בספטמבר, בתרגיל של המשמר הלאומי הנורבגי (Heimevernet) באזור אוסלו, גילו חיילים שברכבים השכורים שבהם נסעו פועלת פונקציית הקלטה שאיש לא ביקש ושלא סיפרו להם עליה דבר. בתוך הרכבים נשמר וידאו של פעילות התרגיל עצמה.
הסגן Fredrik Blanck, שהשתתף בתרגיל, תיאר לעיתון הכלכלי הנורבגי Dagens Næringsliv מה הכיל אותו חומר. לדבריו, מתוך ההקלטות אפשר לשחזר את תנועת היחידה — מסלולי נסיעה, זהות הנוסעים, נקודות איסוף ומשך השהייה בכל אתר. באותו חומר נמצא גם הפרט הרגיש ביותר: הקודים שהקישו החיילים כדי לפתוח שערים ודלתות של מתקנים צבאיים. על פי הדיווח, שני מקורות נוספים אישרו את הדברים לעיתון. העיתון VG הוסיף כי הנושא הועלה כבר בזמן התרגיל.
לפי דיווחים בתקשורת הנורבגית, לפחות שני רכבים היו דגמי Deepal חשמליים, מותג של יצרנית הרכב הסינית Changan. הם נשכרו מ‑ Hertz נורבגיה (First Rent A Car Norway), חברה בבעלות Volvo Cars שהיא חלק מקבוצת Geely הסינית. ההתקשרות אינה אירוע חד פעמי: מדובר בהסכם מסגרת ארצי בהיקף 350 מיליון כרונות נורבגיות (כ‑ 30 מיליון אירו) שתוקפו עד מאי 2028.
מה עדיין לא ידוע — וזה העיקר
התרגיל נגמר וההקלטות נמחקו מהרכבים, אך שלוש שאלות נותרו בלי מענה. האם המחיקה בוצעה על העותק היחיד. האם ההקלטה הייתה מוגדרת מראש כברירת מחדל או שהופעלה והושארה דולקת — הדיווחים מתארים שמירה אוטומטית של וידאו, אך אינם מכריעים בשאלה הזאת. השאלה השלישית, הכבדה מכולן, היא אם החומר שודר אל מחוץ לרכב, לשרת של היצרן או של חברת ההשכרה.
חשוב להיות מדויקים גם לכיוון השני. אין בדיווחים אינדיקציה לפריצה או להשתלת רוגלה. אין בהם גם הוכחה לריגול יזום. Volvo Cars השיבה שבעלות סינית אינה מהווה סיכון אבטחתי. לדבריה, העברת נתונים ל‑ Geely מחייבת בסיס חוקי. מצלמת 360 מעלות הינה תכונה המשווקת בדרך כלל בקו הדגמים של Deepal, אף שהדיווחים אינם מציינים באיזה דגם מדובר. במילים אחרות, אין כאן בהכרח תוקף. יש כאן ציוד שעשה את מה שנמכר לעשות, במקום שבו אסור היה לו לעשות זאת.
הפרט שקשה לעבור עליו לסדר הינו ההחלטה שהתקבלה אחרי הגילוי: היחידה המשיכה להשתמש באותם רכבים עד סוף התרגיל, מפני שזמינות הרכבים החלופיים הייתה מוגבלת. זהו בדיוק הפער שקיים ברוב הארגונים — בין זיהוי הסיכון לבין היכולת התפעולית לפעול לפיו. בנורבגיה השאלה אם נערכה הערכת אבטחה מספקת לפני שהותר לרכבים להיכנס למתקנים צבאיים נשאלת רק עכשיו, בפרלמנט, בפנייה של חבר האופוזיציה Himanshu Gulati לשר ההגנה Tore Onshuus Sandvik. היא עדיין לא נענתה. את השאלה הזאת היה צריך לשאול לפני חתימת ההסכם.
לא תקרית חד פעמית ולא רק בנורבגיה
בנובמבר 2025 דיווחה מפעילת התחבורה הציבורית של אוסלו, Ruter, שבבדיקת אבטחה שערכה לאוטובוסים חשמליים נמצאו באוטובוסים של היצרן הסיני Yutong יכולות גישה מרחוק בתוכנה, במודול האבחון ובמערכות ניהול הסוללה והחשמל. להערכת Ruter, אפשר היה בתיאוריה לעצור או להשבית כך אוטובוס. בעקבות הבדיקה הוציאה החברה את כרטיסי ה‑ SIM מהמודמים. Yutong דחתה את הטענות וקבעה ששליטה מרחוק הינה בלתי אפשרית טכנית.
בישראל ההחלטה כבר התקבלה. באוגוסט 2025 דווח שצה"ל אוסר כניסת רכבים מתוצרת סין לבסיסיו, מחשש לדלף מידע דרך החיישנים והמצלמות. ההגבלה החלה בבסיס חיל התקשוב בצריפין והורחבה לכל הרכבים החשמליים. בעליהם נדרשים לחנות באזורים מרוחקים ממתקנים מרכזיים. דגם סיני אחד נותר בליסינג לקצינים לאחר "סטריליזציה" של מערכות המדיה שלו; שאר הדגמים הסיניים הוצאו ממכרז הליסינג של משרד הביטחון. זו אינה גזרה תיאורטית: יצרנים סיניים היוו כרבע מיבוא הרכב לישראל.
הסיכון האמיתי לארגון שלכם
רוב הארגונים בישראל אינם מריצים תרגילים צבאיים, אך כמעט כולם מכניסים לפעילות שלהם ציוד מחובר שאינו מופיע באף מפת נכסי IT: רכבי ליסינג ושכירות, מערכות מולטימדיה שמסתנכרנות עם הטלפון הארגוני, מצלמות וחיישנים במשרד ומכשירי IoT בחדר הישיבות. כל אלו אוספים מידע כחלק מתפקודם. איש מאנשי אבטחת המידע לא אישר את ההגדרות האלו, מפני שאיש לא נשאל.
מכאן נולדות שלוש חשיפות. הראשונה הינה מידע תנועה — מי נפגש עם מי, באילו אתרים הייתה החברה ומתי — שאצל יצרן, קבלן ביטחוני או חברה לפני עסקה הינו מודיעין תחרותי ממדרגה ראשונה. השנייה הינה מה שנאמר או מוקש בתוך הרכב, מקודי כניסה ועד שיחת ועידה בדרך לפגישה. השלישית הינה השליטה בציוד עצמו, בדיוק הנקודה שבדיקת האוטובוסים באוסלו העלתה.
010 הגנה על מידע
ציוד שאוסף מידע ואינו נמצא בשליטתכם צריך להיכנס למסגרת ניהול הסיכונים, לא להישאר בשטח האפור שבין הרכש, התפעול ואבטחת המידע. סקר סיכונים של 010 הינו המקום שבו העבודה הזאת נעשית בפועל: אילו התקנים מחוברים נוגעים בפעילות הרגישה, מה הספק מצהיר ומתעד שהם אוספים, מה ההסכם מתיר ומה אינו מתיר ואיזו פעילות אסור לקיים בסביבה שאינה בשליטת הארגון. אין בכך הבטחה לידיעה מלאה של מה שקורה בתוך הציוד, אך כך נקבע מראש מה מותר להכניס לשם.
בצד שכן בשליטתכם, מניעת דלף מידע (DLP) שולטת במה שיוצא מהארגון, בידי מי ולאיזה יעד. שירות מודעות עובדים לסייבר מוסיף את שכבת ההתנהגות: עובד שמבין שרכב שכור הינו סביבה זרה, לא יקיש בה קודים ולא יחבר אליה את הטלפון הארגוני מתוך נוחות. עדכוני תוכנה ואבטחה מחזיקים את נכסי הארגון עצמו במצב מעודכן; בציוד שמנוהל בידי הספק יש להסדיר את תהליך העדכון מול היצרן כבר בהסכם. מודיעין סייבר משלים בהתראה על חשיפות בציוד מהסוג שאתם מפעילים.
הפרשה בנורבגיה לא הסתיימה בדלף מוכח. היא הסתיימה בשאלה שאיש אינו יכול לענות עליה. זו בדיוק הבעיה.
למקור הידיעה ולקריאה נוספת לחצו כאן
