תחקיר NSO והמשטרהלא רק NSO: המשטרה שוכרת האקרים לבצע פריצות ולאסוף מידע על אזרחים
תחקיר NSO והמשטרה
לא רק NSO: המשטרה שוכרת האקרים לבצע פריצות ולאסוף מידע על אזרחים
חטיבת הסייבר של המשטרה מעסיקה האקרים חיצוניים בתשלום לצורך איסוף מידע מודיעיני. מדובר באזרחים ללא סיווג ביטחוני אשר לא הוכשרו כשוטרים, והם נחשפים למידע אישי וסודי ביותר. בין היתר פרצו לרשתות WiFi, למצלמות פרטיות ולטלפונים שהמשטרה לא הצליחה לפרוץ אליהם. הם שהשיגו את הצילומים ממצלמות של בית עסק, שהפלילו איש ציבור בכיר. גם הפעולות הללו בוצעו ללא צו בית משפט
מצלמות אבטחה בבית עסק באזור המרכז תיעדו עבירה פלילית חמורה של איש ציבור בכיר. חוקרי המשטרה הצליחו לשים את ידם על הצילומים המרשיעים לכאורה. כתב אישום הוגש. עד כאן זה נראה כמו חקירה שגרתית ומוצלחת של המשטרה. למעט העובדה שהיא לא בוצעה על ידי אנשי המשטרה. מי שהשתלט מרחוק על מצלמות האבטחה היה האקר ישראלי, אלישי טובול שמו. טובול הוא אזרח רגיל, לא שוטר, ואין לו כל הכשרה בתחום. זה לא הפריע למשטרה לבקש ממנו לפרוץ לאותן מצלמות, ולא רק אליהן.
זה אינו מקרה יחיד, וטובול אינו ההאקר היחיד. תחקיר "כלכליסט" חושף כי חטיבת הסייבר סיגינט של המשטרה, זרוע איסוף המודיעין הטכנולוגי באגף החקירות והמודיעין, שכרה במהלך השנים האחרונות לפחות שלושה האקרים חיצוניים, שעבדו כקבלני משנה שלה בתשלום, כדי לסייע באיסוף מודיעין ובפיצוח פרשיות פליליות (סיגינט היא גם זו שהפעילה את תוכנת הריגול פגסוס של NSO כדי לפרוץ לטלפונים של אזרחים, כפי שחשף אתמול "כלכליסט").
מדובר באזרחים שנחשפו למידע סודי ביותר ללא סיווג ביטחוני, ללא חתימה על התחייבות שו"ס (שותפי סוד) וללא בדיקות פוליגרף תקופתיות על מנת למנוע ניצול לרעה של המידע שנחשפו אליו. למען האמת, לא ברור כלל כיצד בחטיבת הסיגינט יכלו לוודא כי אותם האקרים אינם סוחרים או מספסרים במידע הסודי ובפרטים האישיים של אזרחים שהם בעצמם השיגו בעבור המשטרה, או שאינם משמשים כ"סוכנים כפולים".
2 צפייה בגלריה
מימין מפכ"ל המשטרה יעקב שבתאי והמפכ"ל לשעבר רוני אלשיך
(צילום: אלעד גרשגורן, אלכס קולומויסקי)
עבודתם של חלק מהאקרים, נודע ל"כלכליסט", נעשתה לא פעם בדרכים לא חוקיות. למשל, באמצעות פריצה לרשתות WiFi סגורות, הורדת סרטונים ממצלמות במעגל סגור של חברות פרטיות, פריצה ועיון בתיקי ביטוח, גם פריצה לטלפונים שהמשטרה לא הצליחה לשתול בהם את תוכנת פגסוס של NSO, ועוד. הפעולות בוצעו כאמור ללא פיקוח שיפוטי, והתוצרים שלהן הוסוו תחת תעודות חיסיון, לרוב כ"ממקור חד־פעמי". ההאקרים קיבלו תשלום תמורת חשבוניות על "ייעוץ".
גאון המחשבים שהסתבך בתביעה מול סוני
ההאקר טובול, למשל, הוא צעיר בן 31 כיום שעלה מצרפת ושירת בצה"ל כחייל בודד. טובול, גאון מחשבים, גויס כקבלן חיצוני של המשטרה כבר בגיל 24, כשנה לאחר שחרורו. הוא התגורר אז בישראל לבדו, ללא דירה או רכוש, וחי בשכירות ביישוב תקוע בהרי יהודה.
המשטרה איתרה את טובול, שהיה במצוקה כלכלית, והפכה אותו מאז ועד היום לקבלן משנה שלה. היא עשתה את זה אף שבזמן שהחל לעבוד בעבורה היה טובול בעיצומה של תסבוכת משפטית שקשורה לשימוש לא חוקי לכאורה בידע שלו בעולם הדיגיטלי. חברת סוני היפנית הגישה ב־2015 נגד טובול תביעה בהיקף של 100 אלף שקל לבית המשפט המחוזי בירושלים. לפי כתב התביעה, טובול הקים אתר אינטרנט בשם PS3PRIZE ("פריצה" ל־PS3 – קיצור לפלייסטיישן 3 של סוני), ובאתר הוא הציע למכור דרך לפרוץ לתוכנת הקידוד של פלייסטיישן: "פריצה לכל סוגי הסוני" במחיר של 70 שקל, שתאפשר להוריד מרשת האינטרנט בחינם משחקים של פלייסטיישן או קונסולות אחרות. כעסקת חבילה, נטען בתביעה, הציע האתר גם חבילה של "פריצה + משחק מתנה" ב־150 שקל. חוקרים פרטיים מטעם סוני איתרו את טובול ואספו ראיות על מעשיו.
"מאחר שלא היה לי כסף להתקיים בעת שהייתי בצבא", הודה טובול בתצהיר לבית המשפט, "נאלצתי לחפש מקורות פרנסה שיאפשרו לי להתקיים, וכך התחלתי לפרוץ לבקשת אנשים למכשירי סוני פליסטיישן כדי שיוכלו להעתיק אליו תוכנות אינטרנט".
טובול צירף מכתב של קצינת העיר ירושלים, שהעידה כי במהלך שירותו הצבאי הוגדר כחייל בודד. תדפיס חשבון בנק שהוסיף הראה שיתרת העו"ש שלו עמדה אז על אלפי שקלים בלבד. השופט יגאל מרזל החליט לחייב את טובול בתשלום פיצוי של 15 אלף שקל לסוני ועורכי דינה.
50 אלף שקל בחודש וגישה למשרדי סיגינט
מי שגייס את טובול לסייע למשטרה תמורת תשלום היה ראש מחלקת טכנולוגיות בחטיבת הסייבר סיגינט לשעבר, ניצב משנה יוסף כחלון. והמשטרה העמיסה עליו הרבה עבודה. בחודשים מסוימים, נודע ל"כלכליסט", התשלום החודשי לטובול, לפי שעות עבודה, הגיע גם לכ־50 אלף שקל בחודש.
אלא שבמשטרה לא נעשה מאמץ לבדוק כיצד השיג טובול את המידע המודיעיני הרגיש. טובול אף קיבל גישה למשרדי חטיבת סיגינט בירושלים ונחשף למידע סודי ביותר, אף שמדובר כאמור באזרח שלא הוכשר כשוטר.
מי שנחשף לעבודתו של ההאקר ציין כי טובול הביא להישגים גדולים מבחינה מודיעינית למשטרה וסייע בפיצוח פרשיות סבוכות. בין היתר, הוא עקב אחרי גורמים בארגוני פשיעה כדי לתפוס אותם "על חם" בעת ביצוע פשעים, ועקב אחרי עדי מדינה. פרשה נוספת שהצליח לפצח היתה איתור של אדם שפתח פרופילים מזויפים ברשתות החברתיות ושכנע צעירות לשלוח לו סרטוני עירום. כל הפעולות הללו נעשו בידיעת המשטרה.
ממשטרת ישראל נמסר בתגובה: "הטענות שנמסרו בפנייתכם חוטאות לאמת. משטרת ישראל פועלת בהתאם לסמכויות המוקנות לה בחוק וככל שנדרש על פי צווי בית המשפט, במסגרת נהלים וכללים שנקבעו על ידי הגורמים המוסמכים.
פעילות המשטרה בתחום זה נמצאת תחת פיקוח ובקרה באופן רציף, על ידי היועץ המשפטי לממשלה וגורמים משפטיים חוץ־ארגוניים נוספים.
מטבע הדברים אין בכוונת המשטרה להתייחס לכלים המופעלים על ידיה. עם זאת, נמשיך לפעול בנחישות בכל האמצעים העומדים לרשותנו, במרחב הפיזי והרשתי, במטרה להילחם בפשיעה בכלל ובפשע המאורגן בפרט על מנת להגן על ביטחונו ורכושו של הציבור".
