טרור דיגיטלי בוואטסאפ של ישראלים: כך מנסים להפיל חשבונות

הטרור הגיעה גם לוואצאפ: בשבועות האחרונים מגיעים אלינו מקרים שבהם בעלי חשבונות WhatsApp מתארים תופעה חריגה: בתוך זמן קצר הם מתחילים לקבל עשרות ולעיתים מאות הודעות ממספרים שאינם מכירים, שיחות ממדינות שונות, ניסיונות לצרף אותם לקבוצות, ובמקביל הודעות המכילות קודי אימות או OTP שלא ביקשו.

בחלק מהמקרים, לאחר האירוע החשבון גם מוגבל או נחסם.

האם מדובר בשיטה מכוונת להפלת חשבונות WhatsApp? התשובה מורכבת. קיימות מספר טכניקות תקיפה והטרדה שיכולות להסביר אירוע כזה, אבל נכון להיום אין תיעוד רשמי של WhatsApp שלפיו עצם קבלת מאות הודעות גורמת אוטומטית לחסימת הקורבן.

עם זאת, WhatsApp מכירה היטב בתופעות של הצפות, שימוש מתואם בחשבונות, דיווחים זדוניים וניסיונות להשתלט על חשבונות — ואף מפעילה מנגנוני הגנה ייעודיים נגדם.

איך נראית מתקפה כזו?

אחד הסימנים הראשונים יכול להיות גל פתאומי של הודעות ממספרים לא מוכרים. לפעמים מדובר בעשרות חשבונות שונים בתוך דקות או שעות.

עצם קבלת ההודעות אינה אומרת שהחשבון נפרץ.

למעשה, WhatsApp הוסיפה אפשרות שנקראת Block unknown account messages, המיועדת בדיוק למצב שבו מתקבל נפח גבוה של הודעות מחשבונות לא מוכרים. כאשר המערכת מזהה נפח חריג, היא יכולה לחסום באופן זמני הודעות נוספות מחשבונות לא מוכרים.

לכן אפשר לומר בביטחון כי הצפת משתמשים בהודעות ממספרים לא מוכרים היא תופעה ש-WhatsApp עצמה מתייחסת אליה ברמת מוצר האבטחה שלה.

במקביל מתחילים להגיע קודי OTP

סימן משמעותי יותר הוא קבלת קודי אימות של WhatsApp שהמשתמש לא ביקש.

בעת רישום מספר טלפון במכשיר חדש, WhatsApp משתמשת בתהליך אימות כדי לוודא שלמשתמש יש שליטה במספר. קוד שמגיע ללא בקשת המשתמש יכול לכן להעיד שמישהו אחר הזין את מספר הטלפון שלו בתהליך רישום או אימות. WhatsApp ממליצה להפעיל Two-Step Verification כשכבת הגנה נוספת.

חשוב במיוחד:

אסור למסור לאף אדם קוד אימות שהתקבל ב-SMS, ב-WhatsApp, במייל או בשיחת טלפון.

גם אם האדם טוען שהוא נציג WhatsApp, Meta, ספק הסלולר או גורם תמיכה אחר.

ומה לגבי צירוף לקבוצות ושיחות רבות?

אפשרות נוספת היא שימוש במספר רב של חשבונות כדי לייצר פעילות חריגה סביב מספר מסוים: הודעות, קבוצות, שיחות ודיווחים.

WhatsApp מאפשרת למשתמש לקבוע מי רשאי להוסיף אותו לקבוצות, כולל אפשרות להגביל זאת לאנשי קשר בלבד.

לכן, כאשר מתחיל אירוע כזה, מומלץ להגביל מיד את האפשרות של אנשים זרים לצרף את המספר לקבוצות.

האם אפשר להפיל חשבון באמצעות הרבה דיווחים?

זו אחת השאלות המעניינות ביותר.

כבר בשנת 2019 WhatsApp פרסמה מסמך טכני רשמי המסביר כיצד היא מתמודדת עם spam והתנהגות אוטומטית. במסמך WhatsApp מתייחסת במפורש לאפשרות שקבוצה של אנשים תנסה להתארגן ולדווח באופן מתואם על משתמש תמים במטרה לגרום לו לאבד גישה לשירות.

WhatsApp מסבירה שאילו המערכת הייתה מסתכלת רק על מספר הדיווחים, מתקפה כזו הייתה יכולה להפיל משתמשים לגיטימיים. לכן, לפי החברה, היא בוחנת גם את מערכת היחסים וההתנהגות בין המדווח לבין החשבון שעליו דווח.

זה פרט חשוב מאוד.

כלומר, הרעיון של Coordinated False Reporting אינו תיאורטי לחלוטין — WhatsApp עצמה הכירה כבר בעבר באפשרות להשתמש במערכת הדיווחים לרעה.

מצד שני, המסמך גם אומר שהמערכת בנויה לנסות לזהות ולמנוע ניצול כזה. לכן לא נכון לטעון ש"מספיק לדווח על מספר 100 פעמים כדי להפיל אותו".

אז מדוע בכל זאת חשבון יכול להיחסם לאחר אירוע כזה?

WhatsApp אינה מפרסמת את מלוא מנגנוני האכיפה שלה, וטוב שכך, משום שחשיפה מלאה שלהם הייתה מאפשרת לתוקפים ללמוד כיצד לעקוף אותם.

במסמך הטכני שלה החברה הסבירה שמערכות האנטי-Abuse שלה משתמשות בשילוב של אותות התנהגותיים, פעילות בזמן רישום, דפוסי שליחת הודעות, דיווחים ונתונים נוספים כדי לזהות חשבונות חשודים.

לכן, כאשר יש סביב מספר מסוים בתוך זמן קצר:

הצפת הודעות, ניסיונות רישום, קודי OTP, קבוצות, שיחות, חסימות ודיווחים — נוצרת סביב החשבון פעילות חריגה מאוד.

אין לנו כיום הוכחה שהפעילות הנכנסת הזו לבדה גורמת לחסימה, ולכן אסור להציג זאת כעובדה.

אבל כאשר חשבון נחסם זמן קצר לאחר אירוע כזה, חשוב מאוד לתעד את האירוע ולהציג אותו בתהליך הערעור, משום שהוא עשוי להסביר מדוע נוצרה פעילות חריגה סביב החשבון.

קיבלתי עכשיו מאות הודעות ב-WhatsApp. מה לעשות?

הדבר הראשון הוא לא להיכנס לפאניקה ולא להתחיל לענות לכולם.

מומלץ לבצע את הפעולות הבאות:

1. לא לענות למספרים

אל תנסו לברר מי הם, אל תכתבו "מי זה?" ואל תפתחו שיחה.

אם מדובר בהתקפה מתואמת, אין סיבה לייצר אינטראקציה נוספת עם החשבונות.

2. לתעד את האירוע

לפני שמוחקים או חוסמים הכול, בצעו צילומי מסך או הקלטת מסך.

כדאי לתעד:

• רשימת המספרים.
• שעות קבלת ההודעות.
• שיחות נכנסות.
• קבוצות שאליהן צורפתם.
• הודעות OTP.
• הודעות אבטחה של WhatsApp.
• מועד תחילת האירוע.
• מועד החסימה, אם התרחשה.

המידע הזה יכול להיות משמעותי מאוד אם לאחר מכן צריך להגיש בקשת בדיקה או שחזור של החשבון.

3. להפעיל Block unknown account messages

WhatsApp מאפשרת כיום לחסום באופן אוטומטי נפח גבוה של הודעות מחשבונות לא מוכרים.

במכשירים שבהם האפשרות קיימת:

WhatsApp → Settings → Privacy → Advanced → Block unknown account messages

4. להפעיל Silence Unknown Callers

WhatsApp מאפשרת להשתיק שיחות שמגיעות ממספרים לא מוכרים. השיחות עדיין יכולות להופיע ביומן, אבל הן אינן מצלצלות בצורה הרגילה. האפשרות מופיעה גם במסגרת Privacy Checkup של WhatsApp.

5. להגביל מי יכול לצרף אתכם לקבוצות

מומלץ להיכנס להגדרות הפרטיות ולהגביל את האפשרות להוסיף אתכם לקבוצות.

לדוגמה:

Settings → Privacy → Groups → My Contacts

WhatsApp מאפשרת לשלוט במי רשאי להוסיף משתמש לקבוצה.

6. להפעיל Two-Step Verification

זוהי אחת הפעולות החשובות ביותר.

Two-Step Verification מוסיף שכבת אימות נוספת לחשבון ומקשה על גורם אחר לבצע השתלטות באמצעות תהליך רישום.

7. לבדוק Linked Devices

היכנסו ל:

Settings → Linked Devices

ובדקו שאין מחשב, דפדפן או מכשיר שאינכם מזהים.

WhatsApp עצמה ממליצה לבדוק באופן קבוע את רשימת המכשירים המקושרים ולהוציא מכשירים שאינם מוכרים.

אם נמצא מכשיר חשוד — יש לנתק אותו מיד.

8. לא למסור שום קוד

אם הגיע קוד OTP שלא ביקשתם, התייחסו אליו כאל אירוע אבטחה.

אל תעבירו אותו לאף אדם.

9. לא לבצע התקנות והסרות חוזרות

בזמן אירוע פעיל לא מומלץ להתחיל להסיר את WhatsApp, להתקין מחדש ולבקש שוב ושוב קודי אימות ללא צורך.

אם גורם אחר כבר מנסה לבצע רישום של המספר, עדיף קודם להבין מה קורה ולהגן על החשבון הקיים.

10. אפשר להתנתק זמנית מהאפליקציה

כאשר ההצפה משמעותית, ניתן גם להפסיק זמנית להשתמש ב-WhatsApp או לנתק את המכשיר מהאינטרנט כדי להפסיק את רצף ההתראות והאינטראקציה עם המשתמש.

חשוב להבין: ניתוק הטלפון מהאינטרנט אינו גורם לאחרים להפסיק לשלוח הודעות למספר ואינו עוצר ניסיונות בצד השרת של WhatsApp.

לכן זו פעולה משלימה, לא מנגנון הגנה בפני עצמו.

מצב Strict Account Settings

WhatsApp הוסיפה גם אפשרות בשם Strict Account Settings, שמיועדת להקשחת החשבון.

בין היתר, WhatsApp מציינת שהפעלתה יכולה להפעיל Two-Step Verification, לחסום קבצים ומדיה משולחים לא מוכרים ולהפעיל את החסימה מפני נפח גבוה של הודעות מחשבונות לא מוכרים.

לא לכל משתמש או גרסה בהכרח יוצגו אותן אפשרויות, ולכן כדאי לעדכן את WhatsApp לגרסה האחרונה ולבדוק את הגדרות הפרטיות.

חשבון WhatsApp עסקי? יש פעולות הגנה נוספות

כאשר המספר משמש עסק, הסיכון גדול יותר.

אובדן WhatsApp עסקי יכול לגרום בתוך שעות לאובדן פניות, לקוחות, מכירות והיכולת לתת שירות.

במקרה כזה אנחנו ממליצים לא להשאיר את WhatsApp כנכס שעומד בפני עצמו.

חיבור WhatsApp ל-Meta Business Portfolio

Meta מאפשרת להוסיף WhatsApp Business Account ל-Business Portfolio של העסק בתוך Meta Business Suite. במסגרת החיבור נשלח קוד אימות למספר לצורך אימות הקישור.

כך ניתן לבנות מבנה עסקי מסודר שבו נכסי החברה — Facebook, Instagram ו-WhatsApp — מנוהלים תחת העסק.

לבצע Business Verification

לעסקים הזכאים לכך, Meta מספקת תהליך Business Verification באמצעות Meta Business Suite, שבמסגרתו נבדקים פרטי העסק וניתן להידרש לאמת אותם באמצעות מסמכים, דומיין, טלפון, דוא"ל או אמצעי אימות אחרים.

מבחינת ניהול סיכונים, עדיף שמספר WhatsApp קריטי לעסק יהיה משויך למערכת עסקית שבה Meta יכולה לזהות בצורה ברורה את הארגון שעומד מאחוריו.

חשוב להדגיש: Business Verification אינו ביטוח מפני חסימה ואינו מבטיח שחשבון לעולם לא יוגבל.

לבדוק אפשרות לקבלת Meta Verified

Meta Verified לעסקים זמין גם עבור WhatsApp במקרים ובשווקים הרלוונטיים, וכולל בין היתר Badge מאומת, תמיכה והגנות מפני התחזות.

WhatsApp אף מציינת כי חלק מהגנות Meta Verified נועדו לסייע בהגנה על חשבונות עסקיים מקושרים מפני התחזות וחסימות שגויות הקשורות להתחזות.

עבור עסק שהמספר שלו הוא חלק משמעותי מפעילות המכירות והשירות, זהו שיקול שכדאי לבדוק.

Official Business Account

יש להבדיל בין Meta Verified לבין WhatsApp Official Business Account.

אלו אינם אותו הדבר.

Meta מאפשרת לעסקים זכאים להגיש בקשה ל-Official Business Account באמצעות WhatsApp Manager, ותהליך הבקשה כולל דרישות שונות, ובהן הפעלת Two-Step Verification.

מה המחקרים מלמדים אותנו על ניצול WhatsApp?

ניתן היה לאתר מספרי WhatsApp בהיקפים עצומים

מחקר שפורסם ב-2025 על ידי חוקרים מאוניברסיטת וינה ו-SBA Research בחן את מנגנון גילוי אנשי הקשר של WhatsApp.

החוקרים הצליחו לבצע enumeration בקנה מידה עצום של מספרי טלפון ולבדוק יותר מ-100 מיליון מספרים בשעה. בגרסה המעודכנת של המחקר החוקרים מציינים כי WhatsApp עבדה עמם על תיקון הבעיה וכי בעיית הגבלת הקצב שעליה הצביעו טופלה.

המחקר אינו מוכיח שניתן "להפיל" חשבון באמצעות הודעות, אבל הוא ממחיש מדוע מספר הטלפון עצמו הוא יעד אבטחה משמעותי וכיצד ניתן היה בעבר לזהות חשבונות פעילים בקנה מידה גדול.

המחקר:
Hey there! You are using WhatsApp: Enumerating Three Billion Accounts for Security and Privacy

ספאם והודעות לא רצויות ב-WhatsApp הם תופעה מדידה

מחקר אקדמי נוסף, Jettisoning Junk Messaging in the Era of End-to-End Encryption, בחן 2.6 מיליון הודעות שנשלחו לכ-5,000 קבוצות WhatsApp ציבוריות.

החוקרים מצאו שכמעט אחת מכל עשר הודעות במאגר שבדקו הייתה תוכן לא רצוי שנשלח על ידי שולחי Junk, ותיארו טכניקות שונות שבהן משתמשים גורמים המנסים להפיץ תוכן בהיקף גדול.

המחקר:
Jettisoning Junk Messaging in the Era of End-to-End Encryption: A Case Study of WhatsApp

WhatsApp מכירה גם בניסיון לנצל את מנגנון הדיווחים

אחד המקורות המעניינים ביותר בנושא אינו מחקר אקדמי אלא מסמך טכני שפרסמה WhatsApp עצמה.

החברה מתארת בו תרחיש שבו קבוצה של משתמשים עלולה להתארגן ולבצע סדרת דיווחים על אדם אחר במטרה למנוע ממנו להשתמש ב-WhatsApp, ומסבירה שמערכות האכיפה שלה אמורות להביא בחשבון גם ניסיונות כאלה.

המסמך:
Stopping Abuse: How WhatsApp Fights Bulk Messaging and Automated Behavior

האם הודעות מתימן, סוריה או מדינות אחרות אומרות שמישהו משם תוקף אותי?

לא בהכרח.

קידומת הטלפון שמוצגת ב-WhatsApp אינה הוכחה למיקומו הפיזי של האדם שמפעיל את החשבון. מספרים וירטואליים, SIM בינלאומיים, חשבונות שנפרצו ושירותי טלפוניה מאפשרים לגורם שנמצא במדינה אחת להשתמש במספר שמזוהה עם מדינה אחרת.

לכן נכון יותר להתייחס לדפוס הפעילות מאשר למדינה שמופיעה ליד המספר.

סימנים שיכולים להעיד על ניסיון תקיפה מתואם

אם מספר WhatsApp מתנהג כרגיל במשך חודשים או שנים ולפתע, בפרק זמן קצר, מתרחשים יחד כמה מהאירועים הבאים:

עשרות הודעות ממספרים זרים + שיחות רבות + קודי OTP שלא התבקשו + ניסיונות צירוף לקבוצות + התראות אבטחה + חסימה או הגבלה

כדאי להתייחס לכך כאירוע אבטחה, לתעד אותו ולבדוק את החשבון באופן מסודר.

אין להסיק אוטומטית שהחשבון נפרץ, וגם אין להסיק שכל חסימה לאחר אירוע כזה נגרמה על ידי התוקפים. לעיתים נדרש ניתוח של ציר הזמן וההתראות כדי להבין מה באמת התרחש.

רוצים להגן על מספר WhatsApp עסקי?

בסייבר ישראל אנו מציעים שירות הקשחה והגנה על מספרי WhatsApp ו-WhatsApp Business, במיוחד לעסקים שהמספר שלהם מהווה ערוץ מרכזי לקבלת לקוחות, מכירות ושירות.

התהליך יכול לכלול בהתאם לחשבון:

בדיקת אבטחה והגדרות פרטיות, Two-Step Verification, בדיקת Linked Devices, הגנה מפני הודעות ושיחות לא מוכרות, הגדרות קבוצות, חיבור נכון ל-Meta Business Portfolio, בדיקת Business Verification, סיוע בהגדרת Meta Verified כאשר החשבון זכאי לכך והכנת החשבון למקרה שבו תידרש בעתיד הוכחת בעלות או בקשת שחזור.

אין דרך להבטיח שחשבון לעולם לא ייחסם או יותקף, אבל ניתן להקטין משמעותית את משטח התקיפה, לחזק את זהות העסק מול Meta ולהיות מוכנים הרבה יותר לאירוע לפני שהוא קורה.

אם מספר ה-WhatsApp שלכם קריטי לעסק, עדיף לבצע את פעולות ההגנה לפני שמתחיל אירוע.