"הנושא הועבר לגורמים הרלוונטיים": אלפי הודעות ותמונות אישיות דלפו — פרטנר ומערך הסייבר התעלמו (רן בר זיק - דה מרקר)
זוכרים את ראשי התיבות MMS? מי שהחזיקו טלפון נייד בעידן שלפני אפליקציות המסרים כמו וואטסאפ, אולי הכירו את שירות הודעות מולטימדיה, או Multimedia Messaging Service. זו הייתה התפתחות פופולרית מאוד של הודעות הטקסט הוותיקות (SMS) שאיפשרה לאנשים לשלוח תמונות וסרטונים זה לזה, במיוחד מחו"ל.
וואטסאפ ודומותיה השכיחו אותן מלבבותיהם של רוב המשתמשים, אבל גם כשטכנולוגיה נעשית פופולרית פחות, זה לא אומר שאין לה משתמשים. אלא שבמקרה הזה, השילוב בין שירות פעיל לבין הירידה החדה בשימוש הכין את הקרקע לדליפת מידע משמעותית שחשפה כ–200 משתמשים ישראלים ביום. כשחוקר האבטחה שמצא את החולשה ניסה לדווח על כך, חברת הסלולר פרטנר ומערך הסייבר התעלמו לחלוטין. לאחר פניית TheMarker, הדליפה נסגרה לחלוטין וכרגע אין חשש לדליפה נוספת.
פרוטוקול MMS עובד באמצעות משלוח לשם מתחם (דומיין — מעין "כתובת" אינטרנטית). חברת פרטנר, בגלגולה הקודם כחברת אורנג', השתמשה בשם המתחם oklik.net לצורכי MMS וזנחה אותו.
אזרח ישראלי וחוקר אבטחה, ששמו שמור במערכת, רכש את שם המתחם הזה לפני יותר משנה והופתע לקבל בקשות מרובות משרתי MMS של חברות אחרות שלא עודכנו שפרטנר זנחה אותו. לא מדובר במיליוני הודעות, אבל בחודש האחרון נשלחו לאותו שם מתחם בטעות 14.3 אלף הודעות (ומכיוון שנשלחו אליו, לא הגיעו ליעדן האמיתי). פתיחתן אינה מצריכה ידע יוצא דופן.
בכל ההודעות מופיעים מספר הטלפון של השולח ושל הנמען, וכמובן תמונות וטקסט, וחלק מהתמונות אינטימיות מאוד. במידע שנבדק על ידי מערכת TheMarker באחר צהריים אחד נצפו כ–200 הודעות שהתקבלו באותן שעות. היו שם צילומים של מידע רפואי, מידע אחר ותמונות אישיות לרוב. לצד התמונות מופיעים כאמור מספרי טלפון, שמהם קל להגיע אל הזהות האמיתית של הצדדים. חלק מהתמונות היו של ילדים ובני נוער שצילמו את עצמם.
ברגע שאותו אזרח הבין שמדובר בשרת ששירת פעם MMS, הוא פנה למערך הסייבר עם כל הפרטים והצעה למסור את שם המתחם לפרטנר. הנציגים של מערך הסייבר קיבלו את המידע — אך לאורך חודשים המערך לא סיפק עדכון ממשי ולא פתר את הבעיה, גם כשאותו אזרח פנה שוב ושוב. התשובה הסופית הייתה ש"הנושא הועבר לידיעת הגורמים הרלוונטיים, לא קיבלנו עדכון". ובזה הסיפור הסתיים.
המקרה הזה אינו חריג. לאורך השנים חוזרים ומופיעים דיווחים של אזרחים וחוקרים שמגלים דליפות מידע רגיש, פונים לגורמים הרשמיים ומקבלים מענה מינימלי, או שאינם מקבלים טיפול בזמן — אפילו במקרים שבהם מדובר במידע אישי רגיש ברמה גבוהה במיוחד ובאזרח שלא פנה רק פעם אחת. גם אחרי פניות חוזרות למערך הסייבר ולפרטנר, נשאר שם המתחם בידיים פרטיות, וההודעות המשיכו להגיע אליו
מפרטנר נמסר: "מדובר בדומיין ישן שפרטנר חדלה להשתמש בו, אך נותר בשימוש לניתוב הודעות אצל חברת סלולר אחרת. פעלנו מול החברה לעדכון הניתוב ובמקביל אנו פועלים לרכישת הדומיין מחדש מידי בעליו, שהיה היחיד שהייתה לו גישה לדומיין. אנו מחויבים להגנה על פרטיות ולשמירה על אבטחת מידע, ובוחנים את השתלשלות המקרה לצורך הפקת לקחים ומניעת הישנותו".
הכתבה המלאה בדה מרקר.