ביום ראשון עלה אתר קטן ובו צילומי התכתבויות שיוחסו ליונתן אוריך, יועצו של ראש הממשלה. חלק מהשיחות התפשטו משם ברשתות החברתיות, ובאתר עצמו מופיעות עוד שיחות עם בכירים בפוליטיקה ובתקשורת והבטחה שייחשפו בקרוב. מי שפרסם אותן לא הזדהה, אוריך לא הגיב, ואף גורם לא אימת שההודעות אמיתיות.

מה קרה

בהודעה שלו טוען המפרסם שהמידע "נשלח לאיחוד האמירויות ביוזמתו" של אוריך, ושעוד חומרים יגיעו בימים הקרובים. אין כרגע דרך לבדוק את הטענה, ואתר החדשות jfeed העלה גם אפשרות אחרת, שחלק מהצילומים נוצרו או נערכו בכלי בינה מלאכותית. מה שכן תועד הוא האופן שבו החשבון של אוריך היה בנוי. בסוף ספטמבר דיווח "הארץ" שאוריך בנה בעזרת Claude כלי שסורק כ-50 מקורות חדשות כל 90 שניות ושולח סיכומים לשתי קבוצות וואטסאפ, אחת על ראש הממשלה והליכוד ואחת על אזכורים של שרה נתניהו. את הקוד הוא העלה לאתר שיתוף הקוד GitHub כשהוא פתוח לכל, ובתוכו היו מספרי טלפון פרטיים של בכירים וגם מפתח גישה לאותן קבוצות. מפתח כזה, token בשפה המקצועית, הוא סיסמה שמכונה אחת מציגה לשנייה, ומי שמחזיק בו יכול לקרוא את תוכן הקבוצות ולשלוח בהן הודעות בשם הבוט. אחרי שהעיתון פנה לתגובה נסגר החשבון, אבל עד אז כבר היו שהעתיקו את הקוד.

כלכליסט הוסיף יומיים אחר כך פרט שני: החשבון הפרטי של אוריך בוואטסאפ חובר לשירות בשם Ultramsg, שלפי האתר שלו פועל מאיחוד האמירויות. החיבור נעשה בסריקת קוד QR, אותה פעולה שמצמידה לחשבון מכשיר נוסף, ומאותו רגע השירות קורא ושולח הודעות. בתנאי השימוש שלו כתוב שהוא מעביר מידע לצדדים שלישיים שהוא עובד איתם, ושההודעות נשמרות בשרתיו 120 יום.

למה זה חשוב לכם

זה נשמע כמו סיפור של פוליטיקאים, אבל החיבור שבלב העניין פתוח לכל אחד. כל שירות שמציע לנהל לכם את הוואטסאפ, בוט לתזכורות, מענה אוטומטי לעסק קטן או חיבור למערכת לקוחות, מתחבר באותה סריקה בדיוק והופך למכשיר מחובר לכל דבר. ההצפנה מקצה לקצה שוואטסאפ מתגאה בה לא נשברת כאן, היא פשוט לא נוגעת לזה: ההודעה מפוענחת אצלכם במכשיר, ומשם קורא אותה גם הצד שאישרתם לו להיכנס. גם הודעות שנמחקות אוטומטית לא עוזרות אם מישהו שמר עותק בצד.

מה עושים?

פתחו בוואטסאפ את ההגדרות ואז "מכשירים מקושרים", עברו על הרשימה ונתקו כל מה שאינכם מזהים. הרשימה מראה גם מתי כל מכשיר היה פעיל לאחרונה.

אל תחברו את החשבון הפרטי לשירות אוטומציה חיצוני. אם אתם צריכים בוט לעסק, הקימו אותו על מספר נפרד, ובדקו בתנאים כמה זמן השירות שומר את ההודעות ולמי הוא מעביר אותן.

מי שבונה כלי קטן בעזרת מודל שכותב קוד: ודאו שהמאגר מוגדר פרטי לפני ההעלאה, והוציאו מהקוד כל מפתח גישה, סיסמה וקובץ התחברות.

ואל תקבלו צילומי מסך שמסתובבים ברשת כעובדה. כאן גם זהות המפרסם וגם אמיתות ההודעות אינן ידועות.

ההודעות שלכם מוגנות בדיוק כמו החוליה החלשה שאישרתם לה להיכנס לחשבון.