תחקיר NSO והמשטרה הכשלים שעולים מתוך דו"ח הביניים של צוות מררי
תחקיר NSO והמשטרה
הכשלים שעולים מתוך דו"ח הביניים של צוות מררי
מלכתחילה, וזה כבר אינו חידוש, צוות מררי היה נתון בניגוד עניינים מובנה: הממצאים שימצא עלולים לחשוף גם כשלים בפרקליטות עצמה. הכשל הבולט ביותר בבדיקה שערך צוות מררי היה ההסתמכות המוחלטת שלו על מידע שהעבירה לו המשטרה – אותה משטרה שהיא הגוף שעל הצוות היה לבדוק
מלכתחילה, וזה כבר אינו חידוש, צוות מררי היה נתון בניגוד עניינים מובנה: הממצאים שימצא עלולים לחשוף גם כשלים בפרקליטות עצמה.
אך גם אם נניח כי בדיקה פנימית מהירה כזו היתה צעד הגיוני בשלב מקדמי, הרי שהכשל הבולט ביותר בבדיקה שערך צוות מררי היה ההסתמכות המוחלטת שלו על מידע שהעבירה לו המשטרה – אותה משטרה שהיא הגוף שעל הצוות היה לבדוק.
ואלה הכשלים המובהקים שעולים מדו"ח הביניים עצמו:
1. הצוות מצהיר כי צמצם את בדיקתו אך ורק ל"הודבקו/לא הודבקו" הטלפונים בפגסוס של NSO. מכאן ואילך הצוות מוסר את המושכות למשטרה ומבסס את בדיקתו על הנתונים שהמשטרה עצמה העבירה לו. ראשית המשטרה מסרה לצוות "רשימה מורחבת" של מספרי הטלפון שבשימוש האנשים שאת שמם פרסם "כלכליסט". את הרשימה גיבשה המשטרה עצמה. הדו"ח לא טורח להבהיר מה היא ה"רשימה המורחבת", אילו שמות נכללו בה, ובעיקר מדוע המשטרה היא שגיבשה אותה ולפי אילו קריטריונים.
2. הצוות בוחר לבדוק את הרשימה מול מספרי הטלפון של מרבית האנשים ששמותיהם פורסמו כדי לאמת כי אלה אכן המספרים שלהם. הצוות אינו מפרט מדוע לא נבדקו כל המספרים של אלה ששמם פורסם. הרי מדובר בכמה עשרות בלבד, לא באלפים רבים. הצוות אינו מפרט כמה שמות נבדקו ומי הם. חשוב להזכיר עוד כי ברשימה שפרסם "כלכליסט" נמנו אנשים ללא שמות ספציפיים שהשתתפו במחאות שונות: ממחאת הדגלים השחורים עד המחאה ביהודה ושומרון. לא היתה לצוות כל אפשרות לבדוק את הטלפונים שלהם בלי לדעת לא את השמות ולא את המספרים.
3. מתבקש היה לבקש מהאנשים המזוהים ברשימה שפרסם "כלכליסט" למסור את הטלפונים כדי שייבדקו בפועל. כך ניתן היה לדעת האם הותקנה עליהם רוגלה כזו או אחרת. אבל הצוות בחר להימנע מלערוך בדיקה כזאת.
3 צפייה בגלריה
מימין: מפכ"ל המשטרה קובי שבתאי, מייסד NSO שלו חוליו, מפכ"ל המשטרה בעבר רוני אלשיך
(צילום: אלעד גרשגורן, אלכס קולומויסקי)
4. בסעיף 13 לדו"ח הביניים הצוות בוחר לציין בשמותיהם את שלושת מנכ"לי משרדי הממשלה בעבר, שי באב"ד, קרן טרנר ואמי פלמור, ואומר כי לגביהם בוצעה בדיקה פרטנית. כאן האבסורד כבר זועק. באב"ד וטרנר ביצעו ביוזמתם בדיקה של הטלפונים שלהם בחברה פרטית. הבדיקה הזו מצאה כי במכשירים שלהם אכן הותקנה רוגלת מעקב (לדברי הבודקים, מדובר בגוף רציני שהדביק ברוגלה, דרך שרת זר). הבדיקה העלתה גם שההדבקה ברוגלה הסתיימה לאחר פרסום התחקיר. כך יוצא ש"כלכליסט" הצביע על מנכ"לי משרדי ממשלה, שאינם חשודים במאום, כמי שהותקנו אצלם רוגלות - ורוגלות אכן נמצאו אצלם. אבל גם ההסתברות הנדירה הזאת לא גרמה לצוות מררי לבצע את הבדיקה האלמנטרית, לבקש מהם את המכשירים כדי לבחון בעצמה. גם כאן הצוות הסתפק בבדיקת הנתונים שסיפקו לו המשטרה ו־NSO כדי לקבוע נחרצות כי מספריהם לא עלו בנתונים שנבדקו.
5. דו"ח מררי חושף כי המשטרה מחקה רשומות במערכת פגסוס שבידיה. "המערכת מאפשרת למשתמש (המשטרה) לבצע תחזוקה הכוללת מחיקה של רשומות", צוין בסעיף 4 לדו"ח הביניים. והמשטרה אכן מחקה, כותב הצוות בסעיף 7: "רשומות שנמחקו על ידי המשתמש". ממתי המשטרה מוחקת תיעוד של פעולות חקירה שביצעה? איזו סיבה יש לה לעשות זאת? איזה חוק מסמיך אותה לעשות זאת? צוות מררי פשוט משאיר את המידע הדרמטי הזה בשולי השוליים. אין בדו"ח הביניים כל תשובה או התייחסות לעניין.
6. הצוות, שהיה מודע לכך שחלק מהתיעוד נמחק, פנה לדרך עוקפת: הוא ביקש מ־NSO עצמה לספק לו נתונים שהמשטרה מחקה. בהמשך מתואר בדו"ח הביניים כיצד נציגי NSO נפגשו במתקן של המשטרה עם חלק מנציגי צוות הבדיקה ושלפו לבקשתם נתונים מבסיס הנתונים הפנימי בשרתים שהותקנו במשטרה, ואשר רק לאנשי NSO גישה אליו. המשמעות היא שהצוות ביסס בסופו של דבר את בדיקתו, שהוא עצמו מציין שהיתה טכנולוגית בלבד, על הממצאים הטכנולוגיים שסיפקו לו שני הגופים שהיו מעורבים יחד בהדבקה ברוגלות: המשטרה ו־NSO. גם אם המשטרה נהנית מקרדיט גדול מצד הפרקליטות בנוגע לאמינותה, כמעט לא מתקבל על הדעת שבדיקה של פעולות המשטרה ושל הטענות החמורות "הנוגעות בליבת שלטון החוק במדינה דמוקרטית" תסתמך על הנתונים שהיא עצמה מספקת. קל וחומר כשהצוות מציין במפורש שחלק מהמידע נמחק.
7. NSO היא חברת סייבר התקפי פרטית, שנקשרה לפרשיות של ריגול אחרי אזרחים בכמה וכמה תחקירים בינלאומיים והיא נתבעת על ידי חברות בינלאומיות גדולות. עד לאחרונה בכלל הכחישה אפשרות לעקוב אחר מספרים ישראליים. אף על פי כן, צוות הבדיקה מבסס את מסקנתו הנחרצת על נתונים ש־NSO עצמה סיפקה לו. לא רק זאת, הוא אינו טרוד ולו לרגע בעובדה המדהימה שלפיה במתקני המשטרה נמצאים שרתים שבהם נאגר תיעוד מעקב אחר אזרחים – ונניח לצורך העניין שנאגר כחוק – אך רק לחברת NSO יש גישה לרשומות שמעידות עליהם. הסימביוזה העמוקה הזו בין NSO למשטרה חייבת להדאיג כל אזרח.
8. דו"ח הביניים מציין כי המשטרה מצאה בכל זאת שמות ברשימה שלגביהם היו "צווי האזנות סתר לתקשורת בין מחשבים". הצווים האלה, לשיטת צוות מררי, מאפשרים הדבקה ברוגלה.
כלל לא ברור מדוע החליט הצוות כי הצווים האלה מכסים ומאפשרים החדרה חוקית של סוס טרויאני לנייד. חיים ויסמונסקי, ראש מחלקת הסייבר בפרקליטות, אמר לפני כחודש בדיון בוועדה בכנסת, כי חדירה מרחוק לשאיבת נתונים אינה חוקית. לפני שבועיים אמרה נציגת הפרקליטות, עורכת הדין גבי פיסמן, גם היא בוועדה בכנסת, כי היועמ"ש מנדלבליט לא נתן אישור מפורש לשימוש המשטרה בתוכנת פגסוס. כך או אחרת, בדו"ח הביניים צוות מררי אינו טורח לבדוק מה הוצג לשופטים כשהתבקש הצו לשימוש בפגסוס, והאם השופטים הבינו שמדובר ברוגלות שמסוגלות לשאוב מהמכשירים נתונים נוספים. ומדובר בבדיקה פשוטה, מול הפרוטוקול החסוי בבית המשפט.
