SIM Swap היא מתקפה שבה תוקף משכנע את ספקית הסלולר להעביר את מספר הטלפון שלכם לכרטיס SIM שבידיו — ומרגע זה כל קוד אימות ב-SMS מגיע אליו ולא אליכם. הסימן המיידי הוא אובדן קליטה פתאומי באזור עם קליטה טובה. הפעולה הראשונה היא להתקשר מיד לספק מקו אחר ולבקש לחסום את הקו, ומיד אחר כך להחליף סיסמאות ממכשיר אחר. ההגנה היעילה ביותר מראש: להפסיק להסתמך על SMS לאימות דו-שלבי.
- למה המתקפה מתחילה הרבה לפני הרגע שבו הקליטה נעלמת.
- מה הופך דווקא את השיטה הזו למסוכנת כל כך — הטלפון כעוגן אימות.
- סדר הפעולות הנכון בשעה הראשונה, והטעות שמחמירה את המצב.
- שתי הגדרות שמונעות את רוב המקרים מראש.
מהו SIM Swap ואיך הוא עובד?
SIM Swap (החלפת כרטיס SIM) היא שיטת תקיפה שבה תוקף משכנע את ספק הסלולר שלכם להעביר את מספר הטלפון שלכם לכרטיס SIM חדש שנמצא בידיו. מרגע שהמספר בידיו – הוא מקבל את כל ה-SMS שלכם, כולל קודי אימות דו-שלבי.
שלבי המתקפה
- התוקף אוסף מידע עליכם: שם, ת.ז., כתובת, פרטי חשבון
- הוא פונה לספק הסלולר בטענה שאיבד את הכרטיס
- הספק מאמת זהות ומעביר את המספר לכרטיס חדש
- מרגע ההעברה – התוקף מקבל את כל ה-SMS שלכם
- הוא מאפס סיסמאות לחשבונות הבנק, אימייל, רשתות חברתיות
סימנים לכך שעברתם SIM Swap
- הטלפון שלכם לפתע ללא קליטה (אפילו באזור קליטה מלאה)
- הודעת SMS מהספק על שינוי כרטיס שלא ביצעתם
- לא מצליחים להתחבר לחשבון הבנק
- חשבונות אינטרנט נחסמים בזה אחר זה
מה לעשות מיד
- התקשרו לספק הסלולר מיד וביקשו לחסום את הקו
- שנו סיסמאות לחשבונות קריטיים מאינטרנט אחר (WiFi של שכן/בית עסק)
- הודיעו לבנק שלכם
- שנו את אמצעי האימות הדו-שלבי מ-SMS לאפליקציית Authenticator
כיצד להגן על עצמכם מראש
- בקשו מהספק הסלולר להוסיף PIN נוסף לחשבון שלכם
- עברו לשימוש באפליקציית אימות (Google Authenticator, Authy) במקום SMS
- הגבילו את המידע האישי שאתם חושפים ברשתות חברתיות
- הפעילו התראות על כל שינוי בחשבון הסלולר
למה המתקפה מצליחה — החוליה האנושית
החלק הטכני של SIM Swap הוא הפשוט ביותר. החלק הקשה הוא לשכנע אדם במוקד שהוא מדבר עם בעל הקו. לכן המתקפה מתחילה הרבה לפני השיחה: איסוף פרטים מדליפות קודמות, מפרופילים ציבוריים ברשתות החברתיות, ולעיתים משיחת פישינג מוקדמת שבה הקורבן עצמו מאשר פרטים.
זו גם הסיבה שהגנה טכנית לבדה אינה מספיקה. כל פרט שאתם מפרסמים ברבים — תאריך לידה, שם בן זוג, עיר מגורים, מקום עבודה — הוא חומר גלם שיכול לשמש בשיחה מול מוקד שירות.
הקשר רחב יותר: מה זה אומר למשתמשים בישראל
בישראל מספר הטלפון הוא המפתח לכמעט הכל: אפליקציית הבנק, האשראי, הוואטסאפ, קופת חולים ואתרי הממשלה. רוב השירותים האלה עדיין שולחים קוד ב-SMS כאמצעי האימות היחיד — ולכן העברה מוצלחת אחת של מספר פותחת שרשרת דלתות בבת אחת.
נקודה מעשית שכדאי לדעת: ספקיות הסלולר מאפשרות להגדיר קוד זיהוי לשיחות מול המוקד, כך שלא ניתן לבצע שינויים בלעדיו. רוב האנשים לא מודעים שהאפשרות הזו קיימת, והיא החסם היעיל ביותר מול השיטה הזו. שיחה אחת למוקד שלכם מסדירה את זה.
מה כדאי לעשות עכשיו
-
התקשרו לספק הסלולר ובקשו להגדיר קוד זיהוי לשיחות מול המוקד.
-
עברו מאימות ב-SMS לאפליקציית מאמת בכל חשבון שמאפשר זאת — מהבנק והמייל קודם.
-
הפעילו קוד PIN על כרטיס ה-SIM עצמו בהגדרות המכשיר.
-
הורידו מהפרופילים הציבוריים פרטים שמשמשים לאימות זהות מול מוקדים.
-
שמרו קודי גיבוי של החשבונות החשובים במקום פיזי, לא בטלפון.
-
אם אתם בעיצומו של אירוע — חסמו קו, הודיעו לבנק, והחליפו סיסמאות ממכשיר אחר.
אחרי SIM Swap: אילו חשבונות לבדוק ובאיזה סדר
החזרת הקו היא רק חצי מהעבודה. בזמן שהמספר היה אצל התוקף, הוא יכול היה לנסות לאפס סיסמאות בכל שירות ששולח קודים ב-SMS. הטבלה הבאה עוזרת לעבור על החשבונות לפי סדר חשיבות:
| סדר | חשבון | מה לבדוק |
|---|---|---|
| 1 | תיבת המייל הראשית | מכשירים מחוברים, כללי העברה וסינון, ופרטי השחזור (טלפון ומייל חלופי) |
| 2 | בנק וכרטיסי אשראי | פעולות ומוטבים חדשים ושינויים בפרטי הקשר. במקרה של חשד פנו לבנק במספר הרשמי |
| 3 | אפליקציות תשלום והעברת כסף | העברות שלא ביצעתם וחיבור של מכשיר חדש |
| 4 | וואטסאפ | האם החשבון נרשם במכשיר אחר, והפעלת PIN לאימות דו-שלבי |
| 5 | רשתות חברתיות | שינוי מייל או טלפון, הודעות שנשלחו בשמכם וסשנים פעילים |
| 6 | שירותי ממשלה, קופת חולים וחשבונות עבודה | התראות על כניסה או על שינוי פרטים |
| 7 | שירותי ענן וגיבוי תמונות | כניסות ממכשירים חדשים ושיתופים שלא יצרתם |
המייל קודם לכל השאר כי דרכו אפשר לאפס כמעט כל חשבון אחר. רשמו לעצמכם מה נבדק ומתי, כדי שלא תפספסו אף חשבון. אם מצאתם פעולה שלא ביצעתם, פנו קודם לגוף הרלוונטי ורק אחר כך המשיכו לחשבון הבא.
טעויות נפוצות בשעות הראשונות אחרי SIM Swap
בלחץ של הרגע קל לעשות צעדים שמאריכים את האירוע. אלה הנפוצים שבהם:
- לחכות שהקליטה "תחזור": אובדן שירות פתאומי שלא חולף הוא סיבה לפנות לספק מיד, מקו אחר. כל שעה של המתנה נותנת לתוקף זמן לאפס סיסמאות.
- להחליף סיסמה בלי לשנות את אמצעי השחזור: סיסמה חדשה לא תעזור אם התוקף עדיין יכול לאפס אותה דרך SMS. יחד עם הסיסמה עדכנו את פרטי השחזור, ובמידת האפשר עברו לאפליקציית מאמת.
- להגיב לשיחות או להודעות "מהספק": תוקפים מתקשרים לפעמים בזמן האירוע ומבקשים קוד "לשחזור הקו". פנו לספק רק במספר הרשמי שאתם מחייגים אליו בעצמכם, ואל תמסרו קודי אימות או סיסמאות לאף אחד.
- להסתפק בהחזרת הקו: גם כשהמספר חזר אליכם, שינויים שהתוקף ביצע בחשבונות נשארים בתוקף עד שתבדקו ותתקנו אותם.
- להשאיר את המספר כאמצעי שחזור יחיד: גם אחרי שהקו חזר, הוסיפו לחשבונות החשובים אמצעי שחזור נוסף, כמו מייל חלופי או קודי גיבוי, כדי שהמספר לא יהיה שוב נקודת כשל יחידה.
- לא לתעד: רשמו את שעת אובדן הקליטה, שמות הנציגים ומספרי הפניות. התיעוד יעזור מול הבנק, מול הספק ובמקרה הצורך גם בתלונה במשטרה.
מי שהחשבונות שלו נפגעו בעקבות האירוע יכול לפנות ל-SecureBack לבדיקה ראשונית ללא עלות. הטיפול נעשה רק מול בעל החשבון החוקי ודרך הערוצים הרשמיים.
שאלות נפוצות
איך אדע בוודאות שבוצע SIM Swap ולא סתם תקלת קליטה?
תקלת קליטה רגילה משפיעה גם על מכשירים אחרים באזור וחולפת מעצמה. ב-SIM Swap הקליטה נעלמת לחלוטין ולא חוזרת, בדרך כלל בלי אזהרה, והמכשיר מציג "אין שירות". הדרך הוודאית: התקשרו למספר שלכם מטלפון אחר. אם הוא מצלצל אבל המכשיר שלכם שקט — המספר כבר לא אצלכם.
האם אפליקציית מאמת באמת עדיפה על SMS?
כן, ובפער משמעותי. קוד מאפליקציית מאמת נוצר על המכשיר עצמו ואינו עובר ברשת הסלולרית, ולכן העברת מספר לא נותנת לתוקף דבר. החסרון היחיד: אם מאבדים את המכשיר בלי קודי גיבוי, השחזור מסובך יותר — לכן חובה לשמור קודי גיבוי.
מה קורה לוואטסאפ שלי במקרה של SIM Swap?
התוקף יכול לרשום את המספר מחדש במכשיר שלו ולקבל את קוד האימות. אם הפעלתם מראש אימות דו-שלבי (PIN) בוואטסאפ, הוא ייתקע — זו הסיבה שההגדרה הזו קריטית.
האם אפשר להחזיר את המספר?
בדרך כלל כן. פנייה לספק עם דיווח על העברה לא מורשת מחזירה את הקו, לעתים תוך שעות. הבעיה האמיתית היא מה שקרה בינתיים — לכן הטיפול בחשבונות חשוב לא פחות מהחזרת הקו.
מה ההבדל בין SIM Swap לבין ניוד מספר בלי אישור שלי?
ב-SIM Swap המספר נשאר אצל אותה ספקית ועובר לכרטיס SIM חדש. בניוד לא מורשה המספר מועבר לספקית אחרת. בשני המקרים התוצאה זהה: ההודעות והשיחות מגיעות לתוקף. הטיפול מתחיל באותה נקודה, פנייה מיידית לספקית שלכם מקו אחר, ואחריה בדיקה של המייל, הבנק ושאר החשבונות לפי הסדר.
צריך להגיש תלונה במשטרה על SIM Swap?
אם נגרם נזק כספי, בוצעו פעולות בשמכם או שהייתה התחזות מול אנשי הקשר שלכם, מומלץ להגיש תלונה ולשמור את מספר האישור. אפשר גם לדווח למערך הסייבר הלאומי בקו 119. התלונה לא מחזירה את החשבונות בעצמה, אבל היא אסמכתא שעשויה להידרש מול הבנק, חברת האשראי או ספקית הסלולר.
נפגעתם? SecureBack כאן
אם פרצו לחשבונות שלכם בעקבות SIM Swap, SecureBack מתמחה בשחזור חשבונות שנפגעו. צרו קשר עכשיו לייעוץ חינם.