חשבון WhatsApp או Telegram נפרץ? איך לשחזר אותו ולנעול אותו היטב

מה לעשות אם חשבון ה-WhatsApp שלכם נפרץ?

מרכז העזרה של WhatsApp מציע דרך שחזור אחת לחשבון שנפרץ, בתנאי שכרטיס ה-SIM של המספר שלכם עדיין בידיכם ^[1]:

1. פתחו את WhatsApp והקישו על התחברות מחדש ואז על המשך. אם תתבקשו, הזינו את מספר הטלפון המלא שלכם בפורמט בין־לאומי ^[1].
2. הזינו את הקוד בן 6 הספרות שתקבלו ב-SMS או בשיחת טלפון. כשאתם נרשמים מחדש עם הקוד הזה, כל המכשירים שמחוברים לחשבון שלכם מתנתקים אוטומטית ^[1].
3. אם תתבקשו להזין קוד PIN לאימות דו־שלבי שאינכם מכירים, ייתכן שהפולש הגדיר אותו. WhatsApp ממליצה להמתין 7 ימים ולנסות שוב; כל מי שמשתמש בחשבון שלכם מתנתק בכל מקרה ברגע שאתם מזינים את קוד ה-SMS ^[1].
4. עדכנו את בני המשפחה והחברים, כי הפולש עלול להתחזות לכם בצ׳אטים ובקבוצות ^[1].
5. אחרי שחזרתם לחשבון, הפעילו את תכונות האבטחה ובדקו את המכשירים המקושרים לחשבון שלכם ^[1].

מה לא עובד?

החלפת הסיסמה לא תסלק מישהו אחר מהחשבון שלכם; לדברי WhatsApp, סיסמאות ואימות דו־שלבי מגינים על חשבון שעדיין יש לכם גישה אליו, ורישום מחדש עם הקוד בן 6 הספרות הוא הדרך היחידה לסלק פולש ^[1]. WhatsApp מזהירה גם שאם תדווחו על החשבון הפרוץ שאתם מנסים לשחזר, היא עשויה לחסום אותו ואתם עלולים לאבד את הגישה, ולכן היא ממליצה לשחזר קודם ^[1].

האם הפולש יכול לקרוא את הצ׳אטים הישנים שלי?

לפי WhatsApp, ההודעות מוצפנות מקצה לקצה ונשמרות במכשיר שלכם, ולכן מי שרושם מחדש את החשבון שלכם במכשיר חדש אינו יכול לקרוא את השיחות הקודמות שלכם ^[1]. עם זאת, כל עוד הוא שולט בחשבון, הוא יכול לקבל הודעות חדשות ולכתוב לאנשי הקשר שלכם.

איך משתלטים על חשבונות WhatsApp ו-Telegram?

שיטות ההשתלטות שמתארים להלן גופים למאבק בהונאות וחוקרי אבטחה אינן שוברות את ההצפנה. הן מרמות את הבעלים, או את חברת הסלולר שלו, כדי שימסרו את האמצעי להתחברות ^[7][8][9].

הונאת 'שלחתי לך את הקוד שלי בטעות'

Action Fraud, המרכז הלאומי לדיווח על הונאות בבריטניה, תיאר את הדפוס ב-2023: עבריין משתלט תחילה על חשבון WhatsApp שאתם מופיעים בו כאיש קשר, ואז שולח לכם הודעה בהתחזות לחבר שלכם ^[7]. באותו זמן אתם מקבלים הודעת WhatsApp עם קוד בן שש ספרות, משום שהעבריין מנסה להתחבר עם המספר שלכם; הוא טוען ששלח לכם את הקוד בטעות ומבקש שתעבירו אותו אליו ^[7]. ברגע שהקוד בידיו, הוא מתחבר, נועל אתכם מחוץ לחשבון וחוזר על התרגיל עם אנשי הקשר שלכם ^[7]. באותה עת קיבל Action Fraud יותר מ-60 דיווחים על ההונאה הזו ^[7].

החלפת SIM

בהחלפת SIM, עבריינים משכנעים או משחדים חברת סלולר להעביר את המספר שלכם לכרטיס SIM שבידיהם, ומאותו רגע השיחות והודעות הטקסט שלכם, כולל קודים חד־פעמיים, מגיעות למכשיר שלהם ^[9]. מרכז התלונות על פשעי אינטרנט של ה-FBI קיבל ב-2021 1,611 תלונות על החלפת SIM, עם הפסדים מתואמים של יותר מ-68 מיליון דולר אמריקני ^[9].

קודי QR זדוניים ומכשירים מקושרים

שתי האפליקציות מאפשרות להשתמש בחשבון במחשבים ובמכשירים אחרים. בנובמבר 2024 זיהתה Microsoft קבוצה הקשורה למדינה הרוסית, שהיא מכנה Star Blizzard, ששלחה ליעדים בדוא״ל הזמנה לקבוצת WhatsApp; קוד ה-QR בדף הנחיתה קישר בפועל את חשבון הקורבן למכשיר שבשליטת התוקפים, וכך אפשר להם לקרוא ולייצא הודעות דרך WhatsApp Web ^[8]. לדברי Microsoft, המתקפה הייתה מוגבלת ונראה שהסתיימה בסוף נובמבר 2024 ^[8].

דרכים אחרות

WhatsApp ממליצה להגדיר סיסמה קשה לניחוש לתא הקולי, כדי שאיש לא יוכל לגשת אליו, ולא ללחוץ על קישורים בהודעות דוא״ל שלא ביקשתם ושמכילות קוד רישום, משום שייתכן שמישהו מנסה לרשום את המספר שלכם ^[2]. Telegram מזהירה את המשתמשים להתייחס לכל בוט כאל אדם זר ולעולם לא למסור לו סיסמאות או קודים של Telegram ^[6].

איך משחזרים חשבון Telegram שנפרץ?

Telegram מציינת שמספר הטלפון הוא כיום הדרך היחידה שבה היא מזהה משתמש: מי שמחזיק במספר מחזיק בחשבון, והיא אינה יכולה לעזור אלא אם יש לכם גישה למספר או ל-Telegram באחד מהמכשירים שלכם ^[6]. העצה שלה למקרה של טלפון גנוב היא המדריך הטוב ביותר לכל השתלטות ^[6]:

1. אם אתם עדיין מחוברים במכשיר אחר: היכנסו להגדרות, ואז לפרטיות ואבטחה, והפעילו את האימות הדו־שלבי, כך שמספר הטלפון לבדו כבר לא יספיק כדי להתחבר ^[6].
2. היכנסו להגדרות ואז למכשירים (או לפרטיות ואבטחה ואז להפעלות פעילות), וסיימו את ההפעלה שאינכם מזהים. בלי הסיסמה שלכם, המכשיר הזה לא יוכל להתחבר שוב ^[6].
3. אם אין לכם גישה בשום מכשיר: פנו לספק הסלולר כדי לחסום את כרטיס ה-SIM הישן ולהנפיק כרטיס חדש עם המספר שלכם, ואז התחברו וסיימו את ההפעלות הלא מוכרות ^[6].

אם מישהו מתחזה לכם ב-Telegram, השאלות הנפוצות ממליצות לפנות ל-@NoToScam ^[6]. קודי ההתחברות של Telegram עצמה מגיעים בצ׳אט השירות המאומת שנקרא 'Telegram', ואין לשתף אותם עם איש, כולל שירותים או אפליקציות אחרים ^[6].

מה נמצא בסיכון ב-Telegram?

Telegram שומרת צ׳אטים בענן כדי שתוכלו להגיע אליהם מכל מכשיר, והם מסתנכרנים מיד לכל מכשיר שבו אתם מתחברים ^[6]. צ׳אטים בענן משתמשים בהצפנה בין שרת ללקוח, ואילו צ׳אטים סודיים מוסיפים הצפנה מקצה לקצה, אינם חלק מהענן של Telegram ונגישים רק במכשירים שבהם נוצרו ^[6]. בפועל, אם כן, הפעלה שפולש פותח יכולה לראות את הצ׳אטים שלכם בענן אבל לא את הצ׳אטים הסודיים, ולכן חשוב לסיים במהירות הפעלות לא מוכרות.

אילו הגדרות מגינות על חשבונות WhatsApp ו-Telegram?

שתי האפליקציות מציעות שכבות הגנה שבזכותן קוד גנוב או מספר טלפון גנוב אינם מספיקים לבדם. WhatsApp מדגישה שהתכונות האלה פועלות רק בחשבון שעדיין יש לכם גישה אליו; הן אינן יכולות להחזיר גישה שאבדה או לסלק מישהו שכבר נמצא בפנים ^[2].

• אימות דו־שלבי. ב-WhatsApp, היכנסו להגדרות, לחשבון ולאימות דו־שלבי, הפעילו אותו, צרו סיסמה חזקה והוסיפו, אם תרצו, כתובת דוא״ל ^[3]. WhatsApp מציינת שהיא משדרגת את קוד ה-PIN בן 6 הספרות שמשמש באימות הדו־שלבי לסיסמה ^[3]. ב-Telegram, האימות הדו־שלבי (2-Step Verification) נמצא תחת הגדרות, פרטיות ואבטחה; אחרי שהוא מופעל, צריך גם קוד SMS וגם סיסמה כדי להתחבר ^[6].
• דוא״ל לשחזור. לדברי WhatsApp, כתובת דוא״ל שנוספה בזמן הרישום מאפשרת לשחזר את החשבון בלי SMS או שיחת טלפון ^[2]. Telegram מאפשרת להגדיר דוא״ל לשחזור במקרה של סיסמה שנשכחה, וממליצה להגן גם על חשבון הדוא״ל הזה בסיסמה חזקה ובאימות דו־שלבי (2-Step Verification) ^[6].
• מפתחות גישה. מפתח גישה הוא שיטת התחברות שקשורה לנעילת המסך, לטביעת האצבע או לזיהוי הפנים של המכשיר. כשמגדירים מפתח כזה, WhatsApp מקשרת את החשבון שלכם למערכת האבטחה של המכשיר ^[4]. לדברי Telegram, מפתחות גישה בטוחים יותר מקודי SMS ואפשר לגבות אותם במנהל סיסמאות כמו iCloud Keychain או Google Password Manager ^[6].
• נעילת האפליקציה והצ׳אטים. WhatsApp מציעה נעילת אפליקציה ונעילת צ׳אט ^[2]; Telegram ממליצה על קוד גישה לנעילת האפליקציה ^[6].
• אפשרויות למצבי סיכון גבוה. הגדרות החשבון המחמירות של WhatsApp מחילות את בקרות הפרטיות והאבטחה הקפדניות ביותר שלה, ונועדו לאנשים שמאמינים שהם עשויים להיות יעד למתקפה ^[2]. Telegram ממליצה על צ׳אטים סודיים באפליקציות רשמיות או באפליקציות קוד פתוח שאפשר לאמת, לאנשים שחוששים לביטחונם האישי ^[6].

איך בודקים מכשירים מקושרים והפעלות פעילות?

מכשיר מקושר או הפעלה שאינכם מזהים הם סימן נפוץ להשתלטות, והמתקפה באמצעות קוד QR שתוארה למעלה פועלת כולה דרך מכשיר כזה ^[8].

• WhatsApp: פתחו את התפריט, הקישו על „מכשירים מקושרים” כדי לבדוק את כל המכשירים, ואז הקישו על מכשיר ועל „התנתקות” כדי להסיר אותו ^[2]. לדברי WhatsApp, חשוב לבדוק את המכשירים המקושרים באופן קבוע, ואפשר להתנתק מכל ההפעלות של WhatsApp Web מהטלפון ^[5].
• WhatsApp Web: לפני סריקת קוד ה-QR אפשר לבטל את הסימון של 'להישאר מחובר בדפדפן זה', כך שההפעלה תסתיים כשתסגרו את הכרטיסייה או את הדפדפן ^[5].
• Telegram: בהגדרות ואז במכשירים (או בפרטיות ואבטחה ואז בהפעלות פעילות) מופיעה רשימת ההפעלות שאפשר לסיים ^[6]. את מפתחות הגישה אפשר לבדוק תחת הגדרות, פרטיות ואבטחה, מפתחות גישה, עם תאריך היצירה והשימוש האחרון בכל אחד מהם ^[6].

סרקו קוד QR של WhatsApp או Telegram רק מהאפליקציה הרשמית או מהאתר הרשמי שפתחתם בעצמכם. קוד QR שנשלח בדוא״ל או בהודעה כדרך 'להצטרף לקבוצה' ראוי לאותו חשד כמו קישור; העצה של Microsoft לגבי הודעות דוא״ל כאלה היא לפנות לשולח לכאורה דרך כתובת מוכרת שכבר השתמשתם בה בעבר ^[8].

WhatsApp מוסיפה שהיא אינה יכולה לומר לכם מי ניגש לחשבון שלכם, מתי או מאיפה ^[5].

למה ממליצים על מפתחות גישה ועל אימות דו־שלבי?

קוד שנשלח ב-SMS מוכיח רק שמישהו יכול לקבל הודעות טקסט למספר שלכם. אם עבריין מרמה אתכם להעביר אליו את הקוד, או מעביר את המספר שלכם לכרטיס ה-SIM שלו, הקוד עובד בשבילו ^[7][9]. סוד נוסף או מפתח גישה הקשור למכשיר עוצרים זאת.

ה-FBI ממליץ על אימות רב־גורמי חזק, כמו ביומטריה, אסימוני אבטחה פיזיים או אפליקציות אימות עצמאיות, ומייעץ לעולם לא למסור פרטי חשבון סלולר למתקשרים שמבקשים את הסיסמה או את קוד ה-PIN שלכם ^[9]. Telegram מציינת שקודי SMS לעיתים קרובות אינם מגיעים ושאפשר ליירט אותם ^[6].

באוקטובר 2026 השיק שירות Report Fraud הבריטי קמפיין שקורא לאנשים לעבור למפתחות גישה, אחרי שדיווח שהסכומים שנגנבו באמצעות פריצה לחשבונות דוא״ל ורשתות חברתיות עלו ל-6.3 מיליון ליש״ט ב-2025/26, לעומת 1.2 מיליון ליש״ט בשנה שקדמה לה; הדיווחים על סוג זה של השתלטות על חשבונות עלו ב-34% ^[10]. לדברי Report Fraud, אחת הדרכים הנפוצות ביותר שבהן עבריינים משתמשים בחשבונות פרוצים היא התחזות לבני משפחה ולחברים ^[10].

מה צריכים לדעת משתמשים באיראן?

הגישה לשתי האפליקציות באיראן עוצבה על ידי חסימות ממשלתיות. Freedom House מדווח ש-Telegram סוננה לצמיתות באפריל 2018, ושב-2022 נחסמו WhatsApp ו-Instagram על רקע מחאות „אישה, חיים, חירות” ^[11]. בדצמבר 2024 מסרה סוכנות הידיעות הרשמית של איראן, IRNA, שהושגה הכרעה בהצבעה על הסרת ההגבלות על WhatsApp ועל Google Play ^[12].

Freedom House מציין גם שגרסאות איראניות של אפליקציות פופולריות, כמו Bale, Rubika ו-Soroush, מקבלות תמיכה כספית משמעותית מהממשלה, ושקבוצת האקרים הקשורה למשמרות המהפכה האסלאמית התחזתה ברשת לעיתונאים ולפעילי זכויות אדם כדי לפתות מבקרים למבצעי פישינג ^[11]. רכישת כרטיס SIM מחייבת רישום בשם אמיתי עם דרכון או מסמך זהות ^[11].

נקודות מעשיות שעולות מההנחיות של הפלטפורמות עצמן: התקינו אפליקציות רק ממקורות רשמיים, משום ש-Telegram ממליצה על אפליקציות רשמיות או אפליקציות קוד פתוח שאפשר לאמת לצ׳אטים רגישים ^[6]; לעולם אל תשתפו קוד התחברות, לא משנה מי מבקש ^[2][6]; והשאירו את האימות הדו־שלבי מופעל, כך ששליטה במספר הטלפון לבדה לא תספיק כדי להשתלט על החשבון ^[6].

מה השחזור אינו יכול לתקן?

השחזור מחזיר את השליטה, אבל יש לו מגבלות שכדאי להכיר מראש:

• אי אפשר לשחזר חשבון WhatsApp בלי כרטיס SIM עם אותו מספר טלפון ^[1].
• WhatsApp אינה יכולה להשבית חשבונות של אחרים, לחסום אנשי קשר או לבטל חסימה שלהם בשמכם, או לומר לכם מי ניגש לחשבון שלכם ^[1].
• אם אתם עוברים לכרטיס SIM חדש אבל שומרים על חשבון ה-WhatsApp הישן, עליכם להשתמש בתכונת שינוי המספר, אחרת אתם עלולים לאבד את הגישה לצמיתות ^[1]. גם Telegram מזהירה שאם החשבון אינו מקושר למספר שבשליטתכם, אתם מסתכנים באובדן הגישה לתמיד ^[6].
• השחזור אינו מבטל את מה שהפולש כבר שלח; העצה של WhatsApp היא לעדכן את בני המשפחה והחברים, כי הפולש עלול להתחזות לכם בצ׳אטים ובקבוצות ^[1].

אם נלקח כסף או התבקש כסף בשמכם, דווחו למשטרה או לשירות הלאומי לדיווח על הונאות במקום מגוריכם; בבריטניה זהו Action Fraud, שממליץ גם להתקשר לחבר או לקרוב משפחה כדי לאמת בקשה חריגה ^[7].