אירוע אבטחה במיטב טרייד: מידע של לקוחות נחשף, כולל מספרי תעודות זהות וחשבונות בנק

[SolidState]

גם לבנקים הכי גדולים בישראל יש רק משתמש סיסמה וקוד משתמש בלי 2FA.

 

[הייטקיסט מנוסה משקיע חדש]

זה עובד לך בכל נקודה ממנה אתה מתחבר - מובייל, מחשב, וכו'?
בכללי אתה מרגיש שרמת האבטחה שם טובה?

אני מתחבר רק מהמובייל, לא ניסיתי מהמחשב, מניח שכן
לגבי רמת אבטחה - חולשות אבטחה זה לא משהו שאפשר "להרגיש"

 

[גרביל מרוץ]

גם לבנקים הכי גדולים בישראל יש רק משתמש סיסמה וקוד משתמש בלי 2FA.

זה לא נכון, הרגולציה מחייבת אותם ל- 2FA כשאתה מתחבר ממכשיר חדש, מפה ואילך הם משתמשים בטוקן ששמור במכשיר, אבל כשתעבור למכשיר אחר תתבקש להזין קוד אישור

אני לא אתפלא אם מי שטוענים שלמיטב טרייד אין 2FA בעצם גם הם לא שמים לב שבעבר הם כבר אישרו את המכשיר (אני במיטב פנסיה ושם בוודאות יש 2FA)

 

[בורונוס]

אני מנסה להבין את הסיכון בפריצה מלבד דליפת נתונים.
נניח יש לי תיק השקעות ופורץ מישהו, מבצע מכירת מניות של כל התיק, אוקי, הכסף נכנס לחשבון עובר ושב של חשבון המסחר, נכון?
כדי למשוך את הכסף החוצה צריך חשבון בנק שמוגדר במערכת בעת פתיחת החשבון על שם בעל חשבון ההשקעות, לא?.

 

[חתול לילה]

נניח יש לי תיק השקעות ופורץ מישהו, מבצע מכירת מניות של כל התיק, אוקי, הכסף נכנס לחשבון עובר ושב של חשבון המסחר, נכון?

במניות לא סחירות יכולים למכור "לך" זבל במחיר גבוה, וככה לרוקן את הכסף מהחשבון.

 

[bigbang]

(אני במיטב פנסיה ושם בוודאות יש 2FA)

קוד בודד ב-SMS זה לא 2FA. למי שמשתמש במנהל סיסמאות, זה יותר גרוע מסיסמא.

 

[SolidState]

זה לא נכון, הרגולציה מחייבת אותם ל- 2FA כשאתה מתחבר ממכשיר חדש, מפה ואילך הם משתמשים בטוקן ששמור במכשיר, אבל כשתעבור למכשיר אחר תתבקש להזין קוד אישור

אני לא אתפלא אם מי שטוענים שלמיטב טרייד אין 2FA בעצם גם הם לא שמים לב שבעבר הם כבר אישרו את המכשיר (אני במיטב פנסיה ושם בוודאות יש 2FA)

כנראה שאתה צודק.
אבל יש לי מספיק מערכות אחרות שאתה צריך לעשות את ה 2FA כל פעם, גם במכשיר ידוע.
מניח שזה יותר בטוח.

 

[wish]

בבינלאומי על כל העברת כסף או משהו שהוא יותר מלצפות בעוש חייבים מחדש להזין סמס לביצוע פעולה, לא אופטימלי, אבל יותר מלהכנס רק עם סיסמא.

 

[snp500]

האם בישראל יש ביטוח על חשבון ההשקעות בדומה ל SIPC או הגדרה של מי נושא באחריות במקרה של פריצה לחשבון השקעות? (בין אם בנק או ברוקר ישראלי).

 

[roneng]

אני לא אתפלא אם מי שטוענים שלמיטב טרייד אין 2FA בעצם גם הם לא שמים לב שבעבר הם כבר אישרו את המכשיר (אני במיטב פנסיה ושם בוודאות יש 2FA)

אני במיטב פנסיה ושם בודאות אין 2fa.
התחברתי לא מזמן ממחשב חדש לחלוטין. לא ביקשו סיסמא ולא כלום, רק קוד שנשלח בסמס.
כלומר רק דרך הזדהות אחת (סמס), שהיא גם לא ממש מאובטחת.

 

[wish]

רק קוד שנשלח בסמס.

אצלי ככה זה אצל כל הגופים הפיננסיים שאני לקוח שלהם בפנסיה, השתלמות, ביטוחים וכו, למעט הבנקים.

נראה שרובם החליטו שסמס גורם להם הכי פחות כאב ראש בשירות לקוחות ומספיק בטוח להם סמס + ת.ז. + טלפון כדי לתת גישה.

 

[1337justme]

זה לא נכון, הרגולציה מחייבת אותם ל- 2FA כשאתה מתחבר ממכשיר חדש, מפה ואילך הם משתמשים בטוקן ששמור במכשיר, אבל כשתעבור למכשיר אחר תתבקש להזין קוד אישור

אתה מדבר על sms בתור 2fa? כי 2fa עם authenticator זמין רק ללקוחות עסקיים ורק בחלק מהבנקים, לפחות לפי מה שאני מכיר, אשמח לשמוע אחרת.

כמו כן, ההגבלה שאתה מדבר עליה היא רק באפליקציה של הבנק,דרך desktop מספיק רק קוד וסיסמא.

אז אני לא מבין את הטיעון שבנקים בטוחים הרבה יותר.

 

[roneng]

כמו כן, ההגבלה שאתה מדבר עליה היא רק באפליקציה של הבנק,דרך desktop מספיק רק קוד וסיסמא.

לא זכור לי 2fa דרך האפליקציה של הבנק.
וכמו שאמרת בweb בטוח אין.
מה שכן, יש 2fa בביצוע של פעולות מסויימות בבנק, כמו העברת כספים וכו (בין אם דרך אפליקציה או באתר).

 

[חתול לילה]

מה שכן, יש 2fa בביצוע של פעולות מסויימות בבנק, כמו העברת כספים וכו (בין אם דרך אפליקציה או באתר).

ויותר מזה, העברות קטנות מאושרות אוטומטית, העברות גדולות יותר מצריכות אישור ידני של פקיד, ולהעברות גדולות מאוד כבר צריך להגיע לסניף.
במצב הזה, אפילו אני הפרנואיד לא חושש שירוקנו לי את החשבון.

 

[roneng]

ויותר מזה, העברות קטנות מאושרות אוטומטית, העברות גדולות יותר מצריכות אישור ידני של פקיד, ולהעברות גדולות מאוד כבר צריך להגיע לסניף.
במצב הזה, אפילו אני הפרנואיד לא חושש שירוקנו לי את החשבון.

מה זה העברות גדולות?
אני העברתי סכומים של 6 ספרות בלי אישור פקיד (ובטח בלי להגיע לסניף). לא הייתי מגדיר את זה "העברה קטנה".
יכול להיות שיש אלגוריתם מתוחכם שבודק את אופי ההעברות ורק אם זה חורג אז זה עובר לאישור פקיד, אבל אז השאלה כמה האלגוריתם הזה טוב בזיהוי אנומליות.

 

[FIYaacov]

מה זה העברות גדולות?
אני העברתי סכומים של 6 ספרות בלי אישור פקיד (ובטח בלי להגיע לסניף). לא הייתי מגדיר את זה "העברה קטנה".
יכול להיות שיש אלגוריתם מתוחכם שבודק את אופי ההעברות ורק אם זה חורג אז זה עובר לאישור פקיד, אבל אז השאלה כמה האלגוריתם הזה טוב בזיהוי אנומליות.

אבל התקשרו, לא?
אצלנו על 150K בנק לאומי התקשרו גם אליי וגם לאשתי לוודא ששנינו מודעים להעברה (ובגדול טוב שכך)

 

[חתול לילה]

יכול להיות שיש אלגוריתם מתוחכם

מהניסיון המצומצם שלי, אם זה למוטב שכבר העברת לו ואושר בעבר, היד יותר קלה.

 

[אחד פשוט]

ויותר מזה, העברות קטנות מאושרות אוטומטית, העברות גדולות יותר מצריכות אישור ידני של פקיד, ולהעברות גדולות מאוד כבר צריך להגיע לסניף.
במצב הזה, אפילו אני הפרנואיד לא חושש שירוקנו לי את החשבון.

אבל הרי כל מה שיכולים לעשות בחשבון בית השקעות אפשר לעשות גם בבנק

במניות לא סחירות יכולים למכור "לך" זבל במחיר גבוה, וככה לרוקן את הכסף מהחשבון.

 

[חתול לילה]

אבל הרי כל מה שיכולים לעשות בחשבון בית השקעות אפשר לעשות גם בבנק

אין לי נסיון מה מנגנוני ההגנה שלהם בעת פעולות מסחר חשודות.

 

[roneng]

אבל התקשרו, לא?

לא, לא התקשרו.
הדבר היחיד היה הSMS של ה 2FA

אצלנו על 150K בנק לאומי התקשרו גם אליי וגם לאשתי לוודא ששנינו מודעים להעברה (ובגדול טוב שכך)

התקשרו אלי פעם בעבר על העברות קטנות יותר של 10 אש"ח. אבל אני חושב שאחרי פעמים שהעברתי סכומים כאלה (לאותו חשבון יעד), הם הפסיקו להתקשר. בהתחלה זה עבר פנימית ל"אישור פקיד" והוא היה מאשר אחרי כמה זמן בלי להתקשר אלי, ובהמשך זה אפילו הפסיק לעבור לאישור פקיד ופשוט מאושר אוטומטית. גם בסכומים גדולים יותר (לא ניסיתי סוכמים של מליונים, אין לי כאלה סכומים בעו"ש. אבל כן העברתי מעל 100 אש"ח ככה).

מהניסיון המצומצם שלי, אם זה למוטב שכבר העברת לו ואושר בעבר, היד יותר קלה.

מניח שזה שילוב של מוטב וסכום.
כלומר גם למוטב שאתה מעביר לו הרבה, אם אתה מעביר פתאום סכום "גדול" זה אמור להתריג התראה ולהתקשר אליך לבדוק. אבל מצד שני גם המושג "גדול" משתנה לפי אופי הפעילות בחשבון. כלומר עבור אדם אחד העברה של 1,000 ש"ח תיהיה העברה "גדולה" שדורשת אישור, ואילו עבור אדם אחר יכול להיות שגם העברה של 100.000 ש"ח לחשבון חדש לא תדליק נורות כי אלו סכומים "קטנים" יחסית למה שבד"כ עובר בחשבון.

אין לי נסיון מה מנגנוני ההגנה שלהם בעת פעולות מסחר חשודות.

השאלה גם איך אתה מגדיר "פעולת מסחר חשודה".
האם זה לפי סוג הנכס שאתה קונה/מוכר (מניה שמוגדרת "זבל" לעומת ETF מוכר) או לפי סכום או גם וגם?
אני יודע שבIRA כשפתחתי אותו (בבנק) קניתי בכל הכסף שהיה לי במכה אחת, וזה לא הדליק נורות.