איך עוברים מ-2FA ב-SMS ל-passkey בכל חשבון

למה לעבור עכשיו מ-2FA ב-SMS ל-passkey?

קודי SMS אפשר ליירט בתוך רשתות הטלפון, ואילו passkey מתוכנן לעמוד בפני פישינג, וספקים גדולים מתרחקים עכשיו מ-SMS: Microsoft מסירה את קודי ה-SMS והשיחה הקולית שלה לרוב חשבונות העבודה והלימודים החל מ-1 בפברואר 2027 ^[1][8].

הסיכון אינו תיאורטי. חברת אבטחת המובייל Enea דיווחה ב-11 בנובמבר 2026 שגורם שזוהה לאחרונה, שהיא מכנה SilentAir, השתמש בבקשות זדוניות לעדכון מיקום ברשתות סלולריות כדי ליירט הודעות SMS ושיחות, שרכיבי רשת הקשורים ל-SilentAir נמצאו בשש מדינות באסיה לפחות, ושחלק מהמטרות קיבלו קודי 2FA מיד אחרי היירוט ^[11]. הסיפור המלא נמצא במדריך של Pouyam Is SMS 2FA Safe? What the SilentAir Attacks Show.

ההנחיות הרשמיות מצביעות לאותו כיוון. הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) אמרה לאנשים שמותקפים באופן ממוקד בדצמבר 2024: "אל תשתמשו ב-SMS כגורם שני", ודירגה מפתחות אבטחה FIDO ו-passkey מעל אפליקציות אימות ^[9]. גוף התקנים האמריקאי NIST מסווג קודי SMS ושיחה קולית כמאמת "מוגבל" שעבורו שירותים צריכים להציע חלופה ^[10].

passkey עובד אחרת. זהו זוג מפתחות קריפטוגרפיים שנשמר בטלפון, במחשב או במפתח האבטחה שלכם, נפתח בפנים, בטביעת אצבע או בקוד ה-PIN של המסך, ו-FIDO Alliance מתארת אותו כעמיד בפני פישינג ^[8]. אין קוד להקריא או להעביר, ו-Google אומרת ש-passkey "בטוח יותר מפני פישינג" מסיסמאות ^[2]. להשוואה של כל השיטות זו לצד זו, ראו Two-Factor Authentication Explained: Which 2FA Method Is Safest?

איך מעבירים כל חשבון מ-2FA ב-SMS ל-passkey?

הסדר הבטוח זהה בכל חשבון: בדקו תמיכה ב-passkey, צרו passkey, הוסיפו דרך כניסה שנייה, שמרו קודי גיבוי, ואז הסירו את מספר הטלפון כשלב שני ובדקו ^[2][3][12]. דילוג על שלב הגיבוי הוא הסיבה הנפוצה ביותר לכך שאנשים ננעלים מחוץ לחשבון.

1. בדקו תמיכה. פתחו את הגדרות האבטחה או הכניסה של החשבון וחפשו "Passkeys". המדריך הקהילתי passkeys.directory, שמנוהל על ידי 1Password, מפרט אתרים שמציעים passkey לכניסה או כגורם שני ^[12].
2. צרו את ה-passkey במכשיר שבו אתם משתמשים הכי הרבה, ואשרו בפנים, בטביעת אצבע או בנעילת המסך ^[2][4].
3. הוסיפו גיבוי. צרו passkey שני במכשיר אחר או במפתח אבטחה פיזי, או הגדירו אפליקציית אימות. passkey יכול להסתנכרן בבטחה בין המכשירים שלכם או להישאר קשור למכשיר אחד ^[8].
4. שמרו קודי שחזור אם השירות מציע אותם, ושמרו אותם במצב לא מקוון. Google, למשל, מציעה קודי גיבוי להדפסה לשימוש אם הטלפון אבד ^[3].
5. הסירו את ה-SMS כשלב שני. CISA ממליצה לכבות את ה-SMS אחרי שנרשמה שיטה חזקה יותר, כי מסלול גיבוי חלש מבטל את התועלת ^[9].
6. בדקו: התנתקו והתחברו שוב עם ה-passkey לפני שאתם סוגרים את דף ההגדרות.

יש שירותים ששומרים את מספר הטלפון לשחזור החשבון גם אחרי שקודי הכניסה ב-SMS כובו ^[9]. זו לא סיבה לדחות את המעבר, אבל זו סיבה להגן על הקו הסלולרי בקוד PIN של המפעיל או בנעילת ניוד מספר כשאפשר. לרקע על אופן הפעולה של passkey, ראו What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer.

איך מעבירים את חשבון Google ל-passkey?

צרו passkey בהגדרות האבטחה של חשבון Google, אחר כך פתחו את 2-Step Verification והסירו את מספר הטלפון בעצמכם, כי הוספת passkey לא משנה ולא מסירה אף שיטת כניסה או שחזור קיימת ^[2]. Google אומרת שבחשבונות עם 2-Step Verification, כניסה עם passkey מדלגת על השלב השני, כי ה-passkey מאשר שאתם שולטים במכשיר ^[2].

1. היכנסו לחשבון Google, הקישו על Security & sign-in, ותחת How you sign in to Google פתחו את Passkeys and security keys כדי ליצור passkey ^[2].
2. אשרו בטביעת אצבע, בסריקת פנים או בנעילת המסך. Google תומכת ב-passkey ב-Windows 10, macOS Ventura ו-ChromeOS 109 ומעלה, Android 9 ו-iOS 16 ומעלה, ובמפתחות אבטחה פיזיים FIDO2 ^[2].
3. צרו passkey שני במכשיר אחר או הוסיפו מפתח אבטחה, כדי לא להיות תלויים בטלפון אחד.
4. פתחו את 2-Step Verification תחת Security. הורידו או הדפיסו את קודי הגיבוי; Google מתארת אותם כקודים בני 8 ספרות לשימוש אם הטלפון אבד ^[3].
5. הסירו את מספר הטלפון שרשום כשיטת 2-Step Verification, או החליפו אותו בהנחיה של Google או באפליקציית אימות.

שני פרטים חשובים. ראשית, ייתכן ש-Google תזדקק לעד שבעה ימים כדי לסמוך על מספר טלפון חדש שנוסף ל-2-Step Verification; passkey או מפתח אבטחה מהימנים יכולים לזרז זאת ^[3]. Google גם מזכירה ליצור passkey רק במכשירים שבבעלותכם האישית, כי כל מי שיכול לפתוח את המכשיר יכול להיכנס ^[2]. שנית, בחשבון Google Workspace של עבודה או לימודים, המנהל מחליט אם אפשר להיכנס עם passkey בלבד; עדיין אפשר ליצור passkey כגורם שני וכאפשרות שחזור ^[2].

איך מוסיפים passkey לחשבון Microsoft?

היכנסו ל-Advanced Security Options בכתובת account.live.com/proofs/manage, בחרו Add a new way to sign in or verify, ואז Face, Fingerprint, PIN או Security Key ^[4]. דף זה מכסה חשבונות Microsoft אישיים ^[4].

1. פתחו את account.live.com/proofs/manage במכשיר שבו תרצו את ה-passkey והתחברו ^[4].
2. בחרו Add a new way to sign in or verify ^[4].
3. בחרו Face, Fingerprint, PIN או Security Key ופעלו לפי ההנחיות ^[4].
4. בחרו Continue או Create כדי לשמור את ה-passkey במיקום המוצע, או Save another way כדי לבחור טלפון או מפתח אבטחה ^[4].
5. הגדירו אפליקציית אימות, שעליה נשענים השלבים ללא סיסמה של Microsoft, לפני שאתם מסירים משהו ^[5].

Microsoft מאפשרת לחשבונות אישיים ללכת צעד נוסף ולהסיר את הסיסמה. תחת Additional security options בחרו Turn on ליד Passwordless account, ואז אשרו את הבקשה באפליקציית האימות ^[5]. Microsoft מציינת שכשאימות דו-שלבי מופעל, צריכה להיות לכם גישה לשתי שיטות שחזור ^[5].

כדי להפסיק את קודי ה-SMS, עברו באותו אזור אבטחה על רשימת הדרכים להוכחת זהות, והסירו את מספר הטלפון כשיטת כניסה אחרי שה-passkey והאפליקציה עובדים. Microsoft ממליצה להסיר שיטות שקשורות למכשיר הישן אם מחליפים טלפון ^[5].

האם Microsoft מבטלת קודי SMS בחשבונות עבודה?

כן, לגבי הקודים ש-Microsoft שולחת בעצמה: החל מ-1 בפברואר 2027, אימות SMS וקולי שמסופק על ידי Microsoft מוסר מ-Microsoft Entra ID, שירות הכניסה של Microsoft לארגונים, לכל המשתמשים מלבד Global Administrators ומשתמשים חיצוניים ^[1]. שתי הקבוצות האלה יצטרפו ב-1 ביולי 2027 ^[1].

השינוי כבר התחיל. החל מ-1 בספטמבר 2026, passkey הפך לחוויית האימות המוגדרת כברירת מחדל ב-Entra ID והופעל אוטומטית למשתמשים עם SMS או שיחה קולית, שמתבקשים לרשום passkey בזמן הכניסה ^[1]. הדף של Microsoft אומר ש-SMS ושיחה קולית "כבר אינם ממוצבים כשיטות אימות מאובטחות" ^[1].

מה זה אומר לגביכם:

• אם חשבון העבודה מבקש מכם להגדיר passkey, הסכימו: התוכנית של Microsoft מעודדת משתמשים לרשום passkey כשהם נכנסים ומשלימים MFA ^[1]. פעלו רק לפי בקשה שמופיעה בתוך דף הכניסה הרגיל של Microsoft.
• בהתאם להגדרות הארגון שלכם, passkey יכול להישמר ב-Microsoft Authenticator, במפתח אבטחה FIDO2, ב-Windows או במנהל אישורים מסונכרן ^[1].
• משתמשי אורח פנימיים כפופים לתאריך 1 בפברואר 2027, לא לתאריך המאוחר ^[1].
• שאלות על השיטות המותרות מופנות למחלקת ה-IT שמנהלת את המדיניות.

לעולם אל תאשרו בקשת כניסה או passkey שלא אתם יזמתם, ולעולם אל תגדירו passkey מקישור בדוא"ל או בהודעה לא צפויים.

אפשר להשתמש ב-passkey לחשבון Apple?

לא כגורם שני: חשבונות Apple משתמשים בקוד אימות בן שש ספרות לאימות דו-שלבי, והשדרוג העמיד לפישינג ש-Apple מציעה הוא מפתחות אבטחה FIDO פיזיים, לא passkey ^[7]. הדף של Apple על התכונה הזו אינו מזכיר passkey ^[7].

הדרישות של Apple ל-Security Keys for Apple Account ברורות ^[7]:

• לפחות שני מפתחות אבטחה FIDO Certified; אפשר להוסיף עד שישה ^[7].
• iOS 16.3, iPadOS 16.3 או macOS Ventura 13.2 ומעלה בכל מכשיר שמחובר לחשבון Apple שלכם ^[7].
• אימות דו-שלבי חייב להיות מופעל כבר ^[7].
• חשבונות ילדים ו-Managed Apple Accounts אינם נתמכים ^[7].

ב-iPhone, פתחו את Settings, הקישו על השם שלכם, ואז Sign-in & Security, Two-Factor Authentication ו-Security Keys, ופעלו לפי השלבים ^[7]. Apple מזהירה שמכשירים לא פעילים (כאלה שלא היו בשימוש יותר מ-90 יום) ינותקו במהלך ההגדרה, ושאפשר לאבד לצמיתות את הגישה לחשבון אם מאבדים את כל המכשירים המהימנים ומפתחות האבטחה ^[7]. אם מסירים את כל המפתחות, החשבון חוזר לקודים בני שש ספרות ^[7].

Apple מתארת מפתחות אבטחה כמיועדים לאנשים שרוצים הגנה נוספת מפני התקפות ממוקדות כמו פישינג או הונאות הנדסה חברתית ^[7].

איך מגדירים passkey ב-WhatsApp?

ב-WhatsApp, פתחו את Settings, הקישו על Account, ואז Passkeys, Create passkey ו-Continue, ואשרו בנעילת המסך ^[6]. WhatsApp אומרת שבניגוד לסיסמאות או לקודי אימות ב-SMS, passkey מאובטח קריפטוגרפית וניתן לגשת אליו רק עם המכשיר הפיזי שלכם והנתונים הביומטריים או נעילת המסך שלכם ^[6].

1. ב-Android צריך Android 9 ומעלה, נעילת מסך וחשבון מנהל סיסמאות שמקושר לטלפון, כמו Google Password Manager או Samsung Password Manager ^[6].
2. פתחו את WhatsApp, הקישו על התפריט ואז על Settings ^[6].
3. הקישו על Account, Passkeys, Create passkey ואז Continue ^[6].
4. אשרו בטביעת אצבע, בפנים או בנעילת המסך כשתתבקשו ^[6].

WhatsApp מציינת שאחרי יצירת passkey, אם מתקינים מחדש את האפליקציה, ייתכן שתתבקשו להשתמש בו בזמן הרישום ^[6]. כדי להחליף passkey, מוחקים אותו ויוצרים חדש באותו תפריט ^[6].

הדף של WhatsApp אינו אומר ש-passkey מחליף את קוד ה-SMS ברישום, ולכן התייחסו אליו כשכבה נוספת. שמרו גם על קוד ה-PIN של האימות הדו-שלבי, כך שמי שחוטף את המספר שלכם עדיין יצטרך משהו שרק אתם יודעים.

אילו חשבונות תומכים ב-passkey במקום SMS?

Google, Microsoft ו-WhatsApp מציעות passkey כאפשרות חזקה יותר מקודי SMS, חשבונות Apple משתמשים במקום זאת במפתחות אבטחה, ושירותים קטנים רבים עדיין מציעים רק SMS או אפליקציית אימות ^[2][4][6][7]. הטבלה שלמטה מסכמת היכן נמצאת ההגדרה בכל אחד מהם נכון ל-15 בנובמבר 2026.

התמיכה משתנה לעתים קרובות; בדקו את דף האבטחה של כל שירות לפני שמתחילים. המדריך passkeys.directory מפרט שירותים שתומכים ב-passkey לכניסה או כגורם שני ^[12].

התחילו בחשבונות שפותחים את כל השאר: הדוא"ל הראשי, חשבון הענן של הטלפון (Google או Apple), מנהל הסיסמאות, וחשבונות הבנק והעבודה. אם הדוא"ל נפרץ, תוקף יכול לאפס את רוב הסיסמאות האחרות.

מה עושים אם חשבון לא תומך ב-passkey?

השתמשו באפליקציית אימות במקום SMS, וכבו את ה-SMS כשיטת גיבוי ברגע שהאפליקציה עובדת ^[9]. CISA מדרגת אפליקציות אימות מתחת למפתחות FIDO ול-passkey, כי עדיין אפשר לגנוב את הקודים שלהן בפישינג, אבל אומרת שהן טובות מ-SMS, שאינו מוצפן ואפשר לקרוא אותו אם יורט ברשת של ספק ^[9]. יירוט דרך איתות תקשורת, השיטה ש-Enea מתארת עבור SilentAir ^[11], מכוון להודעות שנשלחות ברשת הטלפון, וקודים שנוצרים בתוך אפליקציה אינם כאלה.

• בחרו אפליקציית אימות שיכולה לגבות קודים או להעביר אותם לטלפון חדש, כדי שאובדן הטלפון לא ינעל אתכם בחוץ.
• שמרו את קודי השחזור של השירות על נייר.
• לעולם אל תקריאו קוד למי שמתקשר או כותב לכם, גם אם הוא טוען שהוא התמיכה של השירות.
• בדקו שוב בעוד כמה חודשים: התמיכה ב-passkey מתפשטת מהר, והתרחקות Microsoft מ-SMS בחשבונות עבודה מראה את הכיוון ^[1].

אם בנק או שירות ממשלתי מציעים רק SMS, אינכם יכולים לשנות זאת בעצמכם, אבל אפשר להקטין את הסיכון: הגנו על הקו הסלולרי בקוד PIN של המפעיל, שמרו בסוד את קוד ה-PIN של התא הקולי, ושימו לב לאובדן קליטה פתאומי, שעלול להעיד על החלפת SIM (SIM swap). זו הדרכת אבטחה כללית; המילה האחרונה לגבי ההגדרות של כל שירות היא בדפי העזרה שלו.