אירוע אבטחת המידע החמור שנחשף בחברת מנורה מבטחים מעורר שאלות: האם הפרטים האישיים של הלקוחות מוגנים, כיצד ניתן לדעת אם המידע נחשף, ומה עליהם לעשות במקרה שבו אדם שאינו מורשה קיבל גישה לנתוניהם?
מבוטחים במנורה? זהירות: המידע האישי שלכם עלול להיות חשוף
על פי הודעת הרשות להגנת הפרטיות במשרד המשפטים, מידע אישי של 138 מבוטחים נחשף לסוכן ביטוח שלא היה מורשה לעיין בו. המידע כלל פרטי זיהוי, מצב משפחתי, פרטי מעסיקים, נתוני שכר, פרטי פוליסות ביטוח, תשלומים וחובות. מדובר בפרטים אישיים שחשיפתם לגורם בלתי מורשה עלולה לפגוע בפרטיות המבוטחים ואף ליצור סיכונים נוספים אם ייעשה בהם שימוש לרעה.
האירוע התרחש במערכות של חברת מנורה מבטחים, המחזיקה מאגר מידע הכולל פרטים על כשני מיליון בני אדם. עם זאת, חשוב להבחין בין היקף המאגר לבין היקף האירוע: לפי ממצאי הרשות, החשיפה שנבדקה נגעה למידע של 138 מבוטחים בלבד.
איך תדעו אם הפרטים שלכם באמת חסויים?
לקוחות מנורה מבטחים המעוניינים לברר אם פרטיהם נכללו בדו"ח שנחשף צריכים לפנות לחברה בערוצי השירות הרשמיים ולבקש תשובה מפורשת לשאלה האם המידע האישי שלהם היה חלק מאירוע האבטחה שהתרחש בנובמבר 2025.
במסגרת הפנייה מומלץ לבקש לדעת אילו פרטים נחשפו, למי ניתנה גישה אליהם, האם המידע הועתק או נשמר מחוץ למערכות החברה, והאם ננקטו צעדים למניעת חשיפה נוספת. ניתן גם לבקש לקבל את התשובה בכתב ולשמור תיעוד של הפנייה.
מה כדאי לעשות אם המידע שלכם נחשף?
חשיפת מידע פיננסי ואישי אינה מחייבת בהכרח החלפת סיסמאות או חסימת אמצעי תשלום, אך היא מצדיקה ערנות מוגברת. מידע על מקום עבודה, שכר, מצב משפחתי ופוליסות ביטוח עלול לשמש גורמים עוינים לצורך התחזות או ניסיונות הונאה, אם יגיע לידיהם.
לכן, מבוטחים שיתברר כי פרטיהם נחשפו צריכים להיזהר במיוחד מפניות בלתי צפויות של גורמים המציגים עצמם כנציגי חברת הביטוח, ולהימנע ממסירת סיסמאות, קודי אימות או פרטים פיננסיים בעקבות הודעות וקישורים לא מזוהים.
במקרה של חשד לשימוש לרעה במידע, מומלץ לתעד את הפניות החשודות, לפנות לחברת הביטוח ולשקול הגשת תלונה לגורמים המוסמכים בהתאם לנסיבות.
האם מנורה הייתה חייבת להודיע למבוטחים?
חובת הדיווח על אירוע אבטחה חמור לרשות להגנת הפרטיות אינה זהה לחובת הודעה אישית לכל מבוטח. בהתאם למדיניות הרשות, היא רשאית לבחון אם יש צורך להורות לארגון ליידע את האנשים שהמידע שלהם נחשף, בין היתר על בסיס רגישות המידע, היקף החשיפה והסיכון לנזק.
במקרה של מנורה מבטחים, הודעת משרד המשפטים התמקדה בהפרת חובת הדיווח לרשות. החברה ידעה על האירוע ב-12 בנובמבר 2025, אך דיווחה עליו רק ב-27 בנובמבר, לאחר שהשלימה את בדיקותיה הפנימיות. בעקבות האיחור הוטל על החברה עיצום כספי בסך 256 אלף שקלים, לאחר שסכום הקנס הראשוני, שעמד על 640 אלף שקלים, הופחת ב-60%.
הרשות הבהירה בהחלטתה כי חברות אינן רשאיות להמתין להשלמת הבדיקות הפנימיות לפני דיווח על אירוע אבטחה חמור. דיווח ראשוני נדרש גם כאשר תמונת המצב חלקית, ואת הפרטים החסרים ניתן להשלים בהמשך.
