גורם חיצוני שלף שם מלא, מספר תעודת זהות, מספר חשבון בנק ופרטי נהנה של כ-3,000 לקוחות מיטב טרייד. החשיפה הייתה בממשק API של ספק, לא במערכת המסחר עצמה. החברה חסמה את הממשק והפסיקה להשתמש בו. הכסף, הסיסמאות ומסמכי הזיהוי לא נגנבו, לפי הבדיקה עד כה.

הסימן ללקוח היה מסרון עם קוד אימות חד-פעמי, בלי שביקשתם אותו. בשבת, ה-26 בחודש, נשלחו כ-3,000 מסרונים כאלה. היו גם ניסיונות להחליף את מספר הטלפון הרשום לצורך הזדהות, והם לא הצליחו. מספר הסניף ומספר הטלפון של הלקוח לא דלפו. מי שקיבל קוד בלי לבקש – כדאי שיפנה לשירות הלקוחות. החברה אומרת שתיצור קשר עם מי שהמידע שלו נשלף.

שאלה: מה אפשר לעשות עם ת.ז. ומספר חשבון, בלי סיסמה? תשובה: בעיקר להישמע אמינים בשיחת טלפון. מי שמתקשר ומקריא לכם את מספר הזהות ואת מספר החשבון נשמע כמו נציג אמיתי, ומשם הדרך קצרה לבקשה להקריא את הקוד שהגיע במסרון. קוד חד-פעמי לא מוסרים בטלפון לאף אחד, גם לא למי שמציג את עצמו כנציג הבנק או בית ההשקעות. כדאי גם לעבור באפליקציית הבנק על רשימת ההרשאות לחיוב חשבון ולוודא שלא נוספה הרשאה שלא נתתם. איך התגלתה הדליפה מלכתחילה פורט בקוד אימות שלא ביקשתם.

נכון לסוף יוני היו בפלטפורמה 130 אלף חשבונות, אחרי כמעט 19 אלף חשבונות חדשים במחצית הראשונה. נכסי הלקוחות עמדו על כ-46 מיליארד שקל, מול 41 מיליארד בסוף השנה שעברה. שלושת אלפים לקוחות הם פחות מ-3% מהמאגר, אבל לת.ז. ולמספר חשבון יש ערך להונאה. אפשר לבנות שיחה שמתחזה לבנק או לבית ההשקעות, ולבקש סיסמה או קוד. על איך נראה חיוב חודשי רגיל כתבנו ב-מדריך כרטיסי האשראי.

עוד בהון: רוצים להתחיל להשקיע בשוק ההון? השאלות שכדאי לשאול לפני הצעד הראשון.

זו לא התקלה הראשונה אצלם. לפני כמה שבועות לקוחות נכנסו וראו יתרה אפס, והחברה אמרה שזו תצוגה בלבד. במרץ שעבר מערכות מיטב טרייד ו-IBI הושבתו שעות בגלל ספקית התקשורת FMR. הפעם מדובר בשליפת זהות, לא במסך ריק. מי שכבר בודק איפה הכסף יושב, יכול להשוות מסלול ב-מחשבון השקעות.

מי שהמידע שלו נשלף יכול לפנות לחברה בכתב ולבקש לדעת בדיוק אילו פרטים שלו נחשפו, ובמקביל להגיש תלונה לרשות להגנת הפרטיות. פנייה כתובה משאירה תיעוד, ואיך מנסחים אותה נכון מוסבר במדריך לפנייה לנציג ולהגשת תלונה. כשאירוע פוגע באלפי לקוחות באותה צורה, השאלה אם יש עילה לתביעה ייצוגית עולה כמעט מעצמה, ואיך בודקים אם אתם חלק מקבוצה כזאת מפורט במדריך תביעות ייצוגיות. מאוגוסט 2025 חל תיקון 13 לחוק הגנת הפרטיות, שהרחיב את סמכויות האכיפה של הרשות ונתן לה כוח להטיל עיצומים כספיים משמעותיים על הפרות באבטחת מידע.

השאלה שלי: האם מספיק לכם שהכסף לא זז, או שת.ז. וחשבון בנק אצל גורם זר כבר מזיזים אתכם מחשבון המסחר.