לפני הכניסה לישראל: חברת הפינטק רבולוט מאשרת כי נפגעה מהונאה ודליפת מידע
נקודות עיקריות.כלכליסט AI
- ענקית הפינטק רבולוט אישרה כי מידע רגיש של לקוחות נחשף לגורם לא מורשה בעקבות מתקפת הונאה מתוחכמת שניצלה כשל בתהליכי האימות האנושיים מול רשויות החוק.
- המידע שדלף כולל נתוני זיהוי אישיים, מסמכי זהות רשמיים ופרטים פיננסיים נרחבים כמו מספרי חשבון והיסטוריית עסקאות, אך החברה הבהירה כי לא נפרצו נתונים ביומטריים או כספי לקוחות.
- האירוע מתרחש בעוד רבולוט מצויה בתהליך לקבלת רישיון בנקאי בישראל, וקיים חשש כי הכשל באבטחת המידע ישפיע על אמון הציבור המקומי ועל דרישות הפיקוח על הבנקים.
אירוע חריג בענקית הפינטק הבריטית רבולוט, שעומדת להיכנס לישראל במודל של "בנק רזה": החברה אישרה כי במהלך סוף השבוע, מידע רגיש של לקוחות נחשף לגורם לא מורשה. זאת לאחר שהחברה קיבלה בקשות הונאה שנשלחו מדומיין דוא"ל מאומת של רשות ממשלתית, כך אמר אתמול (שבת) דובר החברה לסוכנות הידיעות רויטרס.
רבולוט לא ציינה אם הפריצה התמקדה במדינה מסוימת ולא נקבה בשם הרשות הממשלתית שזויפה, אך ההערכות מצביעות על כך שהאירוע אינו מקומי. לפי חוקר אבטחת הקריפטו העצמאי ZachXBT, התרמית לא הייתה אקראית או ממוקדת גיאוגרפית, אלא כוונה ספציפית נגד משתמשים בעלי הון גבוה מתוך מטרה לשים יד על הפרופיל הפיננסי שלהם.
לפי דיווח של TechCrunch, המידע שנחשף היה נרחב וכלל לא רק נתוני זיהוי בסיסיים כמו תאריכי לידה, כתובות דואר ודוא"ל, מספרי טלפון, וכן העתקים של מסמכי זהות כולל דרכונים, רישיונות נהיגה ותמונות אימות, אלא גם מידע פיננסי רגיש. הנתונים שדלפו כללו מספרי חשבון (IBAN), דפי חשבון, והיסטוריית עסקאות מלאה, לרבות פעילות ענפה במטבעות קריפטוגרפיים דוגמת ביטקוין. עם זאת, החברה הבהירה כי נתונים ביומטריים ופרטי התחברות לחשבונות לא נחשפו.
"עם גילוי האירוע, חסמנו מיידית את הכתובת והתרענו לרשות הממשלתית הרלוונטית וכן לרשויות אכיפה, הגנת מידע ורגולטורים פיננסיים", אמר דובר רבולוט לרויטרס. לדבריו, "המערכות של רבולוט וכספי הלקוחות לא נפגעו", מבלי לגלות את המספר המדויק של האנשים שנפגעו מהפריצה.
לרוב, ניסיונות הונאה מסוג "פישינג" – בהם עבריינים מנסים להשיג מידע אישי באמצעות הפעלת הקורבן ללחוץ על לינק או למסור מידע – מוכוונים ללקוחות קצה. במקרה של רבולוט, מדובר במתקפת הונאה מתוחכמת שניצלה את מנגנוני הציות של החברה עצמה. התוקפים השתמשו בכתובת דוא"ל חוקית המקושרת לדומיין רשמי של רשות ממשלתית כדי להגיש בקשות מידע כוזבות. מכיוון שהדומיין היה אותנטי ועבר את בדיקות האבטחה הטכניות של רבולוט, צוות החברה נענה לבקשה ומסר את המידע, במה שמהווה כשל בתהליכי האימות האנושיים מול רשויות החוק.
בתוך כך, האנליסט מקס קרפיס הפריך שמועה שהופצה ברשת X (לשעבר טוויטר) לפיה עובד אבטחת מידע פוטר לאחר שפקפק בבקשות, והבהיר כי מדובר בחשבון פארודי ולשמועה אין ביסוס עובדתי. לצד זאת, הוא כתב כי האירוע מהווה תזכורת מטרידה לכך שמידע רגיש יכול "לעזוב את הבניין" ללא פריצת סייבר קלאסית, אלא עקב כשל אנושי. מדובר באירוע חריג במיוחד עבור חברה בסדר הגודל של רבולוט, המשרתת כיום מעל 80 מיליון לקוחות ברחבי העולם ופועלת עם רישיון בנקאי ביותר מ-30 מדינות, ובמערכות התשלומים של מעל 160 מדינות.
בישראל, השפעת האירוע צפויה להיות מוגבלת בשלב זה. מכיוון שרבולוט עדיין לא מקיימת פעילות עסקית בפועל בישראל, האירוע אינו משפיע על רוב הישראלים (אם כי סביר שיש אלפי עד עשרות אלפי ישראלים שגרים או שגרו בחו"ל ושמחזיקים בחשבון בחברה). עם זאת, החברה נמצאת בעיצומו של תהליך לקבלת רישיון של "בנק רזה" מבנק ישראל.
למעשה, כניסתה של רבולוט לשוק הישראלי היא אחת התקוות המרכזיות של בנק ישראל ומשרד האוצר לייצר תחרות משמעותית לבנקים הגדולים. הבנק הדיגיטלי וואן זירו, שהחל לפעול בסוף 2022, אמנם מצליח לגרום לבנקים להתאמץ יותר, אך לא שינה עד כה את שיווי המשקל בשוק. הדרך הארוכה של וואן זירו ממחישה שייתכן ונדרש גוף עם גב פיננסי משמעותי ומוניטין בינלאומי כדי לשנות את השוק הריכוזי בישראל. רבולוט נחשבת לגוף כזה, אך האירוע הנוכחי עלול להעיב על האופן שבו הציבור בישראל יתפוס אותה. מעבר לדעת הקהל, עולה שאלה אם האירוע גם יגרום לפיקוח על הבנקים בישראל להקשיח את דרישות אבטחת המידע כתנאי מוקדם למתן הרישיון.
בנוסף, ביולי 2025, רשות ניירות ערך העניקה לרבולוט (לצד חברות נוספות) "רישיון למתן שירותי תשלום". הרישיון מאפשר לחברה להעביר ולהמיר כספים, להציע שירותי סליקה וארנקים דיגיטליים, ואף להעניק ריבית על כספים המופקדים בחשבונות.
בגזרה העסקית הכללית, רבולוט ממשיכה לדהור קדימה. החברה מתכננת הנפקה פומבית ושואפת לשווי של עד 200 מיליארד דולר. יעד זה נשען על זינוק מרשים בשוויה: רק ביולי האחרון השלימה החברה מכירת מניות שניונית לפי שווי של 115 מיליארד דולר – קפיצה משמעותית מהערכת שווי של 75 מיליארד דולר בסבב גיוס הון בנובמבר אשתקד. היא נחשבת לאחת מחברות הפינטק האירופיות המצליחות ביותר, ללא סניפי בנק פיזיים. החברה אף הרחיבה לאחרונה את הנוכחות שלה בשווקים כמו הודו, מקסיקו, צרפת ואיחוד האמירויות. יתרה מכך, מוקדם יותר החודש קיבלה החברה אישור טנטטיבי מהרגולטורים האמריקאים לפתוח את הבנק הראשון במדינה, שלפי התוכניות יושק במחצית הראשונה של 2027.
