איש פרסום ישראלי בשם גיא אורדיביר קיבל יום אחד הודעת SMS שנראתה בדיוק כמו כל הודעה אחרת מאפליקציית Bit: אזהרה על השעיית חשבון, וקישור למילוי פרטים דחוף. הוא מילא את הטופס, הזין פרטי אשראי, וקיבל בהמשך קוד אימות בן שש ספרות ששלחה לו – כך חשב – Bit עצמה. רק כשקרא שוב את ההודעה המקורית שם לב שמשהו לא מסתדר, ומיהר להתקשר לחברת פלאפון. התברר שהקוד שהזין רגע קודם לא אישר שום דבר ב-Bit – הוא אישר ניוד של מספר הטלפון שלו לחברה אחרת לגמרי. הדבר היחיד שהציל אותו היה עובדה טכנית שולית: ניודי מספרים בישראל לא מתבצעים בסופי שבוע, וההונאה נתפסה בזמן.
זו לא תקלה נדירה. זו שיטת פשע שלמה, שצוברת תאוצה גם בישראל וגם בעולם, ומנצלת נקודת תורפה מבנית אחת פשוטה: קוד האימות החד-פעמי ב-SMS טוב בדיוק כמו הרשת שמעבירה אותו. וברגע שהרשת עצמה מנוטרלת מבעליה החוקיים, כל שכבות ההגנה שנשענות עליה – הבנק, הארנק הדיגיטלי, הוואטסאפ – קורסות ביחד.
איך ההתקפה עובדת, צעד אחר צעד
הכול מתחיל באיסוף פרטים אישיים: שם מלא, מספר תעודת זהות, תאריך לידה וכתובת – לרוב ממאגרי מידע שדלפו, מרשתות חברתיות, או מהודעות פישינג קודמות. עם המידע הזה, התוקף פונה לשירות הלקוחות של חברת הסלולר ומתחזה ללקוח לגיטימי, ומבקש "שכפול" כרטיס סים או ניוד המספר לחברה אחרת. לעיתים, כמו במקרה של אורדיביר, הקורבן עצמו הוא זה שמבצע את הניוד בפועל – משוכנע שהוא מגן על חשבון אחר לגמרי.
ברגע שהמספר "עבר", כל הודעת SMS שהבנק, אפליקציית התשלומים או שירות הדוא"ל שולחים כקוד אימות מגיעה ישירות לתוקף. המערכת עצמה אינה יכולה להבחין בין הקורבן לעבריין – מבחינתה מדובר באותו מספר טלפון בדיוק. משם, הדרך לחשבון הבנק קצרה: איפוס סיסמה, כניסה מחדש לאפליקציה, והעברות בפועל. באותה נשימה, אותו קוד בדיוק מאפשר לתוקף להתקין את WhatsApp על מכשיר משלו עם מספר הקורבן, ולפנות משם לאנשי הקשר שלו בבקשות דחופות לכסף – תרחיש "קרוב משפחה בצרה" שהתפשט בד בבד עם הונאת הסים עצמה.
כמה זה קורה בישראל בפועל
זו לא תופעה תיאורטית. באוקטובר 2024 בלבד נחשפו בישראל שתי פרשות נפרדות של הונאת החלפת שבב: האחת בהיקף של כ-12 מיליון שקל, שבה עצרה יחידת ההונאה של משטרת ישראל תשעה חשודים שרכשו כרטיסי סים על שם קורבנות, התחזו מולם לחברות הסלולר ולבנקים, וביצעו משיכות והעברות ללא ידיעת בעלי החשבון – בחיפוש בבתי החשודים נתפסו כספת עם 200 אלף שקל במזומן ועשרות כרטיסי סים נוספים. השנייה, בהיקף של כ-3.5 מיליון שקל, נקשרה ל-20 מקרי הונאה מצטברים נגד לקוחות בבנקים מזרחי טפחות, לאומי, הפועלים ודיסקונט. גורם משטרתי שצוטט בעקבות אחת הפרשות אמר: "הקלות שבה בוצעה ההונאה מדאיגה ביותר", והדגיש "צורך דחוף בשיפור מערכות האבטחה במוסדות הפיננסיים שלנו". קורבן אחד תיאר את הרגע שבו גילה מה קרה: "פתאום גיליתי שהשתלטו לי על החשבון ורוקנו אותו ממאות אלפי שקלים".
בנק ישראל עצמו מאשש את התמונה: בהערכה שפרסם הפיקוח על הבנקים במאי 2025, נמנתה "השתלטות על קו הסלולר" – בעיקר באמצעות ניוד הונאתי – כאחד מדפוסי ההונאה הבולטים של 2024, שצפוי להמשיך גם ב-2025 לצד וישינג, פישינג ופלטפורמות השקעה מזויפות. לפי אותה הערכה, במהלך השנתיים שקדמו לפרסום פיצתה המערכת הבנקאית, בעקבות התערבות הפיקוח, קורבנות הונאה בסכום כולל של כ-3.4 מיליון שקל. בנק ישראל אף המליץ להקים בישראל גוף לאומי מתואם למאבק בהונאות פיננסיות, על פי מודלים שקיימים כבר בבריטניה, באוסטרליה ובסינגפור – המלצה שמעידה כשלעצמה על כך שגוף כזה עדיין לא קיים כאן.
הפער הרגולטורי: הבעיה ידועה כבר משנת 2018
מה שהופך את הפרשה לסיפור עיתונאי במיוחד הוא לוח הזמנים. משרד התקשורת הציע כבר בפברואר 2018 לאסור ניוד מספרים באמצעות שיחת טלפון בלבד, ולחייב הזנת קוד אימות ישירות במערכת חברת הסלולר – בעקבות תלונות על "גורמים מתחזים לשיחות למספרים ייעודיים ומשתלטים על מספרי טלפון". שבע שנים אחר כך, בפברואר 2025, התכנס לראשונה דיון בהשתתפות הפיקוח על הבנקים, משטרת ישראל, משרד התקשורת וחברות הסלולר סביב הקמת שרת ייעודי שיאפשר לגזרה הפיננסית לראות בזמן אמת ניודי מספרים חשודים ולקשר אותם לפעילות בנקאית חריגה. הפרטים החשובים: השתתפות חברות הסלולר בפרויקט הזה וולונטרית בלבד, לא מחויבת בחוק, והנתונים אמורים להימחק אוטומטית תוך 24 שעות.
בינתיים, הבנקים כן מחויבים לפי הוראות ניהול בנקאי תקין (ובהן הוראה 367) לדרוש לפחות שני גורמי אימות לפני שינוי מספר טלפון או דוא"ל רשום בחשבון – הגנה שקיימת גם אם התוקף כבר משתלט על קו הטלפון עצמו, ומקשה עליו להחדיר פרטי קשר משלו לחשבון. בנק ישראל גם חייב את הבנקים להקים עד מאי 2026 מוקד טלפוני מאויש אנושית הפועל 24 שעות ביממה, עם זמן המתנה מקסימלי של שש דקות, לדיווח מיידי על חשד להונאה.
ההשוואה הבינלאומית: מי כבר טיפל בבעיה
בארצות הברית, ה-FCC (הרגולטור הפדרלי לתקשורת) אימץ בנובמבר 2023 צו שמחייב את כל חברות הסלולר, כולל מפעילות וירטואליות, ליישם שיטות אימות מאובטחות לפני כל ניוד או החלפת סים, ולעדכן לקוחות על כל בקשת שינוי כזו. מועד הציות המקורי שנקבע, יולי 2024, נדחה בפועל בשל הליכי אישור רגולטוריים פנימיים בארה"ב, וההוראה נכנסה לתוקף מלא רק בתחילת 2025. לפי דוחות ה-FBI, הנזק המדווח מהונאת החלפת שבב בארה"ב צנח בכל זאת עוד קודם לכן: מכ-72.6 מיליון דולר ב-2022 לכ-48.8 מיליון ב-2023 ולכ-26 מיליון בלבד ב-2024 – ירידה של כ-64 אחוז תוך שנתיים, שהחלה עוד לפני שהרפורמה הפדרלית נכנסה כליל לתוקף.
בבריטניה המגמה הפוכה: לפי דוח Fraudscape 2025 של שירות מניעת ההונאות Cifas, מספר מקרי החלפת הסים הבלתי מורשית זינק ב-1,055 אחוז ב-2024 – כמעט 3,000 מקרים לעומת 289 בלבד בשנה הקודמת, כשכמעט מחצית מכלל מקרי ההשתלטות על חשבונות שדווחו כללו חשבונות טלפון נייד. בהודו, לעומת זאת, תיקוני רגולציה של רשות ה-TRAI קובעים שמנוי אינו יכול לנייד את מספרו לחברה אחרת במשך שבעה ימים לפחות לאחר החלפת סים – עיכוב מכוון שסוגר את "חלון ההזדמנויות" הקצר שבו עברייני החלפת שבב מבצעים את פעולות הבנק. ישראל, לעומת שלוש המדינות האלה, עדיין לא הפכה אף אחד מהצעדים המקבילים לחובה מחייבת בחוק.
וואטסאפ: הפריצה השנייה
מה שהופך את התופעה לרלוונטית כמעט לכל אחד, גם למי שלא נופל קורבן להחלפת שבב עצמה, הוא שאותו עיקרון בדיוק – ניצול קוד אימות חד-פעמי – מספיק כדי להשתלט על חשבון WhatsApp שלם, בלי צורך אפילו בהחלפת סים טכנית. מספיק שהקורבן עצמו ישתף בטעות קוד שקיבל, בתשובה לבקשה של "חבר" שטוען שהקוד "הגיע אליו בטעות". משם, העבריין נכנס לחשבון הקורבן ופונה לאנשי הקשר שלו בבקשות דחופות להעברת כסף. ההגנה הפשוטה ביותר מפני זה זמינה בתוך האפליקציה עצמה: אימות דו-שלבי של WhatsApp – קוד אישי נוסף בן שש ספרות, שמוגדר תחת הגדרות > חשבון > אימות דו-שלבי – מונע מתוקף שכבר קיבל את קוד ה-SMS להשתלט על החשבון בלי הקוד השני.
מה עושים בפועל
כמה כללים פשוטים חוזרים בכל המקורות שנבדקו לכתבה זו: לעולם לא לשתף קוד אימות עם אף אחד, גם לא עם מי שמציג עצמו כחבר או קרוב משפחה שקיבל אותו "בטעות" – אף גורם רשמי, בנק, חברת אשראי או משטרה, לעולם לא יבקש מכם למסור קוד כזה או לשתף מסך. כדאי להפעיל אימות דו-שלבי בוואטסאפ, ולכבות את הצגת תוכן ההודעות במסך הנעילה של הטלפון, כך שקוד אימות לא ייחשף למי שמסתכל על מסך נעול של מכשיר גנוב או אבוד. ברגע שמתקבלת הודעה על ניוד מספר או הפעלת סים שלא יזמתם, הפנייה הראשונה צריכה להיות למוקד ההונאות הספציפי של חברת הסלולר ושל הבנק – לא לשירות הלקוחות הכללי – ומיד אחר כך למשטרה.
שווה לציין גם מה עוד לא קיים בישראל, לשם השוואה: בניגוד למפעילות סלולר אמריקאיות רבות, אף אחת מחברות הסלולר הישראליות הגדולות לא מציעה כיום ללקוחותיה, באופן מוצרי ומתועד, "קוד הקפאת ניוד" ייעודי שהלקוח קובע מראש. ההגנה הקיימת בישראל נשענת בעיקר על נהלים פנימיים של חברות הסלולר ועל הוראות בנק ישראל – לא על כלי צרכני ישיר שבשליטת הלקוח.
שאלות ותשובות
איך עברייני החלפת שבב משיגים את מספר הטלפון שלי? לרוב בפנייה לשירות הלקוחות של חברת הסלולר תוך התחזות ללקוח, בעזרת פרטים אישיים שנאספו מראש ממאגרי מידע שדלפו או מרשתות חברתיות – או, כמו שקרה בפועל בישראל, בשכנוע הקורבן עצמו, דרך הודעת פישינג, לבצע את הניוד "בטעות".
מה ההבדל בין הונאת החלפת שבב לפישינג רגיל? בפישינג רגיל צריך שהקורבן ימסור פרטי חשבון או סיסמה. בהחלפת שבב, ברגע שהתוקף שולט במספר הטלפון, הוא מקבל אוטומטית את כל קודי האימות שהבנק, הארנק הדיגיטלי או WhatsApp שולחים – בלי שהקורבן חייב לעשות שום דבר נוסף מלבד לא לשים לב בזמן.
האם בישראל יש הגנה ייעודית מפני זה? בעקיפין: הוראות בנק ישראל מחייבות אימות דו-גורמי לפני שינוי פרטי קשר בחשבון, ומאז 2025 פועל פרויקט וולונטרי לחיבור בין ניודי מספרים לפעילות בנקאית חשודה. אבל בניגוד לארה"ב, לבריטניה ולהודו, אין עדיין בישראל חובה רגולטורית מחייבת ספציפית להחלפת שבב, ואין מוצר צרכני ייעודי כמו "PIN הקפאת ניוד".
מה עושים אם קיבלתי הודעה על ניוד מספר שלא ביקשתי? פונים מיד למוקד ההונאות הספציפי של חברת הסלולר (לא לשירות הלקוחות הכללי) ולבנק, ומגישים תלונה במשטרה. ככל שפועלים מהר יותר, כך גדל הסיכוי לעצור את ההעברה לפני שהכסף יוצא מהחשבון.
מקורות
- ICE, "הונאה בהיקף של 12 מיליון שקל: השתלטו על חשבונות בנקים," 6.10.2024. https://www.ice.co.il/law/news/article/1032745
- ICE, על פרשת הונאה בהיקף 3.5 מיליון שקל, 28.10.2024. https://www.ice.co.il/finance/news/article/1035478
- Ynet, "נוכלי הונאת ביט ינסו לנייד לכם את מספר הטלפון" (מקרה גיא אורדיביר), 15.9.2024. https://www.ynet.co.il/economy/article/rj8oaun60
- Ynet, "בנק ישראל על מגיפת הנוכלים: לשקול להקים גוף לאומי למאבק בהונאות פיננסיות," 7.5.2025. https://www.ynet.co.il/economy/article/s1arqjulxg
- Calcalist, "שימוש ב-AI לצורך התחזות וטכנולוגיות דיפ פייק: בנק ישראל מזהיר מגל הונאות פיננסיות," 7.5.2025. https://www.calcalist.co.il/local_news/article/sjikycdlgg
- Ynet, "המלחמה בהונאות: חברות האשראי יקבלו גישה לשרת ניודי הסלולר," פברואר-מרץ 2025. https://www.ynet.co.il/economy/article/b1raslxfge
- Israel Defense, "משרד התקשורת רוצה אימות דו שלבי לניוד קו סלולרי," 5.2.2018. https://www.israeldefense.co.il/node/32929
- בנק ישראל, הפיקוח על הבנקים, הוראת ניהול בנקאי תקין מס' 367 ("בנקאות בתקשורת"). https://boi.org.il/media/hivblz1r/367.pdf
- TheMarker, "'בעקבות ריבוי מקרי הונאה': הבנקים יקימו מוקד טלפוני שיפעל 24/7," 30.11.2025. https://www.themarker.com/markets/2025-11-30/ty-article/.premium/0000019a-d465-db2f-afdf-f67d1afc0000
- FBI Internet Crime Complaint Center, 2024 IC3 Annual Report – נתוני הונאת SIM Swap לשנים 2022-2024. https://www.ic3.gov/AnnualReport/Reports/2024_IC3Report.pdf
- FCC, "FCC Announces Effective Compliance Date for SIM Swapping Item," צו FCC 23-95. https://www.fcc.gov/consumer-governmental-affairs/fcc-announces-effective-compliance-date-sim-swapping-item
- Cifas, דוח Fraudscape 2025 – עלייה של 1,055% בהחלפות סים בלתי מורשות ב-2024, 7.5.2025. https://www.cifas.org.uk/newsroom/huge-surge-see-sim-swaps-hit-telco-and-mobile
- ESET Israel Blog, "הונאות וואטסאפ נפוצות וכיצד אפשר להימנע מהן." https://www.eset.com/il/blog/home/scams/top-whatsapp-scams/