גורם חיצוני הצליח לשלוף מידע אישי של לקוחות מיטב טרייד לאחר שניצל חשיפה בממשק API שהפעיל ספק חיצוני של החברה, כך דיווחה הבוקר מיטב טרייד. ממשק API הוא חיבור המאפשר לשתי מערכות מחשב להעביר ביניהן מידע או פקודות באופן אוטומטי. בדיקה שערכו מיטב טרייד והספק החיצוני העלתה כי קיימת חשיפה באחד הממשקים שהפעיל הספק. לדברי החברה, היא חסמה את הגישה לממשק והפסיקה את השימוש בו.
האירוע התגלה לאחר שבשבת, 26 בספטמבר, התקבלו דיווחים מלקוחות שקיבלו מסרוני SMS ובהם קוד אימות חד-פעמי לכניסה למערכת, אף שלא ביקשו אותו. לפי החברה, המסרונים החשודים נשלחו ל-3,000 לקוחות. בנוסף בוצעו כמה ניסיונות לשנות את מספר הטלפון הרשום במיטב טרייד לצורך הזדהות למספר אחר, אך אלה, לפי החברה, לא צלחו.
(אילוסטרציה: Shutterstock)
הבדיקה העלתה גם, כאמור, כי גורם חיצוני הפעיל פונקציה שאפשרה לשלוף פרטים אישיים, ובהם שם מלא, מספר תעודת זהות, מספר חשבון בנק ופרטי נהנה, ככל שקיים.
לפי בדיקות החברה עד כה, לא התאפשרה גישה לכספי הלקוחות או לחשבונותיהם, לא נחשפו מערכות המסחר ולא נחשפו סיסמאות, מידע כספי או מסמכי זיהוי. החברה מסרה כי תודיע ללקוחות שהמידע האישי שלהם נשלף.
האירוע מגיע לאחר כמה תקלות טכנולוגיות שחוו לקוחות מיטב טרייד. רק בתחילת ספטמבר נכנסו לקוחות למערכת וגילו כי יתרת החשבון או שווי תיק ההשקעות שלהם מוצגים כאפס. מיטב טרייד הבהירה אז כי מדובר בתקלה בתצוגה בלבד, שנגרמה בעקבות עדכון נתונים, וכי הכספים וניירות הערך לא נפגעו.
במרץ 2025 הושבתו למשך שעות מערכות המסחר של מיטב טרייד ו-IBI, באופן שמנע מלקוחות לבצע פעולות בשוק המקומי. מקור התקלה היה אז במערכת התקשורת של ספקית הטכנולוגיה FMR, ומיטב טרייד הפנתה לקוחות לחדר המסחר לביצוע פעולות באמצעות נציגים.
האירועים מקבלים משנה חשיבות על רקע הצמיחה המהירה של מיטב טרייד, פלטפורמת המסחר הגדולה בישראל. נכון לסוף יוני 2026 היו לחברה 130 אלף חשבונות לקוחות, לאחר שנוספו לה כמעט 19 אלף חשבונות חדשים במחצית הראשונה של השנה. היקף נכסי הלקוחות בפלטפורמה עמד באותה עת על כ-46 מיליארד שקל, לעומת 41 מיליארד שקל בסוף 2025 ו-32.9 מיליארד שקל בסוף 2024.
