לפני שבוע, ב- 26 באוגוסט 2026, הופיע שמה של ATF — רשות אכיפת החוק הפדרלית האמריקאית לנשק, חומרי נפץ, אלכוהול וטבק — באתר ההדלפות של קבוצת הכופר Qilin. הרשות אישרה את האירוע באותו יום בהודעה שנשמעה מרגיעה: מדובר במערכת מחשוב עצמאית ומיושנת, שאינה מחוברת לרשת הארגונית, למערכות ניהול התיקים, למעבדות או למערכת ה- eForms. חמישה ימים אחר כך פורסמו ממנה כ- 6.3 ג'יגה-בייט. המשפט שנועד להרגיע הוא בדיוק המשפט שמסביר את הכישלון.
מה קרה כאן
בהודעה מעודכנת מ- 31 באוגוסט זוהתה לראשונה מערכת המחשוב שנפגעה: מערכת ה- CALEA. מערכת CALEA הוא חוק אמריקאי משנת 1994 המחייב את חברות התקשורת לבנות ברשתות שלהן יכולת יירוט מובנית, כדי שאפשר יהיה לממש צו האזנה כשהוא מגיע. בקצה של רשות החקירות יושבת המערכת שקולטת את התוצר ושומרת אותו לצד חומר החקירה.
"מערכת מחשוב עצמאית" פירושה סביבה שאינה מחוברת לשאר רשת הארגון. לבידוד הזה יש היגיון אמיתי והוא אף עבד כאן: הרשות זיהתה במהירות איזו מערכת נפגעה וניתקה אותה. הפריצה לא התפשטה הלאה. אולם בידוד הוא בקרת הכלה, לא בקרת מניעה. הוא מגביל את הנזק אחרי הפריצה אך אינו מונע אותה. המחיר שלו כבד: מערכת שהוכרזה נפרדת נושרת ממעגל העדכונים, מהניטור המרכזי, מרשימת המצאי ומהבעלות הניהולית.
Qilin פועלת בשיטת הסחיטה הכפולה: גניבת מידע לצד הצפנתו. כאן המנוף לא היה ההצפנה, שכן ATF הצהירה שיכולתה לבצע את משימתה לא נפגעה. ב- 28 באוגוסט נתלה על הרשומה שעון עצר של 72 שעות. ב- 31 בו פג המועד והקבצים עלו לרשת. כעבור פחות מיממה הוסרו קישורי ההורדה בלי הסבר, אחרי שהחומר היה זמין לכל דורש כמעט יום שלם.
לפי סקירת אתר Cybernews, שבחן את המאגר ישירות, התיקיות מאורגנות סביב חקירות ומשרדי שטח, עם תיקיות משנה על שם אנשים ומכשירים ספציפיים. בפנים: מידע מטלפונים ניידים, נתוני iCloud, כרטיסי SIM, כתובות IP ומספרי טלפון מאומתים, לצד פלטים של Cellebrite הישראלית. כאן נדרשת הבהרה חדה: Cellebrite לא נפרצה. מה שדלף הוא הפלט שהכלים שלה מייצרים, שנשמר אצל הלקוח. נחשפה גם גרסת מוצר ההגנה של הרשות עצמה, Symantec Endpoint Protection 14.3 — כלומר הדלף מסר לא רק ראיות אלא גם מפה חלקית של ההגנות. ATF מסרה שאינה יכולה לאשר את מהימנות החומר או את היקפו. גם דרך החדירה וגם משך שהות התוקפים לא פורסמו מעולם.
הסיכון: מי באמת נפגע כאן
הרשות עצמה ספגה נזק תפעולי אפסי. את הסיכון סופגים אחרים — מושאי חקירות, עדים, מודיעים, בעלי מכשירים שנתפסו, וכ- 1,400 שוטרי כוח משימה מקומיים המשולבים בתיקים. זו האסימטריה שצריכה להדליק נורה אצל כל ארגון ישראלי אשר מחזיק מידע של אנשים אחרים במערכת מחשוב שאיש לא סיווג כנכס מידע: הארכיון שנשאר מפרויקט שהסתיים, שרת התיוק ששרד החלפת מערכת, המחשב הייעודי שבקו הייצור.
בישראל זה כבר לא תיאורטי. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף באוגוסט 2025. הוא לא יצר את חובת הדיווח על אירוע אבטחה חמור, שקיימת מאז תקנות אבטחת המידע מ-2017, אלא נתן לרשות להגנת הפרטיות סמכות להטיל בגינה עיצום כספי ישיר. החובה היא מיידית, לא "בתוך 72 שעות" כפי שנכתב לא אחת בטעות. ביולי 2026 הוטל העיצום הראשון מסוגו: 256 אלף שקל על קופת חולים מאוחדת, על איחור בדיווח בלבד. חומר מהסוג שדלף כאן — עבר פלילי, מזהים ביומטריים, נתוני מיקום ותעבורה — מסווג בישראל כמידע בעל רגישות מיוחדת, קטגוריה שהעיצומים בגינה גבוהים יותר.
נזק המשך צפוי הוא הנדסה חברתית. רשימה של אנשים אמיתיים עם מספרי טלפון ופרטי תיק היא ערכת התחזות מוכנה לשימוש. ATF עצמה הזהירה את מי שהיה בקשר עם חקירה שלה שלא למסור פרטים אישיים לפונה שמזדהה כגורם רשמי בלי לוודא את זהותו.
הזווית של 010
- סקר סיכונים הוא נקודת הפתיחה, כי אי אפשר להגן על נכס שאינו מופיע במפה. רשימת מצאי מעודכנת אינה דרישה בירוקרטית אלא בדיוק המנגנון שנועד לאתר את התיבה שנשארה מחוץ לתרשים.
- עדכוני תוכנה ואבטחה נוגעים ללב האירוע: מערכות מדור קודם הן המקום שבו הפער בין "מבודד" לבין "מוגן" הוא הגדול ביותר.
- SIEM/SOC מספק את מה שחסר כאן יותר מכול. מערכת שאינה שולחת יומנים לניטור מרכזי היא מערכת שאיש לא יידע מתי נפרצה. באירוע הזה ההודעה על הפריצה הגיעה מהתוקף. מודיעין סייבר מצמצם את הפער הזה, בניטור אתרי הדלפות ואזכורים של נכסי הארגון.
- מניעת דלף מידע (DLP) מכוונת לשלב שלפני הפרסום: זיהוי הוצאה חריגה של מידע החוצה בזמן שהיא מתרחשת. מודעות עובדים לסייבר וסינון דוא"ל נדרשים לגל ההתחזות שמגיע אחרי כל דלף, כשהתוקפים משתמשים בפרטים אמיתיים כדי להישמע לגיטימיים.
- גיבוי והמשכיות עסקית והגנה אקטיבית מכופר נשארים הכרחיים, אך האירוע מבהיר את גבולם: הם מחזירים ארגון לפעילות אחרי הצפנה. אין שחזור מגיבוי של מידע שכבר פורסם.
השאלה שכדאי להניח על השולחן בישיבה הקרובה אינה מה יקרה אם המערכות שלנו יושבתו. היא פשוטה יותר: אילו דלף היום כל מה שאנחנו עדיין שומרים, לא רק מה שאנחנו משתמשים בו, מי היו הנפגעים? מי הבעלים של המערכת שכולם שכחו?
למקור הידיעה ולקריאה נוספת לחצו כאן
