דיווח: מידע ממערכת המעקב של NSO אוחסן בשרת לא מאובטח

מפתחת תוכנות הריגול הישראלית NSO שמרה מידע הקשור למערכת המעקב והניטור להתפשטות נגיף הקורונה שהיא מפתחת על שרת לא מאובטח ולא מוגן בסיסמה – כך לפי דיווח של אתר TechCrunch, שמתבסס על ממצאים של חוקר האבטחה העצמאי בוב דיאצ'נקו. מ-NSO נמסר בתגובה ל"כלכליסט" שמדובר בדמו שהועלה לשרת לצרכי הדגמה.

המערכת של NSO זכתה לתשומת לב תקשורתית נרחבת כשנחשפה על ידי שר הביטחון הזמני בממשלת המעבר, נפתלי בנט, כפתרון טכנולוגי קסום להתמודדות עם הקורונה. כשחשף את המערכת, הצהיר בנט שהיא תאפשר, בין השאר, ליצור מערך דירוג אזרחי נרחב שיספק לכל אזרח ציון שבין 1 ל-10 בהתאם לסכנת ההידבקות שלו בנגיף, יכולת מפחידה שמומחים השוו למערכת הדירוג החברתי הפולשנית שקיימת בסין. בנוסף, מסוגלת המערכת, שמכונה פלמינג (Fleming), ליצור מפות חום של מוקדי התפשטות ולנתח מעגלי הדבקה. זאת, באמצעות הזרמת מידע על נשאים ומיקומם.

שלו חוליו מייסד מנכ"ל NSO צילומים: אוראל כהן, אביטל פלג

לדברי דיאצ'נקו, השרת הלא מאובטח הוא שרת אמזון בפרנקפורט, והמידע שאוכסן בו היה זמין לכל אחד. המידע כלל נתוני מיקום מהתקופה שבין ה-10 במרץ ל-23 באפריל, כולל תאריכים ומיקומים של "מטרות" פרטניות שאולי היו במגע עם נשא קורונה, וכן משך הזמן שהתקיים המגע. דיאצ'נקו אמר ל-TechCrunch ש-NSO הסירה את השרת מהרשת בעקבות פנייתו, והוא מעריך גם שבכל מקרה המידע שאוכסן שם היה מידע דמה.

"חברת NSO הצליחה לפתח במהירות חסרת תקדים מערכת אנליטית ייחודית לשימוש אזרחי על ידי מקבלי ההחלטות, לטובת ניהול התפשטות מגיפת הקורונה לצד ניהול החזרת המשק לפעילות", נמסר מ-NSO ל"כלכליסט". "דמו של המערכת הוצג באופן שקוף ובתפוצה כלל עולמית הן ללמעלה מ-100 מדינות והן לעשרות עיתונאים בארץ ובעולם. הדמו הועלה בשקיפות מלאה לשרת ייעודי לטובת ההדגמה למדינות, לחוקרים, עיתונאים ולכל המעוניין. הדמו מבוסס על אילוסטרציה מעורבלת של נתונים אקראיים ואינו מכיל כל מידע מזהה אישי, שממילא לא מצוי בידי החברה".

הצהרת החברה לא ממש הרגיע את ג'ון סקוט ריילטון, חוקר בכיר במכון סיטיזן לאב של אוניברסיטת טורנטו, שאחראי לכמה מהחשיפות הבולטות סביב פעילות NSO. "אסור להשאיר שום שרת באמזון ללא סיסמה", הוא אמר בראיון טלפוני עם "כלכליסט". "אין מצב שזה נורמלי, במיוחד אם זה מכיל מידע עסקי. אפילו אם מדובר על פרויקט בית ספר, אחד הדברים הראשונים שאתה לומד לעשות זה להגן עליו בסיסמה. זו טעות בסיסית".

לגבי הטענות שלפיהן מדובר במידע לא סודי, ציין סקוט ריילטון שגם המידע שמופיע באתרי חדשות אינו סודי, ועדיין השרתים שלהם מוגנים בסיסמה על מנת למנוע מגורמים זרים לשנות את המידע או להוריד את כולו. הוא גם העלה ספק לגבי האמירה שמדובר בנתונים אקראיים בלבד: "ייתכן וסביר שזה מידע שהם קיבלו מסוחרי מידע, שכבר דווח שהם מקבלים".