כפי שנחשף בכלכליסטהדלת האחורית שמאפשרת למשטרה לקבל מידע מניידים
כפי שנחשף בכלכליסט
הדלת האחורית שמאפשרת למשטרה לקבל מידע מניידים
טכנולוגיית המעקב החדשה שרכשה המשטרה מחברת מודיעין הסייבר רייזון ללא אישור היועמ"שית, מנצלת את השיטה שבה מפרסמים מאתרים קהל יעד, כדי לקבל מידע מאפליקציות של המשתמש. השימוש בטכנולוגיה מעורר שאלות על זכויות אזרח
סביר שזה קרה לכם לא פעם. אתם נוסעים לחופשה בארץ. בדרך, מי שלא נוהג, נכנס לאתרי חדשות או לרשתות החברתיות, והילדים מעבירים את הזמן באפליקציית משחקים כלשהי שהורידו לנייד. כשעוברים ליד תחנת דלק, מופיעה לאחד או יותר ממי שנמצא ברכב מודעה באתר או באפליקציה שהוא גלש בה, על מבצע בחנות הנוחות של אותה תחנת דלק. בזה הרגע עברתם טירגוט. מפרסם קיבל אינדיקציה שאתם עונים לחתך מסוים שהוא מחפש (גיל, מין, הרגלי גלישה בהצלבה עם מיקום) ורואה בכם פוטנציאל למוצר שלו.
הקישור בין הזדמנויות חשיפה למוצר לבין מפרסמים הקונים את הזדמנויות החשיפה באמצעות בורסת פרסום – פלטפורמה טכנולוגית לסחר בפרסום מקוון – ידוע ומוכר. בסיס המידע על אדם בבורסת הפרסום הוא תולדה של אישורים רבים שנתתם, אם שמתם לב לכך או לא, לעשרות אפליקציות שהורדתם לנייד, להשתמש במידע שנאסף בהן לצורכי פרסום.
מה שאתם לא יודעים, זו העובדה שיש עוד גופים פרטיים שמחזיקים כלים טכנולוגיים שיודעים לנצל את שיטת הפרסום הממוקדת הזאת לעוד מטרה, שהיא כבר בעייתית הרבה יותר: איסוף מידע עבור גופי ביון ורשויות אכיפה.
שלשום נחשף באתר "כלכליסט" כי המשטרה רכשה לאחרונה מחברת מודיעין הסייבר הישראלית רייזון (Rayzone) תוכנת מעקב חדשה. מדובר בתוכנה המאפשרת בין היתר לאתר בדיוק של מטר את מיקומו של אדם ומסלול תנועתו ומאפשרת לקבל מידע נוסף מהאפליקציות על מכשירו של היעד. השם המסחרי של הכלי הזה הוא "אקו" (Echo). הוא מבוסס על מודל מעקב מסוג ADINT (מלשון פרסום ממוקד – Targeted advertising).
השימוש באקו, לאור מודל ה־ADINT שעליו יורחב בהמשך, מעורר שאלות בתחום המשפט, הפרטיות והטכנולוגיה. למרות זאת, כך נחשף, רכישת הכלי ובדיקת התאמתו לחוק ולסמכויות המשטרה לא הובאו לבחינה ולאישור מוקדם של מערך הייעוץ המשפטי לממשלה. וזאת למרות הנחיה מפורשת בדו"ח בראשות המשנה ליועמ"ש, עמית מררי, שמצא כשל מערכתי באימוץ טכנולוגיות ריגול ומעקב בעקבות תחקיר "כלכליסט" על השימוש הלא חוקי, לא מפוקח ולא מבוקר שעשתה המשטרה בתוכנת הפגסוס של NSO.
אז איך פועלות תוכנות מעקב מסוג ADINT? על כל טלפון חכם יש עשרות אפליקציות שאדם מוריד במהלך השימוש בו – משחקים, ניווט, רשתות חברתיות, ביטוח, תשלומים ועוד. חלק גדול מהאפליקציות שמורדות לנייד דורשות הסכמה מראש להעביר מידע שנאסף בהן על המשתמש – למשל גיל, מין, שנת לידה, נתוני מיקום ועוד – לחברה שמנהלת את האפליקציה.
המידע שעובר לחברת האפליקציה, כחלק ממודל עסקי של רבות מהן, נמכר לבורסת פרסום (ad exchange) עבור מפרסמים באינטרנט ששואפים תמיד להגיע לקהל יעד מפולח ורלוונטי. ad exchange היא פלטפורמה טכנולוגית לסחר בפרסום מקוון, המוכרת הזדמנויות חשיפה למפרסמים. הזדמנויות שמבוססת על הנתונים שנאספו מהאפליקציות שהורדתם ונתתם אישור לחברה לעשות שימוש בהם לצורך פרסום.
וכאן נכנסות לתמונות חברות מודיעין סייבר שלהן יש כלים טכנולוגיים מסוג ADINT. הן מנצלות את המודעה ששולח המפרסם ליעד הממוקד כדלת כניסה אחורית לקבלת מידע מהנייד שלו. האלגוריתם יודע לזהות מתי הדלת נפתחת, בסמוך לשליחת המודעה, וכך לקבל מידע שנחשף מהטלפון. את המידע שנאסף לאחר שהתוכנה נכנסה בדלת האחורית, יודעים הכלים מסוג ADINT לסדר ולארגן כך שיתקבלו נקודות ציון במרחב ומידע נוסף. בשטח, מפעילי הכלי מזינים מספר טלפון או אזור גיאוגרפי (למשל קניון, בניין דירות, חניון) ומקבלים למשל מיקום מדויק ומסלול תנועה.
השוני בין חברות מודיעין הסייבר שמחזיקות כלים מבוססי ADINT, הוא היקף המידע בטלפון שהן מקבלת אליו גישה באמצעות הכלי שלהן. לכל חברה יש רשימה של אפליקציות שהיא מצאה בהן את החולשה הטכנולוגית שדרושה לה. זה הסוד המסחרי הגדול שלה, שמאפשר לה לקבל בדלת אחורית נתוני מיקום, תנועה ועוד.
וכאן, בוודאי אחרי פרשת המשטרה וה־NSO, היה צריך להיכנס לתמונה גורם מפקח על המשטרה, שלאחר השבתת הפגסוס צמאה מן הסתם לכלים טכנולוגיים חדשים שסייעו לה בעבודת איסוף המודיעין למניעת פשיעה ואכיפת חוק. אלא שאחרי הממצאים החמורים והמסקנות בדו"ח מררי, קשה להבין איך במשטרה החליטו שוב לפעול על דעת עצמם. להלן שאלות וסוגיות בנוגע לכלי של רייזון שלא נבחנו על ידי היועמ"שית. למשל, לא ידוע מה ההיקף וסוג המידע שמתקבל מהיעד בעת השימוש בכלי של רייזון, והאם המידע שנאסף מהכלי נמצא רק במחשבי המשטרה או גם במחשבי רייזון?
בהמשך יש גם שאלות של התאמה לחוק ולסמכויות המשטרה. למשל, האם קבלת המידע מהאפליקציות בשיטת ADINT עונה להגדרה של מידע גלוי ברשת, שאין צורך בצו שיפוטי או ביקורת שיפוטית כשאוספים אותו לצורכי מודיעין או חקירה? האם הסכמה של אדם להעביר מידע למפרסמים מאפשרת בכלל גם לרשויות אכיפה לעשות במידע שימוש בעקיפין? זאת ועוד, האם קבלת נתוני מיקום דרך חברה פרטית שאינה חברת סלולר היא לא עקיפה של חוק נתוני תקשורת? כיום המשטרה יכולה לקבל נתוני מיקום של אדם מחברות הסלולר מכוח חוק נתוני תקשורת. החברות מחויבות לשמור לפי חוק נתונים כאלה עבור כל משתמש שלהן.
על פי החוק, כדי שחברת הסלולר תספק למשטרה נתונים כאלה על משתמש שלה, על המשטרה לפנות קודם לבית המשפט, להציג מה החשדות או הראיות לכאורה שיש נגד האדם, כדי לשכנע את השופט לחתום על צו לקבלת הנתונים מחברות הסלולר. בהמשך היא פונה עם הצו למפעיל הסלולרי ומקבלת את המידע לשימושה לצורך עבודת מודיעין או חקירות.
בשלב זה לא ידוע האם המשטרה ניסחה צו מיוחד שבאמצעותו תפנה לבית משפט ותבקש להפעיל את הכלי נגד אזרח כזה או אחר, שהרי גם לא ידוע מה המקור החוקי שהיא מסתמכת עליו בהפעלת הכלי. עולות לפיכך גם השאלות הבאות: כיצד יפקחו בתי המשפט על השימוש ההוגן בכלי? האם השופטים הודרכו וקיבלו הסברים על הכלי של רייזון? האם אין צורך בצווים שיפוטיים חדשים? מהמשטרה לא התקבלה תגובה. מרייזון נמסר כי "איננו יכולים להתייחס ללקוחותינו, ואין בתשובתנו כדי לאשר או להכחיש פעילות מול לקוח כזה או אחר".
