מקרה הונאה חריג בהיקפו נחשף בהרצליה, והוא מזכיר באופן מטריד את פרשת העוקץ שנחשפה בכפר סבא.
על פי הודעת עיריית הרצליה מ־15 בספטמבר, גורמים עברייניים התחזו לתאגיד "מי הרצליה" ושלחו באמצעות WhatsApp דרישת תשלום שנחזתה להיות פנייה רשמית מטעם התאגיד.
לדברי העירייה, הפנייה כללה פרטים שנראו "אמינים ורלוונטיים". בעקבותיה הועבר סכום עצום של כ־1.5 מיליון שקל לחשבון של הגורמים העברייניים.
ההונאה לא התגלתה מיד. רק מספר ימים לאחר ביצוע ההעברה, כאשר "מי הרצליה" פנו באופן רשמי לצורך הסדרת התשלום, התברר למשלמים כי הכסף שהעבירו כלל לא הגיע לתאגיד.
האירוע הועבר על ידי תאגיד "מי הרצליה" ועיריית הרצליה לטיפול משטרת ישראל.
האזהרה כבר מופיעה באתר "מי הרצליה"
באתר הרשמי של מי הרצליה מופיעה אזהרה מפורשת לציבור שלא לאשר התראות תשלום המתקבלות כביכול מהתאגיד באמצעות SMS או WhatsApp, ונכתב כי מקורן של התראות מסוג זה עלול להיות בניסיונות פישינג של מתחזים.
בתאגיד אף מזהירים מפני ניסיונות הונאה שבהם מזויפות הודעות הנוגעות לתשלום דמי הקמה, ומבקשים להסדיר תשלומים מסוג זה רק באמצעות המערכת הטלפונית הרשמית של התאגיד או בהגעה למשרדים.
רק בחודש שעבר: יותר מ־70 אלף שקל בכפר סבא
האירוע בהרצליה מקבל משמעות נוספת על רקע פרשת ההתחזות שנחשפה בחודש אוגוסט בכפר סבא.
כפי שפורסם ב"כפר סבא ניוז", בני זוג שהמתינו לקבלת היתר בנייה קיבלו פנייה מאישה שהציגה עצמה כנציגת עיריית כפר סבא. לפי עדותם, המתחזה ידעה פרטים רבים על הליך ההיתר שלהם ואף ידעה שכבר שילמו היטל השבחה.
לבני הזוג נמסר כי עליהם לשלם שני תשלומים נוספים: 23,701 שקל למפעל המים ועוד 46,667 שקל עבור אגרות בנייה – ובסך הכול 70,368 שקל.
לאחר מכן נשלחו אליהם מסמכים שנחזו להיות רשמיים. על אחד מהם אף הופיע הסלוגן העירוני "כפר סבא יש רק אחת", ובהמשך קיבלו בני הזוג גם חשבונית עם מספר הקצאה.
הפרטים המלאים: עוקץ של יותר מ־70 אלף שקל בכפר סבא: המתחזים ידעו פרטים על היתר הבנייה.
כתבו "עיריית כפר סבא" – אבל הכסף הגיע לחשבון אחר
הפרשה בכפר סבא חשפה גם נקודה שכל מי שמבצע העברה בנקאית צריך להכיר.
בני הזוג היו משוכנעים שהם משלמים לעיריית כפר סבא ולמפעל המים ואף הזינו את שמות הגופים בפרטי ההעברה. אלא שהכסף הגיע לחשבונות אחרים.
כפי שחשפנו בכתבת ההמשך ב"כפר סבא ניוז", הזנת שם כמו "עיריית כפר סבא" בשדה שם המוטב אינה כשלעצמה הוכחה לכך שהחשבון שאליו מועבר הכסף אכן שייך לעירייה. פרטי החשבון הם שקובעים לאן הכסף יועבר.
לכתבת ההמשך: כתבו "עיריית כפר סבא", הכסף הגיע לחשבון אחר – והמשטרה סגרה את התיק באותו יום.
מכפר סבא להרצליה: קווי דמיון מטרידים
אין בשלב זה מידע המוכיח קשר בין שני מקרי ההונאה, ואין בסיס לקבוע שמדובר באותם עבריינים. עם זאת, קווי הדמיון מחייבים תשומת לב.
- התחזות לגוף עירוני או לתאגיד המספק שירות ציבורי.
- דרישת תשלום שנראית רלוונטית ואמינה למקבל.
- שימוש בפרטים או בסממנים שמעניקים לפנייה מראה רשמי.
- הפניית הכספים לחשבון שאינו שייך לגוף שאליו סבור המשלם שהוא מעביר את הכסף.
- גילוי התרמית רק לאחר יצירת קשר עם הגוף האמיתי.
ההבדל הבולט הוא בהיקף הכספי: בעוד שבכפר סבא הועברו יותר מ־70 אלף שקל, במקרה שעליו מדווחת עיריית הרצליה מדובר בכ־1.5 מיליון שקל.
לא עוד הודעת פישינג פשוטה
המקרים ממחישים כיצד הונאות התחזות יכולות להיות משכנעות וממוקדות יותר מהודעות הפישינג הגנריות שרבים כבר למדו לזהות.
במקום הודעה אקראית המבקשת מהנמען ללחוץ על קישור, המתחזה יכול להציג עצמו כגוף שהקורבן מכיר ואמור לשלם לו, ולהשתמש בפרטים, במסמכים ובסממנים רשמיים כדי ליצור תחושת אמינות.
גם בנק ישראל מזהיר מפני הונאות פישינג והתחזות דיגיטלית, לרבות הודעות חשודות המתקבלות באמצעות SMS ו־WhatsApp, וממליץ במקרה של ספק לבדוק את הפנייה באופן עצמאי מול הגוף הרלוונטי.
השאלה הגדולה: מאיפה הגיע המידע?
זהו אולי החלק המטריד ביותר בשתי הפרשות.
בכפר סבא, לפי בני הזוג, המתחזים ידעו פרטים הנוגעים להליך היתר הבנייה שלהם. בהרצליה מסרה העירייה כי הפנייה כללה "פרטים שנראו אמינים ורלוונטיים".
כיצד מגיע המידע הזה לידי המתחזים?
בשלב זה אין מידע המצביע על דליפת מידע מ"מי הרצליה", מעיריית הרצליה, מעיריית כפר סבא, ממפעל המים או מכל גורם אחר. לכן אין לקבוע כי מקור המידע הוא במערכות של אחד הגופים הללו.
אבל הצטברות המקרים מעלה שאלות שראוי לבדוק: כיצד ידעו העבריינים למי לפנות? כיצד ידעו איזה תשלום לבקש? כיצד הצליחו לייצר פנייה שנראתה רלוונטית מספיק כדי לגרום לקורבנות לבצע את ההעברה?
ובמקרה של הרצליה עולה שאלה נוספת: אילו מנגנוני אימות הופעלו לפני העברה בסדר גודל של כ־1.5 מיליון שקל, והאם ניתן היה לעצור אותה באמצעות אימות נוסף מול התאגיד?
קיבלתם דרישת תשלום? אל תסתמכו על ההודעה
עיריית הרצליה ו"מי הרצליה" קוראים לציבור לגלות משנה זהירות בכל הנוגע לדרישות תשלום המתקבלות באמצעים דיגיטליים.
כאשר מתקבלת דרישת תשלום – ובמיוחד כאשר מדובר בסכום משמעותי – יש ליצור קשר באופן עצמאי עם הגוף שאמור לקבל את הכסף, באמצעות מספר הטלפון או האתר הרשמי שלו, ולא באמצעות מספר, קישור או פרטי קשר שנמסרו בהודעה.
ניתן גם לדווח למערך הסייבר הלאומי על הודעות פישינג, התחזות ואירועי סייבר. מערך הסייבר מדגיש כי השירות אינו מחליף הגשת תלונה למשטרה.
שני אירועים, שתי ערים בשרון וסכומים שונים מאוד – אבל שיטת פעולה בעלת מאפיינים דומים. בשלב זה אין ראיה שמדובר באותה חוליה, אך פרשת הרצליה מחדדת את מה שכבר התברר בכפר סבא: גם דרישת תשלום שנראית רשמית, כוללת פרטים נכונים ומגיעה לכאורה מגוף מוכר – חייבת לעבור אימות עצמאי לפני שהכסף עובר.
"`
