כשל אבטחה באתר בנק הפועלים
פירצת אבטחה חושפת את שמותיהם ופרטיהם של אלפי המנויים לשירות העדכונים בדואר האלקטרוני באתר הבנק ומאפשרת למפיצי דואר זבל ל"קצור" את כתובות הדואר האלקטרוני שלהם. לא נחשף כל מידע כלכלי-אישי
שירות "פועלים ניוזלטר", המוצע לגולשי אתר בנק הפועלים, מאפשר להם לקבל בדואר האלקטרוני עדכון חודשי עם סקירות כלכליות, מבצעים והטבות בנקאיות, טיפים, כתבות ודעות. יש לציין, כי בשלב זה המשלוח אינו כולל מידע כלכלי אישי על חשבון הבנק של הגולש.
גולשים המקבלים את העדכון ואינם רואים כראוי את ההודעה מוזמנים ללחוץ על קישור לצפייה תקינה בעדכון. קישור זה הוא כתובת אינטרנט ייחודית שבסופה יש מספר זיהוי של הגולש.
הכתובת הייחודית מאפשרת למסד הנתונים להציג לגולש דף מותאם אישית שבחלקו העליון ברכה אישית ובחלקו התחתון מופיעה כתובת הדואר האלקטרוני שלו, כאשר הצופה בדף יכול לשנות את פרטי המשלוח, להגדיר כתובת דואר אלקטרוני אחרת או לבטל את הרישום – הכל בתהליך בלתי מוצפן.
כשל האבטחה מאפשר לכל אדם לבצע מניפולציה במספר הזיהוי כתובת האינטרנט (URL) הנשלחת לכל נמען של הניוזלטר, ולצפות בפרטים של מנויים אחרים: שם, שם משפחה ודואר אלקטרוני. פירצה כזו חושפת את פרטי הגולש בפני מפיצי דואר זבל שיכולים ל"קצור" מהאינטרנט אלפי כתובות של מנויי הבנק באמצעות תוכנה מתאימה, וכן חושפת את שמות בעלי החשבון.
שי כהן, מנהל השיווק והפיתוח העסקי של inwise, מסביר כי כשל אבטחה דומה נמצא גם אצל גופים רבים אחרים, ונגרם עקב שימוש במערכות דיוור אלקטרוני לא מקצועיות. "גופים רבים סבורים שהם יכולים לשלוח עדכונים בדואר האלקטרוני בעצמם, ונדמה להם שמשלוח דואר לאדם אחד ול-100 אלף אנשים זה אותו דבר".
"כל אדם יכול לגלות את הפירצה ולנצלה לרעה ולא צריך להיות האקר בשביל זה. הפגיעה בפרטיות הגולשים והלקוחות היא חמורה, במיוחד כאשר היקף דואר הזבל גדל וזבלנים רבים מחפשים מאגרי כתובות דואר אלקטרוני להפצה", הוא אומר, "המאגר של בנק הפועלים הוא מכרה זהב עבור ספאמרים". כהן מציין כי החברה לא תמכור או תעביר את מאגר המידע.
בהצהרת הפרטיות של בנק הפועלים נכתב כי הבנק "מכבד את פרטיות המשתמשים. הפרטים האישיים הנמסרים על ידי המשתמש לבנק יאגרו במאגרי המידע של הבנק ויעשה בהם שימוש למתן השירות, תוך התאמתו לצורכי המשתמש באתר זה. השימוש בפרטים הנמסרים בעת הרישום והשימוש ב"פועלים newsletter" ייעשה בהתאם להוראות כל דין לרבות הוראות חוק הגנת הפרטיות, התשמ"א – 1981". בחוק זה נקבע כי "בעל מאגר מידע, מחזיק במאגר מידע או מנהל מאגר מידע, כל אחד מהם אחראי לאבטחת המידע שבמאגר המידע".
תגובת בנק הפועלים
הפנייה הועברה לבדיקת מחלקת אבטחת מידע של הבנק ובעקבותיה נחסמה הפירצה. אנו מבקשים להדגיש כי שירות "פועלים NEWSLETTER" הינו שירות פתוח לכלל הציבור והוא ניתן באתר השיווקי של הבנק שהוא נפרד לחלוטין מהאתר העסקי, ואינו קשור לחשבונות הלקוחות והוא אתר שיווקי לחלוטין, המכיל סקירות כלכליות ומידע על הטבות שונות. השירות אינו מכיל כל מידע אישי בנוגע לפעילות בנקאית כלשהי, ונעזרים בו לקוחות כל הבנקים ולאו דווקא לקוחות בנק הפועלים.
אין כל כוונה להשתמש במנגנון הניוזלטר לשירותי בנקאות אישיים. באמצעות "פועלים NEWSLETTER" לא ניתן לראות כל מידע הנוגע ללקוחות הבנק והשירותים שהם מקבלים בבנק הפועלים. בנק הפועלים נוקט בכל האמצעים הדרושים על מנת לאבטח סודיות ופרטיות ללקוחות הבנק.
