התכתבויות של יועצו של רה"מ דלפו לרשת: איך אפשר היה להימנע מכך?

התכתבויות לכאורה של יועצו של ראש הממשלה יונתן אוריך דלפו במהלך היום (א') לרשת וכמה מהן הופיעו באתר אינטרנט שהוקם על מנת לחשפן לציבור. במקביל, הופיעו ברשתות החברתיות צילומי מסך מתוך אותן שיחות לכאורה. ככל שנודע אין אישור לאותנטיות של ההודעות הללו.

● "אולי הגניבה הגדולה בהיסטוריה": אתרי החדשות מאבדים גולשים ל-AI, וענקיות הפרסום הדיגיטלי בלחץ
● המיליארדר ההיפסטר שמאחורי סוכן ה־AI המצליח של מטא

יתכן כי דליפת ההודעות קשורה לחשיפת עיתון "הארץ", לפיה אוריך בנה באמצעות מנוע ה-AI קלוד כלי לניטור הרשת שמאתר אזכורים של שמות ואירועים ושולח ליוצרו סיכום של כלל האירועים שמופו. הכלי נחשף לאחר שהתגלתה בו פרצת אבטחה.

"כאשר מפתחים כלים חדשים בעזרת בינה מלאכותית, קל מאוד לעשות טעות אחת נפוצה: לחבר את הכלים בלי הרבה תשומת לב למאגר מידע ציבורי באינטרנט, כמו גיטהאב, ובכך למעשה לאפשר תיאורטית כל אחד להיכנס לכלי ולמה שיש בו", אומר לגלובס גיל מסינג, ראש המטה ומנהל מערך התקשורת הגלובלית של צ'ק פוינט.

"כלי הבינה המלאכותית עוזרים לכתוב קוד מהר, אבל לעיתים קרובות שומרים בתוכם בטעות את "מפתחות הכניסה" או את קבצי ההתחברות האישיים שלך", מציין מסינג. "למשל, הקישור הסודי שחיבר את הוואטסאפ לכלי, במידה וקיים חיבור כזה. אם המאגר הזה פתוח לציבור, כל עובר אורח ברשת יכול להציץ בקוד, למצוא את מפתח הכניסה ולהשתמש בו כדי להיכנס לחשבון שלכם".

כיצד ניתן למנוע הגעה של מידע אישי לידיים הלא נכונות?
מסינג: "ראשית, לשמור על מפתחות הכניסה בסוד - לעולם לא לשתף קוד שמכיל את סיסמאות ההתחברות או את קבצי החיבור של וואטסאפ או של כל אפליקציה אחרת, לאתרי שיתוף קודים פתוחים. שנית, לבדוק שהדלת נעולה. כשיוצרים מאגר קוד חדש, תמיד יש לוודא שהגדרת הפרטיות שלו היא פרטית (Private) ולא ציבורית שכולם יכולים לראות. ישנם כלים די פשוטים שסורקים קוד או כלים ויכולים לוודא את זה. לבסוף, עליכם להפריד בין הקוד לפרטים האישיים ולדאוג שפרטי התחברות רגישים יישארו רק במחשב האישי שלכם ולא יעלו לשום מקום שיתופי ברשת".

"שאלות משפטיות מהותיות"

עו"ד לימור ארגוב שנהב, שותפה ומנהלת תחום הפרטיות ואבטחת המידע במשרד וקסלר, ברגמן ושות' אומרת לגלובס: "הפרשה מעלה שאלות משפטיות מהותיות החורגות מההיבט הטכנולוגי של חשיפת ההתכתבויות, ונוגעות לאופן שבו גופים מנהלים ומגינים על מידע רגיש בעידן שבו השימוש בכלים חיצוניים ובמערכות מבוססות בינה מלאכותית הולך ומתרחב. כאשר מידע הקשור לעבודה מועבר למערכות חיצוניות, יש לבחון האם ההעברה נעשתה בהתאם להוראות הדין, למטרות שלשמן נאסף המידע, להרשאות שניתנו ולנהלים החלים על השימוש בו. ככל שהמידע כולל פרטים אישיים של צדדים שלישיים, מתעוררות גם שאלות הנוגעות לחובות החלות על השימוש במידע, לשמירה על סודיותו ולמניעת חשיפתו בפני מי שאינו מורשה לכך".

לדבריה, "ארגונים מחויבים לבחון את הסיכונים הנובעים משימוש במערכות חיצוניות ולהסדיר את השימוש בהן באמצעות מדיניות ברורה, הגדרת הרשאות, קביעת מגבלות על העברת מידע והטמעת מנגנוני פיקוח ובקרה. הדברים מקבלים משנה תוקף בגופים ציבוריים ומשרדי ממשלה, שבהם עשוי להימצא מידע בעל רגישות מיוחדת".

עו"ד ארגוב שנהב מסבירה כי חשוב להבחין בין מידע מסווג או ביטחוני, מידע הכפוף לחובות סודיות מכוח התפקיד, ומידע אישי המוגן בדיני הפרטיות: "מדובר במערכות חובות שונות, שעשויות לחול במקביל. גם העובדה שההתכתבויות מצויות בחשבון וואטסאפ פרטי אינה מכריעה כשלעצמה את שאלת החובות המשפטיות החלות על המידע או על השימוש בו. יש לבחון את טיב המידע, את מקורו, את מטרת השימוש בו ואת נסיבות העברתו למערכת החיצונית".