אירוע אבטחת מידע חריג התרחש באחת מזרועות המסחר העצמאי הגדולות בישראל. חברת מיטב טרייד השקעות בע"מ דיווחה לבורסה לניירות ערך בתל אביב ולרשות ניירות ערך על אירוע סייבר ואבטחת מידע שהתגלה בחברת הבת, מיטב טרייד בע"מ. מדובר באירוע שראשיתו בדיווחים שהגיעו במהלך סוף השבוע, כאשר לקוחות החלו לקבל הודעות טקסט חשודות לטלפונים הניידים שלהם, והתפתח לכדי גילוי של פרצה בממשק חיצוני שאפשרה לגורמים לא מורשים לשלוף נתוני זיהוי אישיים של אלפי חשבונות. המקרה ממחיש שוב את נקודת התורפה המשמעותית ביותר של מוסדות פיננסיים בעידן הדיגיטלי: התלות ההולכת וגוברת בספקי צד שלישי ובממשקי קישוריות חיצוניים, המהווים לעיתים שער אחורי עבור תוקפים.
ההתרחשות החלה בשבת, 26 בספטמבר 2026, כאשר לקוחות של מיטב טרייד הבחינו בקבלת מסרוני SMS הכוללים קוד אימות חד-פעמי (OTP) שאותו כלל לא ביקשו ליזום. קוד מסוג זה משמש בדרך כלל לאימות זהות בעת כניסה לחשבון, אישור פעולות רגישות או עדכון פרטים אישיים, והגעתו ללא פעולה יזומה מצד המשתמש הדליקה מיד נורות אזהרה אצל הלקוחות ובמערך האבטחה של החברה. עם קבלת הדיווחים, פתחה החברה בבדיקות טכנולוגיות מקיפות יחד עם הספק החיצוני אשר המערכות הרלוונטיות מצויות בחצריו ומופעלות על ידו. הבדיקות העלו במהירות כי מקור החולשה היה חשיפה באחד מממשקי ה-API (ממשק תכנות יישומים) המופעל על ידי אותו ספק חיצוני.
בתגובה מיידית לממצאים, פעלה מיטב טרייד לחסום באופן הרמטי את הגישה לממשק הפרוץ. פעולת החסימה הפסיקה את השימוש בממשק באחת, ובכך נבלמה ומנעה כל פעילות בלתי מורשית נוספת באמצעות אותו ערוץ תקשורת. במקביל, כדי לוודא שאין מוקדי סיכון נוספים וכדי למפות במדויק את ממדי החדירה, שכרה מיטב טרייד גורם מקצועי חיצוני המתמחה בחקירות סייבר ובדיקות עומק, ובמקביל גם הספק החיצוני התקשר עם מומחה אבטחה חיצוני עצמאי לצורך ביצוע חקירה פורנזית מקיפה של התשתיות.
ממצאי הבדיקות המעמיקות העלו תמונת מצב מדויקת של היקף האירוע. מהנתונים עולה כי במסגרת המתקפה נשלחו כ-3,000 מסרונים למספרי טלפון של לקוחות, ובהם אותו קוד אימות חד-פעמי. יתרה מזאת, החוקרים זיהו כי בוצעו מספר ניסיונות בודדים מצד הגורם התוקף לשנות בפועל את מספר הטלפון שאליו נשלח קוד האימות, מתוך כוונה אפשרית להשתלט על ערוץ האימות, אולם הניסיונות הללו נכשלו כולם ולא הושלם כל שינוי של מספר טלפון במערכות. לצד זאת, הבדיקה חשפה כי הגורם החיצוני הצליח להפעיל פונקציה מסוימת בממשק, שבאמצעותה נשלף מידע אישי של אותם חשבונות. המידע שנחשף כלל את השם המלא של הלקוח, מספר תעודת הזהות שלו, מספר חשבון הבנק המקושר ופרטי הנהנה בחשבון, ככל שהיו קיימים.
במיטב טרייד מדגישים כי למרות עוגמת הנפש והפגיעה בפרטיות המידע האישי, נמנע נזק כספי ישיר ללקוחות. על פי ממצאי הבדיקות הטכנולוגיות ולמיטב ידיעת החברה, לתוקפים לא הייתה כל גישה לכספי הלקוחות, ליתרות המזומנים או לתיקי ניירות הערך המנוהלים בחשבונות. כמו כן, לא נרשמה כל חשיפה או חדירה למערכות המסחר עצמן, ולא דלפו סיסמאות כניסה לחשבונות, נתונים פיננסיים של תיקי ההשקעות או מסמכי זיהוי סרוקים כלשהם. מדובר בהבדל קריטי המפריד בין אירוע דליפת פרטי זיהוי לבין אירוע חמור של גניבת נכסים או חבלה בפעילות המסחר.
החברה הודיעה כי תמסור הודעות אישיות לכלל הלקוחות שהמידע האישי לגביהם נשלף במסגרת האירוע, במטרה לשקף להם את תמונת המצב המלאה ולאפשר להם לגלות ערנות מוגברת לניסיונות התחזות עתידיים (כגון פישינג ממוקד). בהודעתה הבהירה מיטב טרייד כי היא רואה חשיבות עליונה בהגנה על פרטיות לקוחותיה ועל המידע המופקד בידיה, וכי תמשיך לפעול עד להשלמת מלוא הבדיקות והפקת הלקחים מנסיבות המקרה.
במישור התפעולי והעסקי, החברה מבהירה כי אירוע אבטחת המידע הסתיים לחלוטין ונבלם, וכי לא נרשמה כל פגיעה ברציפות הפעילות השוטפת של מיטב טרייד. להערכת ההנהלה, לא צפויה להיות לאירוע או להשלכותיו השפעה מהותית על התוצאות הכספיות של החברה, ולא צפוי להיגרם לה נזק כספי מהותי בעקבותיו, אם כי החברה ציינה כמקובל כי מדובר במידע צופה פני עתיד העשוי להשתנות בהתאם להתפתחויות. האירוע מציב תמרור אזהרה לכלל הגופים המוסדיים ובתי ההשקעות הפועלים בישראל, ומדגיש את החשיבות הקריטית של הידוק הבקרות ואבטחת ה-API מול שותפים טכנולוגיים חיצוניים.
