פרצה חמורה: 7 שנים של תלונות לעיריית ירושלים עלולות היו להיחשף
08.11.26 / 15:00
שני תושבים שבנו בעזרת סוכן AI כלי לדיווח על מפגעים גילו שם משתמש וסיסמה גלויים בקוד האפליקציה העירונית • מאות אלפי פניות משבע השנים האחרונות, עם תמונות ופרטים אישיים, עמדו בסכנת חשיפה, והרשות להגנת הפרטיות בוחנת את המקרה
"מה פרצת פרץ"? מאות אלפי תלונות ופניות ששלחו תושבי ירושלים לעירייה בשבע השנים האחרונות עמדו בסכנת חשיפה, ובהן גם תמונות ופרטים אישיים. הסיבה היא פרצת אבטחה באפליקציית "עיריית ירושלים 106", שאיפשרה לגשת למידע של תושבים אחרים. הפרשה נחשפה הבוקר (ראשון) ב-TheMarker. הפרצה כבר נסגרה, וכפי הנראה בטרם התרחשה דליפה.
עוד בנושא:
חסידות גור אוסרת שימוש בבינה מלאכותית: "סכנה חמורה מאינטרנט פתוח"
לא רק מכוניות אוטונומיות: רובע מיוחד ל'בינה מלאכותית' יוקם בעיר
האפליקציה נועדה לחסוך לתושבים את השיחה למוקד העירוני ואת הכניסה לאתר העירייה. דרכה אפשר לדווח על מפגעים כמו אשפה, ליקויי תשתית וחניה על מדרכות, להגיש טפסים ולבקש סיוע. את האפליקציה פיתחה חברת Ewave Online, שאף התגאתה באתר שלה בתהליך הפיתוח: "הוגדרה ארכיטקטורה טכנולוגית מתקדמת ומעבר האתר לענן בתצורה מתקדמת ומאובטחת". אחרי שהמידע על הפרצה הועבר לחברה, היא סגרה אותה במהירות.
שם משתמש אחד לכולם
אפליקציה בטלפון נראית כמו תוכנה נפרדת, אבל ברוב המקרים היא פועלת בדיוק כמו אתר אינטרנט. כדי לטעון מידע או לשלוח אותו היא צריכה שלושה נתונים: מפתח האפליקציה, שהוא מעין כתובת בענן שאליה היא פונה, שם משתמש וסיסמה. בדרך כלל לכל משתמש יש שם משתמש וסיסמה משלו. באפליקציה של עיריית ירושלים זה לא היה כך: כל התקשורת עברה דרך שם משתמש אחד וסיסמה אחת, וכל מי שהשתמש באפליקציה יכול היה להגיע גם לנתונים של משתמשים אחרים.
הפרטים האלה גם לא היו מוסתרים. בקוד האפליקציה, שקל מאוד להציץ בו, נמצאו מפתח האפליקציה, שם המשתמש eWave והסיסמה eWavePass. בעזרתם אפשר היה לקבל נתונים על כל תושב רק לפי מספר תעודת הזהות שלו: דיווחים לעירייה, וגם טפסים שהגיש, למשל על מעבר דירה או ערעור על דו"חות.
גילוי מקרי
את החולשה גילו שני תושבי העיר, דניאל פלבר ורעי הללה סולברג, שעוסקים בהתנדבות במעורבות אזרחית ובהנגשת מידע ושירותים לתושבים. סולברג ביקש לבנות סוכן בינה מלאכותית שישלח לעירייה תלונות על מפגעים. "רציתי לצלם תמונה, לשלוח לסוכן, ושהסוכן ישבור את הראש לבד באיזו כתובת התמונה צולמה, מה הבעיה, ואם יש צורך בהגשת מספר רב של אירועים (למשל כמה כלי רכב חונים על המדרכה), שכל רכב יקבל דיווח ייחודי משלו עם מספר הרכב ותמונה, בצורה שהמידע יגיע לעירייה והיא לא תוכל להגיד שבעיה היא קטנה כי יש רק דיווח אחד על רכב שחונה על המדרכה", הוא מספר.
ואז הגיעה ההפתעה. "קיבלתי גישה לאייג'נט (סוכן AI, רב"ז) בשם אינסטינקט. הוא הוריד את האפליקציה, ניתח אותה ומצא את ה-API (ממשק תכנות יישומים, רב"ז), הבין איך להשתמש בו, ואז התחלתי לקבל גם את היסטוריית הדיווחים שלי. ההפתעה הייתה כשקיבלתי דיווח שלא אני פתחתי, ואז קלטתי שיש עוד אדם שלא רוצה לתת לעירייה את תעודת הזהות שלו, ונתן מספר (מספר זהות פיקטיבי, רב"ז) שעובר בדיקת תעודת זהות, כמוני (123456782)", אומר סולברג.
פלבר מודה שהופתע מהקלות שבה אפשר היה לחדור למערכת. "העירייה מדליפה מידע רגיש", הוא אומר. "יש המון חוקים שמטרתם להגן על פרטיות האזרח. אם ארגון קטן היה מדליף את המידע, לא הייתי כל כך מופתע, אבל עם כל התקציב שיש לעיריית ירושלים, היו לי ציפיות יותר גבוהות. כמובן, יש לי ציפיות יותר גבוהות מהרשות שאחראית על אכיפת חוקי פרטיות, כדי שארגונים ייקחו את זה יותר ברצינות".
חמור יותר ממה שנראה
השניים העבירו את המידע ל-TheMarker, ושם התברר שהבעיה חמורה עוד יותר. לא היה צורך לדעת מראש את מספר הזהות של תושב מסוים: השרת של האפליקציה לא חסם ניסיונות חוזרים, כך שמי שמחזיק במאגר מספרי הזהות של תושבי ישראל, שזמין לכל, למשל דרך אפליקציית אלקטור, יכול היה לעבור באופן שיטתי על התיקים של התושבים בלי שהמערכת תעצור אותו. בבדיקה של TheMarker התקבלו מידע ותמונות ששלחו כמה תושבים למוקד, גם מהתקופה שלפני השקת האפליקציה.
כך, למשל, כתב תושב ששמו שמור במערכת: "אבקש להתקין עמודוני חסימה ברחוב ברוריה 2 בירושלים, בפינת רחוב רבי חייא. בתמונה נראים עמודונים בחלק השמאלי של המדרכה ופחי אשפה; אבקש לבדוק השלמת עמודונים בקטע המצולם. העמודונים נדרשים למניעת עליית כלי רכב וחניה על המדרכה ולשמירת מעבר בטוח ונגיש להולכי רגל, כולל עגלות ילדים וכיסאות גלגלים".
תלונה אחרת דרשה מענה של פקח: "מיצובישי אאוטלנדר כחול, מספר רישוי X… בשדרות ש"י עגנון 21 בירושלים... רכב עדיין במקום, בתחום 12 מטרים מהצומת לפי תצפיתי, ולא נראה דו"ח על הרכב. לא נמסר לי שניתן דו"ח. אבקש לבדוק ולפרט אם פקח ביקר ואם בוצעה אכיפה. סגירת הפנייה כשהרכב נותר במקום ללא הסבר לטיפול אינה מקובלת".
הסכנה לא נגמרת בחשיפת המידע הרגיש עצמו. תלונות כאלה עלולות לחשוף את המתלוננים לתגובה של מי שהתלוננו עליהם. המידע הזה, יחד עם הפרטים מהטפסים, עלול לשמש בעתיד תוקפים לסחיטה, או להתחזות לנציגי העירייה.
בלי ידע טכני
מה שמטריד במיוחד הוא כמה קל היה לנצל את הפרצה. בעבר, כדי להציץ בקוד של אפליקציה ולנצל חולשה כזו היה צריך ידע טכני. היום סוכני בינה מלאכותית יכולים לעשות חלק ניכר מהעבודה. למודלים של החברות הגדולות (גרוק, ג'מיני וקלוד) יש מנגנוני הגנה נגד שימוש זדוני, אבל יש בשוק גם מודלים בלי הגבלות, שעלולים לאפשר גם למי שאין לו ידע מעמיק לאתר חולשות אבטחה ולנצל אותן. חולשות פשוטות כבר לא יכולות להישאר מוסתרות רק מפני שקשה למצוא אותן. מצד שני, אותם מודלים יכולים לשמש גם להגנה.
התגובות
מעיריית ירושלים נמסר בתגובה: "העירייה מייחסת חשיבות רבה להגנה על פרטיות התושבים ועל המידע הנמסר לה במסגרת השירותים העירוניים. לעירייה יש כלל אישורי האבטחה הנדרשים. עם היוודע הדבר, פנתה העירייה לחברת Ewave על מנת לטפל בתקלה, וזו טופלה באופן מיידי. העירייה פועלת בהתאם להוראות הדין ולנוהלי אבטחת המידע, ותמשיך לפעול לשיפור מתמיד של מערך ההגנה על המערכות העירוניות ועל המידע המצוי בהן".
בחברת Ewave אמרו שתגובת העירייה נמסרה גם בשם החברה.
הפרשה לא נסגרת כאן. מהרשות להגנת הפרטיות נמסר: "הרשות קיבלה דיווח אבטחת מידע מעיריית ירושלים בנוגע לחולשות האבטחה באפליקציית 106 והיא בוחנת את הדיווח ונסיבותיו מול הגורמים הרלוונטיים בעירייה".
להצטרפות לקבוצות ועדכוני "ירושלים החרדית" בוואטסאפ לחצו כאן
מעוניינים להגיב? לדווח? צרו איתנו קשר במייל האדום [email protected]
