הונאת דוא״ל עסקי: תגובה משפטית

מהי הונאת BEC ואיך היא עובדת בפועל?

קיבלתם מייל מה״מנכ״ל" שמבקש להעביר 200,000 ש״ח לספק חדש עד סוף היום. הוא בחו״ל, לא זמין בטלפון. הדחיפות מכריחה — ואתם מעבירים. יומיים אחר כך מגלים שהמייל היה מזויף.

זו הונאת BEC — Business Email Compromise. היא לא מתחילה בפריצה לרשת שלכם, אלא בהנדסה חברתית: מישהו מחקה כתובת מייל אמינה (לפעמים שונה ב-אות אחת), בונה אמינות, ומנצל לחץ ודחיפות. הכסף עובר — לעיתים קרובות לחשבונות בחו״ל — ואז עוקבים אחריו קשה.

שלושה תרחישי BEC נפוצים: זיוף כתובת מנהל — מייל לחשבות בשם המנכ״ל מבקש תשלום דחוף. התחזות לספק — מייל ממה שנראה כמו ספק קיים, עם פרטי חשבון בנק "מעודכנים". פשרת חשבון אמיתי — פורצים לחשבון מייל פעיל של שותף עסקי ושולחים מתוכו. האחרון הוא הכי מסוכן כי הכל אמיתי — רק הוראת התשלום שקרית.

שאלה על המקרה שלכם? כתבו בוואטסאפ · 050-431-3155

האם העסק אחראי כשעובד שלו העביר כסף בעקבות מייל מזויף?

מעסיק שלא הכשיר עובדים, לא הטמיע נהלי אימות, ולא אסר על העברות גדולות ללא אישור כפול, עלול להיתקל בטענת אשם תורם אם יתבע את הבנק או גורם אחר — ואז הפיצוי שייפסק לו יופחת לפי מידת אחריותו לנזק (סעיף 68 לפקודת הנזיקין). כלפי צדדים שלישיים, מעסיק חב על מעשה שעשה עובד שלו תוך כדי עבודתו (סעיף 13 לפקודה).

מנגד — עובד שפעל בתום לב, לא חרג מסמכותו, ולא היה בידיו מידע שהיה מעורר חשד סביר — ספק אם ייחשב שהתרשל: רשלנות נבחנת לפי מה שאדם סביר ונבון היה עושה באותן נסיבות (סעיף 35 לפקודת הנזיקין). חברת הביטוח שלכם עשויה לכסות (ראו בהמשך), בכפוף לתנאי הפוליסה — יש פוליסות שמתנות את הכיסוי בקיום נהלי אימות.

איך מזהים ניסיון הונאת תשלומים לפני שהכסף יוצא?

הסימנים שמחייבים עצירה ובדיקה:

דחיפות מלאכותית — "חייב להיות היום", "אל תדברי עם אחרים", "זה חשאי". זה אדום מיידי. כתובת מייל כמעט-זהה — ceo@company-il.com במקום ceo@company.co.il. שימו לב לתחום, לא רק לשם. בקשה לשנות פרטי חשבון — ספק שמבקש לשנות חשבון בנק צריך לאומת בטלפון למספר שמופיע אצלכם ממקור אחר, לא מהמייל שלו. שגיאות כתיב או ניסוח לא טיפוסי — מנהל שבדרך כלל כותב בסגנון מסוים, פתאום כותב אחרת.

הכלל הזהב: כל הוראת תשלום מעל סכום שקבעתם מראש (לדוגמה 10,000 ש״ח) טעונה אימות קולי — שיחת טלפון למספר המוכר לכם, לא להתקשר לפי מספר שהופיע בהודעה.

מה עושים כשמגלים שנפלתם — 24 השעות הקריטיות

שלב 1 — הבנק, עכשיו: התקשרו מיד לבנק ובקשו לעצור את ההעברה. אם היא עדיין בתהליך סליקה בין-בנקאי — לפעמים ניתן לעצור אותה. ככל שמגיבים מהר יותר, הסיכוי גבוה יותר. ספקו את פרטי ההעברה במלואם.

שלב 2 — תיעוד מיידי: שמרו את כל המיילים — אל תמחקו דבר. צלמו מסכים. תיעדו מי עשה מה ומתי. זה ייצור את בסיס התביעה ואת ה-timeline לחברת הביטוח ולמשטרה.

שלב 3 — דיווח למשטרה: הגישו תלונה ביחידת הסייבר. חקירה לוקחת זמן — אבל הדיווח עצמו חשוב להוכחת תביעה עתידית, ולפעמים שיתוף פעולה בין גופי אכיפה מחו״ל ומישראל מוביל לאיתור הגנבים.

שלב 4 — עורך דין: אם מדובר בסכום משמעותי, ייעוץ משפטי מוקדם יאפשר לשקול תביעה אזרחית, פנייה לבית משפט לסעד זמני (עיכוב יציאת כספים), ובדיקת כיסוי ביטוחי.

כיצד להגן על העסק: נהלים שמונעים BEC

שלושה נהלים שמפחיתים את הסיכון דרמטית (על נהלי תשלום בטוחים בהרחבה: מניעת הונאות תשלום: חובות משפטיות):

אימות כפול לתשלומים: כל תשלום מעל סכום שקבעתם דורש אישור טלפוני ממנהל שלא המנהל שביקש. זה בסיסי וחינמי, ומקשה מאוד על הונאה מסוג זה.

הגדרת SPF/DKIM/DMARC בדומיין שלכם: אלה פרוטוקולי אימות מייל שמונעים מגורמים חיצוניים לשלוח מיילים בשם הדומיין שלכם. מנהל ה-IT שלכם יכול להגדיר אותם. זה לא ימנע מתחזות לחשבון חיצוני, אבל ימנע שהדומיין שלכם ישמש לתקיפה.

הדרכת עובדים: פעם בשנה, הסבירו לצוות מהי BEC. הראו דוגמאות אמיתיות. הגדירו מה הנוהל כשמישהו מתעורר חשד. עובד שמכיר את ההונאה ייעצר לפני שיעביר.

ביטוח סייבר — מה מכסה ומה לא?

פוליסות ביטוח סייבר רבות כוללות כיסוי להונאת BEC, אך יש לקרוא את האותיות הקטנות. מה שרוב הפוליסות מכסות: הפסד כספי ישיר מהונאה אלקטרונית, עלויות חקירה, עלויות הודעה ללקוחות (אם נגרמה גם פריצת מידע), ועלויות שחזור מערכות.

מה שלרוב לא מכוסה: הפסד מהונאה שנגרמה בשל רשלנות בוטה של העסק (למשל — העברה ללא אימות כלשהו), הפסדים שנגרמו לאחר שחברת הביטוח הודיעה על אי-כיסוי. תנאי הכיסוי משתנים מאוד בין פוליסות — חובה לקרוא ולהתייעץ לפני אירוע, לא אחריו.

האם אפשר לקבל את הכסף בחזרה?

לפעמים כן — בתנאי שמגיבים מהר. כסף שעדיין נמצא בסליקה בין-בנקאית ניתן לעצירה. כסף שהגיע לחשבון בנק בישראל — ניתן לפנות לבית משפט לצו עיכוב. כסף שיצא לחו״ל — קשה יותר, אבל לא בלתי אפשרי דרך שיתוף פעולה בין-לאומי.

בנוסף, אפשר לתבוע אזרחית את הבנק אם הוא פעל ברשלנות (סעיפים 35 ו-36 לפקודת הנזיקין [נוסח חדש]) — למשל, אישר העברה חריגה ללא בדיקות נאותות. מומלץ להתייעץ עם עורך דין לפני שמוותרים.