פרצת סייבר בחברת ההשקעות הישראלית: מידע אישי נחשף

מיטב טרייד דיווחה היום על אירוע אבטחת מידע שבמסגרתו גורם חיצוני הצליח לשלוף מידע אישי של לקוחות דרך ממשק API שהופעל על ידי ספק חיצוני. האירוע התגלה לאחר שלקוחות החלו לקבל בשבת קודי אימות חד פעמיים שלא ביקשו.

לפי החברה, במסגרת האירוע נשלחו כ-3,000 הודעות SMS עם קוד אימות. בנוסף נעשו מספר ניסיונות לשנות את מספר הטלפון המשמש לקבלת הקוד, אך הם נכשלו ולא הושלם שינוי בפועל.

המידע שנשלף כלל שם מלא, מספר תעודת זהות, מספר חשבון בנק ופרטי נהנה, ככל שקיים. מיטב מדגישה כי לא נחשפו סיסמאות, נתונים כספיים או מסמכי זיהוי, וכי לתוקף לא הייתה גישה לכספי הלקוחות או למערכות המסחר.

החברה חסמה את הגישה לממשק הרלוונטי והפסיקה להשתמש בו. שתי בדיקות חיצוניות בוצעו בעקבות האירוע, ומיטב הודיעה כי תפנה באופן אישי ללקוחות שהמידע שלהם נשלף.

בשלב הזה לא פורסמו זהות הספק החיצוני, זהות התוקף או הדרך המדויקת שבה נוצלה החולשה. מיטב מעריכה כי האירוע הסתיים וכי לא צפויה לו השפעה מהותית על פעילות החברה, אך ציינה שההערכה עשויה להשתנות.