הונאות סביב כרטיסי אשראי: מסרון מזויף, ״נציג״ שמבקש קוד ו״נקודות שעומדות לפקוע״

רוב ההונאות סביב כרטיסי אשראי לא ״פורצות״ לכרטיס — הן משכנעות אתכם למסור את הפרטים: מספר כרטיס, תוקף, שלוש הספרות בגב, ובעיקר קוד אימות שנשלח אליכם במסרון. הכלל הכי חשוב: אף מנפיק אמיתי לא יבקש מכם בטלפון או במסרון קוד אימות, סיסמה או את הספרות בגב הכרטיס. אם קיבלתם פנייה כזו — נתקו, ופנו בעצמכם למנפיק דרך האפליקציה או המספר שעל הכרטיס. אם כבר מסרתם, הקפיאו את הכרטיס מיד והודיעו למנפיק: לפי חוק שירותי תשלום, אחרי ההודעה אינכם אחראים לשימוש לרעה.

המדריך מתאר דפוסים כלליים ואינו מתייחס לאירוע או לחברה מסוימים.

חמישה דפוסים נפוצים

למה קוד האימות כל כך חשוב

קוד חד-פעמי במסרון הוא דרך לאמת שאתם אלה שמאשרים את העסקה — מה שהחוק קורא לו פרט אימות או פרט אימות מוגבר. מי שמבקש מכם את הקוד מבקש בפועל לאשר עסקה בשמכם.

לפי סעיף 24(ד) לחוק שירותי תשלום, אם השימוש לרעה נעשה אחרי שהעמדתם את הרכיב החיוני באמצעי התשלום לרשות אדם אחר, הגבלת האחריות לא חלה עליכם — בין שידעתם על השימוש ובין שלא. מה נחשב ״רכיב חיוני״ מוגדר בחוזה שלכם עם המנפיק. לכן מסירת קוד אימות לרמאי עלולה לפגוע בזכות להחזר. כל מקרה נבחן לגופו — אבל העיקרון ברור: אל תמסרו קוד לאף אחד.

מה כן מגן עליכם

• סעיף 24(ב): אחרי שמסרתם הודעה למנפיק — אפס אחריות.
• סעיף 22: הקפאה מיידית לבקשתכם, ובזמן ההקפאה אינכם אחראים (סעיף 25(ב)).
• סעיף 29: עסקה שלא ביצעתם, שאין עליה מסמך חתום או תיעוד של אימות מוגבר — הודעה תוך 30 יום מהודעת החיוב, והשבה תוך 8 ימי עסקים.
• סעיף 24(ה): אם המנפיק לא איפשר לכם למסור הודעה בכל עת באופן סביר, אינכם אחראים לשימוש לרעה.
• סעיף 45א: אסור לאיש לגשת לחשבון תשלום בדרך עיסוק תוך שימוש בפרטי הגישה שלכם. שירות שמבקש את הסיסמה שלכם לאתר הבנק — דגל אדום.

פירוט מלא של החישוב והחריגים: כרטיס אבד, נגנב או הועתק.

מסרתי פרטים. מה עכשיו?

1. הקפיאו את הכרטיס באפליקציה, מיד.
2. הודיעו למנפיק — בטלפון ובכתב. תארו מה מסרתם ומתי.
3. בקשו כרטיס חליפי — הכרטיס הקיים חשוף.
4. בדקו עסקאות מהימים האחרונים וסמנו את אלה שאינן שלכם.
5. דווחו למוקד 119 של מערך הסייבר הלאומי על הניסיון — זה עוזר לחסום קישורים ולהזהיר אחרים.
6. הגישו תלונה במשטרה אם נגרם נזק; המנפיק עשוי לבקש אישור.
7. שנו סיסמאות אם מסרתם גם פרטי כניסה לאתר או לאפליקציה.

הורים מבוגרים ובני משפחה

רמאים פונים פעמים רבות דווקא לבני משפחה מבוגרים, בשיחה ארוכה ומשכנעת בשם ״הבנק״, ״חברת האשראי״ או ״המשטרה״. כמה צעדים פשוטים שאפשר לעשות יחד איתם:

• לקבוע כלל משפחתי: לא מוסרים קוד בטלפון לאף אחד, גם אם ״הנציג״ יודע את השם ואת ארבע הספרות של הכרטיס. מידע כזה רמאים משיגים בקלות.
• לשמור במקום בולט את מספר המוקד שעל גב הכרטיס, ולהסביר שתמיד מתקשרים בעצמם.
• להפעיל התראות על כל עסקה, ואם הם מסכימים — גם התראה לבן משפחה.
• לקבוע מסגרת שמתאימה להוצאה בפועל, כדי להגביל נזק אפשרי.
• להסביר שאין ״מבצע שמסתיים היום״ שמצדיק מסירת פרטים.

ואם בכל זאת נמסרו פרטים — לפעול מיד לפי הצעדים שלמעלה. כל שעה עד ההודעה למנפיק חשובה.

איך מזהים מסרון אמיתי

• לא לוחצים על קישור במסרון שמבקש פרטי כרטיס. נכנסים לאפליקציה בעצמכם.
• בודקים את השולח — אבל זוכרים ששם שולח אפשר לזייף.
• מחפשים לחץ זמן. ״תוך שעה״, ״לפני חצות״, ״אחרת הכרטיס ייחסם״ — כמעט תמיד הונאה.
• שואלים מה מבקשים. מנפיק אמיתי לא יבקש קוד אימות, סיסמה או CVV.

קניות באינטרנט בבטחה

• פרטי עוסק. אתר שמוכר לצרכנים בישראל צריך לגלות את שם העוסק, מספר הזהות והכתובת שלו (סעיף 14ג לחוק הגנת הצרכן). אתר בלי פרטים — סיבה לחשוד.
• כרטיס נטען לקניות באתרים לא מוכרים מגביל את הנזק ליתרה. ראו כרטיס אשראי, חיוב מיידי ונטען.
• התראות על כל עסקה באפליקציה — כך מזהים חיוב חשוד ביום הראשון.
• מסגרת סבירה — ראו מסגרת אשראי ומועד חיוב.

בחו״ל

• מכשירי כספומט — השתמשו במכשירים בסניפי בנקים, כסו את המקלדת כשמקלידים קוד.
• אל תמסרו את הכרטיס לטיפול מחוץ לטווח הראייה כשאפשר לשלם בקרבתכם.
• המרה דינמית אינה הונאה, אבל לרוב יקרה — ראו שימוש בכרטיס בחו״ל.

חזרה למדריך הזכויות והתלונות · כרטיס אבד, נגנב או הועתק · טעויות נפוצות

שאלות נפוצות

קיבלתי מסרון אבל לא לחצתי. צריך לעשות משהו?

לא חייבים, אבל כדאי לדווח למוקד 119 ולמחוק את ההודעה. אם אתם לא בטוחים — בדקו באפליקציה של המנפיק אם יש התראה אמיתית.

האם המנפיק חייב להחזיר לי כסף אם נפלתי בפישינג?

זה תלוי בנסיבות: מה מסרתם, מה מוגדר כרכיב חיוני בחוזה, ואם העסקה אומתה באימות מוגבר. אחרי ההודעה אינכם אחראים לשימוש נוסף. לגבי מה שקרה לפני — הגישו בקשה בכתב, ואם נדחתה, פנו ליחידה לפניות הציבור בבנק ישראל.

האם כרטיס בארנק דיגיטלי בטוח יותר?

ארנק דיגיטלי משתמש בדרך כלל במספר חלופי לכרטיס ובאימות במכשיר, ולכן פרטי הכרטיס המקוריים לא נמסרים לבית העסק. זה מקטין סיכונים מסוימים — אבל לא מגן אם מישהו משכנע אתכם להוסיף את הכרטיס לטלפון שלו.

מקורות רשמיים

• פורטל השירותים הממשלתי — מערך הסייבר הלאומי (מוקד 119), משטרת ישראל
• הכנסת — מאגר החקיקה — חוק שירותי תשלום, התשע״ט–2019 (סעיפים 22, 24, 25, 29, 45א)
• בנק ישראל — מידע לציבור על הונאות ועל היחידה לפניות הציבור