שאלות ותשובות
המידע של 250 אלף לקוחות בסיכון: מה דלף מביטס אוף גולד וכיצד על הלקוחות לפעול
שמות, מספרי תעודות זהות, טלפונים, פרטי חשבונות בנק וכתובות ארנק קריפטו נחשפו באירוע הסייבר שפגע בספק חיצוני של ביטס אוף גולד. בחברה מבהירים שהכספים ומטבעות הקריפטו לא נפגעו, אך המידע עלול לשמש לניסיונות הונאה ממוקדים
חברת הקריפטו הישראלית ביטס אוף גולד, שלה כ־250 אלף לקוחות רשומים, דיווחה אתמול על אירוע אבטחת מידע שבו נחשפו פרטים אישיים של לקוחותיה, כחלק ממתקפת סייבר רחבה בעולם על ספקית שירותי אנליטיקה חיצונית. בחברה מדגישים כי כספי הלקוחות ומטבעות הקריפטו לא נפגעו, אך לצד זאת דלפו פרטים אישיים שעלולים לשמש לניסיונות הונאה ממוקדים. איזה מידע דלף, מי עומד מאחורי הפריצה, ומה הלקוחות צריכים לעשות כעת? כלכליסט עושה סדר:
מה קרה באירוע הסייבר בביטס אוף גולד?
לפני כמה ימים זוהתה גישה בלתי מורשית למערכת תומכת לניתוח נתונים המשמשת את ביטס אוף גולד. עם גילוי האירוע, החברה ניתקה את המערכת ממקורות המידע ופתחה בחקירה בליווי חברת תגובה לאירועי סייבר, לצד דיווח לרשויות הרלבנטיות, ובראשן רשות שוק ההון.
איזה מידע ככל הנראה נחשף?
פרטי זיהוי וקשר שכללו שמות מלאים, מספרי תעודת זהות, מספרי טלפון, כתובות דוא"ל, כתובות IP, פרטי חשבון בנק וכתובות ארנק קריפטו ציבוריות – המקבילה בעולם הקריפטו למספר חשבון בנק או לכתובת דוא"ל. כל 250 אלף לקוחות החברה נמצאים בסיכון.
בחברה מדגישים שנכסי הקריפטו והכספים של הלקוחות בטוחים לחלוטין, ושבאירוע לא נחשפו סיסמאות כניסה, מספרי כרטיסי אשראי, קודי CVV או צילומי תעודות זהות. בביטס אוף גולד מבהירים ששירותי המסחר ממשיכים לפעול כסדרם.
מהי הסכנה המרכזית עבור לקוחות החברה?
הסכנה המיידית אינה פריצה לחשבון, אלא גל מתקפות הנדסה חברתית ופישינג ממוקד. שילוב של שם מלא, מספר טלפון, דוא"ל והידיעה שהאדם מחזיק בחשבון מסחר בקריפטו מאפשר לתוקפים לייצר פניות מתחזות אמינות במיוחד – בהודעות SMS, מיילים או שיחות טלפון – תוך התחזות לנציגי החברה, בנקים או גורמי אכיפה. הפנייה יכולה להיעשות גם דרך התחזות לגורמים ממשלתיים בנושאים שאינם קשורים למסחר בקריפטו. השימוש הגובר בכלי AI מאפשר לתוקפים להוציא לפועל מתקפות התחזות מתוחכמות ומהירות בהרבה מבעבר.
מה הלקוחות נדרשים לעשות כעת?
אין צורך לבצע פעולה טכנית בחשבון (כמו שינוי סיסמה או העברת כספים), אך נדרשת ערנות גבוהה: אין ללחוץ על קישורים חשודים בהודעות טקסט או בדוא"ל, אין למסור קודי אימות, סיסמאות חד־פעמיות או מפתחות פרטיים לאף גורם. ביטס אוף גולד, בדומה לכל גוף פיננסי, לעולם לא תבקש פרטים אלה, ואין להעביר כספים או מטבעות דיגיטליים לארנקים אחרים בעקבות פנייה יזומה של גורם כלשהו.
האם ביטס אוף גולד הייתה היעד הישיר למתקפה?
לא. מדובר בתקיפה על חברת התוכנה הבינלאומית Metabase (מטא־בייטס), המספקת שירותי אנליטיקה והתנהגות משתמשים למאות חברות ברחבי העולם. התוקפים ניצלו חולשת אבטחה שהתגלתה לאחרונה אצל הספק.
האם ישנן חברות ישראליות נוספות שנפגעו באירוע?
ברמה הגלובלית, מדובר באירוע רחב היקף שפגע, ככל הנראה, במאות חברות ברחבי העולם המשתמשות בשירותי Metabase. בישראל, ביטס אוף גולד היא החברה היחידה ששמה נקשר רשמית לאירוע עד כה, אך ברשות שוק ההון ובמערך הסייבר הלאומי בודקים אם גופים פיננסיים או חברות מקומיות נוספות עשו שימוש באותו ספק ונחשפו לחולשת האבטחה.
מהי ביטס אוף גולד ומה היקף פעילותה?
ביטס אוף גולד היא החברה הפעילה הראשונה מבין תשע חברות שקיבלו רישיון למסחר במטבעות קריפטוגרפיים מרשות שוק ההון. כלומר, החברה מפוקחת בידי הרשות. החברה מעסיקה כ־55 עובדים, משרתת כ־250 אלף לקוחות רשומים, ולאחרונה חתמה על הסכם שיתוף פעולה עם קבוצת פז לרכישת מטבעות באמצעות ארנק Yellow.
כיצד ניתן למנוע את האירועים הבאים?
סיכוני צד ג' הם אינהרנטיים לחברות, שכן הן נשענות על סטנדרטים של ספקים חיצוניים שאינם בשליטתן הישירה. אירועים אלו ממחישים כי ההגנה של גוף פיננסי חזקה רק כמו החוליה החלשה ביותר בשרשרת הטכנולוגית שלו. Metabase נחשבת לספק מוכר ומבוסס, כך שלא זוהתה עד כה התרשלות חריגה מצד ביטס אוף גולד בבחירת הספק. עם זאת, ברשות שוק ההון מתחקרים את נסיבות האירוע ואת אופן ניהול הסיכונים.
