ב- 16 באוגוסט 2026 פרסמה ביטס אוף גולד הודעה ללקוחותיה: גורם בלתי מורשה השיג גישה למערכת ניתוח נתונים תומכת, מספר ימים קודם לכן. ביטס אוף גולד היא הברוקר המפוקח הגדול בישראל למטבעות דיגיטליים, החברה הראשונה במדינה שקיבלה רישיון נותן שירותים בנכסים וירטואליים. היקף החשיפה על פי הדיווח: פרטיהם האישיים של כ- 250 אלף לקוחות.
איזה מידע דלף ומה לא
נחשפו שמות, מספרי תעודת זהות, מספרי טלפון, כתובות דוא"ל, כתובות IP, פרטי חשבון בנק וכתובות ארנק ציבוריות. החברה הבהירה במפורש מה נותר מוגן: סיסמאות חשבון, צילומי מסמכי זיהוי, מפתחות פרטיים, פרטי כרטיס אשראי מלאים וקודי CVV. כספי הלקוחות והנכסים הדיגיטליים לא נפגעו. במקביל השעתה חברת פז את אפשרות רכישת הביטקוין באפליקציית Yellow, אף שלדבריה אין ממשק ישיר בין שתי המערכות.
החולשה: לא בפלטפורמת המסחר, אלא בכלי האנליטיקה
האירוע יוחס ל- CVE-2026-72898 — חולשה המנוצלת באופן פעיל בגרסאות ה- self-hosted של Metabase, פלטפורמת אנליטיקה ובינה עסקית בקוד פתוח. מדובר בהזרקת SQL שאינה דורשת אימות כלל, דרך נקודת הקצה של איפוס הסיסמה. תוקף ששולח בקשה מעוצבת במיוחד מגיע להרשאות מנהל מלאות, בלי שם משתמש ובלי סיסמה. ציון החומרה הוא 10.0, המקסימום האפשרי בסולם.
הנקודה הקריטית טמונה באופי הכלי עצמו. פלטפורמת אנליטיקה היא צומת: היא מתחברת למסדי הנתונים התפעוליים של הארגון ומחזיקה בתוכה את פרטי ההתחברות אליהם. השתלטות על הצומת הזה אינה גונבת דוח בודד. היא מעניקה לתוקף את המפתחות לכל מקורות המידע שהכלי רואה. זו הסיבה שאירוע שהתחיל ב"מערכת תומכת" הסתיים בחשיפת מאגר לקוחות שלם.
הסיכון האמיתי מתחיל דווקא עכשיו
הנטייה הטבעית היא לנשום לרווחה: הכסף בטוח, המפתחות הפרטיים לא דלפו. זו בדיוק הטעות. הצירוף שנחשף כאן הוא ערכת התחזות מושלמת — שם מלא, מספר תעודת זהות, טלפון, חשבון בנק וכתובת ארנק. תוקף שמחזיק את החמישייה הזו יכול להתקשר ללקוח, לצטט לו את פרטיו האישיים המדויקים כדי לבסס אמון ולבקש קוד אימות חד-פעמי, או העברת נכסים ל"ארנק מאובטח". כתובת הארנק הציבורית מאפשרת לו אפילו לדעת מראש כמה כסף יש לקורבן ולתעדף את המטרות השמנות.
זהו סיכון שלא פג תוקף. אפשר להחליף סיסמה, אך אי אפשר להחליף מספר תעודת זהות. עבור ארגונים הלקח חד עוד יותר: החברה שנפרצה מחזיקה רישיון רגולטורי מלא ותקן SOC 2 Type 2. תעודות ותקנים אינם תחליף לניהול חשיפות בפועל, במיוחד כשהחשיפה יושבת בכלי צד ג' שהותקן על שרת פנימי ונשכח.
פתרונות הגנת סייבר של 010
האירוע הזה נוגע בשרשרת שלמה של שירותים שאנו מספקים וחשוב לציין כי כל אחד מהם היה יכול לקטוע את האירוע בנקודה אחרת:
- סקר סיכונים הוא הבסיס. הוא ממפה בדיוק אילו כלים חיצוניים מותקנים בארגון, למה הם מחוברים, איזה מידע הם רואים ומי אחראי לעדכן אותם. כלי BI שהותקן פעם על ידי צוות הנתונים הוא בדיוק סוג הנכס שנופל בין הכיסאות.
- עדכוני תוכנה ואבטחה הם ההגנה הישירה. בגרסאות המנוהלות בענן הטלאי הוחל אוטומטית, בעוד שבהתקנות המקומיות האחריות נופלת על הארגון. חולשה בציון 10.0 בשרת חשוף לאינטרנט מחייבת טיפול בשעות, לא בשבועות.
- מודיעין סייבר מספק את ההתרעה המוקדמת על ניצול פעיל בשטח, לצד ניטור רשת האינטרנט האפלה לאיתור מאגרים שדלפו.
- SIEM/SOC הוא מה שמזהה את האנומליה בזמן אמת: שאילתות חריגות למסד הנתונים, גישה מכתובת לא מוכרת, נפח ייצוא לא סביר.
- מניעת דלף מידע (DLP) מגבילה את היקף הנזק כשהגישה כבר הושגה.
- מודעות עובדים לסייבר וכן סינון דוא"ל הם קו ההגנה מפני הגל הבא — מסע הדיוג הממוקד שמגיע תמיד אחרי דליפה כזו.
הפריצה הזו לא דרשה מהתוקף לפרוץ לבנק. די היה לו לפרוץ לכלי שמסתכל עליו.
למקור הידיעה ולקריאה נוספת לחצו כאן
