העימות על ההונאות מתרחב: הבנקים דורשים חסימה, בחברות הסלולר מטילים את האחריות על ה-OTP

איתן מדמון קורא למשרד התקשורת לפעול נגד זיוף מספרים והודעות פישינג המתחזות לבנקים. בכיר בחברת סלולר משיב כי הבנקים חייבים להקשיח את הליכי הזיהוי, ומדווח על קידום מנגנון התרעה על ניוד מספרים

למרות שהמחלוקת בין איגוד הבנקים לחברות התקשורת סביב הטיפול בהונאות פיננסיות עולה מדרגה, הרי שבפועל משרד התקשורת, החברות הסלולריות ובנק ישראל עובדים על פתרון לבעיה, כך נודע לזמן אוויר. מנכ"ל איגוד הבנקים, איתן מדמון, דורש ממשרד התקשורת לחייב את חברות התקשורת לפעול נגד התחזות לבנקים בשיחות טלפון ובהודעות SMS. מנגד, בכיר באחת מחברות הסלולר טוען כי הבנקים נדרשים להפחית את התלות בקוד חד-פעמי – OTP – ולהוסיף אמצעי זיהוי חזקים יותר לפני אישור פעולות רגישות https://zmanavir.co.il/technology/34016.

לדברי מדמון, אחת משיטות ההונאה מבוססת על שליחת הודעת פישינג בתוך שרשור הודעות קיים של בנק. מבחינת הלקוח, ההודעה מופיעה לצד מסרים אמיתיים מהבנק ולכן היא עלולה להיתפס כאמינה, אף שהיא מפנה אותו למסירת פרטים או לקישור זדוני.

"זו הנדסת תודעה. אין פה בעיה של זיהוי לקוח", אמר מדמון. "אפשר להורות לחברות התקשורת שלתוך השרשור של בנק הפועלים, למשל, ייכנסו הודעות רק מגורמים מורשים".

מדמון טען כי קיימות בעולם טכנולוגיות ושיטות עבודה שנועדו לצמצם התחזות מסוג זה, אך לא נקב בתקן בינלאומי מסוים שלדבריו יש לאמץ בישראל. "אין פה תקינה. יש טכנולוגיות ושיטות עבודה שזה כבר מבוצע בחוץ לארץ. בישראל עדיין לא", אמר.

המחלוקת גם על זיוף שיחות

איגוד הבנקים מבקש לטפל גם בזיוף זהות המתקשר. לפי מדמון, נוכלים יכולים לגרום לכך שעל צג הטלפון יוצג מספר מקוצר, שם של בנק או מספר של סניף – ולנצל את האמון שהלקוח נותן בפרטים המופיעים על המסך.

"הלקוח עושה את הפעולה מתוך הנדסת תודעה", אמר. "הבקשה שלנו ממשרד התקשורת היא שיחסמו את זה".

בכיר בחברת סלולר דחה את הטענה שהמפעילים יכולים לפתור לבדם את התופעה. לדבריו, חלק גדול מההונאות מתאפשר לאחר שהלקוח מוסר בעצמו לנוכלים פרטים אישיים וקודים שנשלחו אליו, והאחריות המרכזית היא על הבנקים להקשיח את תהליך אישור הפעולות.

"התאגידים הפיננסיים בחרו להשתמש בתווך הסלולרי וב-OTP, ואז מאשימים אותנו בהונאות שמבצעים עליהם", אמר. "תשנו את צורת ההזדהות – באמצעים ביומטריים או באמצעים נוספים. ברגע שתעשו זאת, תפחת הכדאיות של ניודים זדוניים והחלפות SIM".

הוא הוסיף כי חברות התקשורת כפופות לכללי ניוד מספרים שקבע משרד התקשורת, ולכן אינן יכולות לעכב או להקשיח את התהליך באופן חד-צדדי. לטענתו, צעדים כאלה עלולים גם לפגוע בתחרות וביכולת של לקוחות לעבור במהירות בין חברות.

מנגנון התרעה על ניוד טרי

לדברי הבכיר, חברות התקשורת ובנק ישראל מקדמים מנגנון שיתריע בפני תאגיד פיננסי כאשר לקוח שמבקש לבצע פעולה בנקאית נייד את מספרו ב-24 השעות הקודמות. התרעה כזו עשויה לאפשר לבנק, לפי מדיניותו, להוסיף בדיקת זיהוי, ליצור קשר עם הלקוח או לעכב פעולה חשודה.

הקמת מאגר או שרת שירכז מידע על מספרים שנוידו כבר נכללה בין המהלכים שנבחנו בצוות הבין-מגזרי שעסק בהונאות פיננסיות. עם זאת, היקף המידע שיועבר, אופן הגישה אליו ולוח הזמנים להפעלה טרם פורסמו.

המחלוקת בין הבנקים לחברות הסלולר אינה רק טכנולוגית. הבנקים מבקשים למנוע מראש את האפשרות להתחזות אליהם בערוצי התקשורת, בעוד המפעילים טוענים כי הגנה אפקטיבית מחייבת גם שינוי במנגנוני הזיהוי של הבנקים עצמם. השאלה שנותרה פתוחה היא מי יידרש לממן את הפתרונות, מי יישא באחריות במקרה של כשל – ועד כמה משרד התקשורת יתערב בשוק כדי לחייב צעדים אחידים. משרד התקשורת מאשים את איגוד הבנקים בניסיון לייצר חסמי מעבר שימנעו מעבר של לקוחות בין הבנקים.