חשש לפירצת אבטחה בישראכרט המשך בדיקה

 

בפוסט קודם חוקר חשש לפירצת אבטחת מידע בחברת ישראכרט תיארתי הודעת חיוב תמוהה לטובת חברת בזק בינלאומי בהוראת קבע.  

בפוסט חשש לפירצת אבטחה בישראכרט - עדכון

תיארתי את המשך החקירה. 

בשלב זה גיליתי שאני מתקשה להיכנס לאתר ישראכרט משום שהחברה מתקשה לנהל באופן סביר את הסיסמאות החד-פעמיות (OTP) שנשלחות או במקרה זה אינן נשלחות באמצעות SMS. 

הובטח לי שזה יתוקן בערך תוך יומיים. 

אחרי יותר מיומיים בדקתי והבעיה נותרה כפי שהייתה. 

מצאתי כמה דרכים עוקפות שלכל אחת מהן יש גם חסרונות ואינן עונות על כל המצבים בהם צריך קוד חד פעמי.

הממצא החמור ביותר נוגע לשליחת הקוד בהודעה קולית. 

הינחתי שאם קוד באמצעות SMS לא מגיע לא יגיע גם קוד בהודעה קולית. 
מנגנון יצירת הקוד החד פעמי צריך להיות זהה רק הניתוב לערוץ שונה. 

במידה שהבעיה היא במנגנון הניתוב אצליח לקבל קוד קולי. 

ניסיתי ולא קיבלתי קוד. ניסיתי שוב ושוב לא קיבלתי קוד. אחרי כחמש דקות קיבלתי הודעה קולית רק לניסיון השני שלי. 

כלקוח של ישראכרט, שרוצה שהחברה תתפקד באופן סביר יש לי עצה טובה לתת הם:

כדאי לכם לטפל בכשלים שיש לכם בתוכנה המטפלת ב-OTP. זה מנגנון חשוב מדי בשביל שתשאירו בו באגים.

תפנית בעלילה

היום (20.10.26) בדקתי את החיוב העתידי שלי בכרטיס כאל ולפתע ראיתי הודעת חיוב לטובת בזק בינלאומי ב-2.11. 

כפי שהזכרתי בפוסט הראשון הפעם האחרונה שהיה לי קשר עסקי עם בזק בינלאומי הייתה לפני כ-25 שנים כשאני נתתי להם יעוץ חד-פעמי בהקשר של בחירת מוצר לאינטגרציה בין מערכןת מחשוב. 

לפני זה הייתי לקוח שלהם לתקופה קצרה כשעדיין היה צורך לקבל חשבוניות באמצעות דואר ישראל. 

כעצמאי שעבורו מדובר בהוצאה מוכרת הייתי זקוק לחשבוניות.

אחרי שהם לא היו מסוגלים לספק לי באופן סדיר חשבוניות באמצעות דואר עזבתי אותם למתחרה שכן היה מסוגל לעשות זאת.  

באופן ודאי לא נתתי הוראת קבע לטובת בזק בינלאומי בשנת 2026. 

על הטיפול מול כאל בפוסט הבא.

השורה התחתונה לגבי ישראכרט

לא הייתה פירצת אבטחה בהקשר של כרטיס האשראי שלי, אבל החברה אינה מנהלת באופן סביר את המנגנון של יצירת ושליחת סיסמאות חד-פעמיות.