פרצת האבטחה החמורה שנחשפה בשבוע שעבר באפליקציית מוקד 106 של עיריית ירושלים מעלה שאלות החורגות הרבה מעבר לליקוי טכנולוגי נקודתי. מבדיקת "חרדים ירושלים" עולה תמונה מטרידה של ליקויים משמעותיים שהתגלו בשנים קודמות במערך אבטחת המידע העירוני, לצד התרעות חמורות, המלצות לתיקון והתחייבויות מצד גורמי העירייה.
הפרצה, שנחשפה לראשונה ב-TheMarker, אפשרה לכאורה גישה למידע הקשור למאות אלפי פניות שהעבירו תושבים לעירייה במהלך שבע השנים האחרונות. מדובר בפניות שעשויות לכלול פרטים אישיים, תמונות, תלונות ומסמכים שנמסרו לעירייה במסגרת קבלת שירותים עירוניים. בעקבות הדיווח טופלה החולשה, אולם שאלת היקף החשיפה בפועל והאפשרות שנעשה שימוש בלתי מורשה במידע קודם לגילויה עדיין מחייבות בירור.
כעת מתברר כי האזהרות בנוגע למערך אבטחת המידע העירוני לא החלו בשבוע שעבר. כבר בשנים קודמות הצביעו גורמי הביקורת על פערים משמעותיים במערכות המחשוב, על חולשות אבטחה ועל ליקויים במנגנוני הפיקוח. הממצאים מציבים סימני שאלה סביב אופן הטיפול בהתרעות והצעדים שננקטו מאז להגנה על המידע האישי של תושבי הבירה.
83 מערכות ללא תמיכה, ומבדקי חדירה בודדים
אחד הממצאים הבולטים נוגע למערכות המחשוב שבהן השתמשה העירייה. על פי ממצאי הביקורת, במועד הבדיקה פעלו בעירייה 83 מערכות שהגיעו לסיום תקופת התמיכה של היצרן. המשמעות היא שמערכות אלה אינן נהנות עוד מתיקוני אבטחה שוטפים מטעם היצרן, מצב שעלול להגביר את החשיפה לחולשות ולמתקפות סייבר.
מבקרת העירייה המליצה להחליף את המערכות הישנות ולהפעיל אמצעי הגנה נוספים עד להשלמת ההחלפה. בתגובת העירייה לדוח נמסר כי החלה תוכנית לשדרוג מערכות המידע.
אלא שהנתונים אינם מסתיימים בכך. ממצא משמעותי נוסף נוגע להיקף בדיקות החדירה, שנועדו לאתר חולשות אבטחה באמצעות ניסיונות מבוקרים לחדור למערכות המחשוב.
לפי נתוני הביקורת, מתוך כ-200 מערכות מחשוב שפעלו בעירייה, נערכו באותה תקופה מבדקי חדירה לשתיים עד שלוש מערכות בלבד מדי שנה.
מבקרת העירייה אף הציגה חישוב שלפיו, אם קצב הבדיקות יימשך ללא שינוי, כ-160 מערכות עלולות שלא לעבור מבדק חדירה במהלך תקופת פעילותן. מדובר בהערכת סיכון שהתבססה על קצב הבדיקות באותה תקופה, ולא בקביעה שכל אותן מערכות אכן נותרו ללא בדיקה.
המספרים שמאחורי הממצאים
| הממצא | הנתון שנמצא בביקורת |
|---|---|
| מערכות מחשוב בעירייה | כ-200 |
| מערכות ללא תמיכת יצרן | 83 |
| מבדקי חדירה בשנה | 2-3 מערכות בלבד |
| מערכות שעלולות שלא להיבדק לפי חישוב המבקרת | כ-160 |
| חשבונות שלא הוחלפה סיסמתם במשך יותר משלוש שנים | 35 |
| חולשות שאותרו באתר העירייה | 4, מהן אחת בחשיבות גבוהה |
| ממצאים חמורים במערכת ליבה | ממצא קריטי ושניים בסיכון גבוה שלא תוקנו במועד הביקורת |
הנתונים מתייחסים לממצאי הביקורת לשנת 2023 ולתקופה שנבדקה. חלק מהליקויים טופלו לאחר מכן, ואין להסיק כי כולם קיימים גם כיום.
מערכת ליבה עלתה לאוויר ללא בדיקת חדירה מקדימה
ממצא חמור נוסף שעולה מהמידע שבדקנו נוגע למערכת ליבה עירונית שהוכנסה לשימוש ללא ביצוע מבדק חדירה מוקדם. רק לאחר שהמערכת כבר החלה לפעול נערכה בדיקה, שבמסגרתה אותרו חולשות אבטחה חמורות.
על פי ממצאי הביקורת, גם כשמונה חודשים לאחר גילוי החולשות עדיין לא טופלו ממצא אחד בדרגת סיכון קריטית ושני ממצאים נוספים בדרגת סיכון גבוהה, נכון למועד עריכת הביקורת.
חשוב להבהיר כי אין מידע המצביע על קשר ישיר בין אותה מערכת לבין הפרצה שנחשפה באפליקציית מוקד 106. עם זאת, הממצא מלמד על הפערים שעליהם התריעה המבקרת בנוגע לאופן הכנסת מערכות מחשוב לשימוש בעירייה.
הסיסמאות הישנות וניגוד העניינים בבדיקות האבטחה
פרט נוסף שעולה מהמידע שנבדק נוגע ל-35 חשבונות משתמשים במערכות העירייה, שבהם לא הוחלפו הסיסמאות במשך יותר משלוש שנים.
המבקרת התריעה כי היעדר החלפת סיסמאות תקופתית עלול להגביר את הסיכון לגישה בלתי מורשית למערכות העירוניות.
עם זאת, בתגובה שנכללה בדוח מסרה העירייה כי בעקבות אירוע סייבר קודם בוצע תהליך איפוס של הסיסמאות הרלוונטיות, וכי נקבעה מדיניות להחלפתן אחת לשנה.
אלא שכאן לא הסתיימו הממצאים. בביקורת עלה גם ליקוי במנגנון הפיקוח על ספקי המחשוב העירוניים.
מבקרת העירייה הצביעה על ניגוד עניינים מובהק במקרים שבהם ספקים שבדקו מערכות שפיתחה חברת נס, ספקית המחשוב של העירייה, נבחרו בהמלצתה והתשלום עבור שירותיהם הועבר באמצעותה.
המשמעות היא שהחברה שסיפקה שירותי מחשוב הייתה מעורבת גם בהליך בחירת הגורמים האמורים לבחון את רמת האבטחה של חלק מהמערכות.
המבקרת המליצה להפריד בין החברה המספקת שירותי מחשוב לבין הגורמים הבוחנים את רמת האבטחה. העירייה קיבלה את ההמלצה. גם ממצא זה אינו מוכיח קשר לפרצת מוקד 106, אך הוא מעורר שאלות בנוגע למנגנוני הבקרה שפעלו בעבר.
דווקא באותה תקופה הורחב השירות הדיגיטלי במוקד 106
פרט נוסף בעל משמעות נוגע להתרחבות השירותים הדיגיטליים של מוקד 106. במהלך שנת 2023 הושק יישומון מחודש, שלפי נתוני העירייה הביא לשילוש מספר המשתמשים בו.
כך, בזמן שהשירותים הדיגיטליים העירוניים הורחבו והשימוש בהם גדל משמעותית, הועלו בביקורת הנפרדת על אבטחת המידע התרעות על פערים משמעותיים במערכות המחשוב ובבדיקות האבטחה.
אין בכך כדי לקבוע שהיישומון המחודש לא עבר בדיקות אבטחה, או שהליקויים שתועדו בעבר הם שגרמו לפרצה האחרונה. אולם שילוב הנתונים מעלה שאלה מהותית: האם הרחבת השירותים הדיגיטליים לוותה בחיזוק מערך ההגנה על המידע האישי של התושבים?
העירייה התחייבה לשינוי – ומה קרה מאז
בספטמבר 2024 דנה ועדת הביקורת העירונית בממצאי דוח אבטחת המידע. במסגרת הדיון נמסר מטעם גורמי העירייה כי הועברה הנחיה המחייבת כל מערכת חדשה העולה לאוויר לעבור מבדק חדירה.
עוד הוצגה במסגרת תגובות העירייה תוכנית לביצוע סקר מקיף במאגרי המידע ובמערכות העירוניות, עם הערכה להשלמתו בתוך כשנה.
גורמי העירייה ציינו גם כי נערכו בדיקות נוספות וכי נעשו פעולות לשיפור מערך האבטחה.
אלא שבמסגרת הבדיקה לא אותר מידע מספק המאפשר לקבוע אם הסקר המקיף הושלם במלואו ומה היו מסקנותיו הסופיות. כמו כן, לא נמצאה תשובה ברורה לשאלה מתי בוצע מבדק החדירה האחרון למנגנון שנפגע באפליקציית מוקד 106.
השאלות הללו מקבלות משנה תוקף בעקבות הפרצה האחרונה, שהמחישה כיצד חולשה במערכת עירונית עלולה לחשוף מידע אישי בהיקף נרחב.
הפרצה תוקנה, השאלות נותרו
לאחר גילוי הפרצה מסרה עיריית ירושלים בתגובה לפרסום המקורי כי היא מייחסת חשיבות רבה להגנה על פרטיות התושבים, וכי עם קבלת הדיווח פנתה לחברת Ewave, האחראית לפיתוח האפליקציה, והתקלה טופלה באופן מיידי.
עוד מסרה העירייה כי בידיה אישורי האבטחה הנדרשים וכי היא פועלת בהתאם להוראות הדין.
הרשות להגנת הפרטיות אישרה כי קיבלה דיווח מהעירייה וכי היא בוחנת את נסיבות האירוע מול הגורמים הרלוונטיים.
בשלב זה אין ראיה לכך שמידע אישי דלף בפועל לגורם עוין, ואין בסיס לקבוע שהליקויים שעליהם הצביעה המבקרת בשנת 2023 גרמו לפרצה שנחשפה כעת.
ואולם, דווקא נוכח היקף המידע המצוי בידי העירייה, התמונה העולה מהממצאים מחייבת תשובות ברורות: כמה מהליקויים הישנים תוקנו, האם התקיימו כל הבדיקות שהובטחו, והאם תושבים שמידע עליהם היה עלול להיחשף יקבלו הודעה מסודרת?
עבור תושבי ירושלים, ובהם עשרות אלפי משפחות הנעזרות בשירותי העירייה, מוקד 106 הוא הרבה מעבר למספר טלפון לדיווח על מפגע. הוא כתובת לפניות יומיומיות, לתלונות ולבקשות סיוע, ולעיתים גם להעברת פרטים אישיים ומסמכים רגישים.
בדיקת "חרדים ירושלים" מעלה כי התרעות משמעותיות על ליקויים במערך אבטחת המידע כבר הובאו בפני גורמי העירייה בשנים שקדמו לחשיפת הפרצה. אף שלא ניתן לקבוע כי הכשלים שתועדו אז נמשכים גם כיום, נותרת השאלה המרכזית: עד כמה הופקו הלקחים, והאם המידע האישי של תושבי הבירה מוגן כראוי?
