Principal software architect at @PaloAltoNtwks. Tech journalist at @TheMarker. Lecturer at Ono Academic College, Haifa University, Author, Opinions are my own.
Israel
Joined February 2009
- Tweets103K
- Following117
- Followers62.5K
- Likes375K
יש פה לא מעט גאוני משפט שבאים ומתחילים להתפלפל על ”אבל זה מקום ציבורי“ ושאר קשקושים.
ההנחיה מאד ברורה ותאמינו לי שיהיה קל לגלות מי העביר מידע ואיך וכשיש כסף על הרצפה מישהו ירים אותו וכל הפלפולים וההתחכמויות לא יהיו שווים הרבה.
בסוף פסק הדין שניתן השבוע ב"בג"ץ האלקטור" הוסיפה השופטת יעל וילנר הערה: "אשוב ואבהיר כי בהיעדר הסמכה מפורשת לכך בדין, נציגי המפלגות בקלפי אינם רשאים להעביר למפלגתם מידע על אודות מימוש זכות ההצבעה של אדם".
✖️ תזכורת: את העתירה יזמה מפלגת הליכוד אחרי שיו"ר ועדת הבחירות המרכזית, השופט נעם סולברג, אסר על נציגי המפלגות בקלפי להשתמש באפליקציית "אלקטור" ודומותיה כדי לדווח לצוותי הקמפיינים על מצביעים שהתייצבו כדי לממש את זכותם הדמוקרטית.
✖️ ההערה של השופטת וילנר שובצה אחרי למעלה מעשרים עמודים שבהם הסבירה מדוע העברת המידע למפלגות פוגעת קשות בזכות לפרטיות ואינה חוקית.
✖️ יתרה מכך, השופטת אפילו קבעה שאיסוף המידע עשוי לשמש לא רק ל"המרצת בוחרים", אלא מאפשר גם להתנכל להם – למשל באמצעות חרם.
✖️ ההסבר שלה: "כאשר מדובר באדם המשתייך לקבוצה חברתית (שעשויה לעתים לשאת גם מאפיינים אתניים, דתיים, תרבותיים או שבטיים) המאופיינת בהשקפת עולם מדינית משותפת, ואשר מיוצגת על ידי מפלגה פוליטית מסוימת – הרי שאי הצבעה עשויה להיתפס בעיני סביבתו כאקט הפוגע בקבוצה שאליה אותו אדם משתייך או בוגד בערכיה".
✖️ סיכום ביניים: השופטת וילנר ושני עמיתיה, חאלד כבוב ואלכס שטיין, קבעו שהשימוש באפליקציות מעקב בתוך הקלפיות מנוגד לחוק ופוגע בזכות הפרטיות.
✖️ אם כך, למה היה חשוב לשופטת לשוב ולהדגיש שהאיסור חל על עצם הוצאת המידע מחדרי הקלפי, בלי קשר לאפליקציות?
✖️ אולי משום שבשבועות האחרונים, כשהסתמן שזאת הולכת להיות התוצאה, החלו לצוץ אינדיקציות לכך שהמפלגות ינסו לעקוף את החלטת בג"ץ ויוציאו החוצה מידע בדרכים אחרות.
✖️ המסר של השופטת וילנר ועמיתיה פשוט וחד: Don't.
✖️ ואם בכל זאת יעשו זאת? חוק הגנת הפרטיות מאפשר להטיל על העבריינים עונשים שעשויים להגיע עד חמש שנות מאסר בפועל.
✖️ החוק גם מאפשר לקורבנות (כל אדם שדיווחו על התייצבותו בקלפי בניגוד לחוק) להגיש תביעה אזרחית ולקבל פיצוי כספי.
✖️ כשאתם יוצאים להצביע ב-27 באוקטובר, שימו לב מי רושם את הפרטים שלכם ומה הוא עושה איתם. מי יודע? אולי ייצא לכם לסייע לשמירת טוהר הבחירות, ואם ממש בא לכם תוכלו גם לעשות כמה ג'ובות ולהכאיב לעבריין דרך הכיס.
🏆 פסיקת בג"ץ היא תולדה של מהלך שיזם @shacharbm עוד בינואר, שנתמך בחוות דעת של @Birnhack ו-@NoaDiamond. ברכות להם ולכולנו.
📰 לדיווח המלא על פסק הדין ב"בג"ץ האלקטור" באתר @the7, כולל פסק הדין עצמו👇
the7eye.org.il/595107
ALT ראש הממשלה בנימין נתניהו ורעייתו שרה נתניהו מצביעים בקלפי בירושלים. 2.3.2020 (צילום: מארק ישראל סלם)
פוסט חדש עם מלא דוגמאות על הסכנות שיש באייג'נט החדש שכולם נורא עפים עליו: אינסטינקט! רציתי לקרוא לפוסט ”אינסטינקט בסיסי" ולשים תמונה של נייר טואלט (בגלל שיש נטייה לאייג'נטים לקנות כאלו) בחדר חקירות (!) אבל הילדים אמרו לי ש:
1. אני מביש.
2. איש לא יבין את זה וזה רפרנס נשכח.
>>
>> בכל מקרה, למרות שהכותרת יצאה די lame, הפוסט ממש מעניין וחמוד, גם אם לא מחדש הרבה. עם שפע של דוגמאות חמודות על רכישות מוזרות של נייר טואלט ועל כל הסכנות *התפעוליות* שיש לנו עם LLM איטרטיבי.
internet-israel.com?p=12143
אם קיבלתם מייל מפחיד מרשות המיסים שאומר שיש הודעה חדשה. והמייל הזה נראה אותנטי כי הוא נשלח מדומיין ממשלתי של biz[.]gov[.]il! אבל זה פישינג ומייל לא אמיתי.
אבל רגע! הוא נשלח מדומיין מאומת של ממשלת ישראל! אז איך זה ורה?
הבעיה היא שאימייל זה פרוטוקול פח, וקל לעבוד עליו. >>
>> המשמעות בפועל היא שכל מי שמחזיק גישה לחשבון באותה פלטפורמת דיוור יכול להתחזות לכתובת הזו באין מפריע. התיקון בצד הדומיין הממשלתי דורש הגנות נוספות כמו DMARC ו-DKIM כדי למנוע מצב כזה. מדובר בהגנות פשוטות ליישום וסטנדרטיות וחבל שלא יושמו גם כאן. זו הסיבה שהמייל הזה נראה אותנטי.>>
>> הלקח הוא כמובן תמיד תמיד תמיד לחשוד בכל מייל שמגיע גם אם כתובת המייל נראית לג׳יט. קיבלתם מכתב מרשות המיסים? אל תלחצו על הקישור אלא תכנסו, ממש ככה, לאתר האמיתי של רשות המיסים ותראו אם יש מכתב. כך בנוגע לכל גוף. בטח בממשלה שיש לה המון שמות מתחם.
ותודה ל @GariniAlon שסיפר :)
Ran Bar-Zik retweeted
האם בליכוד עוקבים אחרי מצביעים בניגוד לחוק? פליטת פה של עורך דין שייצג את המפלגה בבג"ץ מעלה חששות כבדים.
במהלך הדיון שהתקיים בשבוע שעבר באפליקציות המרצת בוחרים כמו "אלקטור", צף לרגע אחד החששות שמלווים את השימוש באפליקציות מאז שהוצגו לראשונה בארץ: היכולת של השלטון לנהל באמצעותן מאגר מידע היסטורי שמקטלג את כל אזרחי ישראל לפי הזיהוי הפוליטי שלהם.
זה קרה אחרי שעו"ד אילן בומבך, בא-כוח הליכוד, ייחס לעותר הציבורי עו"ד שחר בן-מאיר מניעים פוליטיים והתלונן שהעתירות שלו תמיד מוגשות נגד הליכוד. השופט כבוב העיר לבומבך שבמקרה הזה הפנייה של בן-מאיר לוועדת הבחירות המרכזית התייחסה לכל המפלגות שתכננו להשתמש באפליקציות.
"למה אדוני מייחד את הליכוד? ההחלטה לא משפיעה באותה מידה על המפלגות האחרות?", תהה השופט.
"לא, ואני אסביר", השיב בומבך. "הליכוד זו מפלגה ותיקה, יש לה מאגר בוחרים גדול שהיא שקדה עליו כבר הרבה מאוד שנים – ולכן ברור שהיא רוצה להשתמש במידע שברשותה, וזה לגיטימי וזה מותר. יש לה תוכנה ייעודית שהיא השקיעה בה. פעם, מאז קום המדינה, זה היה ידני. בשנים האחרונות זה נעשה באופן דיגיטלי, עם היישומונים האלה".
המפלגות אמנם מקבלות כחוק מדי מערכת בחירות מאגר נתונים שכולל את כל בעלי זכות הבחירה בישראל – אך בתום הבחירות הן מחויבות להשמיד את המידע ולא לעשות בו שימוש נוסף.
התיאור של בומבך, ככל שהוא נאמן למציאות, מצטרף לעדויות קודמות על שימוש לרעה במאגרי המידע של הליכוד. לקראת בחירות 2020 נחשף באתר "העין השביעית" כי אפליקציית "אלקטור" נבנתה כך שתהיה בה אפשרות טכנית להזנת נתונים היסטוריים על הבוחרים.
בתום מערכת הבחירות ההיא, שהסתיימה בניצחון של הליכוד, "ראש מטה אלקטור" במפלגה הודה בראיון ל"כלכליסט" שנעשה שימוש ביכולת זו והגדיר זאת כמהלך שהביא לקלפיות 60 אלף מצביעים שבבחירות הקודמות נשארו בבית.
חבר אחר בצוות הקמפיין אף אמר בראיון שבליכוד לא רק ידעו אילו מצביעים פוטנציאליים מימשו את זכותם הדמוקרטית – אלא עקבו אחר המיקום הפיזי שלהם ברמת דיוק של 15 מטר. בהמשך התברר כי בחברת "אלקטור" הגישו תצהירים כוזבים שלפיהם כל המידע הושמד כנדרש בחוק לאחר הבחירות, אך בפועל שמרו עותקים מהמאגרים.
האמירה של בומבך באולם בית המשפט העליון מעלה את האפשרות שבליכוד ממשיכים לתחזק מאגרים בלתי חוקיים עד היום.
לכתבה המלאה של איתמר ב"ז באתר "העין השביעית": the7eye.org.il/593781
Ran Bar-Zik retweeted
האיש שהוזמן לחקור את עצמו
על פי כתב האישום שהוגש היום, בקיץ 2019 מיכאל (מיקי) בר, מנהל אבטחת מידע מאשקלון בשנות ה-30 לחייו, מקים חשבון טלגרם. במקום להגן על הרשתות שהוא מופקד עליהן, הוא בונה דרכו 19 בוטים שכל אחד מהם הוא שלט רחוק לנוזקה: צילום מסך, מצלמה, מיקרופון, סיסמאות, כרטיסי אשראי, כיבוי המחשב. הכל בהודעת טלגרם אחת.
במשך שש שנים בר חודר בשקט למחשבים ניידים של עובדות בחברות שונות במשק. הוא לא מחפש כסף. הוא צופה. עובדת אחת הוא מצלם ישנה במיטתה. אחרת בחדר מלון. אחת בזמן שיחת זום עסקית, אחת במטבח. הוא מתעד התכתבויות עם רופאת משפחה, חיפושים רפואיים, תיבות מייל, וואטסאפ, מסמכי לקוחות, העברות בנקאיות.
ואז החלק הקשה ביותר בכתב האישום. מחשב של עובדת בקבוצת ח', החברה שלו עצמו, משמש בבית גם את שלוש בנותיה הקטינות. במשך יותר משנה הוא מפעיל מרחוק את המצלמה שוב ושוב ומצלם אותן בביתן, ברגעים הפרטיים ביותר, ומאזין לשיחות בבית דרך המיקרופון. בחברה אחרת הוא מצלם את בתה הקטינה של עובדת נוספת. את הכל הוא שומר, עד יום מעצרו. הפרקליטות בחרה להאשים בכל אלה בעבירות פגיעה בפרטיות, לא בעבירות מין. מי שיקרא את כתב האישום יבין לבד למה השאלה הזאת תישאל.
בתחילת 2026 בר עושה קפיצת מדרגה. בעזרת בינה מלאכותית הוא כותב נוזקה חדשה, WINDOWSAUDIT.EXE, עם שליטה דרך דיסקורד, MQTT לבדיקת דופק, וטלגרם כגיבוי. היא ממפה רשתות ארגוניות, נעה רוחבית, מכבה מוצרי הגנה, מחפשת ארנקי קריפטו ושורדת אתחול. בין פברואר לאוגוסט הוא מחדיר אותה ל-22 חברות ושולח 2,384 פקודות.
ב-27 באפריל 2026 חברה אחת מרגישה שמשהו לא בסדר ומרימה טלפון ל-Profero. צוות ה-IR של Profero נכנס לרשת, ותוך ימים התמונה מתבהרת: זו לא נוזקה שנתפסה במקרה אצל לקוח אחד. יש תשתית שליטה, יש שרתים, יש חתימות שחוזרות על עצמן, ויש עוד עשרות קורבנות שעדיין לא יודעים. הממצאים של Profero הם מה שהופך את האירוע מ"תקלה אצל לקוח" ל"פגיעה נרחבת במשק הישראלי", בלשון כתב האישום, והם מה שמניע את כל שרשרת החקירה שהובילה למעצר. Profero מעבירה את הממצאים למערך הסייבר הלאומי.
וכאן הסיפור מתהפך. המס"ל מזהה שקבוצת ח' בין הנפגעות, ועושה את הדבר הפרוצדורלי: ב-30 באפריל מתקשרים ל-CISO של ח', מעדכנים אותו שיש נוזקה, ושולחים לו כלי לאיתור. ואז מתקשרים שוב. ועוד פעם. שלוש פניות, שכולן נועדו לעזור לו למצוא את הנוזקה ברשת שלו. אף אחד לא שאל את השאלה הבסיסית ביותר בכל חקירת insider: מי בארגון הזה יכול היה לעשות את זה. הגוף שאמור להגן על המשק שלח למיקי בר, ביד, את הכלי שמזהה את הנוזקה שלו, ובכך הודיע לו במדויק מה כבר ידוע ומה עדיין לא.
בר לא נבהל. הוא לומד. ביולי הוא כותב, שוב עם AI, נוזקה מתוחכמת יותר בשם WESERCH, שמתוכננת לחמוק בדיוק מהכלי שקיבל, ומחדיר אותה לשבע חברות נוספות. עוד 1,290 פקודות. עוד שלושה חודשים וחצי של תקיפה פעילה, מיום ההתראה ועד ליום שבו הדלת נפתחת, 18 באוגוסט 2026.
היום, 10.9.2026, מחלקת הסייבר בפרקליטות מגישה נגד מיכאל בר 11 אישומים: 26 חברות ושני קיבוצים, 44 עבירות החדרת נגיף, 155 עבירות פגיעה בפרטיות, גניבה, נזק של כ-1.5 מיליון ₪, ובקשה לחלט את כל המחשבים שלו. חזקת החפות עומדת לו. אבל אם הסיפור נכון, הלקח לא נוגע רק אליו: הגילוי הגיע מלקוח שסמך על האינסטינקט שלו ומצוות IR פרטי שידע לחבר את הנקודות. הגוף שאמור להגן על המשק, כשקיבל את הממצאים ביד, הצליח בעיקר להזהיר את הפושע.
ובכל זאת, הסיפור נגמר בתפיסה ולא בבריחה, וזה לא קרה מעצמו. משטרת ישראל ומחלקת הסייבר בפרקליטות המדינה לקחו ממצאים של חברה פרטית, הפכו אותם לחקירה, סגרו על תוקף ששיחק במערכת במשך שבע שנים והביאו אותו לבית המשפט עם כתב אישום מפורט עד רמת הפקודה הבודדת. במדינה שבה סייבר הוא כמעט מילה נרדפת לתקיפה מבחוץ, הם הראו שגם האויב מבפנים נתפס בסוף. על זה מגיעה להם תודה, מאיתנו ומעשרות החברות שרק עכשיו מבינות מי ישב להן במחשבים.
ומילה אישית.
תודה לכל עובדי ועובדות Profero על העבודה הקשה, ימים ולילות, ולשותפינו הרבים שהיו איתנו בדרך. מעטים כל כך המקרים שמותר לנו לספר עליהם, ולכן אני מנצל את ההזדמנות להודות לא רק למי שהיה שותף לפרשה הזאת, אלא לכל מי שלקח חלק בפעולות הרבות שלנו מיום הקמת החברה ועד היום. הרוב המוחלט מהן לעולם לא יגיע לפוסט.
אם אתם רוצים להתעדכן מדי פעם במעט שכן מותר לפרסם, מוזמנים לעקוב אחרינו ב-X, ובמיוחד אחרי "The Profero X Files".
קיבלתי שאלות על instinct ומידת החשיפה שלו והבעייתיות שלו. קחו בחשבון שכל כלי מבוסס מודל שפה גדול הוא בעייתי מבחינת אבטחה ומבחינה תפעולית ויכול, בטעות אפילו, לעשות פעולה שתגרום נזק.
מה הפתרון? לחשוב טוב על מה שמחברים. >>
>> בגדול? אני פשוט מפעיל את גרוק בילד (או את דומיו, אבל אני סאקר של גרוק) שיעשה דברים עם הרשאת אד הוק. למשל: פותח CLI, עושה אותנטיקציה ספציפית (ואם אפשר רק עם ההרשאות המינימליות) ומבקש ממנו את השיט שאני צריך, זה קורה ואז אני סוגר את האינסטנס ומוחק את הסשן. Ces't tout >>
>> זו לא המצאה שלי ולא צריך להמציא את הגלגל מחדש. זו גישת Least privilege (כתבתי עליה בבלוג) שאומרת מינימום הרשאות למינימום פרק זמן וכמובן מחשבה על מה אני חושף לקוד שאני לא סגור עד הסוף על איך הוא יתנהג. כרגע בכל מקרה, תחשבו כשאתם מחברים סוכנים למידע שלכם.
internet-israel.com/?p=11785
נמאס לכם לחזור הביתה מהעבודה שלכם לדיר חזירים כי הילדים חוגגים בבית? אני חוזר לבית נקי ומצוחצח כי אני נותן ל-AI לנקות... כלומר נותן לה את הכוח להבחין אם הכיור מלא, פח האשפה מפוצץ וסל הכביסה צורח הצילו ואז להטריף את הילדים עם סירנות, צעקות ובמידת הצורך לנתק את האינטרנט. >>
>> בהרצאה תלמדו גם על AIoT וכמה קל להרים דברים שישגעו את הילדים ויעשו סדר בבית אבל גם על אבטחת מידע, מודלים של ML ומולטי מודל ועל רשתות. לא רק למתכנתים. דמו חי, צחוקים, שיגועים ובדיחות אבא (מהצד שלי) וגלגול עיניים (מהצד של עומרי).
מחר, רביעי, ה-9.9, ב״ש.
meetup.com/nwd-il/events/316…