תארו לעצמכם את מנהלת הכספים שלכם מקבלת שיחת וידאו. על המסך אתם, ועוד שני אנשים שהיא מכירה. הקול שלכם, הפאוזות שלכם, המילה שאתם תמיד אומרים לפני שאתם מבקשים משהו דחוף. אתם מסבירים שיש עסקה רגישה, שאסור לערב אף אחד, ושצריך להעביר היום.
היא תעביר. לא כי היא לא מקצועית, אלא כי כל מה שהיא למדה לזהות כסימן אזהרה נעלם. אין מייל עם שגיאות כתיב. אין כתובת חשודה. יש הפנים שלכם.
זה כבר קרה. במאי 2024 דיווח CNN שחברת ההנדסה הבין-לאומית Arup אישרה שעובד במשרד הונג קונג שלה הועבר בהונאה 25 מיליון דולר, ב-15 העברות לחמישה חשבונות בנק, אחרי שהשתתף בשיחת ועידה בווידאו שבה כל שאר המשתתפים היו דמויות שנוצרו בבינה מלאכותית. העובד חשד בהתחלה מהמייל, ואז הצטרף לשיחה, וראה קולגות שהוא מכיר. החשד נעלם.
למה ההונאה הזאת עובדת דווקא עכשיו
BEC, הונאת מייל עסקי, היא לא חדשה. בדוח פשיעת האינטרנט של ה-FBI לשנת 2024 נרשמו 21,442 תלונות BEC בהיקף נזק של 2.77 מיליארד דולר. מה שהשתנה הוא לא הרעיון, אלא העלות והדיוק של השלב שקודם להעברה: השכנוע.
במחקר שסקר Malwarebytes בינואר 2025 נבדקו קמפייני פישינג ממוקד בארבע קבוצות. בקבוצת הביקורת, עם מייל פישינג גנרי, שיעור ההקלקה עמד על 12%. במיילים שנכתבו על ידי מומחים אנושיים, 54%. במיילים שנוצרו אוטומטית לחלוטין על ידי מודל שפה, גם 54%. בשילוב של מודל עם אדם בלולאה, 56%. אותה יעילות בדיוק כמו מומחה אנושי, בזמן של דקה לכל יעד במקום 34 דקות, ובעלות נמוכה עד פי 50.
זה כל הסיפור בשורה אחת. פישינג ממוקד היה יקר, ולכן היה שמור למטרות גדולות. עכשיו הוא זול, ולכן הוא מגיע גם אליכם.
לפי הנתונים שהציג מערך הסייבר הלאומי על 2025, פישינג היה וקטור התקיפה הנפוץ ביותר בישראל והיווה 52% מכלל האירועים שדווחו. בנק ישראל, בדוח הפיקוח על הבנקים ממאי 2025, הזהיר במפורש מפני התגברות הונאות פיננסיות תוך שימוש הולך וגובר בבינה מלאכותית ובטכנולוגיות דיפ-פייק להתחזות קולית וחזותית, והמליץ בין היתר על מוקד טלפוני זמין בכל בנק לדיווח מיידי על הונאה.
הטכנולוגיה לא תציל אתכם. תפסיקו לחכות לה
הרפלקס של רוב ההנהלות הוא לחפש מוצר. "מה קונים נגד דיפ-פייק?" אני מבין את השאלה, ואני חושב שהיא מובילה לכיוון הלא נכון.
זיהוי דיפ-פייק הוא מרוץ חימוש שבו הצד המזייף תמיד צעד אחד לפני הצד המזהה, כי הוא זה שקובע מתי לתקוף ובאיזה כלי. כל מודל זיהוי שמצליח היום מאמן, בעקיפין, את הדור הבא של המזייפים. ואפילו אם היה כלי מושלם, הוא לא היה מותקן על הטלפון הסלולרי של סמנכ"ל הכספים בשבע בערב.
התשובה שעובדת היא משעממת: נוהל. אותו סוג נוהל שכבר יש לכם על מפתחות לקופה ועל חתימות בנקאיות. מה שהשתנה הוא שעכשיו הוא חייב לכלול גם את הקול ואת הפנים.
הנוהל בדף אחד
זה מה שאני ממליץ לכל מנכ"ל לכתוב, לחתום, ולהעביר לכל מי שיכול להזיז כסף. הוא נכנס לדף אחד.
אימות דו-ערוצי, תמיד. כל בקשה להעברת כספים, לשינוי פרטי חשבון של ספק, או למסירת אישורי גישה, מאומתת בערוץ שני שהיוזם לא בחר. אם הבקשה הגיעה בשיחת וידאו, האימות הוא בשיחה יוצאת למספר השמור מראש בספר הטלפונים הארגוני. לא למספר שהופיע על המסך.
מילת מעבר קולית. ביטוי מוסכם מראש בין המנכ"ל, סמנכ"ל הכספים והמנהלים המורשים. לא כתוב באף מייל. לא במסמך משותף. אם הצד השני לא יודע אותו, השיחה נגמרת.
סף כפול חתימה. מעל סכום שאתם מגדירים, שני אנשים מאשרים בנפרד, ואף אחד מהם לא יכול לאשר לבד גם אם הוא המנכ"ל.
שינוי פרטי בנק של ספק הוא לעולם לא בקשה דחופה. זה הווקטור הכי נפוץ ופחות דרמטי מהעברה חד פעמית, ולכן פחות שומרים עליו. כל שינוי כזה מאומת בשיחה יוצאת לאיש קשר ידוע אצל הספק, ומתועד.
דחיפות וסודיות הן סימן אזהרה, לא הקשר. בהונאת Arup, שני המרכיבים האלה הופיעו יחד. הם מופיעים כמעט תמיד.
ואת החלק הכי חשוב הרבה מנכ"לים שוכחים: תגידו לצוות בכתב שמותר לעצור אתכם. עובד שמסרב להעביר כסף עד שאימת, לא יינזף. אם הצוות חושש שעצירה של המנכ"ל תיזקף לחובתו, כל הנוהל הוא נייר.
מה שלמדתי מבניית מערכות תשלום
לאורך הקריירה בניתי מערכות שמעבירות כסף אמיתי, ובכולן חזר אותו עיקרון: הבקרה החזקה ביותר היא לא זיהוי טוב יותר של הבקשה, אלא הפרדה בין מי שמבקש לבין מי שמאשר. בפלטפורמה שבניתי, פעולה כספית לא מסתיימת באותו ערוץ שבו התחילה, נקודה. זה עולה חיכוך של שלוש דקות, וזה סוגר את רוב התרחישים.
הנוהל הזה לא דורש תקציב, לא דורש פרויקט, ולא דורש ספק. הוא דורש שעה שלכם, וחתימה. אם אתם רוצים לעבור עליו יחד ולהתאים אותו לתהליכי האישור שכבר קיימים אצלכם, אני זמין לשיחה.
