כתב אישום נגד מנהל אבטחת מידע: פרץ לחברות וצילם נשים בבתיהן
מיכאל בר, מנהל אבטחת המידע בקבוצת חמת, מואשם כי החדיר נוזקות ל-26 חברות, שני קיבוצים ואנשים פרטיים, הפעיל אלפי פקודות מרחוק ושאב סיסמאות ומידע עסקי רגיש, לצד תיעוד נשים וקטינות בבתיהן. כשבמערך הסייבר הלאומי פנו אליו בכובעו המקצועי ועדכנו אותו על מתקפה נגד חברות במשק, הוא יצר נוזקה משוכללת יותר באמצעות "קלוד" והמשיך להחדירה לעוד חברות
שלושה שבועות אחרי שנעצר, הגישה היום מחלקת הסייבר בפרקליטות המדינה כתב אישום עב כרס נגד ההאקר מיכאל (מיקי) בר מאשקלון, ששימש כמנהל אבטחת המידע של קבוצת חמת (לקבוצה אין קשר לאישומים), בטענה שהחדיר נוזקות ל-26 חברות, לשני קיבוצים ולמחשביהם של אנשים פרטיים, הפעיל אלפי פקודות מרחוק ואסף סיסמאות, תכתובות, מידע עסקי רגיש ותיעוד ממצלמות וממיקרופונים. לפי האישום, לאחר שנודע לו כי מתקפת הסייבר שלו נחשפה, הוא פיתח בעזרת בינה מלאכותית נוזקה מתוחכמת יותר כדי להמשיך לשאוב מידע עסקי ופרטי רגיש.
בכתב האישום, שהוגש באמצעות עוה"ד אלעד דיין וחווי לרנר, תואר כיצד בר - בן 43 מאשקלון - פעל מאז שנת 2019 ועד מעצרו בחודש שעבר באופן שיטתי ליצירה, הפצה והפעלה של תוכנות מחשב זדוניות אשר שימשו אותו ככלי סייבר התקפיים, ואותן הוא פיתח בין השאר בעזרת כלי AI, כמו קלוד.
ברשימת החברות שהותקפו על ידו, המופיעה בנספח לכתב האישום, נכללות בין היתר חברות כמו שלדור, גינדי הריבוע הכחול, מכפל משמרות, עתידים, סולגרין, פרודלים, כרמל דירקט, מצמן את מירוץ, אייר טור, אוטוסופט, פורמט הנדסה אזרחית, איירו הנדלינג ועוד. כמו כן גם הקיבוצים גזית וכפר מנחם.
כתב האישום מתאר סיפור מרתק, ששיאו ב-30 באפריל השנה. אז בר, מתוקף תפקידו כמנהל אבטחה בקבוצת חמת, קיבל פנייה מגורמים במערך הסייבר הלאומי שחקרו מתקפה רחבת היקף על חברות במשק הישראלי, וחשדו כי גם קבוצת חמת נפלה קורבן. הם עדכנו את בר בפרטי האירוע ואף העבירו לו כלי שנועד לאתר את הנוזקה במערכות המחשוב של הקבוצה. אלא שלפי כתב האישום, האיש שקיבל את כלי האיתור והיה אמור לסייע בחשיפת התוקף - היה בעצמו מי שעמד מאחורי המתקפה. בר כמובן הסתיר זאת מגורמי הסייבר, קיים עמם שיחות נוספות במשך כשבועיים ולא חדל מפעילותו. להפך: אף שכבר ידע שהנוזקה התגלתה, הוא פיתח, לטענת הפרקליטות, נוזקה חדשה ומתוחכמת יותר והחדיר אותה לתשתיותיהן של חברות נוספות.
כתב האישום כולל 11 אישומים שונים ומייחס לבר, בין היתר, 28 עבירות של חדירה לחומר מחשב כדי לעבור עבירה אחרת, 44 עבירות של החדרת נגיף מחשב, 155 עבירות של פגיעה בפרטיות וריבוי עבירות גניבה ופעולות אסורות בתוכנה. לפי הפרקליטות, לחברות נגרם נזק של כ־1.5 מיליון שקל. המדינה מבקשת לעוצרו עד תום ההליכים בטענה למסוכנות ולחשש משיבוש המשפט, ובית המשפט החליט היום שבשלב זה הוא יישאר במעצר עד להחלטה אחרת.
לפי כתב האישום, מערך השליטה שבנה בר התנהל בחלקו באמצעות כלים יומיומיים ומוכרים. כבר ביוני 2019 הוא החזיק חשבון טלגרם (בשם המשתמש "MIKOSS") וייצר 19 בוטים, שבאמצעותם שלט באופן בלעדי בנוזקות הזדוניות שהותקנו במחשבים וברשתות אינטרנט של משתמשים שונים. בר סיגל את נוזקות הטלגרם לבצע פעולות במחשב המותקף כמו: צילום מסך, תיעוד וידאו ואודיו באמצעות הפעלת המצלמה והמיקרופון, הפקת סיסמאות ושמות המשתמש השמורים במחשב המותקף, הפקת פרטי כרטיסי אשראי השמורים במחשב, הפקת רשימת קבצים שמורים, הורדת קבצים השמורים בו, וכיבוי המחשב מרחוק.
בנוסף ייצר השנה בר, לפי האישום, עוד שתי נוזקות משוכללות יותר, לצורך איסוף ושליפת מידע במחשבים המותקפים, ובכלל זה פרטי זיהוי, סיסמאות והרשאות גישה השמורות במחשב או בדפדפן, תיעוד הקלדות של המקלדת של המחשב בזמן אמת, כדי לאסוף סיסמאות, הודעות ופרטים רגישים, צפייה במסך בזמן אמת והקלטתו, הקלטת קול באמצעות המיקרופון. בסביבה ארגונית הוא סיגל את הנוזקות להתפשט בין מחשבים ומערכות של הארגון, לשנות מערכות הפעלה, להשתלט על מחשבים, לחפש ארנקי קריפטו במחשב המותקף, לפגוע במערכי הגנה ועוד.
לפי כתב האישום, בין פברואר לאוגוסט השנה, שלח בר אלפי פקודות באמצעות הנוזקות למחשבי החברות שהותקפו. מאות מהפקודות נועדו לסיור ולמיפוי המערכות הארגוניות, אחרות שימשו לתנועה בין מחשבים ברשת, לצילום מסכים ולהפעלת מצלמות, להורדת קבצים ולחילוץ סיסמאות ונתוני הזדהות.
הפרשה התגלתה ב-27 באפריל השנה, לאחר שאחת החברות שנפגעו חשדה כי נוזקה הותקנה במחשביה ושכרה את שירותיה של חברה העוסקת בתגובה והתגוננות לאירועי סייבר. בדיקת הממצאים העלתה חשש כי אין מדובר באירוע נקודתי, אלא כפי שנכתב באישום "עלה חשש לפגיעה נרחבת במשק הישראלי". בין החברות שעלה חשד שהותקפו היתה גם חמת, ומסיבה זו במערך הסייבר הלאומי שחקר את הנושא, פנו אל בר, כאמור, מתוקף תפקידו בחברה, והעבירו לו את הכלי לאיתור הנוזקה כדי שיבצע באמצעותו בדיקה במערכות והיו עמו בקשר. אלא שהתברר, שבזמן שבר מנהל עמם קשר הם בעצם דיברו עם לא אחר, מאשר התוקף עצמו, שפיתח בעקבות זאת נוזקה מתוחכמת יותר, שאותה החדיר לתשתיות של חברות נוספות. החל מיוני השנה ועד למעצרו על ידי יחידת הסייבר בלהב 433 במשטרה באוגוסט הוא אף הספיק לשגר באמצעותה יותר מ-1,200 פקודות שונות למחשבים שהותקפו.
לצד המידע העסקי שנלקח מהחברות שתקף בר, ונזקים ממוניים שנגרמו להן בסכום כולל של כ-1.5 מיליון שקל, כתב האישום מתאר חדירה עמוקה במיוחד לחייהם הפרטיים של עובדים ובני משפחותיהם, במשך שנים. בר מואשם כי השתמש במצלמות ובמיקרופונים של מחשבים שהוצבו בתוך בתים, חדרי שינה ואף חדר במלון, מבלי שהאנשים המצולמים ידעו כי מישהו צופה בהם מרחוק.
באחד המקרים, לפי האישום, הוא הפעיל את מצלמת המחשב של מנהלת מוצר וצילם אותה ישנה במיטתה בחדר השינה. במקרה אחר הפעיל את מצלמת המחשב של סמנכ"לית פיתוח עסקי בעת ששהתה בחדר במלון, ובאותו יום גם העתיק קובץ שכלל את סיסמאותיה, ובהן פרטי הכניסה לחשבון קופת החולים שלה. צילום מסך נוסף תיעד שיחת זום שבה נדונו פרויקטים ועסקאות משמעותיות של החברה. במקרה נוסף, מואשם בר כי חדר למחשב ששימש סוכנת מכירות ושלוש מבנותיה הקטינות. לפי כתב האישום, הוא הפעיל שוב ושוב את מצלמת המחשב וצילם את הבנות בסלון ובחדר השינה, בין היתר כשהן בלבוש חלקי ובמצבים אינטימיים. הוא אף הפעיל את המיקרופון והקליט שיחה בין דיירות הבית. התוצרים, כך נטען, נשמרו ברשותו עד למעצרו.
במחשבים אחרים תועדו לפי האישום תכתובות פרטיות עם רופאות משפחה, חיפושים בנושאים רפואיים, שיחות ווטסאפ, חשבונות דואר אלקטרוני, פרטי התחברות לנטפליקס ולחברות אשראי ומידע אישי על לקוחות. במקרה אחד צולם מסך שהציג את הפלטפורמה הבנקאית של חברה, שבאמצעותה ניתן היה לגשת לחשבונותיה באיטליה, וכן העברה בנקאית אפשרית למשרד עורכי דין איטלקי.
בבקשה למעצרו של בר עד תום ההליכים טוענת הפרקליטות כי במחשביו אותרו הנוזקות, קישורים לשרתי השליטה ואלפי קבצים שנשלחו מהמחשבים המותקפים. חלק מהקבצים, נטען, מוינו בתיקיות ייעודיות במחשבו הפרטי של בר, לפי שמות הנפגעים וכללו סיסמאות, פרטי זיהוי, צילומי מסך וסרטונים שהופקו ממצלמות המחשבים. עוד איתרו החוקרים את היסטוריית הפעילות של בר באמצעות תוכנת הבינה המלאכותית "קלוד", בה נעזר כדי לפתח את הנוזקות. הפרקליטות מחזיקה גם בהודעותיהן של 12 נשים, ובהן אימהות לבנות קטינות וקטינה שנפגעה בעצמה, שתיארו את התדהמה והזעזוע בעקבות גילוי המעשים. וכן בהודעות נציגי החברות המותקפות, שתיארו את הנזק, לרבות הכלכלי, שחוו, שהגיע למאות אלפי שקלים בחלק מהחברות.
לפי בקשת המעצר, בתחילת חקירתו טען בר כי ביצע את הפעולות בסמכות וברשות מעסיקיו, אולם בהמשך הודה, לפי הפרקליטות, בחלק ניכר מהעבירות, לרבות יצירת שתי תוכנות זדוניות בעזרת מערכת בינה מלאכותית, יכולותיהן והחברות שאליהן הוחדרו. עם זאת, הוא הכחיש קשר לנוזקות שנשלטו מחשבון הטלגרם שלו וטען כי אדם שזהותו אינה ידועה לו השתלט על החשבון, חדר באמצעותו למחשבים של אחרים והתקין בהם את הנוזקות.
הפרקליטות, כאמור, ביקשה מבית המשפט להותיר אותו במעצר עד תום ההליכים בטענה למסוכנות לביטחון הציבור ולחשש משיבוש הליכים. לדבריה, יכולותיו הטכנולוגיות, האפשרות להפעיל נוזקות מרחוק והעובדה שחלק מהן עלולות עדיין להימצא במחשבים הופכות גם מעצר בית או פיקוח אלקטרוני לבלתי מספקים.
