יועץ בכיר במשרד ראש הממשלה בנה כלי מבוסס בינה מלאכותית לניטור סיקור תקשורתי, והעלה אותו לגיטהאב ללא הצפנה — כך שכל מי שמצא את המאגר הציבורי יכול היה לגשת לטוקן גישה לקבוצות WhatsApp פנימיות ולמספרי טלפון פרטיים של בכירים. החשיפה תוקנה רק אחרי שכתב תחקיר פנה לגורמים הרשמיים לתגובה.
הפרטים
לפי דיווחי Haaretz ו-The Times of Israel, היועץ התקשורתי יונתן אוריך פיתח כלי הסורק כ-50 אתרי חדשות כל 90 שניות ושולח סיכומים אוטומטיים לשתי קבוצות WhatsApp — אחת לסיקור על ראש הממשלה ומפלגת הליכוד, ואחת לאזכורים של שרה נתניהו. קוד הכלי הועלה לחשבון פומבי בגיטהאב וכלל טוקן גישה לא מוצפן לקבוצות ה-WhatsApp, וכן פרטים אישיים ובהם מספרי טלפון של בכירים. מי שהחזיק בטוקן יכול היה לקרוא את תוכן הקבוצות ואף לשלוח בהן הודעות בשם הבוט. גישה לחשבון הגיטהאב הוגבלה רק לאחר שכתב פנה למשרד ראש הממשלה לתגובה.
נקודות לשים לב
- אם אתה מפתח כלים פנימיים — לעולם אל תעלה טוקנים, מפתחות API או פרטי גישה לקוד במאגר פומבי, גם אם הוא נראה זמני או ניסיוני.
- השתמש בסורקי סודות אוטומטיים (secret scanning) שחוסמים או מתריעים לפני שקוד עם טוקן חשוף נדחף למאגר ציבורי.
- אם טוקן דלף — אין די בסגירת הגישה למאגר: יש להחליף (rotate) את הטוקן עצמו, שכן כל מי שהעתיק אותו קודם עדיין יכול להשתמש בו.
- האירוע ממחיש סיכון רחב יותר: כלים "פנימיים" שנבנים במהירות, גם מחוץ לארגוני אבטחת מידע, נוטים לדלג על בדיקות אבטחה בסיסיות.
- אין בידיעה אישור לכך שהטוקן נוצל בפועל לפני שנחסם — אך החשיפה עצמה, כולל מספרי טלפון פרטיים של בכירים, התקיימה ופורסמה.
מקורות: The Times of Israel · Haaretz
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
