פרצת האבטחה של יועץ נתניהו: הווטסאפ של אוריך חובר לשירות מדובאי
נקודות עיקריות.כלכליסט AI
- יועץ ראש הממשלה יונתן אוריך חיבר את חשבון הווטסאפ הפרטי שלו לשירות צד ג' מאיחוד האמירויות, ובכך העניק גישה מלאה ובלתי מוצפנת להתכתובות רגישות וחשאיות.
- חשיפת המחדל התאפשרה לאחר שאוריך פרסם באתר גיטהאב קוד הכולל טוקני התחברות ומזהים ייחודיים לקבוצות ווטסאפ ששימשו למעקב תקשורתי עבור בני הזוג נתניהו.
- השירות המדובר, Ultramsg, שומר תכנים על שרתיו למשך 120 יום וכפוף לחוקי איחוד האמירויות המאפשרים לרשויות הביטחון המקומיות גישה למידע ללא צורך בצו בית משפט.
- מומחי סייבר מתריעים כי השימוש בחשבון פרטי לצורך אוטומציה של מסרים יצר סיכון אבטחה משמעותי, שכן כל המדיה וההודעות בחשבון הפכו נגישות לגורמים זרים.
יועצו של ראש הממשלה בנימין נתניהו, יונתן אוריך, חיבר את חשבון הווטסאפ שלו לשירות ניהול של חברה מאיחוד האמירויות, וסיפק לשירות גישה מלאה ובלתי מוצפנת לכל התכתובות והמדיה שעברו בו. תכתובות אלו יכלו להיות נגישות גם לרשויות באיחוד האמירויות, הודות לחוקים מקומיים שמספקים להן גישה רחבה לתכנים מסוג זה ללא צורך בצו בית משפט.
בשבוע שעבר חשף "הארץ" כלי מעקב תקשורתי שבנה אוריך בעבור ראש הממשלה ורעייתו. הכלי ניטר בזמן אמת אזכורים של בני הזוג בתקשורת, ובמקרה הצורך שלח התראות לקבוצות ווטסאפ ייעודיות. את הכלי פיתח אוריך באמצעות מודל ה-AI קלוד של אנתרופיק, והוא נחשף מכיוון שאוריך פרסם את הקוד באתר הפיתוח גיטהאב. הקוד חשף מידע סודי ופרטים טכניים שונים, וגם מזהים ייחודיים וטוקני התחברות לקבוצות הווטסאפ שאליהן נשלחו ההתראות, ששימוש בהם יכול לחשוף את חברי הקבוצה ומספריהם ולאפשר שאיבת תוכן הקבוצה ושליחת הודעות ממנה.
אחרי פניית "הארץ" לאוריך, הגישה לגיטהאב שלו הוגבלה. ואולם הקוד כבר נחשף והופץ על ידי גולשים שאיתרו אותו טרם הפרסום. בחינה של קוד זה חושפת סיכון אבטחה וחשאיות מידע משמעותי שביצע אוריך. כאשר מדובר בחשבונות ווטסאפ לשימוש מקצועי, שמשמשים לניהול מספר רב של קבוצות או לצורך הפצה אוטומטית של מסרים, מקובל להשתמש בכלי ניהול צד ג'. כלים אלו יכולים להתחבר לחשבון הווטסאפ, בדומה לאופן שבו מתחברים לווטסאפ מדפדפן, ומקבלים גישה מלאה ולא מוצפנת לכל ההודעות והמדיה בחשבון, ואפשרות לשלוח הודעות לכל הקבוצות ואנשי הקשר של מפעיל החשבון. מדובר בגישה עוצמתית, שיש לתת רק לשירות שמפעילה חברה שנבחרה בקפידה, כזו שיכולה להבטיח מנגנוני הגנת פרטיות וחשאיות מתקדמים. זאת, בפרט כאשר מדובר בחשבון ווטסאפ של אדם שעומד בקשר קבוע עם ראש הממשלה.
לפי הקוד של אוריך, השירות שבו עשה שימוש הוא ultramsg. מדובר בשירות סטנדרטי מבחינת יכולותיו בתחום זה: אחרי פתיחת חשבון, הוא מתחבר לחשבון הווטסאפ של המשתמש באמצעות סריקת קוד ה-QR שמספקת האפליקציה על מנת לחבר לחשבון מכשיר נוסף. חיבור זה נותן ל- ultramsg גישה מלאה לקריאת וכתיבת הודעות, כאשר השירות מספק יכולות נוספות כמו תזכורת, אוטומציה של שליחת הודעות, בניית והפעלת בוטים ושילוב מערכות שירות לקוחות או ניהול מכירות.
חוקר סייבר עצמאי שבחן את הסוגיה, אמר לכלכליסט שאוריך חיבר ל-ultramsg את חשבון הווטסאפ הפרטי שלו (בניגוד לחשבון ייעודי שנפתח לצורך כך). כלומר, כל התכתובות של אוריך, שסביר להניח שכוללות גם שיחות עם גורמים בלשכת ראש הממשלה וגורמי ממשל אחרים שכוללות מידע רגיש ואף חשאי, היו חשופות ולא מוצפנות לצורך העבודה עם ultramsg.
המצב מסתבך עוד יותר כאשר בוחנים את מאחורי הקלעים של ultramsg - תנאי שימוש ומידע על השירות שמופיע באתר. אלו כוללים מתן הרשאה גורפת של המשתמש להעביר את המידע שנאסף לגורמים אחרים שאתם עובד ultramsg, והודעה שמידע שנאסף על ידי השירות מאוחסן בשרתים של אמזון למשך 120 יום, גם אם חשבון הווטסאפ עצמו מוגדר למחיקה אוטומטית של ההודעות.
ואולם, הבעייתיות הגדולה ביותר קשורה במקום שממנו פועל השירות. אתר ultramsg עצמו מזהה את השירות כפועל מאיחוד האמירויות, וכך גם חשבון הלינקדאין של החברה שממקם אותה בדובאי. מידע ממאגרים אחרים מאשש זיהוי זה, ומזהים את המייסד כאחמד קומאר. עם זאת, לקומאר אין כמעט נוכחות מקוונת, לא זוהו ראיונות עיתונאיים או הופעות שלו בכנסים מקצועיים, ולפיכך קיימת אפשרות שמדובר בזהות בדויה. אתר ultramsg לא מוסר פרטים על מייסדי החברה או עובדיה.
בשעה שבמדינות מערביות קיימים חוקי הגנת פרטיות נוקשים שמגבילים גישה של גופי ממשל למידע שאוספות חברות פרטיות, החוקים באיחוד האמירויות רופפים יותר ובין השאר מאפשרים מסירת נתונים ללא הסכמת משתמש לצורך הגנה על אינטרס ציבורי, מחייבים חברות למסור מידע שנוגע להליכים ביטחוניים או משפטיים, ומתירים לרשויות ביטחון גישה בזמן אמת לנתונים כמו זהות חשבונות ותוכן הודעות. וזאת ללא צו בית משפט.
כלומר, אוריך חיבר חשבון ווטסאפ שמשמש לתכתובות רגישות וחשאיות רבות לשירות שפועל מאיחוד האמירויות. שירות זה זכה לגישה מלאה ולא מוצפנת לכל תוכן החשבון, שומר תכנים שעברו דרכו לתקופה של 120 יום, וכפוף לחוקים שמאפשרים לרשויות לקבל גישה לתכנים אלו ללא הגבלה, ללא ידיעת המשתמש, וללא צורך בצו בית משפט.
תגובת אוריך לא התקבלה עד שעת מועד פרסום הידיעה.
