יש רגע אחד בכל אחת מהחברות האלה שבו הכסף עוד היה בקופה. בחברת השקעות בניו יורק זה היה באוקטובר 2024: עובד אישר העברה של כ־2.85 מיליון דולר בהנחיית מי שנשמע כמו המנהל שלו, ומחלקת התפעול עצרה אותה ברגע האחרון. במקרים אחרים אותו רגע לא הגיע. לפי כתב אישום פדרלי שהוגש במנהטן, רשת של שלושה נאשמים — בהם שני ישראלים — הוציאה מחברות ברחבי העולם יותר מ־129 מיליון דולר באמצעות התחזות למנכ״לים ולעורכי דין. הם טרם הורשעו, וחזקת החפות עומדת להם. אבל גם לפני הכרעה משפטית, יש כאן משהו שבעל עסק בישראל חייב לקרוא ממנו, והוא לא קשור לבינה מלאכותית אלא לתזרים.
מה קרה בפועל — ולמה בוסט פיננסים מסתכלת על זה אחרת
התמונה שעולה מהדיווח, כפי שפורסם בביזפורטל על ידי עוזי גרסטמן ב־6.11.2026, היא של מבצע מתוכנן ולא של ניסיון בודד. במשך יותר משנה וחצי פנתה הרשת לאלפי חברות. הכסף שהועבר פוזר לחשבונות בארה״ב, ספרד, פורטוגל, יוון, איחוד האמירויות, סינגפור, אוסטריה, סלובקיה וסין, וחלקו הומר למטבעות דיגיטליים — כלומר לא נשאר במקום שממנו אפשר להחזיר אותו בקלות.
הנזקים שפורטו בכתב האישום ממחישים את פריסת היעדים: מערכת בתי חולים במיזורי כ־4.8 מיליון דולר, מערכת בתי חולים בקליפורניה כ־3 מיליון, בנק ברוד איילנד כ־2.7 מיליון, חברת קרנות נאמנות ממסצ׳וסטס כ־4.6 מיליון, יצרנית מזון לחיות מחמד מפלורידה כ־5.2 מיליון, וחברת פינטק בריטית שממנה יצאו כ־11.6 מיליון דולר.
| סוג הארגון שנפגע | סכום שהוצא | מה מלמד המקרה |
|---|---|---|
| מערכת בתי חולים, מיזורי | כ־4.8 מיליון דולר | ארגון עם נהלים כבדים עדיין נפל |
| מערכת בתי חולים, קליפורניה | כ־3 מיליון דולר | אותו דפוס חזר על עצמו |
| בנק, רוד איילנד | כ־2.7 מיליון דולר | גם מי שמכיר סיכונים נחשף |
| חברת קרנות נאמנות, מסצ׳וסטס | כ־4.6 מיליון דולר | התחזות ל״עורך דין ממשרד בינלאומי״ |
| יצרנית מזון לחיות מחמד, פלורידה | כ־5.2 מיליון דולר | חברה תפעולית, לא חברת הייטק |
| חברת פינטק, בריטניה | כ־11.6 מיליון דולר | הסכום הגדול ביותר שפורט |
שני תיקים נוספים שהוזכרו בכתבה ממחישים את השיטה בגדול. בינואר 2024, סניף בהונג קונג של חברת הנדסה בריטית העביר כ־25.6 מיליון דולר אחרי שיחת וידאו שכל משתתפיה היו מזויפים. ובאוקטובר 2024, כמעט, כמעט — ההעברה נעצרה רק במחלקת התפעול. שני המקרים האלה הם אותה שיטה, רק בקצוות שונים של המזל.
איך התסריט עובד — ארבעה שלבים שאפשר לזהות
הדפוס חזר על עצמו כמעט בלי שינוי, וזה מה שמייצר את נקודת התורפה: הוא לוחץ על שני כפתורים אנושיים מוכרים — כבוד להיררכיה ולחץ זמן.
שלב 1: הודעה שנראית פנימית. הודעה לעובד בכספים שנראית כאילו יצאה מהמנכ״ל. לעיתים ההודעה הגיעה דרך פלטפורמת חתימה דיגיטלית מוכרת — כלומר לא מכתובת מייל חשודה, אלא ממשק שהעובד מכיר ומאמין לו.
שלב 2: שיחה שמשלימה את התמונה. אחריה שיחת טלפון או וידאו שבה שוחזרו הקול ולעיתים גם הפנים באמצעות בינה מלאכותית. מרגע שהקול מוכר, ההודעה הקודמת מקבלת אישור חברתי.
שלב 3: סמכות חיצונית. נכנס לתמונה ״עורך דין ממשרד בינלאומי״ שמנחה להעביר סכומים לחשבונות בחו״ל. ההוראה כבר לא מגיעה מהמנהל המוכר אלא מגורם שלישי בעל סמכות מקצועית.
שלב 4: בידוד. התסריט כלל הדגשת סודיות והרחקת העובד מעמיתים שלא חתמו על הסכם סודיות — ניתוק אמיתי של האדם היחיד שיכול לעצור את ההעברה. זה השלב היחיד שהוא לא טכני בכלל, והוא גם החשוב ביותר להבנה.
מה זה אומר לבעל עסק בישראל
המספר הגדול שמלווה את הנושא הוא הנזק הכולל: לפי נתוני 2025 שמובאים בכתבה, נרשמו כ־24.8 אלף תלונות על הונאות מסוג זה ונזק של כ־3 מיליארד דולר — סוג הפשיעה המקוונת השני בגובהו אחרי הונאות השקעה. אין בכתבה נתון ישראלי על שיעור ההונאות או גובה הנזק בישראל, וכדאי להיות מדויקים כאן: לא כל מה שקורה בניו יורק קורה בתל אביב באותו היקף. אבל המנגנון לא תלוי במדינה. הוא תלוי בשאלה אחת — האם בעסק שלכם יש אדם אחד שיכול להוציא כסף החוצה בלי שאדם שני יראה את זה בזמן אמת.
וכאן חשוב להבין את הנקודה המרכזית של המאמר הזה: בקרת תשלומים היא לא נושא של אבטחת מידע, היא נושא של ניהול תזרים. הונאה כזו לא מופיעה כאיום סייבר בדוח של העסק — היא מופיעה כפער לא מוסבר בתזרים, לעיתים שבועות אחרי, כשהיא כבר מתויגת כ״תשלום לספק״. וזה ההבדל בין עסק שמגלה בזמן אמת לבין עסק שמגלה את זה בדיון מול רואה החשבון. בבוסט פיננסים אנחנו פוגשים את שתי הקבוצות, וההבדל ביניהן הוא לא תקציב — הוא נוהל כתוב.
שכבה 1: תקרות הרשאה והפרדת תפקידים
הבקרה הראשונה היא המכנית והפשוטה ביותר, והיא זו שבדרך כלל חסרה: מי שמזהה את הצורך לא מאשר את ההעברה. בכל עסק צריך להיות מספר מוגדר שמעליו העברה דורשת שני חותמים — ולא חתימה של עמית במשרה מקבילה, אלא של אדם עם אחריות פיננסית.
| סוג הפעולה | מי מזהה את הצורך | מי מאשר | בקרה נוספת |
|---|---|---|---|
| תשלום לספק קבוע, עד תקרה שוטפת | הנהלת חשבונות | מנהל כספים | התאמה להזמנה ולחשבונית |
| תשלום לספק חדש | הגורם המבקש | מנהל כספים ובעל תפקיד נוסף | אימות בערוץ נפרד לפני הגדרה במערכת |
| העברה מעל התקרה שנקבעה | הגורם המבקש | שני חותמים | אישור מוקדם בכתב, לא בדיעבד |
| העברה למוטב חדש בחו״ל | הגורם המבקש | שני חותמים | בדיקה מוגברת של המוטב לפני ביצוע |
| בקשה דחופה ״מהמנכ״ל״ | — | אף אחד, עד לאימות | עצירה מלאה עד אימות בערוץ נפרד |
השורה האחרונה היא העיקר. כל מערכת בקרה שלא מטפלת במקרה של ״בקשה דחופה מהמנהל״ תיכשל בדיוק ברגע שבו היא נדרשת, כי זה הרגע שבו התסריט בנוי לפעול. הפתרון אינו אמון פחות במנהל — הוא נוהל שמניח מראש שבקשה דחופה ולא מתועדת היא בקשת עצירה, לא בקשת האצה.
שכבה 2: אימות בערוץ נפרד ומילת קוד
בבוסט פיננסים אנחנו מתייחסים לשתי השכבות הראשונות כאל אותו סוג של בקרה: לא אמצעי זהירות אלא תנאי מסחר. עסק שמנהל את הכסף שלו לפי נוהל מגיע למו״מ מימון עם נתונים ולא עם תחושות, וזה משנה את התנאים שהוא מקבל.
הבקרה השנייה היא התשובה הישירה לזיוף קול ופנים, והיא גם היחידה שלא ניתן לעקוף עם טכנולוגיה טובה יותר: כל בקשה דחופה נבדקת בשיחה יזומה למספר שברשומות, ולא למספר שהגיע עם ההודעה. זה נשמע טריוויאלי עד שמבינים את המשמעות — מי שמתקשר בחזרה למספר שמופיע בהודעה מדבר בדיוק עם מי ששלח אותה.
הכלל הזה נכון גם למוטב. כל מוטב חדש בחו״ל מחייב בדיקה מוגברת לפני שהוא מוגדר במערכת, וכל שינוי בפרטי חשבון של מוטב קיים מחייב אימות טלפוני מול איש קשר שהעסק מכיר מלפני השינוי. שינוי פרטי חשבון הוא וקטור תקיפה ותיק ומשעמם, ולכן הוא עובד.
הבקרה השלישית היא מילת קוד פנימית. היא נשמעת כמו משהו מסרט, אבל היא עובדת מאותה סיבה שהפרדת תפקידים עובדת: היא מוציאה את ההחלטה מהרגש ומחזירה אותה לנוהל. מילה שאינה מופיעה במייל, שאינה כתובה בשום מקום דיגיטלי, ושמוכרת לשני אנשים בלבד.
שכבה 3: סודיות ודחיפות הן סימן אזהרה
זה השלב שבו אני מבקש מבעלי עסקים לשים לב במיוחד, כי הוא לא דורש תקציב ולא טכנולוגיה. בסיפור הזה, שני הרכיבים שבלטו בתסריט — דרישת סודיות ולחץ זמן — הם בדיוק שני הסימנים שמעידים על הונאה. נוהל תקין בעסק לא דורש סודיות. אם בקשה מגיעה עם ״אל תספר לאף אחד״ או ״צריך שזה יקרה היום״, היא לא יותר דחופה — היא חשודה יותר.
ההמלצה המעשית: לקבוע מראש שכל בקשה שמגיעה עם דרישת סודיות מופנית אוטומטית לבעל תפקיד נוסף, גם אם ההוראה מגבירה אותה. זה הופך את הכלל לפשוט מספיק כדי שיתקיים גם בשעת לחץ.
הרגע המסוכן ביותר: עסקה גדולה או תקופת עומס
התובנה השנייה, וזו שרלוונטית כמעט לכל עסק, היא שהרגע המסוכן ביותר אינו שגרה אלא דווקא עסקה גדולה, סגירת רבעון, או תקופה של עומס תפעולי. שם יש לחץ להעביר מהר, שם יש יותר אנשים בחופש, ושם ההוראה שנראית חריגה מקבלת הצדקה עסקית מיידית.
מבחינת התזרים, זה גם הרגע שבו העסק פחות מסוגל לספוג אירוע. בהונאה של 3 מיליון שקל, לא מדובר על הפסד של 3 מיליון שקל במובן החשבונאי — מדובר על 3 מיליון שקל שיצאו מהקופה ולא יחזרו בזמן שהתשלומים לספקים, המשכורות והמע״מ ממשיכים לרוץ. כלומר האירוע עצמו יכול להיות קטן יחסית למחזור ועדיין לשבור את התזרים, כי הוא פוגע בדיוק בנקודה שבה אין כרית.
וכאן נכנס הכלי הפשוט ביותר: תחזית תזרים של 13 שבועות היא מה שמאפשר לזהות חריגה מוקדם, לפני שהיא הופכת למשבר. עסק שמנהל תחזית שבועית רואה תשלום שלא תואם את התכנון בתוך ימים; עסק שמנהל תזרים לפי דוח רבעוני מגלה את זה בשלב שבו כבר אין מה לעשות חוץ מלגייס. על הכלי הזה כתבנו בהרחבה במדריך לתחזית תזרים 13 שבועות, וזה ההבדל בין גילוי לחקירה.
נוהל תגובה: מה עושים ב־24 השעות הראשונות
בשלב הזה כבר לא מדובר במנהל כספים לבדו. בבוסט פיננסים ראינו אירועים כאלה נסגרים מהר כשהעסק ידע מי מדבר עם הבנק ומי מקבל החלטה — והתארכו כשהשיחה התנהלה בין חמישה אנשים בוועדה.
התובנה השלישית היא שכל רגע שבו הכסף עוד לא עבר הלאה הוא רגע קריטי. פנייה מיידית לבנק ולרשויות מגדילה סיכוי להקפיא את הכסף לפני מעבר נוסף — ובסיפור הזה הכסף עבר חשבונות בתשע מדינות וחלקו הומר למטבעות דיגיטליים. כלומר הסיכוי להחזרה יורד עם כל שעה.
המשמעות המעשית: נוהל התגובה צריך להיות כתוב מראש, לא להיות מומצא ברגע. הוא צריך לענות על ארבע שאלות בסדר הזה: את מי מתקשרים בבנק (שם וטלפון, לא ״הסניף״), מי מוסמך להורות על עצירת תשלומים, מי מדווח לרשויות ובאיזה ערוץ, ומי ממונה על תקשורת פנימית כדי למנוע שמועות. עסק שמגלה את זה בדיעבד מגלה גם שהאיש שממונה על הקשר עם הבנק נמצא בחופשה.
איך מפרידים בין הונאה לפער תזרימי רגיל
התובנה הרביעית, ואולי השימושית ביותר למי שמנהל תזרים: הונאה היא הסבר אפשרי לפער לא מוסבר. בפועל, רוב הפערים בתזרים הם לא הונאה — הם גבייה שהתעכבה, מלאי שנקנה מוקדם מהתכנון, או מע״מ גבוה אחרי רבעון חזק. אבל ההפרדה חשובה, כי הטיפול שונה לחלוטין.
הכלל הפרקטי הוא להתחיל מהתנועה ולא מהסכום: לעבור על התשלומים בפועל מול התכנון, לזהות כל תשלום שאינו תואם הזמנה או חשבונית מוכרת, ורק אז לשאול שאלות. ברוב המקרים הממצא יהיה תזמון; באחוז קטן הוא יהיה אחר. ההמלצה שלנו בבוסט פיננסים היא לא להסתפק בשאלה ״למה חסר כסף״ אלא לבנות את התחזית כך שכל חריגה תסומן בכיוון שלה — כך שהמסקנה מגיעה מהנתונים ולא מהאינטואיציה.
ומכאן גם החיבור למימון. אירוע כזה, גם כשהוא קטן, פוגע בשני מקומות: בתזרים המיידי ובפרופיל האשראי של העסק. עדיף לתכנן את כרית המימון מראש. גופי מימון חוץ־בנקאיים — ובהם בוסט פיננסים — מלווים כנגד נכס עד 100% משווי הנכס, בכפוף להערכת שמאי ולתנאי הגוף המלווה, מול תקרות בנקאיות נמוכות משמעותית. עבור עסק שכבר תפס את מסגרת הבנק, זהו מקור שלא נשען על אותה מכסה. ולצרכים תפעוליים שוטפים, הון עבודה שמתאים את המימון למחזור הפעילות הוא הכלי הישיר. על שני אלה כתבנו בהרחבה במדריך המלא להון חוזר.
צ׳קליסט: מה לאמת לפני שהעברה יוצאת
- האם הסכום מעל התקרה המוגדרת, ואם כן — האם יש שני חותמים בפועל ולא בדיעבד?
- האם המוטב מוכר במערכת מלפני הבקשה, או שהוא חדש?
- האם פרטי החשבון של המוטב השתנו לאחרונה?
- האם אימתת את הבקשה בשיחה יזומה למספר שברשומות — ולא למספר שהגיע עם ההודעה?
- האם הבקשה הגיעה עם דרישת סודיות או לחץ זמן חריג?
- האם התשלום תואם הזמנה, חשבונית או חוזה קיים?
- האם התשלום מופיע בתחזית התזרים של השבוע?
שבע שאלות. רוב העסקים יענו על רובן בחיוב, ובדיוק בשאלה הנותרת תימצא הבעיה. על היבט אחר של אותו סיכון, בצד התשתית והרציפות, כתבנו במאמר על עליית מתקפות הסייבר ועמידות עסקית; ועל הצד של ניהול מול ספקים, במדריך לתנאי תשלום מול ספקים.
שאלות נפוצות
האם הונאה כזו רלוונטית לעסק קטן, לא רק לחברות ענק?
המנגנון לא תלוי בגודל. גודל משפיע על הסכום, לא על נקודת התורפה. עסק קטן דווקא חשוף יותר, כי בו אדם אחד מחזיק גם את הזיהוי וגם את האישור וגם את הקשר עם הבנק — כלומר בדיוק שלוש הבקרות שנשברות בתסריט. הסכומים בפרשה שדווחה הם גדולים, אבל המבנה של ״בקשה דחופה מהמנהל ומוטב חדש בחו״ל״ זהה בכל גודל.
אם הקול והפנים משוחזרים, איך אפשר בכלל להבחין?
לא מנסים להבחין. זה העיקרון המרכזי: אם הבקרה מבוססת על זיהוי הקול, היא תיכשל. הבקרה צריכה להיות מבוססת ערוץ — שיחה יזומה למספר שברשומות, ולא לשיחה נכנסת. זה נכון גם אם השיחה נראית אמיתית לחלוטין, כי בדיוק בשביל הרגע הזה התסריט נבנה.
מה עושים אם הכסף כבר יצא?
פועלים לפי נוהל כתוב ולא מאולתר: פנייה מיידית לבנק ולגורם המטפל בחשבון, דיווח לרשויות, ותיעוד מלא של כל התכתבות והקלטה. כל שעה משנה, כי הכסף בדרך כלל ממשיך לנוע. במקביל חשוב להפריד בין שני מסלולים: המסלול המשפטי והמסלול התזרימי — כי העסק צריך להמשיך לשלם משכורות ולספקים בזמן שהחקירה נמשכת.
האם זה פוגע ביכולת של העסק לקבל אשראי בהמשך?
אירוע כזה יכול להשפיע על פרופיל האשראי, בעיקר אם הוא מלווה בחריגה בתזרים או בפיגור בתשלומים. לכן הדרך הנכונה היא לטפל בשני הדברים במקביל: לתעד את האירוע נכון, לשמור על סדירות בתשלומים השוטפים, ולתכנן מקור מימון חלופי מראש כדי שלא יהיה צורך בגיוס חירום. יש דרכים מסודרות לשפר את המצב, ועליהן כתבנו במדריך לשיפור פרופיל האשראי.
מה בוסט פיננסים עושה אחרת כשמגיעים אליה אחרי אירוע?
מתחילים מהתזרים ולא מהבקשה. בוסט פיננסים בודקת קודם איך נראה המחזור בפועל, אילו התחייבויות קיימות, ואיפה בדיוק נוצר הפער — ורק אחר כך מתאימה מקור מימון. בגלל זה אנחנו עובדים עם מגוון רחב של גופי מימון: כשהצורך הוא גישור תזרימי קצר, הפתרון שונה מאשר כשהצורך הוא מימון כנגד נכס עד 100% משווי הנכס בכפוף להערכת שמאי ותנאי הגוף המלווה. המטרה בשני המקרים זהה: שהעסק לא ייאלץ לקבל החלטות מימון בהולות.
מה נשאר איתנו מהסיפור הזה
שלושה דברים. הראשון, שהרגע שבו מחלקת תפעול עוצרת העברה של 2.85 מיליון דולר הוא לא מזל — הוא תוצאה של נוהל שמאפשר לעצור. השני, שסודיות ודחיפות הן סימן ולא הוכחה, וזה הכלל היחיד בסיפור שלא עולה כסף ליישם מחר בבוקר. והשלישי, שהפרדה בין הונאה לבין פער תזרימי רגיל מתחילה בתחזית ולא בשאלה.
עסק שעובד עם תחזית שבועית, עם תקרות הרשאה כתובות ועם אימות בערוץ נפרד נמצא בעמדה שונה מהותית מזה שמגלה את הפער מהדוח השנתי. זה נכון לגבי הונאה, וזה נכון לגבי כל אירוע תזרימי אחר. בבוסט פיננסים אנחנו מסתכלים על התמונה הזו בשלמותה — התזרים, הבקרות והמימון — כי אלה לא שלושה נושאים נפרדים, אלא מערכת אחת.