3,000 קודים שאיש לא ביקש: אירוע סייבר חשף פרטים אישיים של לקוחות מיטב טרייד
לקוחות פלטפורמת המסחר קיבלו בשבת מסרוני קוד אימות שלא ביקשו, ובדיקה גילתה חשיפה בממשק API של ספק חיצוני שדרכו נשלף מידע אישי: שמות, תעודות זהות וחשבונות בנק. בחברה מדגישים: לא הייתה גישה לכספים ולמערכות המסחר, והאירוע הסתיים. המניה ירדה בתגובה
אלפי לקוחות של מיטב טרייד קיבלו בשבת מסרונים עם קוד אימות חד פעמי שאף אחד מהם לא ביקש, וזה היה סימן האזהרה הראשון. הבוקר דיווחה מיטב טרייד השקעות מיטב טרייד -1.33% לבורסה על אירוע אבטחת מידע שבמסגרתו שלף גורם חיצוני מידע אישי מחשבונות לקוחות: שם מלא, מספר תעודת זהות, מספר חשבון בנק ופרטי נהנה. המניה הגיבה בירידות של עד 5%, שהתמתנו בהמשך המסחר לאזור של 2% עד 3%.
לפי הדיווח, הכל התחיל ביום שבת, 26 בספטמבר, כשבחברה התקבלו דיווחים על מסרוני OTP שלא התבקשו. בבדיקות שנערכו יחד עם הספק החיצוני "התגלתה חשיפה באחד ממשקי ה-API, אשר מופעל על ידי ספק חיצוני ונמצא בחצרותיו". החברה חסמה מיד את הגישה לממשק, ולדבריה כך נמנעה כל פעילות בלתי מורשית נוספת. שני גורמי אבטחה חיצוניים, אחד מטעם מיטב טרייד ואחד מטעם הספק, ביצעו בדיקות מעמיקות.
הממצאים: כ-3,000 מסרונים עם קוד אימות נשלחו למספרי טלפון של לקוחות, ובמקביל נעשו "מספר ניסיונות בודדים" לשנות את מספר הטלפון שאליו נשלח הקוד, טכניקה מוכרת של תוקפים שמנסים להשתלט על חשבון. הניסיונות האלה, לפי החברה, לא צלחו. מה שכן הצליח הוא שליפת המידע האישי, באמצעות פונקציה שהופעלה על ידי הגורם החיצוני.
לצד זה, בחברה מדגישים את מה שלא קרה: "לא התאפשרה גישה ולא הייתה גישה לכספי הלקוחות ולחשבונותיהם במיטב טרייד, לא הייתה חשיפה למערכות המסחר, לא נחשפו סיסמאות, נתונים כספיים או מסמכי זיהוי כלשהם". האירוע, לפי הדיווח, הסתיים, החברה תעדכן אישית כל לקוח שהמידע שלו נשלף, ובמיטב טרייד מעריכים שלא צפויה השפעה מהותית על התוצאות.
מה זה אומר ללקוחות, ולמה זה רגיש
גם כשהכסף לא נגנב, שם מלא, תעודת זהות ומספר חשבון בנק הם בדיוק חומר הגלם של הונאות פישינג והתחזות. לקוחות שנחשפו צפויים לקבל הודעה מהחברה, ובינתיים ההמלצות המקובלות באירועים כאלה פשוטות: חשדנות כלפי שיחות ומסרונים "מהבנק" או "מבית ההשקעות", לא למסור קודי אימות לאף אחד, ולעקוב אחרי פעולות חריגות בחשבון.
מיטב טרייד, בניהול אושר טובול, היא פלטפורמת המסחר העצמאי של קבוצת מיטב, עם כ-132 אלף לקוחות נכון לסוף יולי. האירוע מגיע דווקא בתקופה חזקה של הקבוצה, שכתבנו כאן על הדוחות האחרונים שלה עם קפיצה של 31% ברווח, אבל גם אחרי שנה וחצי לא פשוטה בממשק מול הלקוחות: במרץ 2025 הושבתו מערכות המסחר של מיטב טרייד לכמה שעות בתקלה שפגעה גם בברוקרים נוספים, ובאוגוסט חויבה מיטב להשיב כסף ל-10,500 עמיתים אחרי העלאת דמי ניהול. עכשיו יתווספו לרשימת המשימות גם השלמת תחקיר האירוע, וההתמודדות עם שאלות הלקוחות על אבטחת המידע אצל ספקים חיצוניים.
