תוסף הדפדפן של Phia תוכנן להזריק עוגיות מעקב של שותפים במהלך תהליך התשלום באתרי קמעונאות – גם כאשר המשתמש לא לחץ על קופון של Phia או לא קיים אינטראקציה עם התוסף כלל . משמעות הדבר: אם גולש נכנס לחנות עצמאית, או דרך תוכנית שותפים אחרת כמו Wirecutter, Phia עדיין יכלה לתבוע קרדיט על הרכישה . החוקר העצמאי בן אדלמן זיהה שדה (Feature Flag) בקוד של Phia בשם enable_coupon_auto_drop, שהופעל ב-10 בדצמבר 2025 וכובה ב-7 ביולי 2026, על פי דיווח Bloomberg . מומחים משפטיים שצוטטו ב-ניו יורק פוסט אומרים שהטקטיקה הזו עלולה להיחשב כהונאת סיבים פדרלית, שעונשה המקסימלי הוא 20 שנות מאסר .
בתחילה, ביולי 2026, Phia טענה שרק נודע לה על ייחוסי השותפים השגויים "ב-24 השעות האחרונות" והאשימה "באג בתוכנה" . הדיווח של Bloomberg באוגוסט 2026 סותר לחלוטין קו הגנה זה .
הודעות Slack פנימיות שדלפו מראות שכבר בחודש דצמבר 2025 – לפחות שבעה חודשים לפני הפנייה הראשונה של Bloomberg – המייסדות גייטס וקיאני דנו באופן פעיל בתכונת הטמנת העוגיות עם מהנדסים ומנהלים .
בהתכתבות מדצמבר, גייטס ביקשה ממפתחים לאשר שהטמנת העוגיות האוטומטית עובדת, וכתבה שהיא אמורה "לתפוס כל עסקה" אם התכונה פועלת כראוי . קיאני צוטטה בהודעות פנימיות באומרה: "כל מה שנוכל לעשות כדי להמשיך להטיל את העוגיות האלה יהיה מדהים" .
ההתקשרויות הפנימיות מראות ששתי המייסדות דחפו לתכונות שאיפשרו את הפרקטיקה – זו לא הייתה טעות של מתכנת או באג אקראי, אלא תכונה שנבנתה במכוון ונוטרה .
פרקטיקת ה-Cookie Stuffing לא הייתה שולית – היא הייתה לב ליבה של צמיחת Phia המדווחת .
Bloomberg דיווח כי הטמנת העוגיות פגעה במספר רשתות קמעונאיות גדולות, כולל:
חברות אלה שילמו ל-Phia עמלות שותפים על מכירות שהסטארט-אפ לא יצר, עמלות שנוכו מהן שלא בצדק . נכון למועד הדיווח, אף אחת מהרשתות לא הגיבה בפומבי לשערורייה .
לאחר הדיווח הנוסף של Bloomberg, Phia הצהירה כי תבדוק כל עסקה ותבטל מכירות שיוחסו לה בטעות. החברה אמרה שהחלה לבצע ביטולי העברות לשותפי השיווק .
לרשות הסחר הפדרלית (FTC) הוגשו תלונות צרכנים על Phia חודשים לפני הדיווחים של Bloomberg, מה שמרשם שהרגולטורים כבר קיבלו רמזים על הפרקטיקות של החברה .
הודעות Slack שדלפו חושפות מתח פנימי. עובדים העלו חששות בתוך החברה בנוגע לפרקטיקה . בעקבות השערורייה, Futurism דיווח שגייטס האמינה שיש "בוגד מבפנים" בחברה שמדליף מידע .
בנובמבר 2025, Fortune דיווח כי ארבעה חוקרי סייבר מצאו שתוסף הדפדפן של Phia צילם תמונות של כל דף אינטרנט שביקר בו משתמש – כולל דפים שהכילו מידע רגיש ביותר, כמו דפי בנק ומיילים פרטיים – הרבה יותר נתונים ממה שהחברה חשפה .
בעקבות הדיווח הראשוני של Bloomberg ביולי 2026, Phia הושעתה מ-Impact.com, פלטפורמה מרכזית לשיווק שותפים ומשפיענים .
| עובדה מרכזית | פירוט |
|---|---|
| הפרקטיקה | Cookie Stuffing (הטמנת עוגיות שותפים מבלי להניע מכירה) |
| ידעו על כך | לפחות מדצמבר 2025 (7+ חודשים לפני ההכחשה הפומבית) |
| חלק מההכנסות | כ-51% מה-GMV ביוני 2026 יוחסו לפרקטיקה |
| קמעונאים שנפגעו | נייק, נורדסטרום, גאפ ועוד |
| סיכון משפטי | עד 20 שנות מאסר בגין הונאת סיבים |
| הטענה הראשונית של החברה | "באג בתוכנה" שהתגלה "ב-24 השעות האחרונות" |
| תגובה מאוחרת יותר | בדיקה וביטול עסקאות שיוחסו בטעות |
| נושאים נוספים | תלונות ל-FTC, תחלופת עובדים, איסוף נתונים לא מוצהר, השעיה מ-Impact.com |
תוסף הדפדפן של Phia תוכנן להזריק עוגיות מעקב של שותפים במהלך תהליך התשלום באתרי קמעונאות – גם כאשר המשתמש לא לחץ על קופון של Phia או לא קיים אינטראקציה עם התוסף כלל . משמעות הדבר: אם גולש נכנס לחנות עצמאית, או דרך תוכנית שותפים אחרת כמו Wirecutter, Phia עדיין יכלה לתבוע קרדיט על הרכישה . החוקר העצמאי בן אדלמן זיהה שדה (Feature Flag) בקוד של Phia בשם enable_coupon_auto_drop, שהופעל ב-10 בדצמבר 2025 וכובה ב-7 ביולי 2026, על פי דיווח Bloomberg . מומחים משפטיים שצוטטו ב-ניו יורק פוסט אומרים שהטקטיקה הזו עלולה להיחשב כהונאת סיבים פדרלית, שעונשה המקסימלי הוא 20 שנות מאסר .
בתחילה, ביולי 2026, Phia טענה שרק נודע לה על ייחוסי השותפים השגויים "ב-24 השעות האחרונות" והאשימה "באג בתוכנה" . הדיווח של Bloomberg באוגוסט 2026 סותר לחלוטין קו הגנה זה .
הודעות Slack פנימיות שדלפו מראות שכבר בחודש דצמבר 2025 – לפחות שבעה חודשים לפני הפנייה הראשונה של Bloomberg – המייסדות גייטס וקיאני דנו באופן פעיל בתכונת הטמנת העוגיות עם מהנדסים ומנהלים .
בהתכתבות מדצמבר, גייטס ביקשה ממפתחים לאשר שהטמנת העוגיות האוטומטית עובדת, וכתבה שהיא אמורה "לתפוס כל עסקה" אם התכונה פועלת כראוי . קיאני צוטטה בהודעות פנימיות באומרה: "כל מה שנוכל לעשות כדי להמשיך להטיל את העוגיות האלה יהיה מדהים" .
ההתקשרויות הפנימיות מראות ששתי המייסדות דחפו לתכונות שאיפשרו את הפרקטיקה – זו לא הייתה טעות של מתכנת או באג אקראי, אלא תכונה שנבנתה במכוון ונוטרה .
פרקטיקת ה-Cookie Stuffing לא הייתה שולית – היא הייתה לב ליבה של צמיחת Phia המדווחת .
Bloomberg דיווח כי הטמנת העוגיות פגעה במספר רשתות קמעונאיות גדולות, כולל:
חברות אלה שילמו ל-Phia עמלות שותפים על מכירות שהסטארט-אפ לא יצר, עמלות שנוכו מהן שלא בצדק . נכון למועד הדיווח, אף אחת מהרשתות לא הגיבה בפומבי לשערורייה .
לאחר הדיווח הנוסף של Bloomberg, Phia הצהירה כי תבדוק כל עסקה ותבטל מכירות שיוחסו לה בטעות. החברה אמרה שהחלה לבצע ביטולי העברות לשותפי השיווק .
לרשות הסחר הפדרלית (FTC) הוגשו תלונות צרכנים על Phia חודשים לפני הדיווחים של Bloomberg, מה שמרשם שהרגולטורים כבר קיבלו רמזים על הפרקטיקות של החברה .
הודעות Slack שדלפו חושפות מתח פנימי. עובדים העלו חששות בתוך החברה בנוגע לפרקטיקה . בעקבות השערורייה, Futurism דיווח שגייטס האמינה שיש "בוגד מבפנים" בחברה שמדליף מידע .
בנובמבר 2025, Fortune דיווח כי ארבעה חוקרי סייבר מצאו שתוסף הדפדפן של Phia צילם תמונות של כל דף אינטרנט שביקר בו משתמש – כולל דפים שהכילו מידע רגיש ביותר, כמו דפי בנק ומיילים פרטיים – הרבה יותר נתונים ממה שהחברה חשפה .
בעקבות הדיווח הראשוני של Bloomberg ביולי 2026, Phia הושעתה מ-Impact.com, פלטפורמה מרכזית לשיווק שותפים ומשפיענים .
| עובדה מרכזית | פירוט |
|---|---|
| הפרקטיקה | Cookie Stuffing (הטמנת עוגיות שותפים מבלי להניע מכירה) |
| ידעו על כך | לפחות מדצמבר 2025 (7+ חודשים לפני ההכחשה הפומבית) |
| חלק מההכנסות | כ-51% מה-GMV ביוני 2026 יוחסו לפרקטיקה |
| קמעונאים שנפגעו | נייק, נורדסטרום, גאפ ועוד |
| סיכון משפטי | עד 20 שנות מאסר בגין הונאת סיבים |
| הטענה הראשונית של החברה | "באג בתוכנה" שהתגלה "ב-24 השעות האחרונות" |
| תגובה מאוחרת יותר | בדיקה וביטול עסקאות שיוחסו בטעות |
| נושאים נוספים | תלונות ל-FTC, תחלופת עובדים, איסוף נתונים לא מוצהר, השעיה מ-Impact.com |