פספורק – הסוס הטרויאני שדוהר בלב אירופה

דמיינו לרגע איש שמוסר את מפתח ביתו לזר, מבלי לדעת מי עומד מאחוריו באמת. במשך יותר מחמש שנים, זה בדיוק מה שעשו מוסדות שלטון ותאגידי ענק ברחבי אירופה, כשמסרו את מפתחות ממלכתם הדיגיטלית לתוכנה בשם פספורק.

החשיפה של התוכנה הזדונית קרתה הודות לעיתונאית אוקראינית בשם אנה הולישבסקה מארגון StateWatch, יחד עם עיתונאי OCCRP מתביי ליאדוב ונזר הוליאניץ’. השלושה גילו כי תחת מסווה נוצץ של סטארט-אפ ספרדי מברצלונה, מסתתרת חברה שנולדה בארכנגלסק שברוסיה, בידי שני יזמים בשם אנדריי פיאנקוב ואיליה גארך.

החברה נושאת רישיון רשמי מה־FSB, ומחויבת בחוק להעביר לידי הביון הרוסי כל מידע שיידרש ממנה. הפרצוף המערבי של החברה שייך לגבר בשם אלכס מונטיאן, מנכ”ל היחידה הספרדית, שגדל במוסקבה ושיחק שם בקבוצת הוקי מקומית. בעדותו שלו, שנמסרה לחוקרים, הוא מודה כי הקוד המשותף עדיין מוזרם מגורם רוסי ומחברה שנרשמה באיחוד האמירויות, שם מכהן אחד ממייסדי החברה הרוסית כמנהל.

תחילת ההיסטוריה של החברה נשמעת כמעט כמו בדיחה. לפי עדות המייסדים עצמם, ההזדמנות לפרוץ לשוק המערבי נולדה במפגש מקרי עם המשקיע הפיני פקה וילקיינן, איש עסקים בעל זיקה למוסד “סקולקובו” הרוסי שקיבל אותות הוקרה מידי פוטין עצמו. אותו וילקיינן השקיע כסף במיזם, וכך נולדה המסכה הפינית הראשונה, שהתחלפה מאוחר יותר במסכה הספרדית הנוכחית.

אולי יעניין אתכם

עוד מאת לאוניד ברץ תמלוגים גרעיניים: הידע הרוסי שזולג לאיראן

עוד מאת לאוניד ברץ מאה הימים של מדיאר: האם מנהיג הונגריה החדש עוין לישראל?

הראיה הטכנית המכרעת מגיעה מרישום הדומיין עצמו. לפי נתוני שירות דומיין-טולז אייריס, הדומיין passwork.pro נרשם עוד ב-2014 על שמו של אנדריי פיאנקוב, עם כתובת בארכנגלסק ופרטי קשר רוסיים בלבד, בלי זכר לשום ישות אירופית. במילים אחרות, המוצר נולד ברוסיה, ורק שנים רבות לאחר מכן הולבש בגלימה ספרדית. לא מדובר ברישיון סתמי – תקנה 313 משנת 2012 מסמיכה את ה-FSB לפקח על חברות כאלה, בעוד חוק הפעילות המבצעית-חקירתית וחוק המידע מחייבים אותן, יחד עם מנגנון SORM ו"חוק יארובאיה", למסור לרשויות כל מידע שיידרש מהן, כולל מפתחות הצפנה בפועל.

התוצאה מבעיתה: משרד ממשלתי בגרמניה, אוניברסיטה טכנולוגית יוקרתית בדרזדן, ורשות ה"פרדיים", הגוף האחראי על התשתית הדיגיטלית של בריסל עצמה, לב פועם של מוסדות האיחוד האירופי ונאט"ו – כולם השאירו את סיסמאותיהם הקריטיות ביותר בידי מוצר שמקורו נתון תחת חסותה החוקית של מדינה עוינת השרויה במלחמת כיבוש. חברות ביטחוניות רוסיות המספקות טילים ומערכות לוויין למכונת המלחמה נגד אוקראינה, חלקן נתונות תחת סנקציות בינלאומיות, מופיעות כלקוחות גאים של אותה חברה עצמה.

פרופסור להצפנה מאוניברסיטת לובן, ברט פרנייל, בדק את התשתית הטכנית ומצא חפיפה מדאיגה בין שתי הגרסאות. חוקר עצמאי נוסף, לוקאש אוליינייק, בדק את קוד ההתקנה וכינה את המצב במפורש "high risk", סיכון גבוה. אלסנדרה קיריקו, מומחית למדיניות סייבר באיחוד האירופי, הזהירה כי ככל שהנרטיב על אמון חזק יותר, כך גדולה יותר החובה לשקיפות שנדרשת כדי לקיים אותו. גם רונלד פרינס, ממייסדי חברת אבטחת המידע ההולנדית פוקס איי־טי, לא הבין כלל מדוע ארגונים אירופיים ממשיכים להשתמש במוצר, לנוכח חולשות שכבר פורסמו עליו.

לקוחות מאושרים נוספים: יצרנית האופנה הגרמנית בוגנר, חברת השידור ההולנדית RTV נורד, חברת האנרגיה ההולנדית נובאר, ומועצת מחוז הילדסהיים בגרמניה. מומחה סייבר גרמני, שהסכים לבחון את המוצר בעילום שם, מצא סיבה נוספת לדאגה. לדבריו, כבר בשלב ההתקנה מתחברת התוכנה לשרת חיצוני ומעבירה אליו מזהה ייחודי, כתובת IP ופרטים על הארגון המתקין, כך שהיצרן יכול לזהות כל לקוח בפועל. עבור מוצר שמשווק כפתרון מקומי לחלוטין, זו תכונה שאין לה הצדקה סבירה. לדעתו, מנגנון העדכונים עצמו עלול לשמש כערוץ לגישה סמויה, בתרחיש הדומה למתקפת סולארווינדס שטלטלה את וושינגטון.

וכעת לחלק שצריך להדאיג גם אותנו: ברשימת הלקוחות ההיסטורית של פספורק, זו שהוסרה בחיפזון ברגע שהעיתונאים החלו לחקור, הופיעה גם חברה ישראלית, סולראדג' טכנולוגיות. איננו יודעים בוודאות אם השימוש נמשך, אך עצם האפשרות מספיקה כדי לצנן את הדם. אם חברת הייטק ישראלית מובילה יכולה הייתה להיקלע, ולו לרגע, לרשת שמקורה בארכנגלסק ותחת חסות ה־FSB – הרי שאיש מאיתנו אינו חסין. איננו יודעים אם חברות ישראליות נוספות הופיעו אי-פעם באותה רשימה, שכן זו הוסרה במהירות מספקת כדי לטשטש את התמונה המלאה.

ישראל נמצאת בקו האש הדיגיטלי הראשון, יעד קבוע לביון רוסי ואיראני גם יחד, ואינה יכולה להרשות לעצמה את המותרות שהרשו לעצמם ראשי עיריות ואוניברסיטאות אירופיות. השיתוף בין מוסקבה לטהראן אינו ספקולציה. הוא תועד שוב ושוב בשנים האחרונות, בתחומי הנשק, הטילים והכטב"מים, ולא פחות מכך בזירת הסייבר עצמה, שם דווח לא אחת על שיתוף כלים, תשתיות תקיפה וידע מודיעיני בין השירותים החשאיים של שתי המדינות. מי שמאמין ששני היריבים הללו, שכבר הוכיחו נכונות לשתף פעולה נגד מטרות משותפות, יימנעו במיוחד מלכוון את שיתוף הפעולה הזה נגד ישראל – פשוט אינו קורא את אותם דיווחים.

הלקח צריך להיות חד וברור: אסור לנו לסמוך על מיתוג יפה, על סיפור מקורי מחמיא, או על הבטחות שיווקיות בדבר "שורשים אירופיים". צריך לבדוק מי עומד מאחורי כל שורת קוד, למי שייכת החברה באמת, ולאילו חוקים היא כפופה. תמיד עלינו להישען רק על פתרונות כחולים לבנים משלנו, שפותחו כאן, בבעלות ישראלית ברורה ובפיקוח ישראלי מלא, ולבדוק אותם שוב ושוב בבדיקות עצמאיות, במיוחד בעידן שבו רוסיה מנהלת מלחמת צללים דיגיטלית כנגד המערב כולו, ואיש אינו יכול להרשות לעצמו להפקיד את מפתחות ממלכתו בידיים זרות – בוודאי לא כאשר מדובר באומת הסטארט־אפ. להאמין שלרוסים אין כל עניין לפגוע בישראל – זו תמימות שאין לנו הפריווילגיה להרשות לעצמנו.