מכה לרבולוט לפני ההשקה בישראל: החברה מסרה מידע רגיש לנוכלים

רבולוט, אחת מחברות הפינטק הכי חמות בעולם, נכנסת לישראל עם כתם לא קטן על השם.

החברה אישרה שגורם עוין קיבל גישה למידע רגיש של לקוחות, ממש בשלב שבו היא אמורה להשיק פעילות מלאה בארץ.

לא סתם עוד פרצת מידע. ההונאה כאן חכמה במיוחד, ולכן שווה להבין איך היא עבדה.

התוקפים לא פרצו למערכות של רבולוט בכלל. הם השתמשו בכתובת דוא"ל אמיתית של סוכנות ממשלתית, ופשוט שלחו לחברה בקשות מידע שנראו לגיטימיות לחלוטין.

רבולוט, שהאמינה שמדובר בדרישה רשמית של גורם ממשלתי, מסרה את המידע מרצונה. במילים אחרות, החברה בעצמה "פתחה את הדלת" בלי לדעת שמעבר לה עומד נוכל.

מה בדיוק דלף? הרשימה לא קצרה: שמות מלאים, תאריכי לידה, כתובות מגורים, מספרי טלפון וכתובות דוא"ל. בנוסף, נחשפו גם צילומי דרכונים ורישיונות נהיגה, תמונות סלפי ששימשו לאימות זהות, ואפילו דפי חשבון והיסטוריית עסקאות מלאה.

זה בדיוק סוג המידע שהופך התחזות עתידית לאמינה במיוחד. מי שיפנה ללקוח עם כל הפרטים האלה ביד, יישמע כמו נציג אמיתי של הבנק.

לפי הערכות של חוקרי אבטחה, ההונאה לא הייתה אקראית. היא כוונה בעיקר ללקוחות בעלי הון עצמי גבוה, כלומר מי שיש להם הכי הרבה מה להפסיד.

מהחברה נמסר שמדובר במספר "מוגבל" של לקוחות, אבל בלי מספר מדויק. גם זהות הסוכנות הממשלתית שהתחזו לה נשארה חסויה.

הבשורה הטובה, אם אפשר לקרוא לה כך: כספי הלקוחות ומערכות הליבה של רבולוט לא נפגעו בכלל. מדובר בדליפת מידע, לא בגניבת כסף ישירה.

מרגע שההונאה התגלתה, רבולוט חסמה מיד את כתובת הדוא"ל המזויפת, עדכנה את הרשות הממשלתית שממנה נעשה שימוש לרעה, ופנתה לרשויות אכיפת החוק ולרגולטורים הפיננסיים. הלקוחות שנפגעו קיבלו הודעה אישית.

דובר החברה מסר כי "רבולוט זיהתה לאחרונה תרמית התחזות חיצונית מתוחכמת, שבמסגרתה גורם לא מורשה השתמש בדומיין דוא"ל לגיטימי של סוכנות ממשלתית כדי להגיש בקשות כוזבות למידע". הוא הוסיף כי "מערכות רבולוט וכספי הלקוחות לא נפגעו".

חשוב להבין את התזמון. רבולוט אמורה להיכנס לישראל כ"בנק רזה", אחרי שרשות ניירות ערך העניקה לה, יחד עם עוד שלוש חברות פינטק בינלאומיות, רישיון למתן שירותי תשלום בארץ. הרישיון הזה נועד ליצור תחרות אמיתית מול הבנקים המקומיים, כולל אפשרות לנהל ארנק דיגיטלי, להעביר משכורות ולהנפיק כרטיסי אשראי.

יו"ר רשות ניירות ערך, ספי זינגר, כבר תיאר את הכניסה של החברות האלה כ"בשורה צרכנית שעתידה לשנות את פני המערכת הפיננסית". השאלה היא אם פרשת ההונאה תשפיע על האמון הראשוני של הציבור הישראלי, עוד לפני שהחברה הספיקה לגייס כאן לקוח אחד.

מעבר לישראל, רבולוט לא עוצרת. החברה שואפת להנפקה פומבית עם שווי של עד 200 מיליארד דולר, ולאחרונה קיבלה אישור ראשוני להקים בנק לאומי בארצות הברית. עם מעל 80 מיליון לקוחות ב-30 מדינות, מדובר בשם ענק בעולם הפיננסי, מה שהופך את הפרשה הזו לרגישה במיוחד מבחינת תדמית.

בינתיים לא ידוע כמה לקוחות בדיוק נפגעו, ולא ברור אם מדובר בלקוחות ישראלים או רק בלקוחות מהפעילות הקיימת באירופה. רבולוט לא פרסמה גם את זהות הסוכנות הממשלתית שממנה זויפו הבקשות, כך שחלק גדול מהתמונה עדיין חסר.

מי שקיבל בזמן האחרון פנייה חשודה בשם רבולוט, כדאי שיבדוק אותה מול האפליקציה הרשמית ולא ילחץ על קישורים או ימסור פרטים בטלפון, גם אם המתקשר נשמע כאילו הוא כבר יודע עליו הכל.