עודכן: 28 ביולי 2026 · צוות Phishy
סמישינג הוא הונאת פישינג שמגיעה דרך הודעת טקסט. השם הוא הלחם של SMS + Phishing, והרעיון פשוט: במקום מייל מזויף, הנוכל שולח לכם מסרון קצר שמתחזה לגוף שאתם מכירים — הבנק, דואר ישראל, כביש 6, חברת האשראי — עם לינק שמוביל לעמוד גנוב. אתם מזינים שם פרטים, והם מגיעים ישירות אליו. בישראל זו כיום צורת ההונאה הנפוצה ביותר על אנשים פרטיים, ולפי מערך הסייבר הלאומי כביש 6 לבדו הוא כ-19.5% מכלל ניסיונות הפישינג. במדריך הזה: ההגדרה המדויקת, ההבדל מפישינג ומווישינג, למה דווקא SMS עובד כל כך טוב, הדוגמאות הישראליות המדויקות, ואיך בודקים הודעה חשודה חינם — כאן בעמוד, בלי ללחוץ על שום לינק.
רוצים לראות את הנוסחים המדויקים של הודעות ההונאה שמסתובבות בישראל? קראו כאן ›
סמישינג (Smishing) = ניסיון לגנוב מכם פרטים או כסף באמצעות הודעת SMS שמתחזה לגורם לגיטימי. זו תת-קטגוריה של פישינג, שמוגדרת לפי הערוץ: SMS. המילה נטבעה משילוב SMS + Phishing. בעברית משתמשים גם ב"הונאת מסרונים" או "דיוג ב-SMS", אבל "סמישינג" הוא המונח המקצועי המקובל.
כל השלושה הם אותה הונדסה חברתית, רק בערוץ אחר: • פישינג (Phishing) — הערוץ הוא אימייל. מייל מזויף מהבנק עם לינק להתחברות. • סמישינג (Smishing) — הערוץ הוא SMS או הודעת טקסט. הודעה קצרה עם לינק. • וישינג (Vishing) — הערוץ הוא שיחת קול. "נציג הבנק" שמתקשר ומבקש קוד. • קוישינג (Quishing) — הערוץ הוא קוד QR מזויף שמודבק על מדבקת חניה או תפריט. ההבדל אינו טכני בלבד: לכל ערוץ יש הגנה אחרת. במייל אפשר לרחף מעל הלינק ולראות לאן הוא מוביל; ב-SMS אי אפשר. וזו בדיוק הסיבה שסמישינג עובד.
ארבע סיבות מצטברות, וכולן פועלות לרעתכם: 1. אין סינון. לתיבת המייל שלכם יש שכבות הגנה של גוגל או מיקרוסופט שמסננות פישינג. ל-SMS אין כמעט כלום — ההודעה מגיעה ישר אליכם. 2. אי אפשר לבדוק את הלינק. במחשב מרחפים מעל הקישור ורואים את היעד. בטלפון הלינק מקוצר, והדרך היחידה "לבדוק" היא ללחוץ — כלומר להיכנס לאתר הזדוני. 3. אמון גבוה. SMS נתפס כערוץ רשמי — שם מגיעים קודי אימות ועדכוני משלוח. אנחנו פותחים כמעט 100% מהמסרונים, ובתוך דקות. 4. אפשר לזייף את שם השולח. רמאי יכול להגדיר Sender ID כך שההודעה תיכנס לאותו שרשור של הבנק האמיתי, מתחת להודעות אמיתיות. העובדה שההודעה "במקום הרגיל" אינה מוכיחה כלום.
אלו הנוסחים שמסתובבים בפועל בטלפונים בישראל, לפי סדר שכיחות: • כביש 6 / דרך ארץ: "זוהה חוב אגרה ע"ס 50.60 ₪. לתשלום לפני העברה להוצאה לפועל: [לינק]" — המתחזה מספר 1 בישראל. • דואר ישראל: "החבילה שלך ממתינה. לתשלום דמי מכס (3.80 ₪): [לינק]" — עובד כי כולם מחכים לחבילה. • בנק: "זוהתה פעילות חריגה בחשבונך. לאימות מיידי: [לינק]" — לפעמים נכנס לשרשור של הבנק האמיתי. • חברת אשראי: "זוהתה עסקה חשודה בכרטיסך. לאישור או ביטול: [לינק]". • ביטוח לאומי / רשות המסים: "אושר לך מענק / החזר מס. לקבלה עדכן פרטי חשבון: [לינק]". • חברת חשמל: "זוהה חוב. לתשלום מיידי למניעת ניתוק: [לינק]". שימו לב לתבנית: גוף מוכר + סכום קטן או הטבה + דחיפות + לינק. תמיד ארבעת אלה יחד.
• הלינק אינו הדומיין הרשמי — בדקו אות-אות. israelpost.co.il תקין, israel-post-il.com לא. leumi.co.il תקין, leuml.co.il לא. • לינק מקוצר (bit.ly, tinyurl, cutt.ly) בהודעה שמבקשת כסף או פרטים. גוף רשמי לא מקצר לינקים. • סיומת דומיין חריגה לחברה ישראלית: .xyz, .top, .icu, .info. • סכום קטן ולא עגול (12.90 ₪, 3.80 ₪) — נבחר בכוונה כדי שלא תטרחו לבדוק. • דחיפות מלאכותית: "תוך 24 שעות", "למניעת קנס", "החבילה תוחזר לשולח". • פנייה כללית בלי שם, בלי מספר רכב, בלי 4 ספרות אחרונות של החשבון. גוף אמיתי שגובה חוב יודע ממי. • בקשה להזין סיסמה, CVV או קוד אימות דרך הלינק. אין מצב לגיטימי שבו זה קורה.
זה החלק המעשי, וזו הנקודה שבה רוב האנשים טועים: אל תלחצו "רק כדי לראות". עצם הכניסה לעמוד זדוני חושפת את המכשיר ויכולה להציג לכם עמוד התחברות גנוב מותאם או להוריד קובץ. במקום: 1. לחיצה ארוכה על ההודעה ← העתק. 2. הדביקו בבודק החינמי כאן בעמוד (למעלה). 3. תוך שניות תקבלו תשובה: בטוח / חשוד / פישינג — עם הסבר בעברית פשוטה. הבדיקה מתבצעת אצלנו בסביבה מבודדת: אנחנו עוקבים אחרי הלינק המקוצר עד היעד הסופי, משווים אותו למאגרי פישינג עולמיים (Google Safe Browsing, VirusTotal ועוד) ומנתחים את נוסח ההודעה. הטלפון שלכם לא נוגע בלינק. בלי הרשמה ובלי התקנה.
הכלל: אף פעם אל תבררו דרך הלינק שבהודעה. תמיד דרך ערוץ שאתם פותחים בעצמכם: • כביש 6 — הקלידו ידנית kvish6.co.il ובדקו חוב לפי מספר רכב, או חייגו *6116. • דואר ישראל — פתחו את האפליקציה הרשמית או הקלידו israelpost.co.il ובדקו את מספר המעקב שקיבלתם מהחנות (לא מההודעה). • בנק או חברת אשראי — פתחו את האפליקציה הרשמית, או חייגו למספר שמודפס בגב הכרטיס. לא למספר שבהודעה. אם החוב או החבילה לא מופיעים בערוץ הרשמי — ההודעה הונאה. מחקו וחסמו את המספר.
הסדר חשוב — הדקה הראשונה שווה יותר מכל השאר: 1. הזנתם פרטי אשראי — התקשרו עכשיו לחברת האשראי (המספר בגב הכרטיס) ובקשו לחסום את הכרטיס. לפי חוק כרטיסי חיוב יש הגנה על חיובים במרמה, ודיווח מהיר קריטי. 2. הזנתם פרטי בנק או סיסמה — התקשרו למוקד הבנק, ואז החליפו את הסיסמה בבנק ובכל מקום אחר שבו השתמשתם באותה סיסמה. 3. מסרתם קוד אימות — נסו להיכנס לחשבון ולנתק מכשירים זרים, והפעילו אימות דו-שלבי. 4. דווחו למערך הסייבר הלאומי — חייגו 119, חינם, 24/7. הדיווח עוזר להוריד את האתר המזויף ומגן על הבאים בתור. 5. שמרו צילום מסך של ההודעה ושל הלינק — יעזור בערעור מול חברת האשראי ובתלונה במשטרה. ולא, אין שום בושה. ההונאות האלה נכתבות בידי מקצוענים ונשלחות למאות אלפי אנשים.
אפליקציית Phishy סורקת הודעות SMS ווואטסאפ ומתריעה לפני הלחיצה, במקום אחרי. אבל הקהל שנפגע הכי קשה הוא דווקא ההורים המבוגרים, שמשלמים מהר "כדי לא להסתבך". במצב משפחה מחברים את הטלפון של ההורה בהסכמתו — וכשהודעת סמישינג מגיעה אליו, אתם מקבלים התראה מיד, בלי לראות אף הודעה פרטית שלו. זו ההגנה היחידה שעובדת על מי שלא יבדוק לבד.
סמישינג (Smishing) הוא הונאת פישינג שמגיעה בהודעת SMS. השם הוא הלחם של SMS + Phishing. הנוכל שולח מסרון שמתחזה לגוף מוכר — בנק, דואר ישראל, כביש 6 — עם לינק לעמוד מזויף שגונב פרטים או כסף.
זו אותה הונאה בערוץ אחר. פישינג מגיע במייל, סמישינג ב-SMS, וישינג בשיחת טלפון וקוישינג בקוד QR. סמישינג מסוכן יותר מפישינג במייל כי ל-SMS אין סינון ספאם משמעותי ואי אפשר לרחף מעל הלינק כדי לראות לאן הוא מוביל.
וישינג (Vishing, מ-Voice + Phishing) הוא הונאה שמתבצעת בשיחת טלפון — למשל "נציג הבנק" שמתקשר ומבקש קוד אימות או פרטי כרטיס. הכלל זהה: גוף אמיתי לעולם לא יבקש בטלפון סיסמה או קוד.
חפשו את ארבעת המרכיבים יחד: גוף מוכר, סכום קטן או הטבה, דחיפות, ולינק. ואז בדקו את הלינק — דומיין שאינו הרשמי, לינק מקוצר או סיומת חריגה (.xyz, .top) הם סימן מובהק. הודעה שלא כוללת את השם שלכם, מספר הרכב או 4 ספרות של החשבון — חשודה.
מעתיקים את ההודעה כולה (לחיצה ארוכה ← העתק) ומדביקים בבודק החינמי בעמוד הזה. הבדיקה מתבצעת אצלנו בסביבה מבודדת — אנחנו עוקבים אחרי הלינק ליעד האמיתי ומשווים למאגרי פישינג עולמיים. התשובה מגיעה תוך שניות, בלי הרשמה ובלי שהטלפון שלכם נגע בלינק.
התחזות לכביש 6 (דרך ארץ) על "חוב אגרה". לפי מערך הסייבר הלאומי זה כ-19.5% מכל ניסיונות הפישינג בישראל. אחריה: "חבילה בדואר ישראל" עם דמי מכס קטנים, והתחזות לבנק על "פעילות חריגה".
לא. אפשר לזייף את שם השולח (Sender ID) כך שההודעה תיכנס לשרשור של הבנק האמיתי, מתחת להודעות אמיתיות. המיקום של ההודעה לא מוכיח כלום — רק התוכן שלה קובע.
ברוב המקרים לחיצה בלבד אינה מספיקה לגניבת פרטים. סגרו את הדף, אל תזינו כלום ואל תורידו קבצים. אם ההודעה הציעה להתקין אפליקציה והתקנתם — הסירו אותה מיד והריצו סריקת אבטחה.
קודם כל חוסמים את הכרטיס בשיחה לחברת האשראי (המספר בגב הכרטיס). רק אחר כך עוברים על פירוט העסקאות, מערערים על חיובים זרים, ומדווחים למערך הסייבר הלאומי בחיוג 119. מהירות היא הכל.
למערך הסייבר הלאומי בחיוג 119 — חינם ו-24/7. אפשר גם לדווח לגוף שאליו התחזו (הבנק, דואר ישראל) ולהגיש תלונה במשטרה. הדיווח עוזר להוריד את האתר המזויף מהאוויר.
אי אפשר לחסום את כולן — הרמאים מחליפים מספרים כל הזמן. מה שכן אפשר: לחסום כל מספר ששלח הונאה, ולהתקין אפליקציה שסורקת הודעות נכנסות ומתריעה לפני הלחיצה. Phishy עושה את זה חינם, ובמצב משפחה גם מתריעה לכם כשהודעה כזו מגיעה להורה מבוגר.