פישינג (Phishing)

מתקפת פישינג היא ניסיון לגרום למישהו למסור מידע, כסף או גישה, תוך התחזות לגורם שסומכים עליו. זו לא טכניקה אחת. המסגרת MITRE ATT&CK מחלקת אותו בין שש טקטיקות, והוריאנטים שנקראים בשמות שונים נבדלים בערוץ, בבחירת היעד, במטרה ובמנגנון.

תסתכלו על מה שאנשים באמת שואלים לגבי פישינג, ומשהו מתבהר במהירות. השאלות הנפוצות ביותר אינן "מה זה פישינג". הן "מה קורה אם לחצתי על קישור אבל לא הזנתי את הפרטים שלי", "האם אני אפרץ אם פתחתי את האימייל" ו"איך אני בודק אם עברתי פישינג".

אלה השאלות של מישהו שכבר עשה את הפעולה, והן נשאלות בגוף ראשון ובזמן עבר. כמעט כל עמוד בצילום מצב מלא של שני מנועי החיפוש המרכזיים נכתב לקורא שעדיין לא לחץ.

העמוד הזה עושה שלושה דברים, בסדר הזה. הוא עונה על השאלה שהביאה לכאן קורא מפוחד. אחר כך הוא מסביר למה הרשימות של סוגי פישינג שמתפרסמות לא מסכימות ביניהן. לבסוף הוא מדווח מה באמת מודד המספר הציבורי היחיד שאפשר לסמוך עליו, וזה לא מה שרוב האנשים מניחים.

תסבירו לי כמו לילד בן 10

מישהו מתחזה לאדם או לחברה שאתם סומכים עליהם, ומבקש מכם משהו. סיסמה. תשלום. קליק על קישור. זה כל העניין.

התרגיל הוא ההתחזות, לא הטכנולוגיה. שום דבר לא צריך להיפרץ כדי שזה יעבוד. המטרה היא לגרום לכם למסור את זה.

המילה פישינג היא איות משעשע של fishing (דיג באנגלית), וההשוואה מדויקת. פיתיון יוצא להמון אנשים, ורוב האנשים מתעלמים ממנו. המעטים שנושכים אותו הם השלל. הם אלה שמוסרים את הסיסמה, את התשלום או את הקליק. השם הזה נשאר בשימוש כבר שלושים שנה, כי הוא מתאר את השיטה בצורה כנה.

אם כבר לחצתם על משהו

התחילו כאן, כי זו השאלה שרוב האנשים רוצים לברר כשהם מגיעים לכאן. התשובה מרגיעה יותר ממה שהפאניקה מרמזת.

פתיחת אימייל אינה זהה לפריצה. קריאת ההודעה, כשלעצמה, לא מעבירה שום דבר. אם פתחתם משהו, הסתכלתם עליו, הרגשתם לא בנוח וסגרתם אותו, הסבירות הגבוהה ביותר היא שלא קרה כלום.

לחיצה על קישור בלי להקליד דבר היא מצב הרבה יותר טוב מלחיצה שמלווה בהקלדה. קישור בפני עצמו טוען דף. רוב הנזק בפישינג מגיע ממה שאתם מזינים בדף הזה, או מקובץ שאתם פותחים אחר כך, ולא מהביקור עצמו.

התשובה הכנה והכללית היא זו. הנה מה לעשות, לפי הסדר, אם עשיתם יותר מסתם להסתכל.

1. אם הזנתם סיסמה, שנו אותה עכשיו בחשבון הזה, ושנו אותה בכל מקום אחר שבו השתמשתם באותה סיסמה. זה הצעד הכי חשוב, וזה הצעד שאנשים דוחים.
2. הפעילו אימות רב-שלבי (MFA) בחשבון הזה, אם הוא עדיין לא מופעל.
3. אם זה היה מכשיר עבודה או חשבון עבודה, דווחו מיד למי שמנהל את ה-IT. אל תחכו עד שתבינו אם זה היה רציני. דיווח מוקדם מועיל יותר מדיווח מדויק. צוות אבטחה מעדיף לשמוע על עשר התרעות שווא מאשר לפספס אחת אמיתית.
4. אם היה מעורב כסף או פרטים פיננסיים, פנו ישירות לבנק או לחברת הכרטיס, במספר שאתם מאתרים בעצמכם.
5. דווחו על כך. בארצות הברית, הוועדה הפדרלית למסחר של ארה"ב (Federal Trade Commission, FTC) מפרסמת הנחיה לצרכנים בנושא פישינג ומפעילה את המסלול הפדרלי לדיווח על גניבת זהות. ברוב המדינות יש שירות דיווח לאומי מקביל.

הנתיבים הרשמיים קיימים, וקשה למצוא אותם

יש דבר אחד שתוצאות החיפוש חושפות ברגע שמחפשים אותו. שישה גופים ממשלתיים נפרדים מפרסמים הנחיה על המונח הזה בתוך התוצאות שנאספו למאמר הזה: FTC, FBI, CISA, ה-US Office of the Comptroller of the Currency, המרכז הקנדי לאבטחת סייבר (Canadian Centre for Cyber Security) והמרכז הקנדי למניעת הונאות (Canadian Anti-Fraud Centre).

אף אחד מהם לא מופיע בעשירייה הגלויה של אף אחד משני מנועי החיפוש. כל השישה נמצאים בתוך בלוקים מכווצים של שאלות, מתחת לעמודי ספקים ולערך אנציקלופדיה. הגופים שגם מקבלים את הדיווחים כותבים את ההנחיה בעצמם, וההנחיה הזו חינמית וללא ניגוד עניינים. מי שממהר יגלול מעבר לכל אחד מהם. זו תוצאה של דירוג ולא קונספירציה. אפשר לתקן אותה בצעד אחד: אם אתם צריכים לדווח על משהו, חפשו את שם הרשות ולא את שם העבירה.

יש דבר אחד ששווה לומר בפירוש, כי הטון של הרבה כתיבה בתחום האבטחה מרמז על ההפך. נפילה בפח של הודעת פישינג אינה הוכחה לכך שהייתם רשלנים. המרכז הלאומי לאבטחת סייבר של בריטניה (National Cyber Security Centre) כותב את זה בהנחיה שפרסם: "אף תוכנית הדרכה, כולל סימולציות פישינג, לא יכולה ללמד משתמשים לזהות כל ניסיון פישינג." זו סוכנות ביטחון לאומי שאומרת שאף אחד לא תופס את כל הניסיונות. ההנחיה נכתבה לארגונים, לא כדי לנחם.

אם זו הייתה השאלה שהביאה אתכם לכאן, סיימתם, וההמשך של העמוד הזה עוסק באופן שבו הקטגוריה מאורגנת.

מאיפה המילה הגיעה

השאלה הזאת נשאלת מספיק פעמים, ולכן כדאי לענות עליה. מקורות עיון מתארכים את המונח לשנת 1995, כשהוא מתועד לראשונה בערכת כלים לפריצה ששימשה נגד שירות אינטרנט צרכני מוקדם. יש הערכה שהמילה אולי הייתה בתפוצה קודם לכן, בכתב עת להאקרים. התיארוך הזה מוצג כאן כדיווח ולא כקביעה עובדתית, כי הוא נשען על מקורות משניים ולא על תיעוד ראשוני.

האיות הוא החלק המעניין. האותיות "ph" מגיעות מהמילה phreaking, מונח משנות ה-70 למניפולציה על מערכות טלפון, שהיה בעצמו משחק מילים על "phone freak". לכן במילה יש פיסת היסטוריה קטנה: היא נטבעה בידי אנשים שכבר עשרים שנה שינו שמות של דברים באמצעות "ph".

למה אף שתי רשימות של סוגי פישינג לא מסכימות ביניהן

הבדיקה הזאת לוקחת כשלושים שניות. התשובה של אחד ממנועי החיפוש הגדולים למונח הזה מציגה ארבעה סוגי פישינג. תיבת השאלות שלו, באותו מסך, שואלת "מהם שלושת סוגי הפישינג?". עמודים אחרים באותן תוצאות מציגים חמישה, שישה, שמונה סוגים. אף שתיים מהן לא מסכימות, ואף אחת לא מסבירה למה.

לא מדובר בכך שחלק מהרשימות טועות. מדובר בכך שהרשימות עונות על ארבע שאלות שונות בבת אחת, ומציגות את התשובות כסדרה אחת.

• ערוץ. מה שמעביר את ההודעה. אימייל, הודעת טקסט, שיחת טלפון, קוד QR, פלטפורמת צ'אט.
• בחירת היעד. כמה אנשים, ואיך הם נבחרו. כדאי לצטט כאן את הסף של MITRE עצמה, כי הוא רחב יותר מהסף המקובל: "ב-spearphishing, יחיד, חברה או ענף ספציפיים יהיו ממוקדים בידי התוקף."
• מטרה. מה שהתוקף רוצה בסוף. גישה למערכת, מידע לשימוש מאוחר יותר, או כסף ישירות.
• מנגנון. מה שמבקשים מהקורבן לעשות בפועל. ללחוץ על קישור, לפתוח קובץ, להתקשר למספר, להדביק פקודה, לאשר בקשת אימות.

שם מציר אחד הוא לא חלופה לשם מציר אחר. מתקפת Spear phishing ומתקפת Smishing הן לא יריבות זו לזו ברשימה אחת; הודעת טקסט שנשלחה ליעד שנבחר במיוחד היא שתיהן גם יחד, ורוב ההודעות האמיתיות הן ערך אחד מכל אחת מארבע העמודות. זו הסיבה שהרשימות אף פעם לא מתיישבות זו עם זו: הן מצמצמות דבר בעל ארבעה ממדים לשורה אחת.

אותה הודעה, על כל ארבעת הצירים

קחו הודעה אחת: הודעת טקסט שנשלחה למנהלת כספים ספציפית, בשמה, ומבקשת ממנה להתקשר למספר בעניין חשבונית שלא שולמה.

הערוץ שלה הוא SMS, ולכן זו מתקפת Smishing. בחירת היעד שלה היא אדם אחד ספציפי שנבחר במיוחד, ולכן זו מתקפת Spear phishing. המטרה שלה היא תשלום, ולכן זו מתקפת Business email compromise. המנגנון שלה הוא callback, ולכן זו מתקפת Callback phishing.

הודעה אחת, ארבעה שמות נכונים, אף אחד מהם לא שגוי ואף אחד מהם לא מספיק. כל רשימה שמבקשת מכם לסווג אותה תחת כותרת אחת שואלת את השאלה הלא נכונה. ההרגל השימושי הוא לא לבחור בתווית, אלא לקרוא את ארבעת הערכים, כי כל אחד מהם מצביע על בקרה אחרת.

יש לכך גם השלכה מעשית: נתח הערוצים משתנה מהר. ברבעון בודד של 2025, קבוצת העבודה נגד פישינג (Anti-Phishing Working Group, APWG) תיעדה עלייה בשימוש ב-SMS לפישינג, לצד ירידה של 9% בשימוש בקודי QR. רשימת סוגים היא תמונת מצב של מה שהיה פופולרי בזמן שהיא נכתבה, לא טקסונומיה יציבה.

סוגי פישינג

אלה הוריאנטים שמכוסים במילון המונחים הזה, מקובצים לפי הציר שבאמת נותן שם לכל אחד מהם. קראו אותם כדוגמאות לטיעון שהוצג למעלה, ולא כרשימה לשינון.

מתקפת Email phishing

מתקפת Email phishing היא המקרה הבסיסי, וזו המשמעות של המילה פישינג כשאין לה תיאור נוסף. הודעה מגיעה באימייל, מתחזה למותג, לעמית לעבודה או למוסד, ומבקשת מהנמען ללחוץ, לפתוח או להשיב. בצורתה הקלאסית היא לא מכוונת לאף יעד ספציפי: אותה הודעה נשלחת לכמות עצומה של אנשים, והכלכלה של השיטה עובדת כי השליחה כמעט לא עולה כלום. כל שאר הסוגים ברשימה הזו הם פישינג שמגיע באימייל עם משתנה אחד שהוחלף. היא נמצאת על ציר הערוץ, והיא הערך שכל ערוץ אחר נמדד ביחס אליו.

מתקפת Smishing

מתקפת Smishing היא פישינג שמגיע בהודעת טקסט. שינוי הערוץ חשוב יותר משנשמע, כי בהודעת טקסט אין קובץ מצורף, אין דומיין שולח לבדוק, ויש מעט מאוד מקום לרמזים החזותיים שאנשים מאומנים לחפש. היא גם מגיעה למכשיר שבדרך כלל אישי, שמוחזק לעיתים קרובות ביד אחת, והסינון שמגן על תיבת הדואר בעבודה לעיתים רחוקות מכסה אותו. רגולטורים מפרסמים יותר הנחיה לצרכנים על הוריאנט הזה מאשר על כל וריאנט אחר, וההנחיה לגביו עקבית באופן חריג בין מדינות.

מתקפת Vishing

מתקפת Vishing היא פישינג שמתבצע בשיחת טלפון. התוקף מתקשר, מתחזה למישהו שהיעד היה בדרך כלל עוזר לו, ומשכנע אותו לבצע פעולה. מה שמבדיל אותה משאר הרשימה הוא שמדובר בשיחה בזמן אמת, כך שהתוקף יכול להתאים את עצמו לכל מה שהקורבן אומר. לכן קשה יותר להתגונן מפניה בעזרת בדיקת תוכן, וקל יותר להתגונן מפניה בעזרת תהליך. ברוב המקרים המתועדים בולטים מתקשרים שמתחזים לצוות IT פנימי, לא לבנקים, וזה לא מה שהתדמית הציבורית של הטכניקה מרמזת.

מתקפת Quishing

מתקפת Quishing היא פישינג שמשתמש בקוד QR במקום קישור גלוי. הקוד הוא הדבר המרכזי כאן: הוא מעביר את הלחיצה ממסך שבו אפשר לבדוק קישור, למצלמה במכשיר שאולי לא מנוהל, והוא גם עוקף סריקה שמבוססת על קישורים גלויים. היא מופיעה גם באימיילים, בדרך כלל בתוך קובץ מצורף, וגם באופן פיזי בעולם, על מדבקות ופוסטרים. היא וריאנט ערוץ עם תופעת לוואי של מעבר בין מכשירים, ותופעת הלוואי הזו היא החלק שחשוב לארגון.

מתקפת Spear phishing

מתקפת Spear phishing היא לא ערוץ בכלל, וזו הסיבה שהיא לא מתאימה בקלות לרוב הרשימות. מתקפת Spear phishing מתארת בחירת היעד: ההודעה מכוונת אל אדם, חברה או ענף ספציפיים, ונכתבת באמצעות מידע שנאסף עליהם מראש. אפשר לשלוח אותה בכל ערוץ שמופיע בעמוד הזה. המחקר הקיים מצביע על כך שההתאמה האישית היא מה שמעלה את שיעור התגובה, ושיצירתה כבר לא המגבלה שהייתה פעם. מתקפת Whaling, מונח שמילון המונחים הזה מתייחס אליו כמקרה ספציפי יותר, היא מתקפת Spear phishing שמכוונת למנהלים בכירים.

מתקפת Business email compromise

מתקפת BEC היא מטרה, לא שיטת מסירה. מתקפת BEC מתארת פישינג שהמטרה שלו היא תשלום או שינוי בחשבון שאליו מועברים התשלומים, בדרך כלל באמצעות התחזות למנהל בכיר, לעמית לעבודה או לספק. לעיתים קרובות אין בה קישור זדוני או קובץ מצורף זדוני כלל, וזו הסיבה שהיא עוברת מסננים שנועדו לאתר אותם. היא הוריאנט עם המדידה הפיננסית הברורה ביותר, כי גופי דיווח לאומיים סופרים הפסדי הונאה לפי סוג הפשע. אם הודעת פישינג מנסה להעביר כסף ולא לגנוב פרטי הזדהות, זה השם בשבילה.

מתקפת Callback phishing

מתקפת Callback phishing (TOAD) היא וריאנט מנגנון. האימייל כולל מספר טלפון במקום קישור, והקורבן מתקשר, מה שאומר שהתוקף צריך להפעיל קו טלפון עם בנאדם אמיתי בצד השני, במקום פשוט לשלוח הודעות. הפיתיון הוא בדרך כלל חשבונית בסכום נמוך או התראה על מנוי, וההודעה עוברת את סינון האימיילים בזכות היעדר הקישור. היא הוריאנט היחיד ברשימה הזו שבו העלות של התוקף עולה ככל שמספר הקורבנות גדל, כי כל קורבן דורש שיחה.

מתקפת ClickFix

מתקפת ClickFix היא וריאנט המנגנון השני, והחדש ביותר מביניהם. עמוד או קובץ מצורף מציג שגיאה מזויפת או שלב אימות מזויף, ומנחה את האדם להריץ פקודה במחשב שלו כדי לתקן את הבעיה. שום דבר לא מורד דרך ערוץ שבודק הורדות, כי הקורבן מעביר בעצמו את המטען דרך הגבול הזה, ביד. המסגרת מסווגת אותה תחת הרצה (Execution) ולא תחת גישה ראשונית (Initial Access), וזו דרך מדויקת לומר שמה שהביא את האדם לעמוד הוא בעיה נפרדת, עם שם נפרד.

כמה פישינג באמת יש

אף עמוד באוסף המלא של תוצאות החיפוש משני מנועי החיפוש המובילים לא כולל נתון כלשהו על היקף הפישינג. הנתון קיים, והוא אומר משהו מעניין יותר מההצגה המקובלת.

קבוצת העבודה נגד פישינג מפרסמת דוח רבעוני בשם Phishing Activity Trends Report. המהדורה שפורסמה ב-18 בפברואר 2026 קובעת זאת במפורש: "מתקפות הפישינג התרחשו ב-2025 בקצב גבוה אך יציב. במהלך 2025 תיעדה APWG 3.8 מיליון מתקפות פישינג, עלייה קלה לעומת 3.76 מיליון ב-2024."

יציב. לא זינוק, לא התפרצות, לא עלייה של מאות אחוזים. עלייה קלה, על בסיס גדול מאוד.

לפני שממשיכים להפיץ את הנתון הזה, צריך לצרף לו את ההגדרה שלו, כי הוא לא אומר מה שרוב האנשים יניחו. הדוח קובע במפורש שהוא סופר אתרי פישינג ייחודיים שדווחו: "APWG מודדת אתרי פישינג מדווחים, וזהו מדד רלוונטי יותר מכתובות URL. מילה נרדפת לאתרים היא מתקפות." כלומר, 3.8 מיליון מתקפות הן 3.8 מיליון אתרי פישינג ייחודיים ומדווחים. לא קורבנות, לא אימיילים, לא אנשים שאיבדו כסף.

איך נראים המספרים החודשיים

הפרטים שמאחורי הנתון קונקרטיים יותר מהכותרת. בשלושת החודשים האחרונים של 2025 המספרים החודשיים של אתרי פישינג ייחודיים שדווחו עמדו על 269,558 באוקטובר, 287,995 בנובמבר ו-295,691 בדצמבר, לעומת 16,284, 14,980 ו-14,091 קמפייני אימייל ייחודיים באותם חודשים. בסך הכול זוהו 866 מותגים ייחודיים לאורך הרבעון.

תשוו בין שתי הסדרות. האתרים עולים על הקמפיינים ביחס של כעשרים לאחד. זו תזכורת לכך שקמפיין בודד יוצר הרבה עמודים. ספירת עמודים וספירת קמפיינים מפיקות מספרים שנראים שונים מאוד, אף שמדובר באותה הפעילות.

הדפוס הרבעוני חשוב גם הוא. הרבעון הרביעי של 2025 רשם 853,244, ירידה של 4 אחוזים לעומת 892,494 ברבעון השלישי, וירידה לעומת 1,130,393 ברבעון השני, שהדוח מתאר כסך הרבעוני הגדול ביותר מאז הרבעון השני של 2023.

וריאנט אחד באותו הדוח, שנע בכיוון ההפוך

אותה המהדורה כוללת סדרת נתונים נפרדת שסיפקה אחת מהחברות המשתייכות ל-APWG, ועוסקת ספציפית ב-BEC. מספר מתקפות ה-BEC מסוג העברה בנקאית שהחברה תיעדה עלה ב-136 אחוזים בין הרבעון השלישי לרביעי של 2025, והסכום הממוצע שהתבקש עמד על 50,297 דולר, עלייה של 4.5 אחוזים לעומת הרבעון הקודם.

יש להוסיף כאן שתי הסתייגויות. מדובר בנקודת המבט של חברה תורמת אחת, לא של הקונסורציום, והנתון סופר ניסיונות ולא הפסדים. זה הופך אותו למדד שונה מדיווחי הפסדי ההונאה הלאומיים שבדרך כלל מצוטטים לגבי הווריאנט הזה.

ההרכב בולט כשלעצמו: באותו רבעון בקשות לכרטיסי מתנה היוו 59 אחוזים מסוגי ההונאה שתועדו, לעומת 17 אחוזים שביקשו העברה בנקאית.

כלי המדידה נחסם, ומי שמחזיקים בכלי המדידה אומרים זאת בעצמם

אותו הדוח כולל פסקה שאמורה לרסן כל אמירה בטוחה על היקף הפישינג, כולל זו שלמעלה.

התיעוד של קמפייני הספאם ירד מ-81,710 ברבעון השלישי ל-45,355 ברביעי, ירידה של 45 אחוזים בשלושה חודשים. ההסבר לכך אינו שהקמפיינים נפסקו:

"מערכות האימייל מונעות ממשתמשים להעביר הלאה אימיילים עם פיתיון פישינג ולשלוח כתובות URL של פישינג ל-APWG ולארגונים דומים, כי מערכות הדואר תופסות אותם כמזיקים. הדבר פוגע במספר הדיווחים המוצלחים ל-reportphishing@apwg.org, אחת משיטות האיסוף העיקריות של APWG."

קראו את זה שוב. אמצעי ההגנה שנבנו כדי לעצור פישינג מונעים כעת מאנשים לשלוח דוגמאות פישינג לארגון שסופר את הפישינג. כלי המדידה נפגע מאותו הדבר שהוא אמור למדוד נגדו את ההגנה, ומי שמחזיקים בכלי המדידה הם אלה שאומרים לכם את זה.

העובדה הזו לא הופכת את הנתון לחסר תועלת. זה הופך אותו לרף תחתון, לא לסך הכולל. משמעות הדבר גם שההשוואה משנה לשנה נעשית בשיטת איסוף שהשתנתה במהלך התקופה. לא אותרה סדרה מתוקנת.

פישינג הוא לא טקטיקה אחת

ההסברים בנושא מתארים פישינג כדרך כניסה. המסגרת לא מסכימה עם זה, וזה החלק הכי קשה לראות מתוך עמוד בודד שעוסק בוריאנט בודד.

שתי שורות בטבלה משקפות זו את זו. ל-T1566 ול-T1598 יש אותם ארבעה שמות תת-טכניקה: קובץ מצורף, קישור, שירות וקול. אין ביניהם שום הבדל, חוץ ממה שהתוקף מנסה להשיג. אותה שיטת משלוח, אותם ערוצים ואותה הנדסה חברתית, אבל שתי הטכניקות מסווגות תחת שתי טקטיקות שונות, כי אחת אוספת מידע והשנייה מספקת דריסת רגל.

ההבדל הזה הוא ציר המטרה, שהופך כאן לחלק מובנה במסגרת. המסגרת מפרידה ביניהם כי ההפרדה הזו היא מה שמאפשר למפות טכניקה מול הגנה. רשימות הסוגים שמופיעות בהסברים בנושא לא עושות את זה. זו הסיבה שאותם השמות ממשיכים להופיע במקומות שונים ברשימות שונות.

שש טקטיקות. טכניקה מסווגת לפי מה שהיא משיגה, ולא לפי איך שהיא נראית. זו הסיבה שאותה שיחת טלפון היא איסוף מידע כשהיא אוספת מידע, וגישה ראשונית כשהיא מספקת דריסת רגל.

למשמעות המעשית של זה יש צד בעייתי. מלאי בקרות שממפה פישינג לטכניקה אחת כיסה רק חלק קטן ממנו. החלקים שהכי סביר שיפספסו הם הפחות אינטואיטיביים: ההודעה שמגיעה מחשבון אמיתי של קולגה אמיתי, והמטרה בקצה הרחוק, שמסווגת תחת פגיעה לצד כופרה.

פרט אחד מראה למה כדאי לבדוק מיפוי במקום לזכור אותו בעל פה. טכניקת Social Engineering שמוזכרת למעלה נוצרה ב-14 באפריל 2026, והמזהה שהיא החליפה הוצא משימוש ועכשיו מפנה הלאה. מיפוי שנכתב לפני 18 חודשים מצביע על משהו שכבר לא קיים.

מה העמוד הזה לא יכול להגיד לכם

לא אותר נתון פומבי על מספר האנשים שנופלים בהצלחה לפישינג. הספירה שמופיעה למעלה סופרת אתרים, ומאגרי הפשיעה הלאומיים סופרים הפסדים מדווחים לפי קטגוריה. שני אלה לא עונים על השאלה שרוב הקוראים באמת רוצים לדעת: באיזו תדירות זה עובד.

הנתון עצמו מבוסס על כלי המדידה המשתנה, לפי עדותם של מי שמחזיקים בכלי המדידה, ואין סדרה מתוקננת. כל השוואה שנתית של היקף הפישינג, כולל ההשוואה שמופיעה בעמוד הזה, כוללת את אי-הוודאות הזאת.

אף מקור לא מדרג את הוריאנטים לפי נתח על בסיס שמאפשר השוואה, וזה חלק מהסיבה לכך שרשימות הסוגים לא מסכימות ביניהן. גם העמוד הזה לא דירג אותם, והסדר שמופיע למעלה הוא לפי ציר הסיווג ולא לפי תדירות.

האטימולוגיה מיוחסת, ולא מבוססת כעובדה ודאית. היא נשענת על ספרי עזר, לא על תיעוד ראשוני.

וגם ההנחיה שמופיעה בחלק השלישי היא הנחיה כללית לצרכנים, שמקורה בגופים שמפרסמים אותה. זו לא תגובה לאירוע של ארגון, ומי שמתמודד עם פריצה בעבודה צריך לפנות למי שמפעיל את המערכות שלו, ולא לקרוא מילון מונחים.

הגרסה הקצרה

אם לחצתם על משהו: פתיחת אימייל אינה זהה לפריצה, ולחיצה בלי הקלדה טובה הרבה יותר מלחיצה שאחריה הקלדה. החליפו את הסיסמה אם הקלדתם אחת, הפעילו MFA, עדכנו את ה-IT אם זה היה חשבון עבודה, ודווחו עליו דרך נתיב הדיווח הלאומי שלכם.

פישינג הוא שיטה אחת עם הרבה שמות, והשמות מתארים ארבעה דברים שונים: הערוץ, איך נבחר היעד, מה התוקף רוצה, ומה מבקשים מהקורבן לעשות. זו הסיבה שאף שתי רשימות לא מסכימות ביניהן, ושהודעה אחת יכולה להיות כמה סוגים בבת אחת.

המסגרת מסווגת פישינג תחת שש טקטיקות נפרדות, ולכן מיפוי שלה לטכניקה אחת הוא מיפוי של חלק קטן ממנה.

אם יש מספר אחד ששווה לצטט, זה המספר שגוף מקצועי תיעד: 3.8 מיליון אתרי פישינג מדווחים ב-2025, לעומת 3.76 מיליון ב-2024, וקבע שהקצב יציב. הספירה הזו סופרת אתרים ולא קורבנות, והגוף שמפרסם אותה אומר שמערכות אבטחת האימייל חוסמות כיום את הדגימות שהיא נשענת עליהן. שני חלקי המשפט הזה צריכים להופיע יחד.