מאת מוטי שי · עודכן: 12 בספטמבר 2026
חברות האשראי בישראל באמת שולחות התראות. מקס, כאל וישראכרט מודיעות על חיוב חריג, על ניסיון עסקה שנדחה ועל כניסה לחשבון, ולכן הודעה כזו לא נראית חשודה מיד. בדיוק על הפער הזה הרמאים חיים: הם שולחים הודעה באותו נוסח, מוסיפים לינק, ומבקשים שתאשרו או תבטלו. יש דרך אחת קצרה להכריע בין השתיים, והיא לא נמצאת בתוך ההודעה. בדף הזה: הטבלה שמבדילה בין התראה אמיתית להתחזות, הבדיקה שלוקחת עשר שניות, ומה עושים אם כבר הזנתם פרטים.
ההודעה הגיעה כאילו מהבנק? כך מזהים SMS מתחזה קראו כאן ›
התראה אמיתית על עסקה בכרטיס לעולם לא קיימת רק ב-SMS. אם חברת האשראי באמת סימנה חיוב חריג, אותו חיוב יופיע גם בפירוט העסקאות באפליקציה הרשמית, ולרוב גם כהתראה בתוך האפליקציה עצמה. לכן הבדיקה היא לא לקרוא את ההודעה שוב, אלא לסגור אותה ולפתוח בעצמכם את האפליקציה של מקס, כאל או ישראכרט. מופיע שם? ההודעה אמיתית, וממילא אפשר לטפל מתוך האפליקציה. לא מופיע שם? ההודעה כמעט תמיד התחזות, ולא משנה כמה היא נראית נכון.
שבע נקודות שמבדילות ביניהן. אף אחת מהן לא דורשת ידע טכני:
| מה בודקים | התראה אמיתית | התחזות |
|---|---|---|
| מה מבקשים ממך | להיכנס לאפליקציה או להתקשר למוקד | ללחוץ על לינק ולמלא טופס |
| מספר הכרטיס ושלוש הספרות בגב | לא נשאלים בהודעה, אף פעם | זה בדיוק מה שההונאה רוצה |
| קוד אימות חד פעמי | החברה לא מבקשת שתמסרו אותו לאף אחד | מבקשים להקריא אותו או להזין אותו בעמוד |
| לחץ זמן | אין שעון בהתראה אמיתית | הכרטיס ייחסם תוך שעה, נותרו שלוש דקות |
| איפה עוד ההתראה מופיעה | גם באפליקציה הרשמית ובפירוט העסקאות | קיימת רק בהודעה שקיבלתם |
| הדומיין בלינק | הדומיין הרשמי של החברה, בדיוק | דומיין דומה עם תוספת, או סיומת חריגה |
| איך מוודאים | במספר שבגב הכרטיס, או באפליקציה שהתקנתם בעצמכם | דרך פרטי הקשר שכתובים בהודעה עצמה |
שלוש סיבות מצטברות. הראשונה, השם מקס קצר ומוכר ונכנס בקלות לשדה השולח, כי בישראל אפשר לשלוח SMS עם שם שולח כתוב במקום מספר, ושם השולח אינו מאומת. השנייה, הרמאים מעתיקים ניסוח מהתראות אמיתיות, לפעמים מילה במילה. השלישית, וזו החזקה מכולן, ההודעות נשלחות באלפים, ולכן חלק מהמקבלים יקראו אותן בדיוק אחרי שקנו משהו. הצירוף הזה מרגיש כמו אישור, והוא בעצם צירוף מקרים. אותו הסבר תקף להודעות בשם כאל, ישראכרט, ויזה ודיינרס.
עמוד ההתחזות תמיד מגיע לאותן שלוש בקשות: מספר הכרטיס המלא, שלוש הספרות שבגב, וקוד האימות החד פעמי שנשלח אליכם ברגע שהם מנסים לחייב. השלישית היא הקריטית. קוד האימות הוא מה שמונע מהם להשתמש בכרטיס, ולכן העמוד יבקש אותו בדיוק בשנייה שבה הם מריצים את החיוב. חברת אשראי לא מבקשת מכם למסור קוד אימות לאף אחד, גם לא לנציג שלה בטלפון.
אם ההודעה כבר פתוחה ואתם לא בטוחים, העתיקו אותה במלואה בלחיצה ארוכה והדביקו בכלי הבדיקה החינמי בעמוד הזה. הכלי עוקב אחרי הלינק ליעד הסופי בסביבה מבודדת אצלנו, גם כשהוא מוסתר מאחורי קיצור, משווה אותו למאגרי פישינג עולמיים ומנתח את נוסח ההודעה. תוך שניות תקבלו תשובה: בטוח, חשוד או פישינג, עם הסבר קצר. הטלפון שלכם לא נוגע בלינק, ואין הרשמה.
1. חסמו את הכרטיס מיד בשיחה לחברת האשראי, מהמספר שמודפס בגב הכרטיס ולא ממספר שהופיע בהודעה. 2. עברו על פירוט העסקאות וערערו על כל חיוב שאינכם מזהים. חוק כרטיסי חיוב מגביל את חבות הלקוח בעסקאות שנעשו לרעה, והמהירות שבה דיווחתם משפיעה. 3. אם מסרתם גם סיסמה, החליפו אותה בשירות האמיתי ובכל מקום אחר שבו השתמשתם באותה סיסמה. 4. דווחו למערך הסייבר הלאומי בחיוג 119. הדיווח גם עוזר להוריד את האתר המזויף מהאוויר. 5. שמרו צילומי מסך של ההודעה ושל העמוד לפני שאתם מוחקים. הם נדרשים בערעור.
סגרו את ההודעה ופתחו בעצמכם את אפליקציית מקס. התראה אמיתית על עסקה מופיעה גם באפליקציה ובפירוט העסקאות, ולא רק ב-SMS. אם החיוב לא מופיע שם, ההודעה כמעט תמיד התחזות. אפשר גם להדביק את ההודעה בכלי הבדיקה החינמי בעמוד הזה ולקבל תשובה תוך שניות.
לא בדרך שמבקשת מספר כרטיס, שלוש ספרות מהגב או קוד אימות. זו התחזות. אישור או ביטול של עסקה נעשים באפליקציה הרשמית או בשיחה למוקד מהמספר שבגב הכרטיס.
קודי שגיאה בעסקאות אשראי מגיעים מהמסוף בחנות או מהאפליקציה, לא כ-SMS עם לינק. רמאים מוסיפים מספר קוד כדי שההודעה תישמע רשמית, והמספר עצמו אינו מוכיח כלום. מה שקובע הוא איפה ראיתם אותו. הסבר מלא על הקוד הנפוץ ביותר נמצא בעמוד קוד שגיאה 004.
כי שם השולח ב-SMS אינו מאומת. אפשר לשלוח הודעה שבשדה השולח שלה כתוב כל שם, והיא אף תיכנס לאותה שרשור הודעות שבו יושבות ההודעות האמיתיות מאותו שם. לכן שם השולח הוא הסימן הכי חלש שיש, ואסור להסתמך עליו.
לא, בשום מצב. קוד האימות הוא מה שחוסם את החיוב, ולכן הוא הדבר היחיד שהרמאי באמת צריך. חברת אשראי לא מבקשת שתמסרו אותו, גם לא נציג בטלפון.
מתקשרים לחברת האשראי מהמספר שבגב הכרטיס, מבקשים לחסום ולפתוח בירור על העסקה, ושומרים צילומי מסך. לפי חוק כרטיסי חיוב יש הגנה על חיובים שנעשו במרמה, ולכן כדאי לדווח מהר. במקביל אפשר לדווח למערך הסייבר הלאומי בטלפון 119.
קודם כל חוסמים את הכרטיס בשיחה לחברת האשראי, ורק אחר כך כל השאר. אחרי החסימה עוברים על פירוט העסקאות, מערערים על כל חיוב זר, ומחליפים סיסמאות אם מסרתם גם סיסמה.