אירוע אבטחה במיטב טרייד: מידע של לקוחות נחשף, כולל מספרי תעודות זהות וחשבונות בנק

[YPV]

לפי הכתבה, גורם חיצוני ניצל פרצת אבטחה בממשק API של ספק חיצוני של מיטב טרייד והצליח לשלוף פרטי לקוחות. האירוע התגלה בשבת האחרונה לאחר שכ-3,000 לקוחות קיבלו מסרוני אימות (SMS) שלא ביקשו, וזוהו ניסיונות (שנכשלו) להחליף את מספרי הטלפון המאומתים בחשבונות.

אירוע כזה מעלה סימני שאלה כבדים סביב רמת אבטחת המידע וניהול הסיכונים בגוף שמנהל עשרות מיליארדי שקלים עבור מעל 100 אלף לקוחות. מדאיג במיוחד שהאירוע התגלה רק בדיעבד, בעקבות מבול סמסים ללקוחות, ולא דרך מערכות ניטור ובקרה פרואקטיביות של החברה.

למישהו כאן זה קרה? קיבלתם בשבת סמס לא ברור, או שמיטב כבר יצרו איתכם קשר יזום ועדכנו שהפרטים שלכם היו בין אלו שדלפו?

מתלבט כיצד לנהוג לגבי החשבון שלי במיטב טרייד.

 

[willy]

גם אותי זה קצת מלחיץ, למרות שאני בבית השקעות ישראלי אחר.

לדעתי זה ענין של זמן עד שיהיה אפשר לפרוץ באמצעות מודלים סיניים.

חשבתי על מעבר לבנק, אבל גם שם אין לי 2fa, ויש גם שותף נוסף (אשתי) שאני חושש שפחות מודע לענייני אבטחה.

אני מתלבט מה המקום הבטוח ביותר אם אני חושש גם מטעות אנוש שלי.

 

[גרביל מרוץ]

מתלבט כיצד לנהוג לגבי החשבון שלי במיטב טרייד.

הסוסים כבר ברחו, ההאקרים כבר עובדים על המתחרים

התזה של ברוס שנייר היא שאי אפשר לסמוך על אף חברה מסחרית שתשקיע באבטחה כי זה משהו שלא מייצר הכנסה, חברה מסחרית נעצרת בגידור הסיכון העיקרי וזהו.

 

[YPV]

התזה של ברוס שנייר היא שאי אפשר לסמוך על אף חברה מסחרית שתשקיע באבטחה כי זה משהו שלא מייצר הכנסה, חברה מסחרית נעצרת בגידור הסיכון העיקרי וזהו.

מסכים לגמרי עם התזה. חברה מסחרית פועלת לפי תמריצים כלכליים, ואבטחת מידע היא מרכז עלות ולא מנוע צמיחה, כך שהיא תמיד תשאף למינימום ההכרחי לגידור הסיכון. אלא שכאן נכנסת רגולציה (שכל כך אוהבים לשנוא).

להבנתי הפיקוח על הבנקים של בנק ישראל מציב סטנדרטים נוקשים לניהול סיכוני סייבר, בקרת ספקי צד ג' ומערכי ניטור מתקדמים, ברמה שחברי בורסה שאינם בנקים פשוט לא כפופים לה. מאחר שזה עולה המון כסף, אין שום סיכוי שהם יכפיפו את עצמם לסטנדרטים האלה באופן וולונטרי.

 

[AbuNafha]

אנחנו בסוף 2026, ולמיטב טרייד עדיין אין 2FA בכניסה לחשבון.

מישהו פה משתמש בבית השקעות ישראלי אחר למסחר עצמאי, שבו כן יש אמצעי אבטחה, ומרגיש שהוא כן נמצא בסביבה יחסית מאובטחת?

מצטער אם זה חורג מחוקי הפורום, אני לא מבקש המלצה כללית על בית השקעות, אלא דיון על אילו בתי השקעות מאובטחים יותר ואילו פחות. נראה שהיו על זה דיונים בעבר פה בפורום, אבל אני לא מוצא משהו עדכני, ההודעות האחרונות בנושא הן מ-2023.

 

[הייטקיסט מנוסה משקיע חדש]

@AbuNafha בפסגות טרייד יש 2fa ואופציה לזיהוי ביומטרי

 

[ירח אפל]

@AbuNafha בפסגות טרייד יש 2fa ואופציה לזיהוי ביומטרי

גם במיטב יש 2fa

 

[Yoshi_Invest]

הכל טוב ויפה שיש לכם 2fa על המידע שמוצג במיטב, למה אין ככה אבטחה על נותן שירות שלהם לשרתים שלהם במיוחד שזה מידע מאוד רגיש גם כלכלית וגם מבחינת מידע.

לא יודע אם אתם מודעים אבל כל כמה חודשים תמיד יש זליגה כזאת מנותני שירות צד ג, עד כמה זה צריך להדאיג אם זה נעשה בכוונת תחילה?

 

[Bear]

מתלבט כיצד לנהוג לגבי החשבון שלי במיטב טרייד.

אולי שווה לשקול להעביר את המניות לבית השקעות לא ישראלי?

 

[גרביל מרוץ]

למה אין ככה אבטחה על נותן שירות שלהם

אותו בעלים כמו סלייס, מה כבר יכול לקרות

אגב הוא התשתית של רוב הברוקרים מחוץ לבנקים, נראה שמישהו ניסה להשחיר דווקא את מיטב

 

[AbuNafha]

גם במיטב יש 2fa

אולי יש באפליקציה במובייל, אבל בהתחברות בדפדפן בדסקטופ אין, אז בעצם האקר יכול לעקוף את ה-2FA ממש בקלות - פשוט להשתמש במחשב במקום במובייל.

מעבר לכך, זה די מרגיש שהם מזלזלים באבטחת מידע, עד לא מזמן (ואולי גם היום זה כך) כדי להמיר מטבע צריך היה פשוט למלא לטופס מקוון ולציין את מספר החשבון או משהו כזה. בלי התחברות, בלי סיסמא, בלי זיהוי במייל, בלי זיהוי בטלפון - פשוט לשלוח טופס.
ומערכת המסחר עצמה גם נראית כאילו הפסיקו לעבוד עליה אי שם ב-1996.

@AbuNafha בפסגות טרייד יש 2fa ואופציה לזיהוי ביומטרי

האם בכל נקודה בה מתחברים למערכת יש 2FA, כלומר גם במחשב וגם במובייל וגם בכל פלטפורמה אחרת שמאפשרת התחברות?
האם בכללי זה מרגיש שהמערכת מודרנית, ושפסגות לוקחים את עניין אבטחת המידע ברצינות?

 

[SolidState]

לא חושב שהאירוע הזה אמור להיות טריגר למעבר. אין לך מושג מה מצב האבטחה של בתי ההשקעות האחרים, אם כבר גנבו או לא.
יתכן שפריצה כזו תגרום להידוק האבטחה.

ספציפית כאן למיטב הבנתי (חה חה) לא נגרם נזק ללקוחות.
נניח שהיו מתפרצים לסניף בנק ומנסים לשדוד אותו, וברגע האחרון לפני שהטלרית הייתה נותנת את מפתחות הכספת האזרחים בסניף היו משתלטים על השודד. האם היית עובר בנק?

בסוף זה לא בורסת קריפטו שאפשר לרוקן אותה.

 

[snp500]

לא בורסת קריפטו שאפשר לרוקן אותה

אפשר לגרום למניפולציה של השוק, באמצעות קניה/מכירה של מניה ספציפית.
כלומר, אם פורץ השתלט על מספר חשבונות, הוא לא צריך להעביר את הכסף לעצמו, הוא פשוט יכול להריץ מניה מסויימת.

מה יקרה במצב כזה, לבעלי החשבונות שנפרצו?

 

[גרביל מרוץ]

הוא פשוט יכול להריץ מניה מסויימת

גם זה לא נחוץ, מספיק להכנס לשורט על מיטב יום לפני הפריצה

 

[SolidState]

שורט על מיטב לא יגרום נזק לבעלי החשבון.

 

[גרביל מרוץ]

שורט על מיטב לא יגרום נזק לבעלי החשבון.

לא טענתי אחרת

 

[אוכמנית]

בפסגות טרייד יש 2fa ואופציה לזיהוי ביומטרי

איפה? אני לא מוצאת

 

[הייטקיסט מנוסה משקיע חדש]

איפה? אני לא מוצאת

זיהוי ביומטרי זה בהגדרות, לגבי ה2fa זה פשוט עובד לי, חשבתי שזה ברירת מחדל. לא מצאתי הגדרות של זה, אולי תנסי להתקשר לתמיכה הטכנית שלהם. בדרכ עונים מהר

 

[AbuNafha]

לא חושב שהאירוע הזה אמור להיות טריגר למעבר.

זה טריגר למעבר, אבל הוא לא מתקיים בחלל ריק - המערכת שלהם מרגישה מאד לא מאובטחת, אין בה אמצעי זיהוי ואבטחה בסיסיים, פעולות מסויימות מתבצעות ללא הזדהות הכי בסיסית, ועוד. הטריגר הזה הוא סוג של "הקש ששבר את קו הגמל" - דגל אדום נוסף, אחד יותר מדי.

אין לך מושג מה מצב האבטחה של בתי ההשקעות האחרים, אם כבר גנבו או לא.

זה בדיוק מה שאני מנסה להבין, מה מצב האבטחה של בתי השקעות אחרים בארץ.
אם כולם באותה רמה, אפשר גם לעבור לבנק, שם רמת האבטחה מאד גבוהה. אמנם קצת יותר יקר אבל ייתכן והמחיר שווה את זה.

ספציפית כאן למיטב הבנתי (חה חה) לא נגרם נזק ללקוחות.
נניח שהיו מתפרצים לסניף בנק ומנסים לשדוד אותו, וברגע האחרון לפני שהטלרית הייתה נותנת את מפתחות הכספת האזרחים בסניף היו משתלטים על השודד. האם היית עובר בנק?

תשאל משקיע בסלייס, שקיבל שירות נוראי בניוד, אבל בסוף "הכל הסתדר" והקופה שלו שויכה - אם בדיעבד הוא היה צריך לשים לב לנורות האדומות, ולא להשאיר שם את הכסף שלו.

לגבי ה2fa זה פשוט עובד לי, חשבתי שזה ברירת מחדל.

זה עובד לך בכל נקודה ממנה אתה מתחבר - מובייל, מחשב, וכו'?
בכללי אתה מרגיש שרמת האבטחה שם טובה?

 

[Harel]

ב IBI עדיין אין 2FA. צריך לעבור לבית השקעות שכן יש לו?