בסוף יולי 2026 הזהיר מערך הסייבר הלאומי מפני קמפיין חדש שהתחזה לאתר דואר ישראל. שבוע אחר כך, בתחילת אוגוסט, פרסמה חברת הסייבר סייבור (Cyvore) ממצא מעניין יותר מהמתקפה עצמה: הקמפיין הבא, הודעת SMS מטעם "רשות התנועה בישראל" שטוענת לקנס של 100 שקל, נשען על אותה תשתית טכנית, עד לנתיבי התקשורת הפנימיים שלה. הנוכלים לא המציאו שום דבר מחדש. הם החליפו עיצוב, מדואר לממשלה, והמשיכו הלאה.
זו, בקצרה, התמונה של פישינג בהודעות טקסט בישראל ב-2026: מפעל שיטתי שמייצר מתקפות בתבניות, ולא סדרת מעשי נוכלות בודדים. ובמרכזו עומדת הודעה אחת שכמעט כל ישראלי מכיר מקרוב, "החבילה שלכם ממתינה".
איך עמוד מזויף גונב כרטיס אשראי עוד לפני שלוחצים "שלח"?
לפי האזהרה שפרסם מערך הסייבר הלאומי ב-29 ביולי 2026, ההודעה מדווחת על כישלון במסירת חבילה ומבקשת מהנמען לעדכן או לאשר את כתובתו. הקישור מוביל לעמוד נחיתה שמעתיק את אתר דואר ישראל כמעט עד הפרט האחרון. עד כאן, זה מה שציפיתם לשמוע. החלק המטריד הוא מה שקורה מאחורי הקלעים: לפי המערך, כל מה שמוקלד בשדות העמוד נשלח לתוקפים בזמן אמת. גם מי שהקליד מספר כרטיס ונסוג לפני הלחיצה על הכפתור האחרון כבר חשף אותו.
סייבור פירטה בתחילת אוגוסט את המנגנון המלא בקמפיין ה"רשות" המתחזה. לדבריה, מדובר ב"מערכת תקיפה חיה שמלווה את הקורבן בזמן אמת": התוקפים בודקים את הפרטים שהוקלדו מול השירות האמיתי, ויכולים להקפיץ לקורבן מסך נוסף, למשל בקשה לקוד חד-פעמי או לאישור פעולה באפליקציה בנקאית. כאן טמון ההבדל בין פישינג ישן לחדש. מספר כרטיס לבדו כבר לא מספיק לעבריין, ולכן הוא צריך אתכם, חיים ובתוך השיחה, כדי להשלים את העסקה. הקוד שהבנק שולח אליכם הוא אישור לפעולה שמישהו אחר מבצע באותו רגע, ובעמוד המזויף אתם מוסרים אותו במו ידיכם.
שני פרטים נוספים בממצאי סייבור מסבירים למה המתקפות האלה חיות ימים ולא שעות. המערכת מזהה חוקרים וסורקים אוטומטיים ומפנה אותם לאתר gov.il האמיתי, כך שמי שבודק את הקישור נתקל באתר תקין. והיא נבנית כתשתית משותפת: אותם מנגנוני שליטה, אותם נתיבי API, ורק הצבעים והלוגו מתחלפים. דפוס דומה תיעדה גם חברת ReasonLabs באוקטובר 2026, בקמפיין קנסות תעבורה שדרש מהנמענים פרטי כרטיס וקוד אימות חד-פעמי, והעניק להם 24 שעות לשלם לפני שהתיק יועבר לבית המשפט.
למה דווקא "החבילה שלכם ממתינה" עובדת כל כך טוב בישראל?
הלוגיקה של ההודעה פשוטה, ויש לה בסיס נוסף במציאות הצרכנית. כבר ב-2021 כתבה חברת ESET, בעקבות הודעות דוא"ל מתחזות לדואר ישראל, ש"הציבור הישראלי ידוע כמזמין כבד של חבילות מחו"ל", ושהיכרות כזאת עם ההרגל מקנה לפנייה אמינות: מי שמחכה לחבילה מאליאקספרס או מאמזון לא יופתע לקבל הודעה על עיכוב, ובוודאי לא על תשלום קטן לשחרור המשלוח.
מי שהזמין מחו"ל בשנתיים האחרונות גם התרגל לאי-ודאות לגבי תשלומי המסים. תקרת הפטור על יבוא אישי השתנתה בסוף פברואר 2026 שלוש פעמים בתוך 48 שעות, כפי שפירטנו בהכתבה על התהפכות פטור המכס, ורשות המסים נאלצה להבהיר שוב ושוב אילו כללים חלים. סביר להניח שבמציאות כזאת גם דרישה לא צפויה לשלם "דמי טיפול" נשמעת פחות חשודה. זו הערכה שלנו ולא ממצא מחקרי, אבל היא מתיישבת עם מה שרואים בשטח: ב-5 במאי 2026 תיעד אתר ice גל הודעות שהתחזו ללקוחות של אל על, תנובה, שופרסל ורכבת ישראל, ובין תחבולות הלחץ שבהן הופיעו "דמי מכס" על חבילה וחשבון שנחסם. דואר ישראל, לשם השוואה, לא היה צריך להמציא כלום: לפי הסיכום השנתי של מערך הסייבר הלאומי לשנת 2025, הוא הגוף השלישי שהכי התחזו אליו.
כמה מתקפות פישינג יש בישראל, ומי מתחזה למי?
הסיכום השנתי של מערך הסייבר הלאומי, שפורסם בפברואר 2026, נותן לראשונה תמונה שאפשר להצמיד אליה מספרים. בשנת 2025 טיפל המערך ב-31,657 מתקפות פישינג, פי שבעה מהשנה שקדמה לה. כ-14,000 פניות הגיעו מהציבור למוקד 119, והקישורים הזדוניים נחסמו בממוצע בתוך כשש שעות.
אחד הנתונים הבולטים בסיכום הוא הרשימה של הגופים שאליהם הכי התחזו. כביש 6 בראש, עם 19.5% מהמתקפות, אחריו בנקים וחברות אשראי עם 12%, ומיד אחריהם דואר ישראל עם 10%. רשות המסים נמצאת ב-3.25%, ואל על ב-3%. הצד המשותף לכל הגופים האלה הוא שאנשים באמת מקבלים מהם הודעות על תשלומים קטנים וחיובים שוטפים, ולכן הודעה כזאת מפתה פחות לחשוד בה.
כדאי להיזהר מלערבב יחידות מדידה. כבר ב-2025 דיווח גלובס שמערך הסייבר טיפל בלמעלה מ-43,000 קישורים זדוניים מתחילת השנה, וש-Check Point מדדה עלייה של יותר מ-340% בהודעות SMS זדוניות שמכוונות לישראל מאז תחילת מרץ אותה שנה. אלה נתוני מדידה שונים מ-31,657 מתקפות מלאות, וכל אחד מהם מתאר פינה אחרת של אותו מפעל.
למה קשה לעצור הודעה שמופיעה בתוך שרשור GOVIL אמיתי?
כאן מגיעה השאלה המעניינת ביותר מבחינה טכנית. ב-17 ביוני 2026 הזהיר המערך מהודעות על "חוב" לכביש 6 שמופיעות בתוך שרשור קיים תחת שם השולח GOVIL. ב-14 ביולי חזר על ההסבר יחד עם מערך הדיגיטל הלאומי: במכשירים מסוימים ההודעה המזויפת מתיישבת בתוך שרשור שכבר מכיל הודעות אמיתיות מהשירות הממשלתי, ויוצרת רושם שהגיעה ממקור רשמי. "לא מדובר בפריצה למערכות הממשלה", הדגישו, אלא בניצול של אופן הצגת ההודעות במכשיר.
כלומר, אפילו בדיקה "ההודעה נמצאת באותו שרשור של ההודעות מ-gov.il" כבר אינה הוכחה. רוב האנשים מסתמכים על זה אינסטינקטיבית, וזה בדיוק מה שהתוקפים מנצלים.
ההסדרה בישראל נוגעת בבעיה מהכיוון הזה כבר שנים. ביוני 2020 החליט משרד התקשורת, בהנהגת השר יועז הנדל, שרק חברת תקשורת בעלת רישיון תוכל לאפשר למנוי לשלוח הודעות מאתר או מאפליקציה שלה כשמספרו מופיע בשדה השולח, ורק אחרי זיהוי אמין. מפיצי הודעות מסחריים חויבו אף הם בזיהוי כזה, בהנחיית חברת התקשורת שדרכה הם פועלים. המטרה הייתה לחסום התחזות למספר טלפון של מנוי אמיתי. מה שעולה מהפרסומים של 2026 הוא תמונה אחרת: שם שולח כמו GOVIL, ומספרים זרים. ReasonLabs מצאה למשל הודעות שנשלחו ממספרים הקשורים להודו ולאורוגוואי. בפרסומים הפומביים שבדקנו לא מצאנו הודעה של משרד התקשורת או של חברות הסלולר על מנגנון סינון אוטומטי שחוסם קישורים כאלה לפני שהם מגיעים למכשיר, וגם לא נתון מסכם על כתבי אישום בעבירות פישינג בהודעות. אנחנו כותבים זאת כמי שחיפש ולא מצא, ולא כקביעה שהדבר אינו קיים.
מה שכן פומבי הוא מנגנון ה"הסרה": המערך חוסם קישורים זדוניים, בממוצע בתוך כשש שעות. זה מצוין כשמדובר בקמפיין אחד, אבל קשה לעמוד בקצב מול תשתית חד-פעמית. ReasonLabs מצאה שלושה דומיינים ישראליים מזויפים שנרשמו והופעלו באותו יום בספטמבר 2026, ויותר מ-750 כתובות זדוניות שנקשרו למערך הפעולה הרחב. כשהנוכלים מפנים סורקים לאתר האמיתי והדומיין הבא כבר מוכן, שש שעות מספיקות כדי לפגוע בלא מעט אנשים.
גם הנתונים על פיצוי לקורבנות מגיעים בעיקר מהצד הבנקאי. לפי גלובס מיוני 2025, הבנקים זיכו לקוחות בכ-3.4 מיליון שקל בשנתיים שקדמו לכך, במקרי הונאה מסוגים שונים.
מה עושים כשהגיעה הודעה כזאת?
ההמלצות של מערך הסייבר הלאומי ושל החברות שחקרו את הקמפיינים מתכנסות לרשימה קצרה:
- לא ללחוץ על הקישור. את מצב המשלוח בודקים רק באתר או באפליקציה הרשמיים של דואר ישראל, ואת החיובים לכביש 6 או את הקנסות דרך האתר הרשמי או gov.il, בהקלדה ידנית של הכתובת.
- לא לסמוך על הסימנים החיצוניים. לא על לוגו, לא על המילה gov בכתובת, ולא על כך שההודעה נמצאת בשרשור של הודעות אמיתיות. גם כתובת כמו shufersal-promotions-il.com או shufersa1.co.il, הדוגמאות שציטט אתר ice, נראית במבט חטוף כמו הדבר האמיתי.
- לא להזין קוד חד-פעמי, ולא לאשר פעולה באפליקציית הבנק אחרי לחיצה על קישור. גוף לגיטימי לא יבקש את הקוד שלכם, וקוד חד-פעמי שנשלח אליכם אחרי שהקלדתם פרטים באתר הוא סימן אזהרה, לא אישור.
- להתעלם מהלחץ. דדליין של 24 שעות לתשלום, כמו בקמפיין הקנסות, נועד לדחוף אתכם להחלטה לפני שחושבים.
- אם כבר הקלדתם: לפנות מיד לחברת האשראי או לבנק, לחסום את הכרטיס, להחליף סיסמאות ולעקוב אחר תנועות חריגות.
- לדווח. למוקד 119 של מערך הסייבר הלאומי, שפועל מסביב לשעון, ולחברה שהתחזו אליה.
העיקרון המנחה: כשההודעה מגיעה מבחוץ, לא כוללים אותה בתהליך הבדיקה. לא משנה כמה היא מדויקת, הבדיקה מתחילה מחדש, מבחוץ, מכתובת שהקלדתם בעצמכם. כך גם עם שיחות שגם הן עלולות לבוא עם קול מוכר, כפי שפירטנו בכתבה על שיבוט קול, וגם עם השתלטות על מספר הטלפון שבה עסקנו בהונאת החלפת השבב: בכל המקרים האלה, הנוכלים מחפשים את החוליה שבה מישהו מאשר מרצונו.
שאלות ותשובות
למי מדווחים על הודעת SMS חשודה בישראל? למוקד 119 של מערך הסייבר הלאומי, שפועל 24 שעות ביממה, וכן לחברה שהתחזו אליה. מי שכבר הקליד פרטי אשראי צריך לפנות קודם כול לבנק או לחברת האשראי ולחסום את הכרטיס.
האם דואר ישראל שולח הודעות עם קישור לתשלום או לעדכון כתובת? לפי האזהרה של מערך הסייבר הלאומי מ-29 ביולי 2026, יש לבדוק משלוחים רק דרך האתר או האפליקציה הרשמיים של דואר ישראל, ולא ללחוץ על קישורים בהודעות על משלוחים שלא ציפיתם להם.
איך נוכלים מצליחים להשיג קוד אימות גם בלי לגנוב את הטלפון? העמוד המזויף מעביר לתוקפים את מה שהוקלד בזמן אמת, ומאפשר להם לבצע פעולה אצל הבנק או חברת האשראי באותו רגע. הבנק שולח אליכם קוד, ואתם מזינים אותו בעמוד המזויף. כך הקוד עובר לידיהם בדיוק כשהם צריכים אותו.
האם הודעה שמופיעה בשרשור של GOVIL אמינה? לא בהכרח. מערך הסייבר הלאומי הסביר ביוני וביולי 2026 שבמכשירים מסוימים הודעות מתחזות מופיעות בתוך שרשור קיים של הודעות אמיתיות. אין בכך פריצה למערכות הממשלה, אבל מיקום ההודעה אינו הוכחה למקורה.
מקורות
- מערך הסייבר הלאומי מזהיר מקמפיין פישינג מתוחכם המתחזה לאתר דואר ישראל – JDN, 29 ביולי 2026
- מתקפת פישינג מתוחכמת המתחזה לפורטל gov.il ולרשות התנועה – JDN, 3 באוגוסט 2026, על ממצאי סייבור
- מערך הסייבר מזהיר מהודעות מתחזות על כביש 6 – סרוגים, 17 ביוני 2026
- אזהרת מערך הסייבר הלאומי ומערך הדיגיטל הלאומי מהודעות מתחזות בשם gov.il – JDN, 14 ביולי 2026
- סיכום שנתי של מערך הסייבר הלאומי לשנת 2025: מתקפות הפישינג והגופים שהתחזו אליהם – mako, 19 בפברואר 2026
- הודעות SMS מתחזות לרשות התנועה: מחקר של ReasonLabs – ice, 19 באוקטובר 2026
- גל הודעות פישינג בשם אל על, תנובה, שופרסל ורכבת ישראל – ice, 5 במאי 2026
- מתחזים לדואר ישראל וגונבים לכם את פרטי האשראי – ESET ישראל, 4 באוגוסט 2021
- Phishing attacks flood financial services industry – גלובס, 12 ביוני 2025
- משרד התקשורת חוסם הפצת מסרונים שלא על ידי חברות תקשורת – גלובס, 3 ביוני 2020
- הנדל: מפיצי SMS מסחריים ללא זיהוי לא יוכלו להזין מספר שולח – ice, 3 ביוני 2020
- פיקוד העורף ומערך הסייבר: אזהרה משיחות מתחזות – סרוגים, 29 בינואר 2026, על פעילות מוקד 119