מבטו של החוקר / סקר הפיקוח על הבנקים, נובמבר 2026 · מאת שחר פיין

המלכודת מתחילה הרבה לפני הכסף

סקר בנק ישראל מספר כמה אנשים נתקלו בהונאות. אותי מעניינת שאלה מוקדמת יותר: איך אדם זר מצליח להכתיב לנו את הצעד הבא, עוד לפני שקל אחד עובר?

מקור: הודעת הפיקוח על הבנקים, 8.11.2026. [1] אלה דיווחים עצמיים, לא מדידה ישירה של כלל ההונאות או של שיעור הצלחתן.

כשהונאה מסתיימת בנזק כספי, קל להפנות את המבט לרגע האחרון: מתי נמסר הקוד, מתי נלחץ הקישור, מתי בוצעה ההעברה. אבל מנקודת מבט חקירתית, הרגע המכריע עשוי להתרחש הרבה קודם. הוא מגיע כשהאדם מקבל את המסגרת שהפונה יצר: שיש בעיה, שהפונה מוסמך לפתור אותה, ושהדרך הנכונה לבדוק היא דווקא זו שהפונה מציע.

באותו רגע הנוכל אינו צריך לשלוט בחשבון. הוא מנסה לשלוט בסדר הפעולות. לכן השאלה שלי איננה ״איך אפשר היה להאמין לזה?״, אלא ״מי ניסח את הבעיה, מי בחר את ערוץ הבדיקה ומי קבע מה צריך לקרות עכשיו?״

01 מה המספרים באמת מודדים

ב־ 8 בנובמבר 2026 פרסם הפיקוח על הבנקים ממצאי סקר שערך מכון רושינק. במדגם המרכזי השתתפו 1,003 בני 18-70 המחוברים לאינטרנט. לצדו נערכו שני מדגמי הרחבה טלפוניים, של 50 בני 70 ומעלה ושל 50 דוברי רוסית. [1]

62% ממשיבי הסקר דיווחו שנחשפו לניסיון הונאה פיננסית בשנתיים האחרונות; 5% דיווחו על נזק כספי. אין לחלק 5 ב־ 62 ולקרוא לתוצאה ״שיעור ההצלחה של הנוכלים״. הסקר לא עוקב אחר כל ניסיון, לא מונה כמה פניות קיבל כל אדם, ולא בודק מה קרה בכל שלב. גם לא ניתן להסיק ממנו כמה כסף אבד או מה היה היקף הנזק בפועל במשק.

ההבחנה המחקרית: ממצאי הסקר מתארים תשובות של נשאלים. התיאור של מנגנון ההשפעה בהמשך הוא פרשנות חקירתית הנשענת גם על מחקר והנחיות מקצועיות; הוא אינו ממצא שהסקר עצמו בחן.

02 לא הודעה אחת: שרשרת של החלטות

אני מציע לקרוא ניסיון הונאה כרצף אפשרי של חוליות. ראשית מגיעה פנייה שמבקשת תשומת לב; אחריה מסגור של בעיה או הזדמנות; אז מופיעה סמכות שמבטיחה לטפל; בהמשך מתבקשת פעולה; ורק לאחר מכן עלול להתרחש נזק. זהו מודל אנליטי, לא סדר מחייב בכל הונאה.

המבחן החקירתי בכל חוליה: מה התבקש מהנמען, ולמי עברה השליטה בצעד הבא?

כך אפשר להפריד בין ערוץ ההגעה, כמו מסרון, לבין הזהות הנטענת, כמו נציג בנק, לבין הדרישה המעשית, כגון פתיחת קישור, הזנת פרטים או מסירת קוד. התבלבלות בין שלוש השכבות האלה גורמת לנו להזהיר מפני הטכנולוגיה, אבל לפספס את המנגנון.

03 המסרון פותח דלת. הנוכל רוצה לקבוע לאן נכנסים

לפי נתוני הסקר, מסרון מתחזה הוא ערוץ בולט. אך מרגע שהגיעה ההודעה, השאלה החקירתית משתנה. לא די לבדוק אם יש בה שגיאת כתיב או אם הסמל נראה משכנע. יש לברר מה השולח דורש מהנמען לעשות, ובעיקר אם הוא גם מגדיר את הבעיה וגם מספק את המקום שבו אמורים כביכול לפתור אותה.

כשהפונה מציג תקלה ומצרף קישור ״לאימות״, הוא מנסה ליצור מסלול סגור: הטענה, מקור הסמכות וכלי הבדיקה מגיעים מאותו גורם. זה לא מוכיח שכל הודעה עם קישור היא הונאה; זו סיבה לא לקבל את סביבת הבדיקה שההודעה עצמה מספקת. אם הטענה אמיתית, אפשר לבדוק אותה דרך אפליקציה רשמית שפתחנו בעצמנו או באמצעות מספר שנלקח ממקור מוכר[2][1].

הסימן החשוב איננו רק ״מה ביקשו ממני?״, אלא ״מי בחר בשבילי איך אבדוק את הבקשה?״

04 גם סמכות שקטה יכולה להיות מלכודת

המרכז הלאומי הבריטי לאבטחת סייבר (NCSC) מתאר התחזות לסמכות, דחיפות ופנייה לרגש כסימנים נפוצים בהודעות ובשיחות הונאה. ה־FTC האמריקאי מזהיר גם מפניות שמציגות סכנה לכסף ומציעות ״עזרה״. הוא ממליץ לנתק ולאמת את הסיפור באופן עצמאי. מקור נוסף של ה־FTC מתאר גם לחץ שלא לנתק, כדי למנוע בדיקה עצמאית. לעיתים המתחזה כבר יודע פרטים אישיים בסיסיים; גם זה אינו מאמת את זהותו. [2][3][5]

הלקח אינו ש״לחץ עובד תמיד״. בשני ניסויים שפורסמו ב־2020, פניות לסמכות ולחביבות בהודעות דיוג נקשרו לעלייה בנטייה לשגות בזיהוי, בעוד ריבוי פניות לפחד ולדחיפות הקל על משתתפים לזהות את ניסיון ההונאה. זה ממצא ניסויי על הודעות דוא״ל בתנאים מסוימים, לא נוסחה לכל שיחה או לכל אדם[4].

לכן, כחוקר, איני מחפש רק קול מאיים. גם פנייה מנומסת, רגועה ומסודרת עשויה לייצר מראית עין של מקצועיות. הנימוס אינו אישור זהות, והדחיפות אינה ראיה לכך שהבעיה אמיתית. שני הדברים צריכים להיבדק מחוץ לשיחה שהחשוד מנהל.

05 נתון ה־ 17%: הרגע שבו המסר הופך להתנהגות

כשליש מהמשיבים דיווחו שהם מקבלים מדי פעם קישורים חשודים. מתוך אותה קבוצה, כ־ 17% דיווחו שהם מזינים בהם פרטים אישיים או פיננסיים. זה אינו 17% מכלל הציבור, ואינו שיעור נזק כספי[1].

מבחינתי, זהו הנתון שממחיש מדוע אזהרה כללית כמו ״שימו לב להודעות״ אינה מספיקה. הסיכון עולה כשמשפט משכנע הופך לביצוע: הזנת מזהה, אישור בקשה, מסירת קוד או מעבר לערוץ שהפונה בחר. לא כל פעולה כזו תסתיים בנזק, אבל כל אחת עשויה להיות חוליה בדרך אליו.

כלל הגנה טוב איננו דורש מאיתנו לנחש מי משקר. הוא מגדיר מראש איך בודקים טענה פיננסית: לא מתוך הקישור, לא דרך מספר שסופק בהודעה ולא על פי ההנחיות של מי שיצר את הפנייה.

06 אותו מנגנון, ערוצים שונים, ואזהרה אחת מפני הכללות

הפרסום מציין 53% דיווח על שיחות טלפון מתחזות בחתך המתואר בו כ״יוצאי חבר העמים״, לעומת 18% בכלל אוכלוסיית הסקר. בקרב בני הגיל השלישי דווח על נזק כספי בשיעור 12%, לעומת 5% בכלל הסקר. בפרסום נכתב גם שכמחצית מבני הגיל השלישי ממלאים פרטים בקישור, אך המכנה אינו מפורט. אין להציג זאת כהשוואה ישירה ל־ 17%, המתייחסים קודם בפרסום למקבלי קישורים חשודים. [1]

אלה נתונים שמצדיקים תשומת לב, לא תוויות לבני אדם. שני מדגמי ההרחבה כללו 50 משיבים בלבד בכל קבוצה. מדובר בדיווח עצמי ובחתכים שונים; אין להסיק מהם סיבתיות, דירוג ״תמימות״ של אוכלוסיות או הערכת סיכון אישית. בנוסף, במדגם ההרחבה תוארו 50 דוברי רוסית, בעוד תיאור אחד הממצאים מתייחס ליוצאי חבר העמים. אין לראות בשני המונחים זהים בלי מידע נוסף.

השאלה השימושית אינה מי ״פגיע יותר״, אלא האם ההסברה מתורגלת בשפה, בקצב ובערוץ שבו הפנייה החשודה באמת מגיעה. מי שמזהה קישור מזויף עדיין צריך לדעת כיצד לנתק שיחה מתחזה, ומי שיודע להתנתק צריך גם דרך פשוטה לאמת את המידע בעצמו.

07 הידע קיים, אבל צריך להפוך אותו להרגל פעולה

62% מהמשיבים שנחשפו לניסיון הונאה ולא חוו נזק כספי דיווחו שהבינו בעצמם שמדובר בתרמית. מנגד, 19% מהנשאלים דיווחו שאינם עושים דבר כדי להתגונן מהונאות פיננסיות. שני הנתונים אינם הפכים של אותה שאלה, ואי אפשר לחסר אותם או לבנות מהם שיעור ״מוגנים״[1].

מבחינה מעשית, הם מפנים אל הבעיה הנכונה: ידיעה כללית שהונאות קיימות אינה שווה לנוהל פעולה בזמן אמת. כלל פשוט שניתן לבצע גם כשמישהו משכנע אותנו שיש תקלה, יעיל יותר מסיסמה ארוכה שמנסים להיזכר בה תחת לחץ.

08 חמש שאלות שהייתי שואל כמנתח פנייה חשודה

בלי להמציא תיק חקירה ובלי לייחס לסקר מה שלא מדד, אפשר להשתמש במסגרת קבועה לניתוח כל פנייה חשודה:

1. מי יזם את המגע?

   שיחה נכנסת, הודעה, קישור או פנייה שנפתחה באופן עצמאי? נקודת הפתיחה משנה את רמת האמון שאפשר לתת בה.

2. איזו סמכות נטענת?

   שם בנק, נציג שירות, מחלקת אבטחה או גורם ממשלתי? השם והמידע שהפונה יודע אינם תחליף לאימות זהות.

3. איזו בעיה הוצגה ומה יקרה אם לא נפעל?

   הקפאת חשבון, חיוב לא מוכר, סכנה לאשראי או הזדמנות שתיעלם? בודקים את תפקיד הדחיפות, לא מניחים שהיא בהכרח שקר.

4. מי מכתיב את ערוץ הבדיקה?

   האם הפונה מבקש להישאר על הקו, לפתוח קישור, להתקין תוכנה או להתקשר למספר שהוא סיפק? כאן נבחנת שליטת המסלול.

5. מהי הפעולה הבלתי הפיכה או המסוכנת הראשונה?

   מסירת קוד, סיסמה, מידע מזהה, הרשאת גישה מרחוק או אישור העברה? כאן יש להציב גבול ברור לפני שהנזק מתממש.

השאלות אינן ״מבחן פסיכולוגי״ לקורבן, אלא כלי לבדוק את מבנה הפנייה. גם אדם מיומן יכול לטעות כשהמסלול בנוי היטב. לכן נכון לבנות מנגנון עצירה שאינו תלוי בהתרשמות מאופי המתקשר.

09 כך שוברים את התסריט לפני שהוא מתקדם

1. מנתקים את רצף ההנחיות

   לא לוחצים על הקישור ולא נשארים בשיחה רק מפני שהפונה מבקש. עצירה אינה ויתור על הטיפול בבעיה.

2. פותחים ערוץ עצמאי

   נכנסים בעצמנו לאפליקציה הרשמית שכבר מותקנת או מתקשרים למספר שעל הכרטיס או שמצאנו ממקור מהימן בנפרד. לא מסתמכים על תוצאת חיפוש ממומנת בלבד[3].

3. לא מוסרים קוד או הרשאת גישה

   לא משתפים סיסמאות, קודי אימות או גישה מרחוק בתגובה לפנייה לא יזומה. בנק ישראל מדגיש שבנק או חברת אשראי לא יבקשו את קוד הזיהוי בשיחה שלא יזם הלקוח[1].

4. אם כבר נמסרו פרטים, פועלים מיד

   פונים לבנק או לחברת האשראי בערוץ רשמי, מסבירים בדיוק מה נמסר, מבקשים הנחיות להגבלת סיכון ובודקים תנועות וחיובים. אין להמשיך לתקשר עם המתחזה כדי ״לאסוף ראיות״[1].

5. משמרים את מה שכבר קיים

   שומרים הודעות, מספרים, צילומי מסך ושעות פנייה, בלי לחזור לקישור ובלי להיכנס לשיחה מחודשת. אפשר לדווח לגורם הרלוונטי, ולפי הצורך גם לרשויות.

10 רגע העצירה הוא גם רגע החזרת השליטה

הסקר של בנק ישראל לא מספק פרופיל אחד של נוכל, וגם לא פרופיל אחד של מי שנפגע. הוא כן חושף את היקף המפגש המדווח עם ניסיונות הונאה ומחדד את הצורך להפוך מודעות לכללי התנהגות שניתן לבצע. מהצד החקירתי, השינוי המשמעותי הוא להפסיק לבחון רק את רגע אובדן הכסף ולהתחיל לשאול מי ניהל את רצף ההחלטות שלפניו.

אפשר לקבל שיחה אמיתית מבנק ואפשר לקבל הודעה שגרתית עם קישור. אין צורך להכריע בשניות הראשונות אם הפונה דובר אמת. צריך להחליט על דבר אחד שנמצא בשליטתנו: את הטענה נבדוק, אבל לא במסלול שהפונה בחר עבורנו.

בחדר חקירות אני שואל מי הוביל את הפעולה. בחיי היומיום כדאי לשאול זאת רגע אחד קודם: מי קובע מה יהיה הצעד הבא שלי?

שחר פיין | The Profiler