מזינים מספר תעודת זהות אחד, ומקבלים בחזרה כתובת, מספר טלפון, פרטי רכב ואפילו את שמות בני המשפחה מדרגה ראשונה, אחים כולל. הגישה לבוט שעושה את זה, "אגרון 2026", נמכרת בכמה עשרות דולרים, והוא מכסה כמעט כל אזרח בישראל. לפי חשיפה של ynet הוא עדיין פעיל ברשת, דרך פלטפורמת צ'אט מוכרת ודרך אתר ייעודי.

מה קרה

המידע עצמו לא חדש, וזה בדיוק העניין. הוא מורכב משני מאגרים שדלפו מזמן: מאגר "אגרון", שהתגלה ב-2006 בשירותי שיתוף קבצים, והמאגר של אפליקציית "אלקטור", שהודלף ב-2020 אחרי שהאפליקציה נפרצה בגלל אבטחת נתונים לקויה. שניהם מתבססים בסופו של דבר על אותו מקור, פנקס הבוחרים הישראלי, שחולק בעבר למפלגות ולמועמדים ומשם התגלגלו ממנו העתקים לא חוקיים לרשת.

כל אחד מהמאגרים האלה בנפרד הוא רשימה שטוחה. מה שהבוט עושה הוא לחבר אותם סביב מזהה אחד, מספר תעודת הזהות, כך שפריטים שהיו מפוזרים בין קבצים שונים מצטרפים לתמונה אחת על אדם מסוים. לשיטה הזאת קוראים הצלבת מאגרים, והיא הסיבה שדליפה בת עשרים שנה לא באמת מתיישנת. מפעילי האתר מציעים גם הצלבות עם שירותים נוספים, כמו איתור רכב לפי מספר רישוי או לפי תו נכה. לפי ynet, הכתובות שמופיעות שם מעודכנות עד לפני כשש שנים.

היכולת שלא הייתה במאגרים הקודמים היא קשרי משפחה. ynet מצא שהזנה של מספר תעודת זהות בודד מחזירה גם בני משפחה מדרגה ראשונה, האחים בכלל זה. ynet גם מעריך שהמאגר כבר הגיע לידי גורמים עוינים ואולי אף מופעל על ידם, אבל זו הערכה שלו ולא נתון שאומת. מהרשות להגנת הפרטיות נמסר ל-ynet שהנושא נבדק "על מנת לבחון הפעלת כלים שונים שבידי הרשות או באמצעות שיתוף פעולה עם גורמי אכיפה אחרים". עד מועד הפרסום הבוט והאתר עדיין היו באוויר.

למה זה חשוב לכם

ההנחה שמספר תעודת הזהות, הכתובת ומספר הטלפון שלכם הם מידע פרטי כבר לא מחזיקה, והם בפועל מוצר שנמכר בעשרות דולרים. זה משנה את ההיגיון של השיחות שאתם מקבלים. הטריק היעיל ביותר של מתחזה הוא לפתוח בפרטים נכונים עליכם, כי ברגע שהוא יודע את מספר הזהות והכתובת, רוב האנשים מסיקים שהוא אכן מהבנק. אותו היגיון חל גם על שירותים שמאמתים זהות בטלפון לפי תעודת זהות ותאריך לידה.

והצד השני של אותו מידע הוא איום ישיר. מי שיודע איפה אתם גרים, מה הרכב שלכם ומי האחים שלכם לא צריך לפרוץ לשום מקום כדי להשתמש בזה.

מה עושים?

התייחסו לפרטים האלה כאל מידע ציבורי. פונה שיודע את מספר הזהות, הכתובת או מספר הרכב שלכם לא הוכיח בזה כלום. אל תמסרו סיסמה או קוד אימות, נתקו את השיחה, וחייגו בעצמכם למספר הרשמי שבאתר או באפליקציה של הגוף.

היכן שהשירות מאפשר, החליפו אימות שמבוסס על פרטים אישיים באימות אמיתי: סיסמה חזקה וייחודית לכל חשבון, ואימות דו-שלבי דרך אפליקציה ולא דרך SMS.

אם מישהו משתמש בפרטים שלכם לאיום או לסחיטה, זה מקרה למשטרה, ואפשר לדווח במקביל גם למוקד 119 של מערך הסייבר הלאומי.

נתקלתם בבוט או באתר שמוכר מידע כזה, דווחו עליהם לרשות להגנת הפרטיות. אל תיכנסו לבדוק בעצמכם מה יש שם עליכם, כי זה אומר לשלם על גישה למאגר לא חוקי.

הדליפות שמזינות את הבוט הן מ-2006 ומ-2020. מה שחדש כאן הוא לא המידע, אלא כמה פשוט נעשה לחבר אותו.