הבקשה הגיעה מתוך הדומיין של רשות ממשלתית אמיתית, עברה את כל בדיקות הזיהוי שמערכת הדואר מריצה אוטומטית, וביקשה מסמכים על לקוחות מסוימים. ברבולוט טיפלו בה כמו בכל פנייה רשמית אחרת ושלחו את המידע. רק אחר כך, כשפנו לאותה רשות כדי לאמת את הפנייה, נאמר להם שאיש שם לא ביקש דבר.

מה קרה

רבולוט אישרה ב-12 בספטמבר שמסרה מידע אישי על לקוחות לגורם לא מורשה, בעקבות בקשות מידע מזויפות שנשלחו מחשבון דואר שפעל בתוך הדומיין הרשמי של רשות ממשלתית. ההודעות ללקוחות שנפגעו התחילו להגיע יום קודם. לפי נוסח ההודעה, הפנייה נשאה סימני אימות תקינים של אותו דומיין, ולכן טופלה מתוך הנחה שמדובר בבקשה אותנטית של רשות.

מאחורי "סימני האימות" האלה עומדות שלוש בדיקות ששרת הדואר של הנמען מריץ בלי שאף אדם מעורב: האם השרת ששלח את ההודעה מורשה לשלוח בשם הדומיין, האם לתוכן יש חתימה דיגיטלית תקינה, ומה הדומיין מורה לעשות כשאחת מהבדיקות נכשלת. לשלוש האלה קוראים SPF, DKIM ו-DMARC. כאן הן עברו במלואן, פשוט מפני שההודעה באמת יצאה מהדומיין הממשלתי. מה שהן לא יכולות לבדוק הוא מי יושב מאחורי החשבון הספציפי ששלח אותה.

המידע שנמסר כולל שם מלא, תאריך לידה, עיסוק, כתובת, דואר אלקטרוני וטלפון, וגם צילום של מסמך מזהה (דרכון או רישיון נהיגה), תמונת הסלפי שנמסרה לאימות, דפי חשבון עם מספר ה-IBAN, רישומי משיכות והיסטוריית העסקאות המלאה, כולל פעילות בביטקוין. רבולוט אומרת שהמערכות שלה לא נפרצו ושכספי הלקוחות לא נגעו בהם, ושהיא חסמה את כתובת הדואר ועדכנה את הרשות, את אכיפת החוק ואת הרגולטורים. כמה לקוחות נפגעו החברה לא אמרה, וגם לא את שם הרשות או את המדינה שבה מדובר. החוקר ZachXBT, שעוקב אחרי הונאות בעולם הקריפטו, כתב שלהערכתו הבקשה כוונה ללקוחות אמידים; זו הערכה שלו, ורבולוט לא התייחסה אליה.

למה זה חשוב לכם

השירות פעיל גם בישראל, עם רישיון למתן שירותי תשלום מאז 2025 ולקוחות ישראלים, כך שהשאלה אם אתם ברשימה מעשית לגמרי. אבל העיקר כאן גדול מחברה אחת. סיסמה שדלפה מחליפים בדקה. צילום דרכון וסלפי אימות אי אפשר להחליף, ואלה בדיוק המסמכים שגוף פיננסי אחר יבקש כדי לפתוח חשבון על שמכם. מי שמחזיק אותם יחד עם היסטוריית החשבון שלכם יכול גם לבנות שיחת טלפון שנשמעת אמינה מאוד, כי הוא יודע מתי העברתם כסף, לאן וכמה.

כל פלטפורמה גדולה מפעילה ערוץ שדרכו רשויות מבקשות מידע על משתמשים, והאימות שם הוא בסופו של דבר אנושי. זה מה שנשבר.

מה עושים?

קיבלתם הודעה מרבולוט על האירוע? אל תלחצו על קישור בתוכה. פתחו את האפליקציה בעצמכם ובדקו את ההודעות בתוך החשבון.

התייחסו לכל פנייה טלפונית שמצטטת פרטים אמיתיים עליכם כאל פנייה חשודה דווקא. מי שיודע את מספר החשבון והעסקה האחרונה שלכם לא הוכיח בכך שהוא מהבנק. נתקו, וחייגו חזרה למספר שמופיע באפליקציה או בגב הכרטיס.

עברו על הגדרות האבטחה בחשבון: אימות דו-שלבי פעיל, רשימת המכשירים המחוברים נקייה ממה שאתם לא מזהים, והתראה על כל חיוב דלוקה.

אם צילום תעודת הזהות או הדרכון שלכם נמצא בין המסמכים, עקבו בחודשים הקרובים אחרי דוח נתוני האשראי שלכם ובדקו אם נפתחו על שמכם התחייבויות שאינכם מכירים.

הנקודה החלשה במקרה הזה לא הייתה שרת ולא סיסמה, אלא תיבת דואר שבה יושב מי שמאשר בקשות של רשויות. שום צעד של הלקוחות עצמם לא היה משנה את התוצאה.