Smishing

סמישינג הוא פישינג שמועבר בהודעת טקסט. תוקף שולח SMS שמתחזה לבנק, לחברת שליחויות, למשרד ממשלתי או לעמית, ומבקש מהנמען ללחוץ על קישור, להתקשר למספר או להשיב. השם הוא הלחם של SMS ו-phishing, שנטבע ב-2006.

אתם כבר יודעים לא ללחוץ. זה החלק המוזר בנושא הזה: סמישינג הוא אולי האיום הכי מוסבר בסייבר לצרכן. ארבעה גופים ממשלתיים נפרדים מפרסמים הנחיות לגביו, בנקים שולחים ללקוחות הודעות עליו, וספקיות הסלולר מפעילות שירות דיווח חינמי עבורו.

ובכל זאת, כמעט שום דבר שמתפרסם עליו לא נושא מספר. חפשו את המונח בכל אחד ממנועי החיפוש הגדולים ותקבלו סימני אזהרה, דוגמאות ורשימת דברים להימנע מהם, מדפים שמסכימים זה עם זה ברובם. מה שלא תקבלו הוא את הנתונים של הרגולטור עצמו, או תשובה לשתי השאלות שאנשים באמת שואלים אחרי שספגו את העצות: האם העברה ל-7726 משיגה משהו, והאם תשובת STOP הייתה טעות?

הדף הזה עונה על שתיהן, ומדווח מה המספרים מראים. הם מעניינים יותר מ"זה מחמיר".

הסבירו לי כאילו אני בן 10

הודעת טקסט היא מכתב קצר מאוד. כל אחד יכול לשלוח אחת לכל אחד, ולטלפון שלכם אין דרך אמינה לבדוק שהשם בראש ההודעה אמיתי. הוא פשוט מציג לכם את מה שהשולח הקליד.

מי שרוצה את הכסף שלכם יכול לשלוח מיליונים כאלה בעלות זעומה. הוא לא צריך שרוב האנשים יענו. הוא צריך כמה. אז הוא כותב משהו שגורם לכם לזוז מהר: חבילה שדורשת תשלום, חשבון שעומד להיסגר, תשלום שאתם לא זוכרים שביצעתם.

ההודעה אינה ראיה לשום דבר. היא ניחוש, שנשלח למספר עצום של אנשים, בתקווה להגיע למעטים שעבורם זה נשמע סביר היום.

מה המספרים באמת אומרים

הנה הנתון שאף דף בתוצאות שנתפסו לא נושא. ב-data spotlight מאפריל 2025 דיווחה נציבות הסחר הפדרלית של ארה"ב (FTC) שצרכנים הפסידו 470 מיליון דולר להונאות שהתחילו בהודעת טקסט ב-2024 - פי חמישה מהסכום שדווח ב-2020.

בדרך כלל הדיווח נעצר במשפט הזה. הסיכום של ה-FTC עצמה לא נעצר שם, וההמשך משנה את המשמעות.

קראו את שלוש השורות יחד והסיפור מפסיק להיות על נפח. פחות אנשים דיווחו על הונאת טקסט, ויותר מאלה שכן דיווחו באמת הפסידו כסף. המפגש הממוצע נעשה יקר יותר, לא נפוץ יותר. זו בעיה אחרת מזו שמתאר הביטוי "סמישינג בעלייה", והיא דורשת תשומת לב אחרת.

מה המספרים האלה לא מכסים

אלה דיווחים לסוכנות אחת, במדינה אחת, מאנשים שבחרו לדווח. אף אחד לא מדווח על הודעה שהוא מחק. נתון הפסדים שעולה הוא בחלקו נכונות גוברת להגיש דיווח, ובחלקו העובדה שהקטגוריות שהגיעו לאנשים ב-2024 ביקשו סכומים גדולים יותר.

גם הקטגוריות חשובות לקריאה. מערך נתונים שבו בולטים הודעות אגרה מזויפות והצעות עבודה מודד שנה אחרת מזו שבה בולטות התראות חבילה, והסכומים שכל קטגוריה מבקשת אינם בני השוואה. עלייה בהפסדים מדווחים יכולה לנבוע מאותו מספר אנשים שנתקלים בהצעות יקרות יותר, וזה קרוב יותר למה ששלוש השורות האלה מתארות מאשר לכל שינוי בכמות ההודעות שנשלחו.

המספר שמסתובב במקום

אין ספירה של כמה הודעות סמישינג באמת נשלחות, והנתונים שמסתובבים אינם המספר הזה. המספר שתראו מצוטט הכי הרבה - יותר מ-19 מיליארד הודעות ספאם בחודש אחד - מודד ספאם, שכולל שיווק לא רצוי רגיל, והוא מגיע מחברה שמוכרת חסימת שיחות והודעות. נפח ספאם אינו נפח הונאה, ומדד ספק בלי מתודולוגיה מפורסמת אינו תחליף לאחד כזה.

החלק שהעצות לא מכסות

ה-FTC גם פרסמה למה הכסף הלך לאיבוד. חמש קטגוריות אחראיות לכמחצית מכל הונאות הטקסט שדווחו ב-2024: משלוח חבילה מזויף, הצעות עבודה מזויפות, התראות הונאה מזויפות על רכישה חשודה, אגרות שלא שולמו מזויפות, והודעות "מספר שגוי" שמגיעות כאילו הופנו בטעות.

עכשיו קראו את הרשימה הזו מול העצה הסטנדרטית. שתיים מתוך החמש בכלל לא נשענות על קישור זדוני.

הונאות משימות (task scams) הן המקרה הברור ביותר. ה-FTC מתארת אותן כהבטחות לעבודה מקוונת שדורשות מאנשים להשלים סדרת משימות אונליין, שמסתיימות בבקשות להשקיע כסף משלהם. אין דף לאיסוף פרטי הזדהות. יש רצף של בקשות קטנות לאורך ימים או שבועות, כל אחת סבירה בהינתן הקודמת, שמסתיים בכך שהקורבן שולח כספים מחשבונו דרך ערוצים שהוא בחר.

גישות של "מספר שגוי" עובדות באותו מבנה. ההודעה הראשונה אינה מתקפה. היא פתק שהופנה בטעות למישהו אחר, והמתקפה היא השיחה שבאה אחריה, לפעמים לאורך שבועות.

למה זה חשוב לאדם זהיר

קורא שמיקד את עצמו לגמרי סביב "לא ללחוץ" עשה את הדבר הנכון, ועדיין נשאר לו פער. בדיקת קישורים היא בדיקה שמריצים פעם אחת, בהגעה. שתי הקטגוריות האלה לא מציגות שום דבר לבדוק בהגעה, והנזק מצטבר דרך תשובות רגילות.

הצורה המעשית של ההבדל: מתקפה מבוססת קישור מבקשת החלטה רעה אחת, מהר, ומגנה על עצמה בדחיפות. מתקפה שיחתית מבקשת הרבה החלטות קטנות וסבירות, לאט, ומגנה על עצמה בקרבה. הראשונה היא מה שבשבילו נבנו רשימות סימני האזהרה. השנייה עוברת את מבחני סימני האזהרה, כי עד שהכסף זז אין שום דבר חשוד בהודעה שנושאת אותו.

דף ספק אחד באותן תוצאות חיפוש מנסח את ההשלכה על ההדרכה בפשטות: תוכנית הכרה שמתמקדת רק ב-URL-ים רעים מפספסת מתקפות בלי URL לבדוק. זה נכון, ורשימת הקטגוריות של הרגולטור עצמו כבר רמזה על זה שנה קודם.

האם העברה ל-7726 עושה משהו?

זו השאלה שהקורא הסקפטי מגיע איתה, ואף דף בתוצאות הראשונות של אף מנוע לא עונה עליה. שלוש הספרות מאייתות SPAM ברוב לוחות המקשים.

תוכנית Get Cyber Safe של ממשלת קנדה מפרסמת דף שמוקדש לשירות. העברת הודעה, היא אומרת, "תודיע לספקית הסלולר שלכם על הודעות הספאם כדי שתוכל לחקור אותן ולשפר את המסנן שלה לכל הלקוחות." זה חינם, וזה לא נספר במכסת נתונים או הודעות. התשובה האוטומטית קוראת: "תודה על דיווח הספאם. אנחנו ממשיכים מכאן."

שימו לב למה שהתשובה הזו אינה. היא אינה מספר תיק, ושום דבר לא חוזר אליכם.

אותן שלוש ספרות מתנהגות אחרת לפי מדינה

בארה"ב, ה-shortcode מנוהל על ידי Industry Code Administration של CTIA, גוף ניטרלי ולא מסחרי, והספקיות משתמשות במה שצרכנים שולחים כדי לכייל מסנני ספאם וכלי חסימה. הזרימה האמריקאית עושה משהו שהקנדית לא עושה: היא משיבה ומבקשת את מספר השולח, כדי שאפשר יהיה לנתח את הקמפיין מאחורי ההודעה.

אותן שלוש ספרות, שיחה אחרת. אם העברתם הודעה ונשאלתם שאלת המשך, שום דבר לא השתבש. זו הזרימה האמריקאית שעובדת כמתוכנן. הסידור הוא בינלאומי ולא שירות אחד, וחשבונות בתעשייה מתחקים אחריו לפיילוט דיווח ספאם של GSMA סביב 2010.

הגבול הכנה

המנגנון מתועד. ההשפעה עליכם אישית אינה. לא נמצא מדד אפקטיביות למאמר הזה - שום דבר לא מוכיח שהעברה מפחיתה את מה שמגיע למכשיר שלכם, והדף הממשלתי שמתאר את השירות לא טוען שכן.

המודל המנטלי המדויק הוא נתוני כיול למסנן שמגן על כולם, שאתם תורמים. זה לא תלונה שמקבלת מענה, ולכן זה מרגיש כאילו כלום לא קורה. משהו קורה; הוא פשוט לא קורה לכם.

האם תשובת STOP הייתה טעות?

העצה כאן ישירה, והיא מגיעה מממשלה, לא מספק. הנחיית Get Cyber Safe על הודעות טקסט הונאתיות אומרת: "אל תשיבו להודעות חשודות, גם אם מבקשים מכם לשלוח 'STOP' או 'NO'."

מה שאף אחד מהדפים שנתפסו לא מסביר הוא למה אותן חמש אותיות נדרשות וגם מסוכנות, וההסבר פותר את השאלה כמו שצריך. בקריאת העצה מול האופן שבו מילות opt-out עובדות בדרך כלל, ההבחנה היא זו (קריאה נגזרת, לא מצוטטת): STOP הוא חובת ציות לשולח לגיטימי ואות חיות לנוכל. משווק אמיתי חייב לכבד אותו. נוכל לומד ממנו שבן אדם קורא את המספר הזה ומגיב להנחיות.

אז ההוראה אינה "לעולם אל תשלחו STOP לשום דבר." היא "אל תשלחו אותו להודעה שכבר חשדתם שהיא הונאה," כי שני סוגי השולחים עושים דברים הפוכים עם אותה מילה.

הרגולטור האמריקאי מנסח את זה ישיר יותר

נציבות התקשורת הפדרלית (FCC) מפרסמת דף צרכני משלה בנושא, מתאריך 1 בפברואר 2024, שמתאר את המונח כהלחם של SMS, שירות הודעות קצרות, ו-phishing. ההוראה שלה רחבה יותר משל קנדה ולא מודה בשום חריג: "לעולם אל תלחצו על קישורים, אל תשיבו להודעות טקסט ואל תתקשרו למספרים" בהודעה חשודה.

שתי ממשלות, אותה עמדה, בניסוחים ברוחב שונה. אף אחת מהן לא אומרת לכם שהמילה STOP מסוכנת באופן כללי. שתיהן אומרות לכם שהודעה שכבר מטילה בכם ספק היא המקום הלא נכון להשתמש בה.

אם כבר השבתם לאחת, ההשלכה המעשית היא עוד הודעות, לא טלפון שנפרץ. תשובה היא אות, לא אקספלויט. מחקו, חסמו את המספר, והעבירו את הבאה במקום.

המילה בת כמעט בדיוק עשרים שנה

המונח נטבע על ידי דיוויד רייהוק (David Rayhawk) בפוסט בבלוג McAfee Avert Labs מתאריך 25 באוגוסט 2006, שעיתונות מקצועית דיווחה עליו בזמן אמת. המאמר הזה נכתב ארבעה ימים לפני יום השנה העשרים.

המילונים לקחו את הזמן שלהם. Merriam-Webster מציין שימוש ראשון ידוע ב-2006 והוסיף את הערך באפריל 2023 - פער של בערך שבע עשרה שנים בין חוקר אבטחה שנתן שם למשהו לבין לקסיקוגרף שהסכים שהוא נשאר. מילון Cambridge נותן את ההגייה /ˈsmɪʃ.ɪŋ/ ומציין "SMS phishing" כצורה חלופית.

יש סימן קטן בנתוני החיפוש. מטבעות לשון חדשים יותר מושכים שאלות הגייה; זה לא, ואין אשכול כזה במה שאנשים שואלים עליו. גם ספרי עיון נוטים לתייק אותו בתוך פישינג ולא לידו. שניהם נראים כמו מילה שהתייצבה.

כמה שווה עצת הסמישינג הסטנדרטית

קודם התשובה הישירה: העצה נכונה. כמה ממשלות מפרסמות אותה, אין עליה מחלוקת, ושום דבר כאן לא הופך אותה. מה שהמאמר הזה מוסיף הוא היקף.

• אל תלחצו על קישורים בהודעות לא צפויות - נכון, ועכשיו לא שלם. זה מכסה שלוש מחמש הקטגוריות המובילות של ה-FTC ולא עושה כלום נגד השתיים האחרות.
• אל תשיבו, כולל STOP - נכון, והסיבה ספציפית: תשובה מאשרת למי שרק ניחש שיש כאן נמען חי ומגיב.
• אמתו דרך ערוץ שבחרתם - ההוראה ששורדת את הפער. להתקשר לבנק במספר מהכרטיס שלכם, או לפתוח בעצמכם את האפליקציה של חברת השליחויות, עובד בין אם ההודעה הכילה קישור ובין אם לא.
• העבירו ל-7726 - שימושי, מתועד, ושימושי לכולם, גם אם לא באופן מדיד עבורכם.

מי באמת מפרסם את ההנחיות האלה

היו מדויקים לגבי המקורות כאן, כי "מומחים אומרים" עושה כאן הרבה עבודה שלא הרוויח אותה. תוכנית Get Cyber Safe של ממשלת קנדה מגדירה אותו כ"סוג של הונאת פישינג שבה פושעי סייבר מנסים לרמות אתכם באמצעות הודעות טקסט מזויפות", והדפים שלה על הנושא ועל ה-shortcode לדיווח עודכנו שניהם בינואר 2026, עדכני יותר מרוב מה שדורג מעליהם בתוצאות שנתפסו למאמר הזה.

• ה-FTC מספקת את המדידה, ממערך דיווחי הצרכנים שלה.
• ה-FCC מספקת את ההוראה לצרכן, בניסוח הישיר ביותר שלה.
• ה-shortcode לדיווח בארה"ב מנוהל על ידי גוף תעשייה, לא ממשלתי, וההבחנה הזו חשובה כשאתם מחליטים כמה משקל לתת לכל מקור.

תשימו לב שהדף הזה לא מזכיר שום אפליקציה ושום מוצר. זה מכוון. חלק גדול ממה שמדורג למונח הזה מפורסם על ידי חברות שמוכרות חסימה או סינון, והתשובה הכנה ל"מה כדאי להתקין" היא שלא נמצאה הערכה עצמאית שתומכת בהמלצה על משהו ספציפי.

מה הדף הזה לא יכול להגיד לכם

שלושה גבולות, בניסוח ישיר.

לא נמצאה ספירה של הודעות סמישינג למאמר הזה. נתוני הנפח הזמינים מודדים ספאם, קטגוריה גדולה בהרבה, ומגיעים מספקים עם מוצר בשוק.

לא נמצא מדד אפקטיביות ל-7726. המנגנון מתועד; התוצאה עבור הפרט אינה.

שלושה מקורות למאמר הזה לא ניתנו לשליפה. ה-data spotlight של ה-FTC, דפי הצרכן של ה-FCC, והערך ב-Merriam-Webster החזירו כולם HTTP 403 לשליפה אוטומטית. הנתונים והתאריכים שלהם מדווחים כאן כמבוססים ומועתקים בהרחבה, הם לא מצוטטים מעבר לכך, והם במכוון לא מקושרים, כי קישור לדף שלא הצלחנו לקרוא היה מרמז על בדיקה שלא התבצעה.

דבר אחד שאינו הנושא הזה

מנועי חיפוש מצמידים למונח הזה שאלה עקבית על קידומות אזור שאסור כביכול לענות להן. היא שייכת לשיחות טלפון ולא להודעות, והרשימות שמסתובבות סותרות זו את זו - אחד המספרים שמופיעים ברשימות הנפוצות בכלל אינו קידומת אזור במובן הרלוונטי. ההנחיה של ה-FCC עצמה על הונאת הצלצול הבודד (one-ring) לא ממליצה על שום רשימה כזו; היא מייעצת לא להחזיר שיחות ממספרים שאינכם מזהים, ולבדוק אם מספר הוא בינלאומי לפני שמתקשרים חזרה. הונאת קול היא נושא נפרד עם מנגנונים משלו.

הגרסה הקצרה

סמישינג הוא פישינג מעל SMS, והוא בן כמעט עשרים שנה תחת השם הזה. העצה שכבר שמעתם נכונה ומפורסמת על ידי ממשלות, והדף הזה לא מבקש מכם לוותר על אף חלק ממנה.

מה שהשתנה הוא צורת הבעיה. הפסדים מדווחים הגיעו ל-470 מיליון דולר ב-2024, פי חמישה מנתון 2020, בזמן שמספר הדיווחים ירד ושיעור אלה שכללו הפסד יותר מהכפיל את עצמו. פחות מפגשים, יקרים יותר. ושתיים מחמש הקטגוריות שנושאות את הכסף הזה לא כוללות קישור להימנע ממנו, מה שאומר שבדיקת קישורים לבדה הפסיקה להיות הגנה שלמה כבר לפני זמן מה.

השינוי האחד ששווה לעשות: להפסיק להתייחס לקישור כאל כל הסכנה. אמתו דרך ערוץ שבחרתם, לא דרך אחד שהגיע בהודעה. העבירו מה שאתם מקבלים ל-7726, מתוך הבנה שזה נתון למסנן משותף ולא תלונה. והתייחסו לשיחה שמתחילה במקרה באותה זהירות שאתם כבר נותנים להתראת חבילה שמגיעה משום מקום.