פוענחה פרשת הדלפת מרשם האוכלוסין

מרשם האוכלוסין של מדינת ישראל שנגנב ודלף אל רשת האינטרנט הועבר על ידי עובד משרד העבודה והרווחה ונמכר לגורם עסקי. פרטי הפרשה כולה נחשפים היום לאחר הסרת צו איסור הפרסום מעל הפרשה.

תמונה: Newsgeek

לראשונה בישראל נחקר ופוענח תיק שכל עניינו גניבה והפצה של מאגרי מידע המכילים מידע אישי מוגן פרטיות.

ממצאי חקירת רמו”ט (הרשות למשפט, טכנולוגיה ומידע) העלו כי העתק אלקטרוני מדויק של מידע הכלול במרשם האוכלוסין, המכיל פרטים רבים על אודות למעלה מ-9 מיליון אזרחי ישראל, לרבות נפטרים וקטינים (כגון: שמות מלאים, מספרי זהות, כתובות, תאריכי לידה, פטירה ועליה וקשרי משפחה בין כלל אזרחי המדינה) נגנב על ידי עובד מיקור חוץ של משרד העבודה והרווחה בשנת 2006 והוחזק בביתו.

מרשם האוכלוסין הועבר ללקוח עסקי

החשוד בגניבה העביר עותק מהמרשם הגנוב לידי לקוח עסקי שלו, שהעביר אף הוא עותק לחברו. אותו חבר מכר את המידע לגורם העוסק באגירה מסיבית של מאגרי מידע בלתי חוקיים, הקונה העביר עותק של המידע לאיש תוכנה אשר פיתח תוכנה בשם “אגרון 2006” הכוללת את המידע הגנוב. “אגרון” מאפשר ביצוע שאילתות מתוחכמות על כלל אזרחי מדינת ישראל ויועד למכירה בלתי חוקית לגורמים שונים. ייחודו של ה”אגרון” מתאפיין גם בכך שניתן לבצע בקלות מגוון חיתוכים על כלל האוכלוסייה על פי פרמטרים שונים, ולעקוב אחר מארג קשרי המשפחה המלאים של כלל אוכלוסיית ישראל לדורותיה.

עותק של “אגרון” ממנו הוסרו מנגנוני הגנה נגד שימוש לא מורשה הגיע לאחר מספר חודשים מפיתוחו לידיו של טכנאי מחשבים, אשר העלה אותו לרשתות שיתוף ואחסון קבצים באופן זמין לכל אדם בכל רחבי העולם. הטכנאי יצר אתר אינטרנט מפורט בו הוא מסביר כיצד להוריד עותק של האגרון, וכיצד להשתמש בו. נוסף על כך עודד האתר את הפצתו הלאה והורדתו בניגוד לחוק. כל הפעילות הקשורה בהפצת ה”אגרון” נעשתה על ידי הטכנאי תוך שימוש באמצעים מתוחכמים להסתרת נתוני תקשורת שונים אשר היו עשויים לחשוף את זהותו האמיתית (כגון שימוש בשירותים לערבול כתובות אינטרנט, מחיקת עקבות פעולה במחשב וכד’), לרבות שימוש בזהות בדויה בשם “ארי” (aRi””) בפעילותו בנושא זה.

מחקירה סמויה לשיתוף פעולה בינלאומי

חקירת הפרשה על ידי רמו”ט החלה בנתוני פתיחה קשים ביותר – מעבר לחלוף הזמן מביצוע העבירה, האירוע נחקר על ידי משטרת ישראל בשנת 2008 בעקבות תלונה של מנהל האוכלוסין במשרד הפנים, שהוא הגורם המנהל את מרשם האוכלוסין. משטרת ישראל סגרה את תיק החקירה מבלי לאתר את העבריין (על”ן – עבריין לא נודע). בנוסף, בשל זמינות המידע באינטרנט התקיים דיון תקשורתי עשיר בפרשה שנתן לה פומביות, והיא עניינה גם מוסדות מדינה שונים, כגון מבקר המדינה שכתב על כך בדו”ח מבקר המדינה משנת 2009 שעסק במנהל האוכלוסין. בעקבות האירועים נערכו מספר דיונים בכנסת בנושא, והפרשה עלתה גם במסגרת הדיון על המאגר הביומטרי.

במהלך שנת 2009 פתחה רמו”ט בחקירה סמויה של הנושא. החקירה התמקדה במיפוי מסלולי הדליפה הפוטנציאליים, בחקירה טכנולוגית של האגרון ומרכיביו, באיסוף פרטים וביצירת קשר עם גורמים קשורים. במקביל, נעשו מאמצים מודיעיניים לאיתור זהויות המעורבים בפרשה.

בעקבות מידע קונקרטי, התרחבה החקירה והתמקדה במספר חשודים פוטנציאליים. בהמשכה בוססו החשדות ואלה הובילו לחקירה גלויה. ביום המעבר לחקירה גלויה הסתייעה רמו”ט בכוח גיבוי מקצועי ומיומן בראשותו של רפ”ק ניר נתיב ממפלג הונאה במחוז תל אביב של משטרת ישראל.

במסגרת החקירה נגבו עדויות מהמעורבים אשר אימתו את כל המידע שהיה ידוע לחוקרי רמו”ט, ומסרו מידע רב נוסף על מעורבותם ומעורבות האחרים בגניבת המידע ממשרד העבודה והרווחה, הפצתו, מכירתו ופיתוח תוכנת האגרון על בסיסו. בשלב זה התגבשו הראיות כנגד הגנב, הלקוח, הסוחר, הקונה והמתכנת.

צילום: flickr, cc-by, treehead

החלק השני של הפרשה, בו הופץ האגרון באינטרנט על ידי הטכנאי לכל דורש, פוענח תוך שימוש מתקדם של חוקרי רמו”ט בנתונים על אודות פעולות תקשורת אינטרנטית שבוצעו על ידי החשוד, תוך שיתוף פעולה בינלאומי מול גורמים שונים ברחבי הגלובוס. בחיפוש שנערך אצלו נמצאו ראיות רבות, רובן אלקטרוניות, הקושרות אותו לביצוע המעשה.

לבקשת רמו”ט הטיל בית משפט השלום בתל-אביב במהלך החקירה צו איסור פרסום על פעולות החקירה שנעשו על ידה וזאת במטרה למנוע חשיפת עצם טיפולה בפרשה, ובשל החשש מפני שיבוש ומחיקת ראיות אלקטרוניות המעידות על מעורבות החשודים. עם השלמת החקירה, מוסר היום צו איסור הפרסום ע”י בית משפט.

הפרשה מהווה חקירת עבירות מחשב מהסבוכות והמורכבות ביותר שנערכו בישראל והראשונה אשר עוסקת באופן בלעדי בגניבה, סחר והפצה של מאגרי מידע אישי בהיקף כה גדול. במסגרת הסמכויות הנתונות לחוקרי רמו”ט, נאספו ראיות בהיקף יוצא דופן שרובן המכריע הן ראיות אלקטרוניות במגוון רחב של אמצעים כגון דיסקים קשיחים, תקליטורים ומידע שאוחסן בשירותי מחשוב ענן (cloud computing). סה”כ המידע שנתפס בחקירה זו עומד על עשרות טרה-בייט של מידע ממוחשב.

במסגרת החקירה התגלו עבירות נוספות הקשורות במידע אישי על ידי חלק מהמעורבים. המקרה החמור ביותר שהתגלה הוא מציאתו של עותק גנוב מפנקס האימוץ של מחוזות ירושלים ותל-אביב בביתו של הגנב. פנקס האימוץ מנוהל במשרד העבודה והרווחה בה שימש הגנב כמתכנת ומנהל מאגרי מידע, וזהו אחד ממאגרי המידע הרגישים ביותר הקיימים במדינת ישראל שכן הוא מכיל את המידע על אודות שרשרת האימוץ של ילדים. לא נמצאו עדויות להפצת מידע זה על ידי הגנב. בנוסף, בביתו של הגנב נמצא חומר אשר עשוי להיות בעל ערך ביטחוני.

אצל הקונה אותרו גם עותקים של מאגרי מידע אישי מסוגים שונים כגון פנקס הבוחרים ומאגרי מידע מאופיינים עם מידע אישי רגיש הקשורים בקהילה החרדית.

בתהליך החקירה ניסו חלק מהמעורבים לשבש את החקירה, ובין היתר למחוק ראיות אלקטרוניות שהיו ברשותם. במסגרת החקירה נעשה שימוש ביכולות פורנזיות מתקדמות לחקירת מחשבים ומאגרי מידע באמצעות המעבדה הפורנזית שהוקמה ברמו”ט בשנת 2009 על מנת לתת מענה למורכבויות הטכנולוגיות המאפיינות את התחום.

העבירות שרמו”ט סבורה כי נמצאה תשתית ראייתית לביצוען בידי המעורבים הן עבירות על חוק הגנת הפרטיות, התשמ”א-1981 וכן עבירות נלוות לעבירות אלה, כגון עבירות של שיבוש חקירה והליכי משפט, הוצאה של מסמך ממשמורת חוקית וגניבה על ידי עובד ציבור. את החקירה ליוו עו”ד רפי לוי מפרקליטות מחוז ת”א (פלילי) וחיים ויסמונסקי מפרקליטות המדינה.

צילום: flickr, cc-by, Dr Aek Muldoon

הזהות שלכם כבר לא חסויה

לגניבה של מרשם האוכלוסין, פיתוח האגרון והפצתו לציבור הרחב ברחבי המדינה וברחבי עולם, השלכות רבות על פרטיות האזרחים, כמו גם על היבטים אחרים של חרויות האזרח, כלכלה, בטחון וכד’.

חשיבותו וייחודו של מרשם האוכלוסין הוא בכך שמדובר במאגר מידע מקיף על כלל אזרחי מדינת ישראל ותושביה, המכיל מידע מפורט ומעודכן ביותר הנמסר ונאסף מכוח חוק (חוק מרשם אוכלוסין, התשכ”ה-1965). המרשם מכיל פרטי מידע שונים, חלקם רגישים ביותר, הנכללים בהגנה אשר נותן חוק הגנת הפרטיות למידע אישי. מידע זה אמור להיות זמין למטרות מוגדרות שנקבעו בחוק, ולא לעיני כל ללא כל מגבלה.

חלק מהשלכות אלה באו לידי ביטוי בעבודת רמו”ט בשנים האחרונות, ותיק חקירה זה מהווה המשך ישיר לכך. רמו”ט ניהלה בשנים האחרונות מספר תיקי פיקוח שבחנו תלונות שונות של אזרחים, על שימוש בפרטיהם מתוך מרשם האוכלוסין. במסגרת הסמכויות המנהליות שלה הטילה רמו”ט בשני מקרים קנסות מנהליים בסכום נכבדים (167,000 ₪ ו-258,000 ש”ח) על חברות שעשו שימוש למטרות מסחריות במידע כגון שיווק בדיוור ישיר וסחר במידע, ואסרה על שימוש במידע זה למטרות גביית חובות, לרבות על ידי רשויות מקומיות.

במקביל, פרסמה רמו”ט בשנת 2009 הנחיה למנהלי מאגרי מידע, האוסרת להסתמך על פרטי מידע הכלולים באגרון כאמצעי זיהוי מרחוק לאימות זהות לצורך מתן גישה למידע אישי. הנחיה זו מעידה על בעיית אבטחת המידע החמורה שגרמה גניבה זו, שכן מידע זה משמש במקרים רבים לאימות זהות ומתן הרשאות גישה למידע. בעיה זו אינה מסתיימת במנהלי מאגרי מידע, אלא נוגעת לכל פרט המנהל את ענייניו הפרטיים במחשב – פרטי המידע הכלולים באגרון משמשים דרך קבע אזרחים רבים גם לגיבוש סיסמאות כניסה למחשבים או ליישומים כגון דואר אלקטרוני, בנקאות מקוונת, שירותי רפואה מרחוק ומידע זה מקל על פריצה אליהם.

המידע שנכלל באגרון מקל מאוד על ביצוען של עבירות של זיוף והונאה, שכן הוא מספק את תשתית המידע הנדרשת לצורך גניבת זהותו של אדם. הוא מאפשר לייצר תיעוד מזויף שייראה אותנטי, ובכך מאפשר לעבור מנגנוני אבטחה שונים, פיזיים ואלקטרוניים, שיושמו כדי למנוע עבירות אלה. יכולת התחזות זו עשויה גם להשפיע על תהליכים דמוקרטיים של בחירות, שכן היא מקלה על התחזות לאחרים בעת ההצבעה.

לאגרון והמידע הכלול בו גם השלכות ביטחוניות, הוא מופץ באינטרנט לכל דורש, לא רק למי שמושבו בישראל. באמצעותו ניתן למשל לחשוף בקלות יחסית זהותם של אנשים שזהותם חסויה מטעמים של בטחון מדינה, אך קיימים על אודותם פרטים שונים (גיל, מקום יישוב, מספר ילדים וכד’). אין להקל ראש גם במשמעות הביטחונית של זמינות מאגר מידע על אודות כלל אזרחי ישראל לגורמים עויינים ולשרותי מודיעין זרים.

עו”ד יורם הכהן, ראש רמו”ט: “אני מבקש בראש ובראשונה לברך את אנשי מחלקת החקירות של רמו”ט, בראשות עו”ד מילי בך, על עבודה חקירה יוצאת דופן בתיק חקירה מורכב ותקדימי, אשר רובו כרוך בראיות אלקטרוניות. רמו”ט פועלת מיום הקמתה לביצור ההגנה על הפרטיות במידע, ופרשת פיתוח האגרון והפצתו נתפשו על ידינו מייד עם הוודע הפצתו והמידע הכלול בו כמחדל חמור הפוגע בפרטיותם של כל אזרחי מדינת ישראל. שרשרת העברת המידע ממרשם האוכלוסין שנחשפה, כמו גם פרטי מידע אחרים שאותרו אצל הגנב כגון פנקס האימוץ, צריכים להדיר שינה מכל מי שמנהל מידע אישי ומכל אזרח. לתובנות העולות מתיק חקירה זה חייבת להיות השפעה על האופן שבו מפותחות מערכות מידע בממשלה, כמו גם על המשאבים שיש להקדיש לאבטחת מידע במגזר הציבורי. הנזקים שנגרמים כתוצאה מהשימוש הבלתי חוקי במידע באגרון מקיפים את כל תחומי החיים ויש לאמוד אותם, ואני מקווה שהדין ימוצה עם הפושעים”.

עו”ד מילי בך, ראש מחלקת חקירות ברמו”ט: “הימצאותו של מרשם האוכלוסין בישראל ותוכנת האגרון זמינים באינטרנט, היוותה במשך שנים עדות בוטה לפער הבלתי נסבל הקיים בישראל בין המציאות לבין מה שמצווה החוק. פעמים רבות מידי משמשים מאגרי מידע בסיס להפרות חמורות ובלתי נסבלות של פרטיות וניכרת תרבות של זילות וזמינות המידע על כל בית אב בישראל. לפני כשנתיים גמרנו אומר לשים קץ לפער הזה ולאתר ולהביא לדין את עברייני ה”אגרון”. בסיומה של חקירה מאומצת ומקיפה אני שמחה שהצלחנו במשימה באופן מלא, תוך הפגנת יכולות חקירה המצופות מתחום מתוחכם ומורכב זה.

בדעתנו להמשיך ולאתר שימוש פסול במאגרי מידע הם כדי להביא עוד עבריינים בתחום חשוב זה לדין. על כלל הציבור, ובפרט מנהלי מאגרי המידע, להפנים כי יש לנהוג בהם על פי החוק . שימוש אסור במידע הזה, לרבות איסופו, עיבודו והעברתו לאחרים שאינם מורשים לקבלו הוא עבירה בת עונשין שבמקרים כאלו של הפרות – יביאו להעמדה לדין פלילי. אין לנו כוונה לנוח ממשמרתנו זו.”

השר מיכאל איתן: “אסון דליפת המאגר הביומטרי בפתח”

בעקבות פיענוח פרשת גניבת מאגר מרשם האוכלוסין קורא היום השר מיכאל איתן לעצור מייד את הקמת המאגר הביומטרי. השר מיכאל איתן אמר היום כי: “המדינה בונה פצצת זמן, שתתפוצץ לכולנו בפנים. אין חולק על כך שהמאגר הביומטרי מסוכן, אבל מבטיחים לנו הבטחות שווא על מאגר סגור הרמטית ואבטחה חסרת תקדים. מי יתקע לידנו שלא יהיו עובדים ממורמרים גם בין עובדי המאגר הביומטרי שיפיצו את טביעות האצבע וצילומי הפנים של כולנו לכל עבר? המאגר הזה, כמו מאגרי מידע אחרים, וכמו מאגר רשות האוכלוסין המכיל את כלל הפרטים המזהים של אזרחי ישראל, ידלוף ויפרץ גם הוא, וזוהי רק שאלה של זמן. אני מקווה כי כעת ילמד הלקח וכי תערך רביזיה כוללת בכל הקשור למאגר הביומטרי המסוכן וחסר התועלת הזה”.

השר איתן הוסיף כי: “לכל ברור שיש צורך בתעודות ביומטריות ואין בהן לכשעצמן סכנה. לעומת זאת משרד הפנים אינו מסביר לציבור מדוע הוא מקים בנוסף לתעודות מאגר ביומטרי מיותר ומסוכן, שאין בו שום צורך לפרויקט תעודות הזהות החכמות והביומטריות”.

בשנת 2010 חוקק חוק הכללת אמצעי זיהוי ביומטריים בתעודות זיהוי ומסמכי מסע. כחלק מהחוק הנ”ל הוחלט על ניסוי במסגרתו יוקם מאגר ביומטרי, אשר יכלול את פרטי הזיהוי של אזרחי ישראל. השר איתן מוביל את המאבק במאגר, שכן דליפתו האפשרית המאגר צופנת בחובו סכנות רבות לפרטיות ולבטחון המדינה ואין בו צורך כדי להפעיל את מערך התעודות החכמות, הדרושות לישראל.

בשל מאבקו של השר איתן, הוכנס סעיף 41 לחוק, אשר מונע את הקמתו המיידית של המאגר וקובע כי יתקיים ניסוי אשר אמור לבחון את העלויות והסיכונים מול התועלות בהקמת המאגר. ניסוי זה אמור להתחיל בחודשים הקרובים.

מערכת גיקטיים

גיקטיים, אתר חדשות הטכנולוגיה הגדול בישראל, פועל משנת 2009, ומהווה הבית של קהילת ההייטק, הסטארטאפים והטכנולוגיה בישראל

הגב

5 תגובות על "פוענחה פרשת הדלפת מרשם האוכלוסין"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 

* היי, אנחנו אוהבים תגובות!
תיקונים, תגובות קוטלות וכמובן תגובות מפרגנות - בכיף.
חופש הביטוי הוא ערך עליון, אבל לא נוכל להשלים עם תגובות שכוללות הסתה, הוצאת דיבה, תגובות שכוללות מידע המפר את תנאי השימוש של Geektime, תגובות שחורגות מהטעם הטוב ותגובות שהן בניגוד לדין. תגובות כאלו יימחקו מייד.

סידור לפי:   חדש | ישן | הכי מדורגים
אזרח
Guest

זה כסת”ח, מה עם כל מאגרי המידע שעוברים בבחירות המקומיות ומחליפים עשרות ידיים?

מריו
Guest

ועוד רוצים לעלות הכל על ביומטרי, כך מה שנשאר לגורם עוין זה להשיג מאזח לדוגמא את המאגר ולזהות כל ישראלי בחו”ל

אביחי
Guest

אני לא רוצה לחשוב מה היה קורה אם היו מפיצים את פנקס האימוץ פשוט מזעזע
יש המון מקרים שפשוט אסור שההורים ידעו איפה הילדים נמצאים פשוט אסון
כל ילד שיש לו קצת גישה היה יודע איפה ההורים הביולוגיים שלו. אסווןןן!!!
יכול להיות שזה הסיבה שלא הופץ אולי בכל זאת מאחורי כל זה עומד אדם אנושי..

SGS
Guest

1. המאגר הביומטרי הזה פשוט בדיחה, כמו גם השרים/ח”כים שמנסים/ניסו לקדם אותו (השר מאיר שטרית וממשלת שמאלמרט-לבני). אין אף מדינה דמוקרטית בעולם שקיים בה מאגר מסוג זה. אם כבר מאגרים כאלה קיימים במדינות כמו: כוויית, תימן, פקיסטן וכו’. — 2. אביחי, אם אדם אנושי היה עומד מאחורי הפרשה הזו הוא היה מסתפק ברכישה של המאגרים ואולי במכירה לחברות ספציפיות, אבל לא בהעלאה של כל המידע לאינטרנט לכל דורש.

אילן
Guest

שורש הרע הוא ב”מיקור חוץ”.
דובר כבר על כך שהמדליף הראשוני הוא “עובד קבלן”.
מידת השליטה של המעסיק על עובד מבחוץ פחותה בהרבה מהשליטה בעובד שכיר שלו.
לעובד ממשלתי אין “אבא” בדמות “קבלן” שדואג לו לעבודות במקומות אירים לאחר סיום “הפרויקט” מה שזה לא יהיה.

wpDiscuz

תגיות לכתבה: