יכול להעיד על ניסיון שעדיין לא הצליח. עם זאת, אין צורך לחכות עד שלקוח יפסיד כסף. מנו אחראי שיבדוק את החשבון ויעדכן את הצוות, כדי שלא יהיו כמה עובדים שמבצעים במקביל פעולות סותרות.

בשלב הראשון תעדו מתי התחילה החריגה, מי דיווח עליה ואילו הודעות המתחזה שלח. שמרו את התיעוד במקום ארגוני מוגן. אל תעבירו צילומי שיחות של לקוחות לקבוצות רחבות לצורך התייעצות. מספיק לשתף את בעלי התפקידים שזקוקים למידע כדי לטפל באירוע.

מה עושים אחרי השתלטות על וואטסאפ עסקי?

לפי הוראות השחזור העדכניות של WhatsApp, אם מישהו לקח מכם את החשבון, יש להירשם אליו מחדש באמצעות מספר הטלפון וקוד הרישום שקיבלתם. לאחר הזנת הקוד, השירות מנתק את המכשירים המחוברים לחשבון. פעלו דרך האפליקציה הרשמית וההנחיות שהיא מציגה.

ייתכן שהאפליקציה תבקש PIN של אימות דו־שלבי שאינכם יודעים. מרכז העזרה מציין שבמצב הזה ייתכן שתצטרכו להמתין שבעה ימים. השירות אינו מבטיח את זמן השחזור הזה לכל מקרה. אם המסך או אפשרויות השחזור שונים, פעלו לפי ההנחיות העדכניות בחשבון. אל תמסרו קודים למי שמבטיח לקצר את ההמתנה.

אם הטלפון עדיין בשליטתכם והבעיה היא חיבור לא מוכר, הסירו את המכשיר הזר ובדקו את הגדרות האבטחה. לעומת זאת, שינוי סיסמה בלבד אינו תחליף למסלול השחזור של חשבון שנרשם אצל אדם אחר. לאחר שחוזרים לחשבון, בדקו שוב מכשירים מקושרים והפעילו את שכבות ההגנה הזמינות.

איך ממשיכים לתת שירות בזמן הטיפול?

השתלטות על וואטסאפ עסקי היא גם אירוע שירות. הכינו מראש מספר טלפון, כתובת דואר ועמוד באתר שבהם אפשר לפנות לעסק. אם אתם מזהירים לקוחות, השתמשו בערוץ שאתם שולטים בו והציגו הוראה ברורה לגבי הודעות שהמתחזה שלח בזמן האירוע. אל תנסחו הבטחה שהכול בטוח לפני שהבדיקה הסתיימה.

נוסח אפשרי להתאמה: "אנחנו בודקים שימוש לא מורשה בחשבון ההודעות שלנו. אם קיבלתם בקשת תשלום חריגה, עצרו ופנו אלינו בטלפון המופיע באתר". זו דוגמת ניסוח בלבד. התאימו אותה למה שידוע בפועל וללקוחות הרלוונטיים, ושמרו תיעוד של ההודעות והפניות שהגיעו בעקבותיה.

בנוסף, בקשת שינוי פרטי בנק או תשלום דחוף צריכה לעבור אימות מחוץ לשיחת הוואטסאפ. התקשרו לאיש קשר מוכר באמצעות מספר ששמרתם מראש במערכת. אותו עיקרון מופיע גם בהתמודדות עם הונאות התחזות למנהלים. כאשר יש חשד להעברה כספית, פנו במהירות לגורם התשלומים הרלוונטי.

האם מי שהשתלט קורא את כל ההיסטוריה?

אין תשובה אחת לכל תרחיש. WhatsApp מציינת שרישום החשבון במכשיר חדש אינו מאפשר כשלעצמו לקרוא את השיחות הישנות שבמכשיר המקורי. אולם מכשיר מקושר, גישה לטלפון או גישה נפרדת לגיבוי הם מצבים שונים. לכן לא נכון להסיק שאין חשיפה רק מפני שהחשבון חזר לבעליו.

בדקו מה קרה בפועל: האם עובד מסר קוד רישום, האם אישר חיבור, ומה היה נגיש בעמדה. לאחר מכן העריכו אילו לקוחות או מסמכים האירוע מסכן. אם מדובר במידע רגיש, שלבו את אנשי המקצוע המתאימים לבדיקת האירוע והטיפול בו. שמרו על הבחנה בין מה שבדקתם לבין מה שעדיין אינכם יודעים.

שגרת עבודה שמצמצמת את הסיכון

בחרו בעל תפקיד שאחראי על החשבון, ותעדו מי רשאי לקשר מכשירים. הדריכו עובדים חדשים לפני שהם מתחילים לענות ללקוחות. לאחר מכן תרגלו בקשה חריגה אחת: קוד שהגיע "בטעות", אישור תמיכה או שינוי יעד תשלום. המטרה היא שהעובד יידע למי לפנות בלי לחשוש שהוא מעכב את העבודה.

בבדיקה תקופתית, עברו על המכשירים המקושרים, על יכולת השחזור ועל פרטי הקשר החלופיים. בנוסף, ודאו שהטלפון והמחשבים מקבלים עדכונים וננעלים כשאין בהם שימוש. כשעובד עוזב, סגרו גם חיבורים שנשארו בדפדפן. אלה צעדים משלימים לתהליך אבטחת המידע של העסק.

לבסוף, החליטו איזה מידע בכלל מתאים להעברה בצ'אט. אם אתם שומרים מסמך רגיש במערכת ארגונית, עדיף להשתמש בדרך השיתוף המאושרת שלה. פחות עותקים מפוזרים מקלים על ניהול ההרשאות ועל בירור אירוע. אין צורך להפסיק להשתמש בוואטסאפ; צריך להגדיר מה תפקידו בעבודה.

תרגיל קצר לצוות לפני האירוע הבא

אפשר לתרגל את הנוהל בלי לשלוח הודעת פישינג אמיתית ובלי לבקש קוד מאף עובד. בישיבת צוות, הציגו בעל פה מצב שבו לקוח מבקש לשנות פרטי תשלום. שאלו מי עוצר את הביצוע, למי מתקשרים ואיפה מתעדים את הבירור. לאחר מכן עברו לתרחיש של מחשב לא מוכר ברשימת החיבורים.

בכל תרחיש חפשו החלטה מעשית. למשל, מנהלת המשרד מתקשרת ללקוח, ואחראי המחשוב בודק את המכשירים. אם שניהם אינם זמינים, המחליף צריך לדעת היכן שמרתם את פרטי הקשר. אל תסתפקו בתשובה "נפנה למישהו שמבין"; הגדירו שם או תפקיד ודרך פנייה חלופית.

בסיום התרגיל כתבו עמוד אחד עם סדר הפעולות. שמרו אותו גם במקום שאינו תלוי בחשבון הוואטסאפ שעלול להיחסם. כך עובד שמגיע למשמרת יכול למצוא את ההנחיות בלי לחפש בהיסטוריית ההודעות. בדקו את העמוד שוב אחרי שינוי צוות, החלפת מספר או מעבר לספק שירות אחר.

שאלות שבעלי עסקים שואלים

הטלפון עובד כרגיל. אפשר להיות רגועים?

אפשר להמשיך לעבוד, אבל כדאי לבדוק גם מכשירים מקושרים והתראות. חיבור נוסף יכול להתקיים לצד הטלפון הראשי. אם לקוח מדווח על הודעה מוזרה, בדקו אותה גם כאשר האפליקציה נראית תקינה.

אימות דו־שלבי פותר את כל הבעיה?

הוא שכבת הגנה חשובה, אך אינו מחליף שיקול דעת באישור מכשירים והגנה על הטלפון. שלבו הגדרות אבטחה, ניהול חיבורים ונוהל אימות לבקשות כספיות. כך כשל אחד לא חייב להפוך מיד לנזק עסקי.

מה לבדוק כבר היום?

התחילו ממכשירים מקושרים ומהגדרות האימות בחשבון. אחר כך ודאו שיש אחראי ומחליף, ושכל העובדים יודעים שלא מעבירים קודי כניסה. בדיקה קצרה ומוגדרת עדיפה על הנחה שמישהו אחר כבר טיפל בנושא.

מקורות ותאריך הבדיקה

בדקנו את המקורות ב־29 בספטמבר 2026. המדריך מתמקד בשימוש באפליקציה ובמכשירים מקושרים. עסק שמשתמש בפלטפורמת WhatsApp דרך ספק שירות צריך לבדוק גם את הרשאות הספק והמערכת בהתאם למוצר שלו.