רגע לפני ההתרחבות בישראל: חברת הענק מסרה למתחזה מידע רגיש של לקוחות

רוולוט, אחת מחברות הפינטק הבולטות בעולם והחברה שנערכת להרחיב את פעילותה גם בישראל, אישרה אירוע אבטחה חריג שבו מידע אישי ופיננסי של לקוחות הגיע לגורם בלתי מורשה.

המקרה מגיע דווקא בתקופה רגישה מבחינת השוק הישראלי. רוולוט כבר קיבלה בישראל אישורים להשתלב במערכות התשלומים המקומיות וקיבלה את קוד הזיהוי 78. במקביל החברה מתקדמת בהליך לקבלת רישיון בנקאי בישראל, כחלק מהכוונה שלה להציע בעתיד שירותים פיננסיים רחבים יותר ללקוחות ישראלים.

לפי רוולוט, התוקף לא פרץ למערכות החברה. במקום זאת הוא השתמש בחשבון דואר אלקטרוני שפעל מתוך דומיין אמיתי של סוכנות ממשלתית ושלח בקשות לקבלת מידע שנראו כמו דרישות רשמיות.

החברה האמינה שהבקשות אמיתיות ומסרה את המידע בעצמה.

לפי הודעות שנשלחו ללקוחות שנפגעו, המידע שנחשף עשוי לכלול שמות מלאים, תאריכי לידה, כתובות מגורים, מספרי טלפון, כתובות דואר אלקטרוני, מסמכי זיהוי ותמונות ששימשו לאימות זהות.

בחלק מהמקרים נחשף גם מידע פיננסי רגיש, כולל מספרי חשבון, דפי חשבון, נתוני משיכות והיסטוריית עסקאות מלאה. אצל חלק מהלקוחות נכלל גם מידע על פעילות בביטקוין.

רוולוט מדגישה כי המערכות שלה עצמן לא נפרצו וכי כספי הלקוחות לא נגנבו במסגרת האירוע. החברה מסרה שמדובר במספר מוגבל של לקוחות, אך בשלב זה לא חשפה כמה אנשים בדיוק נפגעו.

לאחר גילוי ההונאה חסמה החברה את כתובת הדואר ששימשה להעברת הבקשות, עדכנה את הגוף הממשלתי הרלוונטי ודיווחה לרשויות אכיפת החוק ולרגולטורים. הלקוחות שהמידע שלהם נחשף קיבלו הודעה ישירה.

עבור הציבור בישראל חשוב להדגיש כי רוולוט עדיין לא השיקה כאן פעילות בנקאית מלאה לציבור הרחב, ולכן אין כרגע אינדיקציה לכך שלקוחות ישראלים נפגעו באירוע.

עם זאת, התזמון הופך את המקרה לרלוונטי במיוחד לישראל. החברה שמבקשת להפוך לשחקן משמעותי בשוק הפיננסי המקומי מגיעה לשלב הזה כשהיא נאלצת להתמודד עם אירוע שבו לא הייתה פריצה טכנולוגית מתוחכמת, אלא כשל בתהליך האימות של בקשת מידע רגישה.

זה גם מה שהופך את האירוע לחריג. התוקף לא היה צריך לפרוץ לרוולוט. הוא הצליח לגרום לרוולוט למסור את המידע בעצמה.