פורסם 6 ביולי 2026
הונאת מנכ״ל (בלעז BEC, קיצור של Business Email Compromise) היא התקפה שבה תוקף מתחזה לבכיר בארגון או לספק מוכר, ושולח מייל שמבקש העברה בנקאית דחופה או שינוי פרטי חשבון. אין כאן וירוס, אין קובץ נגוע ואין פריצה טכנית: יש מייל אמין למראה שמפעיל לחץ זמן על מי שמוסמך לשלם. זו הסיבה שהיא עוברת מתחת לרדאר של האנטי-וירוס, ושהכלי היחיד שעוצר אותה הוא נוהל אימות.
למה הונאת מנכ״ל עובדת דווקא על עסקים מסודרים
אינטואיטיבית נדמה שהקורבן הטיפוסי הוא עסק מבולגן. בפועל קורה ההפך: ארגונים עם היררכיה ברורה מאמנים את העובדים להיענות לבכירים במהירות ובלי שאלות. התוקף לא פורץ למערכת, הוא פורץ לתרבות הארגונית. הוא מסתמך על שלושה מנגנונים פסיכולוגיים: סמכות (הבקשה באה מלמעלה), דחיפות (יש חלון זמן שנסגר) וסודיות (אסור לשתף אף אחד עדיין).
כדאי לקרוא גם: אבטחת סייבר לעסק קטן: 12 צעדים שאפשר ליישם בלי איש IT · מדיניות BYOD לעסק קטן: סיכוני סייבר וכך מתגוננים · תקן PCI DSS לעסקים: מה חובה, איך מתחילים וכמה זה עולה
הקורבן הנפוץ ביותר הוא לא המנכ״ל אלא מי שמתחתיו: הנהלת חשבונות, סמנכ״ל כספים, מנהל רכש או עובד שמחזיק בגישה למערכת התשלומים. ככל שהעסק קטן יותר, כך גדל הסיכוי שאדם אחד יכול להעביר כסף לבד, בלי אישור שני.
מנגנון ההתקפה: מה קורה מאחורי הקלעים
הונאת מנכ״ל אינה מייל בודד אלא תהליך שנמשך שבועות. השלבים החוזרים על עצמם:
- איסוף מודיעין. התוקף אוסף שמות, תפקידים וכתובות מייל מלינקדאין, מאתר החברה ומחתימות מייל שמסתובבות בשרשורים. הוא לומד מי מאשר תשלומים ומי נמצא בחו״ל.
- השגת דריסת רגל. לעיתים הוא משיג סיסמה של תיבת מייל אחת דרך דיוג, ואז קורא בשקט את התכתובות. זו הגרסה המסוכנת: הוא רואה חשבוניות אמיתיות, מכיר את סכומי העסקאות ויודע מתי צפוי תשלום גדול.
- בחירת התזמון. סוף חודש, ערב חג, תקופת סגירת דוחות או שבוע שבו המנכ״ל בטיסה. בדיוק אז ההיענות גבוהה והאפשרות לאמת נמוכה.
- שליחת הבקשה. מדומיין דומה עד כדי בלבול, או מהתיבה האמיתית אם הושגה גישה אליה.
- הוצאת הכסף. הכספים מועברים לחשבון מתווך ומשם מפוצלים או מומרים במהירות. חלון השעות לעצירת ההעברה קצר מאוד.
איך נראה המייל: דוגמה טיפוסית
שווה להכיר את הנוסח, כי הוא חוזר על עצמו בווריאציות קלות:
מאת: דוד לוי, מנכ״ל <d.levi@company-il.co> (הדומיין האמיתי הוא company.co.il)
נושא: דחוף וחסוי – העברה לפני 14:00
גוף ההודעה: ״שלום, אני בפגישות כל היום ולא זמין לטלפון. אנחנו סוגרים עסקה שטרם פורסמה ואני צריך שתעביר/י 148,000 ש״ח לחשבון שבקובץ המצורף עד השעה 14:00. בבקשה אל תשתף/י אף אחד בשלב הזה מסיבות של חיסיון העסקה. תעדכן/י אותי כשבוצע. תודה, נשלח מהאייפון שלי.״
הגרסה השנייה, המסוכנת יותר, מגיעה כביכול מספק ותק: ״שינינו בנק, אנא עדכנו את פרטי החשבון לחשבונית שנשלחה בשבוע שעבר״. כאן אין דחיפות בכלל, ולכן אין גם חשד. ההונאה מתגלה רק כשהספק האמיתי מתקשר לשאול למה לא שולם.
טבלת דגלים אדומים מול צעדי אימות
| דגל אדום | למה זה חשוד | צעד האימות הנכון |
|---|---|---|
| כתובת מייל דומה אך לא זהה | החלפת אות, הוספת מקף או סיומת שונה (co במקום co.il) | להעתיק את הכתובת ולהשוות תו מול תו לכתובת מתכתובת קודמת |
| דחיפות חריגה וחלון זמן שנסגר | לחץ זמן נועד למנוע בדיקה, לא לשרת את העסקה | לעצור. אין העברה שלא יכולה להמתין 30 דקות לאימות |
| בקשה לשינוי פרטי חשבון בנק | הווקטור הרווחי ביותר בהונאה, כי הוא נראה תפעולי לחלוטין | שיחה יזומה לספק לטלפון שמופיע בחוזה, לא למספר שבמייל |
| דרישה לסודיות ולאי-שיתוף | בקשה לגיטימית לא מבקשת לעקוף בקרה פנימית | לדווח למנהל הישיר דווקא בגלל דרישת הסודיות |
| ״אני לא זמין לטלפון״ | נטרול ערוץ האימות היחיד שהתוקף לא שולט בו | להתקשר בכל זאת לטלפון השמור במערכת |
| Reply-To שונה מכתובת השולח | התשובה מנותבת לתיבה שבשליטת התוקף | לפתוח כותרות מלאות ולבדוק את שדה Reply-To |
| שינוי סגנון או עברית מסורבלת | תרגום מכונה או כתיבה של מי שלא מכיר את השפה הפנימית | להשוות למיילים קודמים מאותו שולח |
היקף הנזק: הרבה יותר מכופר
לפי דיווחים שמפרסמות רשויות אכיפת חוק ומרכזי תלונות סייבר במדינות המפותחות, הנזק המדווח מהונאות מסוג BEC נאמד במיליארדי דולרים בשנה, והוא מהגדולים בין כל סוגי פשיעת הסייבר: גבוה מהנזק המדווח מכופר. הנתונים האלה מתעדכנים משנה לשנה ומשקפים רק את המקרים שדווחו, כך שההיקף האמיתי גדול יותר. בעסקים קטנים ובינוניים העברה בודדת נעה בדרך כלל בטווח של עשרות עד מאות אלפי שקלים, סכום שמשמעותו בתזרים יכולה להיות קיומית. שיעורי ההשבה נמוכים, ולרוב הכיסוי הביטוחי לא חל כשההעברה בוצעה בהסכמת עובד מוסמך.
שלוש בקרות שעוצרות את ההונאה
- אימות בערוץ שני (Out-of-Band). כל בקשת העברה חדשה או שינוי פרטי חשבון מאומתת בטלפון למספר שמור מראש. לא במייל חוזר, לא בוואטסאפ שמופיע בחתימה.
- אישור כפול מעל רף סכום. נקבע רף (למשל 10,000 או 25,000 ש״ח, לפי גודל העסק) שמעליו נדרשות שתי חתימות מאנשים שונים.
- זיהוי דו-שלבי בכל תיבות המייל. הוא מנטרל את התרחיש הגרוע: קריאה שקטה של התכתובות. זהו גם אחד הצעדים המרכזיים במדריך 12 הצעדים לאבטחת סייבר בעסק קטן, שאפשר ליישם בלי איש IT.
מעבר לבקרות, כדאי להשקיע חצי שעה בתרגול זיהוי מיילים מזויפים. ההיכרות עם מנגנון הפישינג וסימני הזיהוי שלו: דומיין מתחזה, קישור שלא תואם את הטקסט ובקשה לפעולה מיידית, היא אותה היכרות שמזהה גם הונאת מנכ״ל, כי שתיהן משתמשות באותה ערכת כלים.
מה עושים אם ההעברה כבר יצאה
סדר הפעולות בשעות הראשונות קובע את סיכויי ההשבה: פנייה מיידית לבנק לבקשת עצירה או שחזור של ההעברה, הגשת תלונה במשטרה, בדיקה אם תיבות המייל נפרצו והחלפת סיסמאות, ובמקביל הודעה לספק או לגוף האמיתי שבשמו נעשה השימוש. כדאי לשמור את המייל המקורי עם הכותרות המלאות ולא למחוק אותו.
שאלות נפוצות
האם הונאת מנכ״ל רלוונטית גם לעסק של חמישה עובדים?
כן, ולעיתים אף יותר. בעסק קטן אדם אחד לרוב מרכז את התשלומים ואין לו מי לאמת מולו, כך שהעברה יוצאת בלי בקרה שנייה. התוקפים סורקים פניות רבות ולא בוחרים לפי גודל.
איך מבחינים בין מייל מהמנכ״ל האמיתי לבין התחזות?
הכתובת המדויקת ושדה Reply-To הם הבדיקה הראשונה, אבל הכלל היחיד שעובד גם כשהתיבה האמיתית נפרצה הוא אימות בערוץ אחר. שיחת טלפון של דקה למספר שמור מראש מכריעה כל ניתוח טקסטואלי.
האם אנטי-וירוס או מסנן ספאם חוסמים הונאות כאלה?
לא באופן מלא. מייל BEC לרוב אינו מכיל קובץ או קישור נגוע, ולכן נראה למסנן כמו תכתובת עסקית רגילה. מסנני מייל מתקדמים מזהים חלק מהדומיינים המתחזים, אך ההגנה המעשית היא נוהל אנושי.
מה ההבדל בין הונאת מנכ״ל לפישינג רגיל?
פישינג הוא לרוב מסע המוני שמטרתו לגנוב פרטי התחברות. הונאת מנכ״ל ממוקדת באדם אחד בארגון מסוים, מבוססת על מחקר מוקדם ומטרתה כספית ישירה: העברה בנקאית או שינוי פרטי חשבון.
האם אימות בוואטסאפ נחשב ערוץ שני?
רק אם מדובר במספר שמור מראש ומזוהה. תוקפים משתמשים היום בהתחזות בוואטסאפ ובהודעות קוליות מסונתזות, ולכן עדיפה שיחה קולית יזומה למספר שמופיע בחוזה או במערכת הספקים.
לסיכום
הונאת מנכ״ל אינה בעיה טכנולוגית אלא בעיה של תהליך: בקשה אמינה, לחץ זמן ואדם אחד שיכול להעביר כסף לבד. הפתרון לא דורש תקציב סייבר, אלא שני משפטים בנוהל: כל שינוי בפרטי חשבון מאומת בטלפון למספר שמור, וכל העברה מעל רף מוגדר דורשת שני מאשרים. מי שמטמיע את זה השבוע מבטל את עיקר הסיכון, גם אם תיבת מייל בארגון תיפרץ מחר.
כותב טכנולוגיה ותעשייה
עידו רזניק כותב על טכנולוגיה מנקודת המבט של מי שצריך להשתמש בה, לא של מי שמוכר אותה. אחרי שנים בתפעול ובניהול פרויקטים בתעשייה, הוא עבר לכתיבה ומתמקד בחדשנות תעשייתית, אנרגיה, סייבר לעסקים קטנים וכלים דיגיטליים. מאמין שכל טכנולוגיה מסובכת אפשר להסביר בשלוש פסקאות.
