חולשת אבטחה במיטב טרייד הובילה לדליפת פרטים אישיים ולירידות בשער במניה

חברת המסחר העצמאי מיטב טרייד דיווחה לרשות ניירות ערך ולבורסה על אירוע אבטחת מידע, שבמסגרתו נוצלה פרצה בממשק תוכנה של ספק חיצוני לצורך שליפת נתונים אישיים של לקוחות. מניית החברה הגיבה לדיווח בירידה של כ5% בשעות המסחר הראשונות בתל אביב, על רקע החשש של המשקיעים מהשלכות האירוע על מוניטין חבר הבורסה החוץ-בנקאי הגדול בישראל.

חדירה דרך ספק תוכנה חיצוני

האירוע החל להתברר במהלך סוף השבוע, כאשר לקוחות רבים של הפלטפורמה קיבלו לטלפונים הניידים שלהם מסרונים עם קודי אימות חד פעמיים לכניסה לחשבון, מבלי שיזמו פעולה כלשהי.
בדיקה טכנולוגית שפתחה החברה יחד עם הספק החיצוני שמפעיל עבורה חלק מהמערכות העלתה כי תוקפים זיהו חולשת אבטחה באחד מממשקי הAPI, שהוא פרוטוקול המאפשר תקשורת והעברת נתונים בין מערכות תוכנה שונות. בעקבות הגילוי נחסמה הגישה לממשק ונבלמה הפעילות הבלתי מורשית.

במסגרת המתקפה נשלחו כ3,000 מסרוני אימות ללקוחות. לפי הודעת החברה, התוקפים ניסו במספר מקרים בודדים לשנות את מספרי הטלפון המשויכים לחשבונות כדי להסיט אליהם את קודי האימות, אך ניסיונות אלה סוכלו ולא בוצע כל שינוי בפועל.
עם זאת, התוקפים הצליחו להפעיל פונקציה מסוימת בממשק ולשלוף מידע אישי של לקוחות בודדים, שכלל שמות מלאים, מספרי תעודת זהות, מספרי חשבון בנק מקושר ופרטי מוטבים שהוגדרו בחשבון.

הפרדה מבנית של כספי הלקוחות

בדיווח המיידי הדגישה מיטב טרייד כי לא התאפשרה גישה לכספי הלקוחות או לנכסיהם הפיננסיים, וכי לא נרשמה חדירה למערכות המסחר המרכזיות עצמן. עוד הובהר כי סיסמאות הכניסה, מסמכי הזיהוי הסרוקים ויתרות התיקים לא נחשפו, וכי החברה תיצור קשר ישיר עם אותם לקוחות שפרטיהם דלפו.

מיטב טרייד מנהלת כ125,500 חשבונות מסחר, לעומת כ116 אלף חשבונות בסוף שנת 2025, וצמיחתה נחשבת לאחד ממנועי ההתרחבות הבולטים של החברה האם מיטב בית השקעות, המנהלת נכסים בהיקף כולל של כ464.5 מיליארד ש"ח.
בשנת 2025 לבדה צירפה החברה כ37 אלף לקוחות חדשים והציגה עלייה של 19% בהכנסות השנתיות, נתון שהמחיש את המעבר של משקיעים קמעונאיים מהמערכת הבנקאית לחברי בורסה פרטיים.

בלימה מהירה ללא פגיעה בכספים

מצדדי החברה מדגישים כי מנגנוני הליבה של חבר הבורסה הוכיחו את עמידותם, שכן כספי הלקוחות מוגנים בחשבונות נאמנות נפרדים שאינם מאפשרים משיכה לצדדים שלישיים ללא תהליך אימות קפדני.

על פי תפיסה זו, עצם העובדה שהפרצה אותרה ונחסמה במהירות, ללא חדירה למנוע המסחר המרכזי וללא דליפת סיסמאות, מעידה כי שכבות ההגנה ההיקפיות תפקדו ומנעו נזק כספי ישיר.

סכנת הונאות ופגיעה באמון הלקוחות

מנגד, משקיעים ומומחי אבטחה מצביעים על הסיכון המצטבר הנובע מחשיפת פרטי זיהוי רגישים כמו מספרי זהות וחשבונות בנק. מידע מסוג זה עלול לשמש תשתית להונאות ממוקדות או לניסיונות דיוג עתידיים נגד אותם לקוחות.
בנוסף, האירוע מעלה שאלות לגבי רמת הבקרה והעמידות של שרשרת הספקים הטכנולוגיים, בתקופה שבה התחרות על המשקיע הפרטי מול הבנקים וחברי בורסה מתחרים הופכת אגרסיבית במיוחד.

ההשפעה המבנית על חברי הבורסה הפרטיים

המנגנון הכלכלי שעומד מאחורי תגובת השוק נשען על מבנה ההכנסות של חברות המסחר העצמאי. המודל העסקי של חבר בורסה מוזן מעמלות קנייה ומכירה ומהפרשי ריבית על יתרות מזומן של לקוחות.
אם חששות האבטחה יובילו להאטה בקצב פתיחת החשבונות החדשים או לניוד תיקים לגופים מתחרים, הדבר יפגע ישירות בהכנסות השוטפות ויכביד על קצב הצמיחה של הפעילות.

במקביל, דליפת מידע מייצרת חשיפה להוצאות בלתי מתוכננות על בדיקות אבטחה, ייעוץ משפטי והתמודדות אפשרית עם תביעות או דרישות רגולטוריות מצד רשות ניירות ערך והרשות להגנת הפרטיות.
במישור הרחב, הדרישה להדק את הפיקוח על ממשקי ספקי צד שלישי צפויה להגדיל את הוצאות התפעול וההשקעה במחשוב של כלל חברי הבורסה החוץ בנקאיים, ולשחוק את שיעורי הרווחיות התפעולית בענף.