ניסיון הפריצה האחרון לאלפי חשבונות במיטב טרייד הציף מחדש את החשש בקרב משקיעים ולקוחות רבים. אף שמערכות המסחר לא הושבתו, והאירוע הטכני נבלם, פרטיהם האישיים של לקוחות נשלפו בעקבות חולשת אבטחה אצל ספק חיצוני - והעלו שאלות מטרידות על ההשלכות האפשריות.
מה בדיוק קרה שם, מהי האחריות המוטלת על החברה בצל תיקון 13 לחוק הגנת הפרטיות, ומאילו סיכוני הונאה והתחזות על הלקוחות להיזהר כעת? גלובס עושה סדר.
● בלעדי | השותפים לשעבר של אהוד ברק בדרך להקמת חברת סייבר חדשה
● שורדת השבי נועה ארגמני מצטרפת לקרן ההון סיכון ויין ונצ'רס
מה קרה במיטב טרייד בסוף השבוע האחרון?
התרחש ניסיון פריצה לאלפי חשבונות של החברה. ביום שבת התקבלו דיווחים מלקוחות מיטב טרייד על קבלת מסרונים עם קוד אימות חד-פעמי מבלי שביקשו זאת. הבדיקה, שנערכה בשיתוף הספק החיצוני שמפעיל את המערכות, העלתה כי התגלתה חולשת אבטחה באחד ממשקי ה-API שמופעלים על-ידו. כחלק מניסיון התקיפה נשלחו כ-3,000 מסרונים עם קוד אימות, ובוצעו מספר ניסיונות בודדים שלא צלחו לשינוי מספר הטלפון לקבלת הקוד.
הגישה לממשק ה-API הרלוונטי נחסמה באופן מיידי, השימוש בו הופסק, ונמנעה פעילות בלתי מורשית נוספת באמצעותו. בנוסף, החברה ציינה כי תימסר הודעה ללקוחות שהמידע האישי שלהם נשלף. יש לציין כי מערכות החברה עובדות כרגיל, ואין מגבלות ידועות על החברה.
גיל מסינג, ראש המטה וראש מערך התקשורת הגלובלית בחברת אבטחת המידע צ'ק פוינט, אומר לגלובס כי "למיטב, כמו לכל גוף פיננסי גדול, יש מערך רחב של ספקים חיצוניים שמספקים שירותים שונים ולעתים גם מחזיקים או מעבדים מידע. במקרה הזה, לפי הפרטים שפורסמו, נקודת החדירה הייתה אצל אחד מאותם גורמי צד שלישי, וזוהי נקודת תורפה מאד דומיננטית בארגונים היום. לא פורצים לארגון דרך הכניסה הראשית, אלא דרך ספק שמכיל מידע רב על המשתמשים ולעתים אפילו 'מפתח לדלת' מסוימת".
עוד מסביר מסינג כי "זהו דפוס תקיפה נפוץ מאוד, משום שמשטח התקיפה של ארגון כבר מזמן לא מסתכם רק במערכות הפנימיות שלו. הוא כולל גם ספקים, ממשקי API, שירותי ענן, מערכות תוכנה וגורמים חיצוניים שמקבלים גישה למידע או למערכות. לכן גם ארגון שמגן היטב על הסביבה שלו עלול להיחשף דרך חוליה אחרת בשרשרת".
איזה מידע הצליחו התוקפים לשלוף?
הופעלה פונקציה שבאמצעותה נשלף מידע אישי של לקוחות בודדים: שם מלא, מספר תעודת זהות, מספר חשבון בנק ופרטי נהנה (אם קיים). על-פי הדיווח של מיטב, לא נחשפו כספי הלקוחות, חשבונות המסחר או סיסמאות. למיטב ידיעת החברה, לא התאפשרה גישה לכספים ולחשבונות המסחר, לא הייתה חשיפה למערכות המסחר, ולא נחשפו סיסמאות, נתונים כספיים או מסמכי זיהוי.
עינת מירון, מומחית לסיכוני סייבר עסקיים, אומרת לגלובס כי "החברה מדגישה שהאירוע הסתיים, שלא הייתה השפעה על המשך פעילותה, ושלא צפויה השפעה מהותית על תוצאותיה, דבר שבהחלט אמור להרגיע את המשקיעים ובעלי העניין, אבל מה עם הלקוחות? האם כתוצאה מהכשל לקוחות אחרים של אותו הספק בחברות אחרות, חשופים גם הם או שמדובר באירוע נקודתי של הממשק למיטב?".
מירון שואלת כי "האם מידע אישי או פיננסי נחשף? האם התוקפים העתיקו מידע? כמה לקוחות באמת הושפעו מלבד 3,000 שצוינו כנפגעים ישירים? האם קיימת אפשרות לניצול המידע לצורך התחזות, הונאה ממוקדת או פגיעה בחשבונות? חשוב להבין - היעדר השבתה של מערכות אינו מעיד על היעדר פגיעה במידע. אירוע סייבר יכול להסתיים מבחינה טכנית, בזמן שהשלכותיו על הלקוחות רק מתחילות להתפתח".
בצל תיקון 13 לחוק הגנת הפרטיות, מה האחריות על מיטב?
על-פי החוק, מידע על פעילות פיננסית עשוי להיחשב כמידע בעל רגישות מיוחדת - מה שיכול להפוך את הטיפול במקרה הזה למורכב יותר. התיקון קובע כי אם מוטל עיצום כספי על מחזיק במאגר - ספק ה-API החיצוני שבו הייתה החולשה, בעל השליטה במאגר, במקרה הזה מיטב, חייב לפעול להפסקת ההפרה.
על-פי הודעת החברה, נראה כי מיטב טרייד עמדה בכך. בנוסף, החברה חייבת לדווח לרשות הגנת הפרטיות לפי תקנות אבטחת המידע, והיעדר דיווח שכזה יכול לגרור עיצום של עשרות אלפי שקלים ועד מאות אלפי שקלים, תלוי ברמת האבטחה של המאגר. במיטב אומרים כי הם פנו כנדרש למערך הסייבר הלאומי ולרשות הגנת הפרטיות.
עו"ד לימור ארגוב-שנהב, שותפה מנהלת תחום הגנת הפרטיות ואבטחת מידע במשרד וקסלר ברגמן ושות', מסבירה לגלובס כי "עצם התרחשותו של אירוע סייבר כזה אינה מלמדת, כשלעצמה, על הפרת הדין. הבדיקה המשפטית רחבה יותר ובוחנת את מכלול מנגנוני ניהול הסיכון שקדמו לאירוע - אמצעי האבטחה שננקטו, הרשאות הגישה למידע, אופן הסדרת פעילותם של ספקים חיצוניים והפיקוח עליהם וכן ההתנהלות מרגע גילוי האירוע".
לדבריה, "החלטה שפרסמה הרשות להגנת הפרטיות רק לאחרונה בעקבות אירוע אבטחת מידע בעיריית בית שמש ממחישה זאת היטב: הרשות הטילה על העירייה עיצום כספי לאחר שמצאה ליקויים, בין היתר, באופן שבו הוסדרה פעילותו של ספק חיצוני בעל גישה למידע, לרבות הגדרתו כמחזיק והסדרת מטרות השימוש, סוגי המידע ומערכות הגישה.
"גם כאשר מקור האירוע קשור בספק חיצוני, האחריות הרגולטורית אינה נעצרת אצל הספק. החובות להסדיר ולפקח על גישתם של גורמים חיצוניים למידע אינן חדשות, אך תיקון 13 לחוק הגנת הפרטיות שינה באופן משמעותי את סביבת האכיפה: הוא הרחיב את סמכויות הפיקוח והבירור של הרשות להגנת הפרטיות והקנה לה סמכות להטיל עיצומים כספיים משמעותיים גם בגין הפרות של תקנות אבטחת המידע. במציאות הזו, ארגונים נדרשים לנהל באופן שיטתי ומתועד את סיכוני הפרטיות ואבטחת המידע לאורך כל שרשרת עיבוד המידע - לרבות אצל ספקים חיצוניים ובממשקים המחברים אותם למערכות הארגון".
מה לקוחות מיטב טרייד צריכים לדעת עכשיו?
בשל העובדה שמה שדלף זה מידע על לקוחות, מסינג מסביר כי "מבחינת לקוחות מיטב, הסיכון הוא שהמידע שנחשף ישמש לניסיונות פישינג, התחזות או הונאה ממוקדת. לכן חשוב במיוחד להיזהר מהודעות חריגות, לא למסור קודי אימות או פרטים נוספים, ולא להיכנס לחשבון דרך קישורים שנשלחים ב-SMS או במייל".
לדברי מירון, "מידע פיננסי שנחשף אינו חוזר להיות סודי עם סגירת האירוע. חשבונות יכולים להמשיך לפעול כסדרם, ובמקביל המידע שנגנב עלול לשמש בעתיד להונאות, התחזות ותקיפות ממוקדות. גם ההצהרה שאין נזק מהותי לחברה, לא אומרת שאין נזק ללקוחות, ושאם יימצא כזה, לא יחלו הנפגעים בהליכים משפטיים שכן יצרו את הנזק".
עוד היא אומרת כי "לגבי הלקוחות עצמם - התעלמות מהנזק שעלול להיגרם או שנגרם להם היא מאוד בעייתית. זכותם המלאה לא רק לקבל מידע על החשיפה שלהם אלא גם מה נחשף, מה היקף החשיפה, מה נעשה כדי לוודא שהגישה נחסמה, והאם נדרשת מהם פעולה כלשהי כדי להגן על עצמם. בעולם מקובל שאחרי אירוע שמסכן לקוחות, החברה מספקת שירותי ניטור בתשלום לתקופה של מספר שנים".
