זה מתחיל בהודעת SMS עם קוד בן שש ספרות שלא ביקשתם. כמה שניות אחריה מגיעה הודעת וואטסאפ מאיש קשר מוכר: ״שלחתי לך בטעות קוד, תוכל להעביר לי אותו?״. מי שמעביר, מוסר את החשבון. התוקף מתקין וואטסאפ על מכשיר שלו, מקליד את מספר הטלפון שלכם, והקוד שנשלח אליכם הוא בדיוק מה שהוא צריך כדי לסיים את הרישום. מרגע זה הוא כותב לכל אנשי הקשר שלכם מהחשבון שלכם, בדרך כלל כדי לבקש כסף או כדי לחזור על אותו טריק אצל הבא בתור.
ההונאה הזאת מופיעה ראשונה ברשימת ההונאות בוואטסאפ שפרסם ynet במרץ 2023 בשיתוף חברת האבטחה ESET, והיא עדיין המסלול הנפוץ להשתלטות: לא פריצה, אלא בקשה. העצה הבסיסית משם נכונה כמו אז: קוד אימות לא מעבירים לאף אחד, אף פעם, גם לא לחבר, גם לא ל״נציג״. אבל יש היום שתי הגדרות שהופכות את הקוד לחסר ערך גם אם נמסר, ואחת מהן השתנתה לאחרונה.
ההגדרה הראשונה: אימות דו-שלבי, שהוא עכשיו סיסמה
אימות דו-שלבי (Two-step verification) בוואטסאפ הוא רובד שני שמוגדר בתוך האפליקציה ונדרש בעת רישום המספר במכשיר חדש, בנוסף לקוד ה-SMS. כלומר, תוקף שהשיג את הקוד עדיין נתקע. במשך שנים זה היה PIN בן שש ספרות. ב-הודעה מ-25 באוגוסט 2026 וואטסאפ כתבה שהיא ״שידרגה אותו לסיסמה מלאה: ארוכה יותר, אלפאנומרית, ואפילו עם תווים מיוחדים״, ותיארה את תפקידו בדיוק כך: הגנה מהשתלטות ״גם אם למישהו יש את קוד הגישה החד-פעמי שלכם״.
המשמעות המעשית: אם הפעלתם אימות דו-שלבי לפני שנים עם PIN, כדאי לפתוח את ההגדרה מחדש ולהחליף לסיסמה אמיתית, כזאת שלא ניתן לנחש ולא משותפת עם שום שירות אחר. ואם לא הפעלתם מעולם, זו ההגדרה החשובה ביותר בחשבון.
ההגדרה השנייה: מפתח גישה
באותה הודעה וואטסאפ דיווחה שיותר ממיליארד אנשים משתמשים במפתח גישה (passkey) לחשבון, והוסיפה אפשרות להגדיר יותר ממפתח אחד, למי שעובד גם עם אנדרואיד וגם עם iPhone. מפתח גישה מאפשר להתחבר בטביעת אצבע, בזיהוי פנים או בקוד הנעילה של המכשיר במקום בקודים, והוא נמצא תחת הגדרות > חשבון > מפתחות גישה (Settings > Account > Passkeys). בניגוד לקוד SMS, אין כאן דבר שאפשר ״להעביר לחבר״.
מה וואטסאפ עושה לבד
כמה הגנות פועלות בלי שתגדירו דבר, ושווה לדעת שהן שם כדי לא להתבלבל כשהן קופצות:
- Account Protect. לפי ההודעה מאפריל 2023, כשמעבירים חשבון למכשיר חדש וואטסאפ עשויה לבקש אישור במכשיר הישן. אם קיבלתם בקשה כזאת ולא החלפתם טלפון, מישהו מנסה להעביר את החשבון שלכם. אל תאשרו.
- Device Verification. בדיקות אימות אוטומטיות שמכוונות נגד נוזקות בטלפון, שלפי אותה הודעה עשויות ״לנצל את הטלפון בלי רשותכם ולהשתמש בוואטסאפ שלכם לשליחת הודעות לא רצויות״.
- קודי אבטחה אוטומטיים. אימות של ההצפנה בשיחה בלי להשוות קודים ידנית.
- אימות זהות בניסיון חשוד. עמוד האבטחה של וואטסאפ מציין שהשירות מבקש לאמת זהות ״אם אנחנו מזהים ניסיונות חשודים או לא מורשים להשתלט על החשבון״.
למי שחשוף במיוחד: Strict Account Settings
ב-27 בינואר 2026 וואטסאפ הציגה מצב בשם Strict Account Settings, תחת הגדרות > פרטיות > מתקדם. כשהוא מופעל, ״הגדרות חשבון מסוימות ננעלות להגדרה המחמירה ביותר״; הדוגמה בהודעה היא חסימת קבצים ומדיה מאנשים שאינם באנשי הקשר. וואטסאפ מכוונת אותו ל״עיתונאים או דמויות ציבוריות״ שזקוקים להגנה מהתקפות נדירות ומתוחכמות, ומתארת פריסה הדרגתית. לבעל עסק רגיל זה כנראה מחמיר מדי, כי לקוחות חדשים שולחים קבצים; למי שמקבל איומים, זה כפתור אחד שסוגר כמה דלתות.
אם זה כבר קרה
- רשמו את המספר מחדש באפליקציה, מהטלפון שלכם. עמוד האבטחה של וואטסאפ מנחה: ״אם איבדתם גישה לחשבון, רשמו מחדש את מספר הטלפון״. הרישום מחדש מנתק את המכשיר של התוקף. ההודעות הישנות, לפי אותו עמוד, נשארות בטלפון שלכם ואינן נגישות למי שניסה להשתלט.
- אם מופעלת סיסמת אימות דו-שלבי שהתוקף הגדיר, ייתכן שתידרשו להמתין לפני שתוכלו לרשום מחדש; זו בדיוק הסיבה להגדיר אותה בעצמכם קודם.
- הודיעו לאנשי הקשר בערוץ אחר שההודעות מהחשבון בשעות האחרונות לא היו שלכם, במיוחד בקשות לכסף או ל״קוד״.
- הגדירו מיד סיסמה לאימות דו-שלבי ומפתח גישה, ובדקו בהגדרות > מכשירים מקושרים שאין מכשיר זר.
ולעסק
בחשבון עסקי, במיוחד באפליקציית WhatsApp Business שעובדת עם מספר טלפון אחד, ההשתלטות היא גם אירוע אבטחת מידע: היסטוריית השיחות עם הלקוחות היא מאגר מידע, וקוד שנמסר לתוקף הוא דלת אליו. מה חוק הגנת הפרטיות מצפה מעסק קטן בעניין הזה מוסבר בתיקון 13 לחוק הגנת הפרטיות. ואם העסק שולח הודעות דרך הפלטפורמה העסקית של Meta ולא דרך האפליקציה, השתנו גם כללי החיוב: וואטסאפ חזר לגבות על הודעות שירות.
כל ההגנות שתוארו כאן נמצאות בתוך האפליקציה, בלי תוספים ובלי תשלום. מה שעומד בין חשבון מוגן לחשבון חשוף הוא בדרך כלל חמש דקות בהגדרות, והרגל אחד: קוד שהגיע ב-SMS לא יוצא מהטלפון.