כאשר אנחנו נרשמים לשירותים שונים, מבקשים מאיתנו לעתים קרובות צילום רישיון נהיגה, תעודת זהות ועוד. הגופים שמנהלים את השירותים האלה משתמשים במידע כדי לזהות מי אנחנו. לעתים מדובר בדרישות רגולטוריות (למשל, חברות ביטוח), אבל איסוף המידע הזה, שנעשה לכאורה לצרכי אבטחה וזיהוי, שווה להם המון כסף, וזו הסיבה האמיתית לכך שהוא מבוצע.
גופים כמו שירביט, שמבקשים צילום תעודה מזהה רק לצורך זיהוי ראשוני, מרשים לעצמם לשמור את הצילומים לנצח ויוצרים מאגר מידע שלא פעם נשמר בצורה לא מבוטחת – הפריצה וגניבת הנתונים לא מאחרות לבוא.
הגישה התועלתנית של חברות היא פשוטה: עדיף יותר פרטים מאשר פחות פרטים. הן לא מבינות שעם הבחירה שלהן לשמור סריקות ודאטה באה גם אחריות וחשיפה משפטית.
במקביל לכך, קיים מנהג מגונה של חברות ושל גופים ממשלתיים: לזהות אותנו על פי אותם פרטים כשאנחנו מתקשרים אליהם (שם, תאריך לידה, מספר זהות, כתובת) ולא על בסיס "סוד", כמו זיהוי דרך SMS או בשיטות זיהוי מתקדמות יותר.
בתקופה האחרונה, אוסטרליה כמרקחה: מידע אישי של לקוחות ספקית התקשורת השנייה בגודלה דלף. המידע כולל את כל פרטי הזיהוי של 9.8 מיליון תושבים – לקוחות בהווה ובעבר – ובחלק מהמקרים גם סריקות של רישיון נהיגה, דרכון וכרטיס מדיקייר (שירותי בריאות).
מעבר לזעזוע של כולם, ממשלת אוסטרליה וממשלות הסטייטים מודאגות מתרחישים של גניבת זהות. בנוסף לקנס על החברה שנפרצה (קנס קטן יחסית, אם כי יש קריאות מאוחרות מדי להגדיל אותו במקרי דליפת מידע עתידיים), תהיה עלות משמעותית לכלל משלמי המסים: משרדי התחבורה ינפיקו רשיונות עם מספרים חדשים לכל מי שנפגע, כנ"ל מדיקייר, מהלך יקר מאוד.
יש אפילו מחשבה על הנפקת דרכונים חדשים לאזרחים, אבל קצב הנפקת הדרכונים באוסטרליה עגום גם כך בעידן הפוסט-קורונה: אנשים מחכים חודשים רבים לדרכון, והעניין ייצור עומס נוסף על משרד הדרכונים.
הסיבה שממשלת אוסטרליה לוקחת על עצמה את העלויות, מלבד הדאגה לאזרחים, היא שהיא יודעת שהיא פישלה: לפני כמה שנים נכנסו לתוקף חוקי שמירת מידע דרקוניים, שמתאימים לדיקטטורות ולא לדמוקרטיות בריטיות כמו אוסטרליה.
אמנם, יש קולות בממשלת אוסטרליה שקוראים לכך שחברת Optus תשלם את עלות הנפקת הדרכונים החדשים, אבל בפועל עוד לא הוחלט דבר. כרגיל, הפוליטיקאים מחוקקים חוקי שמירת מידע בלי להבין את ההשלכות שלהם (מישהו אמר "המאגר הביומטרי"?)
למשל, ראו את המסמך הרשמי של ממשלת אוסטרליה המנחה גופים כיצד לשמור מידע. המסמך הזה מכיל הוראות לגופי תקשורת על מידע שהם חייבים לשמור על לקוחות, גם כאלו שעזבו, עד שנתיים לאחר העזיבה (עמוד 3, סעיף 5). בנספח, מצוינים הפרטים שצריך לשמור. אלו פרטים שמזהים את הלקוח וברגע שהם נגנבים, סקאמרים יכולים להשתמש בהם לגניבת זהות.
מה שקורה, זה שגם פרטים של אנשים שעזבו את החברה לפני שנים נגנבו כחלק מהפריצה, והתלונה שלהם הרבה יותר חזקה: באיזה רשות שמרתם את הפרטים שלנו כל השנים האלה וחשפתם גם אותנו, למרות שאנחנו לא לקוחות שלכם?
העם האוסטרלי נופל בקלות לנוכלויות – עוקץ הנסיך הניגרי, גיפט קארדס וכדומה משגשגות במדינה. כולם באוסטרליה בפאניקה מהנזק הכלכלי שעלול להתרחש בשל רמאים שיתקשרו לקורבנות תמימים, יציינו ברוב סמכות את פרטי הקורבנות, וישוו לעצמם אמינות, וכך יוציאו מהם כספים רבים.
הפאניקה וחוסר האונים כל כך גדולים שיש אנשים שרוצים אפילו לשנות את תאריך הלידה שלהם.
ולמה הגופים האלה לא מוחקים את המידע שנשמר? מחיקת קבצים עולה כסף. למשל, צריך לפתח קוד שמוחק את המידע כל זמן מסוים. יותר זול לא למחוק, אז פשוט לא מוחקים.
אין תמריץ לחברות להשקיע במה שלא מניב להן כלום, עד שהפריצה מתרחשת ואז התמריץ מגיע.
בעבר, לאחר הפריצה ל-Paybox, כתבתי פוסט שבו הסברתי שחברות לא מבינות את החשיבות של שמירה על מידע, ותביעות ייצוגיות וקנסות גדולים הם אלו שיגרמו למנהלים להבין שהעלות ה"מבוזבזת" של השקעה באבטחה זולה יותר מהאלטרנטיבה. באוסטרליה מתחילים סוף סוף להבין את זה.
זו לא רק חומרת הפריצה והדליפה – יש כאן עוד סיפור. יש כאן עניין שרלוונטי לישראל לא פחות מאשר לאוסטרליה, והוא חוסר האוריינות הטכנולוגית של חברות, שמניחות שאם אנחנו יודעים לומר להן בטלפון שם, תעודת זהות, כתובת ותאריך לידה, אז אנחנו מי שאנחנו טוענים שאנחנו.
כבר ראינו איך מספר תעודת זהות בלבד יכול לחשוף פרטים רפואיים רגישים ביותר. הנה דוגמא מהזיכרון, זה קרה ב-2012 בקופת חולים "כללית" ואני בטוח שיש המון דוגמאות גם היום.
גופים ומשרדי ממשלה, מתייחסים למספר תעודת הזהות שלנו כנתון סודי. המספר לא סודי. לא רק שמרשם התושבים דלף במלואו כמה פעמים (אלקטור, אגרון ועוד) – על כל צ'ק שלנו רשומה תעודת הזהות, לא פעם גם בכתבי טענות ופסקי דין הזמינים באינטרנט רשום המספר, והוא מופיע במקומות רבים אחרים. גם אם נרחיב את פרטי הזיהוי לתאריך לידה, טלפון, כתובת וכו' – גם אלו פרטים לא סודיים. גוף לא יכול לזהות אותנו על סמך הפרטים האלה, ואם כן – אז רק לצורך ביצוע פעולות או מתן מידע לא "אישי מדי", או לא כזה שייתן יתרון לתוקף.
דרך אפקטיבית – וגם היא לא מושלמת – היא לשלוח SMS למספר הטלפון הרשום אצל הגוף, ולבקש מהלקוח להקריא את הקוד שהתקבל. זה לא מספיק, ובטח לא לדברים רגישים במיוחד, אבל זה פתרון יותר טוב משמעותית.
יש פתרונות אחרים, טובים יותר. מדובר בנושא טכני, אבל הפתרונות קיימים, וחברות צריכות להבין שהן נדרשות לזהות אותנו על ידי פרטים שלא זמינים לכל, גם אם הדרך להשיגם לא טריוויאלית. כשתוקף רוצה לגנוב זהות, לחטוף SIM או להוציא ממנו כספים, הוא ישיג את הפרטים הללו בקלות.
כולי תקווה שגופי ממשלה וחברות יתחילו להתעורר, להשקיע באבטחת מידע, להקשיח נהלי זיהוי, להפסיק לשמור נתונים וסריקות שהם לא באמת חייבים לשמור וכמובן – שיתחילו למחוק מידע.
*המאמר משקף את דעתו האישית של הכותב.
