Données de clients de Meitav Trade exposées : les faits et les vérifications à effectuer

Un code d'authentification arrive sur votre téléphone alors que vous n'avez pas essayé de vous connecter. C'est ainsi que l'incident de sécurité informatique chez Meitav Trade a commencé à apparaître : le samedi 26 septembre, l'entreprise a reçu des signalements de SMS inattendus. Il est ensuite apparu qu'un acteur extérieur avait extrait des données personnelles de clients. Selon les vérifications de l'entreprise, les fonds et les comptes des clients n'étaient pas accessibles, et aucun mot de passe n'a été exposé.

Cette distinction est importante dès le départ. L'exposition de données personnelles constitue un incident réel même sans retrait d'argent, mais ne prouve pas une prise de contrôle d'un compte de courtage. Pour les clients, il s'agit maintenant de savoir quelles informations les concernant sont impliquées et comment le vérifier sans transmettre de nouvelles données à une personne non autorisée à les recevoir.

Les données extraites et les déclarations de l'entreprise sur les fonds

Selon la déclaration de Meitav à la Bourse datée du 29 septembre, les informations extraites comprenaient les noms complets, les numéros de carte d'identité, les numéros de compte bancaire et les coordonnées des bénéficiaires effectifs, lorsqu'il y en avait. L'entreprise a indiqué que l'exposition s'était produite via une interface exploitée par un prestataire externe, dont l'accès a été bloqué et l'utilisation interrompue.

Meitav a précisé qu'à sa connaissance et sur la base de ses vérifications, les systèmes de négociation n'avaient pas été exposés. Les données financières et les documents d'identité ne l'avaient pas été non plus, selon l'entreprise. Ces déclarations décrivent les résultats des vérifications rapportés par Meitav et doivent être lus en conservant cette attribution.

Un numéro de compte bancaire, par exemple, est une donnée d'identification ; la possibilité d'effectuer une opération nécessite une autorisation distincte. De même, un numéro de carte d'identité n'est pas une photographie de cette carte. Cette distinction ne réduit pas l'importance de la vie privée. Elle aide à établir précisément ce qui s'est passé et à éviter des décisions fondées sur un scénario dépassant les informations communiquées.

Pourquoi 3 000 SMS ne signifient pas forcément 3 000 clients

Le site Kol Rega a rapporté, en citant le communiqué de l'entreprise, qu'environ trois mille SMS d'authentification avaient été envoyés pendant l'incident. Il a également fait état de quelques tentatives de modification du numéro de téléphone destinataire du code, en précisant qu'elles avaient échoué et qu'aucune modification n'avait effectivement eu lieu.

Ce chiffre décrit des messages envoyés. Il ne permet pas à lui seul de déterminer combien de personnes différentes ont été touchées ni combien d'enregistrements de données ont été extraits. Un message, un client et un enregistrement de données sont des éléments distincts, qu'il ne faut pas confondre pour évaluer l'ampleur de l'incident.

Recevoir un code ne répond pas non plus entièrement à la question de ce qui est arrivé à son compte. Notez l'heure de réception du message et interrogez l'entreprise sur votre situation précise. À l'inverse, l'absence de SMS ne permet pas de conclure de son côté que les informations d'un client ont certainement échappé à l'exposition. Les vérifications individuelles doivent passer par l'entreprise.

Si plusieurs membres d'une famille possèdent des comptes distincts, chacun doit vérifier les messages qui le concernent. Une capture d'écran transférée dans un groupe peut aider à comprendre qu'un incident s'est produit, mais elle ne remplace pas une réponse concernant le compte du destinataire. Évitez de diffuser des captures contenant des codes d'authentification ou des données personnelles.

L'interface externe et les vérifications après son blocage

Un article de ynet décrivait une interface API exploitée par un prestataire externe. Il s'agit d'une connexion permettant à des systèmes informatiques d'échanger des informations ou des instructions. Pour l'utilisateur, cette activité se déroule en coulisses, derrière l'écran du service ; dans ce cas, elle était au cœur de l'exposition signalée par l'entreprise.

Meitav et le prestataire ont procédé à des vérifications. L'entreprise a indiqué avoir fait appel à un professionnel extérieur, tandis que le prestataire en avait sollicité un autre. Selon Kol Rega, Meitav a annoncé qu'elle contacterait les clients dont les informations avaient été extraites. L'entreprise a également déclaré que l'incident était terminé et qu'il n'avait pas affecté la poursuite de ses activités.

L'annonce de la fin d'un incident concerne le traitement de l'exposition découverte. La demande individuelle d'un client répond à une autre question : ses informations en faisaient‑elles partie ? Il est donc possible de continuer à utiliser le service tout en demandant une réponse claire sur la protection de sa vie privée. Ces démarches ne sont pas contradictoires.

Auprès du service client, posez trois questions simples : mes données ont‑elles été extraites, lesquelles exactement, et dois‑je entreprendre une démarche ? Demandez une réponse écrite et conservez‑la avec les messages reçus. Toute nouvelle demande pourra ainsi s'appuyer sur les informations déjà communiquées.

Distinguez également la recherche d'informations de la décision de continuer à utiliser le service. Avant de vous prononcer, rassemblez en un même endroit les explications reçues, les démarches demandées et les questions encore sans réponse. Ce bref dossier permet de comparer les messages sans dépendre uniquement de sa mémoire ou des titres de presse.

Vérifier un message sans exposer davantage de données

Dans son guide destiné au public, la Banque d'Israël explique que l'hameçonnage est une tentative d'obtenir des informations au moyen d'un message renvoyant vers un site qui usurpe une identité. La demande est parfois présentée comme la correction d'un problème de sécurité ou une mise à jour destinée à protéger le client. Cette explication générale éclaire la prudence à adopter après un incident de données, sans affirmer qu'une campagne d'hameçonnage visant les clients de Meitav a ensuite été documentée.

La Banque d'Israël recommande de ne pas communiquer d'identifiants à la suite d'un message suspect et de vérifier auprès de l'entreprise avant de répondre à la demande ou de cliquer sur un lien. En pratique, ouvrez vous‑même votre application habituelle ou utilisez un canal de contact connu, plutôt que les coordonnées fournies dans un SMS.

Même si l'expéditeur connaît votre nom, concentrez‑vous sur ce qu'il demande : un code, un mot de passe, des données d'identification ou la visite d'un autre site. Une approche qui semble personnelle ne justifie pas de renoncer aux vérifications. Vous pouvez interrompre l'échange et contacter vous‑même le service client.

Si vous avez déjà saisi des données à la suite d'un message suspect, contactez rapidement l'entreprise concernée en expliquant ce que vous avez communiqué et à quel moment. Distinguez la lecture du message, le clic sur un lien et la transmission d'informations : ces détails aideront à décrire le cas et à obtenir des consignes adaptées.

Le SMS inattendu est le point de départ, pas la conclusion. Une réaction utile commence par une courte pause, se poursuit par une prise de contact indépendante avec l'entreprise et aboutit à une réponse concernant le compte précis. C'est ainsi que l'on peut établir ce qui a été exposé sans transformer la vérification elle‑même en occasion de divulguer de nouvelles informations.