באחרונה נחשף כשל אבטחה בג'ימייל (Gmail), שעלול לסכן מיליונים בפריצה לחשבונות הפייסבוק (Facebook) שלהם. הממצא נחשף על ידי החוקר יוסוף סמוטה, שפרסם פוסט בבלוג הטכנולוגי שלו, ובו הזהיר מפני שימוש באישורי Gmail לצורך ביצוע כניסה לפייסבוק, הרשת החברתית שבבעלות מטא (Meta). סמוטה הסביר כי הצליח להשתמש בהפניות OAuth של גוגל (Google) כדי לעקוף את מערכות האבטחה של פייסבוק על מנת לפרוץ חשבונות. גוגל OAuth (ר"ת של Open Authorization) היא אחת המערכות המאפשרות לאמזון, פייסבוק, מיקרוסופט, טוויטר ומשתמשים נוספים לקשר את החשבונות שלהם לאתרים חיצוניים. טכניקה זו יכולה לשמש, ככל הנראה, גם כדי לפרוץ לחשבונות באתרים או שירותים אחרים, לא רק לפייסבוק, כך אמר סמוטה. Multiple bugs chained to takeover Facebook Accounts which uses Gmail. ( $42k )https://t.co/tdXO3u5ddA pic.twitter.com/CehY5cthUc — Youssef Sammouda (@samm0uda) May 14, 2022 סמוטה ציין בדבריו כי "ניתן היה להשתמש בפגיעות זו בקנה מידה גדול", והתעקש שקיבל "פרס" של כ-45,000 דולר מפייסבוק בתמורה לליקוי האבטחה שגילה. הוא אמר שפייסבוק הגיבה ויישמה אמצעים נגד פריצת ההרשאה הפתוחה. מצד שני לא דווחה כל התייחסות של גוגל לממצא. לדברי מומחים שונים, חשבונות מקושרים הומצאו כדי להקל על כניסה לשירותים כמו רשתות חברתיות או חנויות אונליין, אבל החיבור באופן זה – שרבים מאיתנו ביצעו ועדיין מבצעים כל הזמן – אנו מומלץ מטעמי אבטחה. מי שמעוניין לשנות כעת את המצב, וודאי ישמח לגלות כי ניתן לבטל את הקישור בין חשבונות, כולל Google OAuth. בפייסבוק, למשל, ניתן לגשת אל 'הגדרות ופרטיות' –> 'הגדרות' –> 'מרכז חשבונות –> 'חשבונות ופרופילים', ולאחר מכן לבחור 'מחק קישור'. ניתן לעשות זאת גם באתרים אחרים כמו טוויטר, אמזון ומיקרוסופט.

עבור רבים עדיין לא ממש ברור אם שוק המציאות הרבודה מתקדם או תקוע במקום, אבל מבחינתה של קוואלקום (Qualcomm Technologies) אין ספק. החברה הכריזה על דגם ייחוס חדש של משקפי המציאות הרבודה שלה, שעונה לשם AR Smart Viewer, המתחבר באופן אלחוטי לטלפון או למחשב כדי לתפקד. החברה אמנם לא סיפקה את כל הפרטים על הדגם החדש, שלטענתה כבר הועבר לשותפים פוטנציאליים כדי שישיקו דגמים "ממש בקרוב", אבל כן סיפרה שהוא מבוסס על פלטפורמת המציאות המורחבת שלה, Snapdragon XR2, ושהוא דק ב-40% לעומת דגם הייחוס הקודם שלה. העדשות של Wireless AR Smart Viewer מצוידות בפאנל מסוג miniLED ברזולוציית 1920×1080 פיקסלים ובקצב רענון של 90 הרץ. לפי קוואלקום, השימוש בפאנלים אלו מאפשר, יחד עם שתי מצלמות מונוכרומטיות ומצלמה צבעונית אחת שמשולבות במשקפיים, תנועה חופשית בכל הכיוונים שאינה סובלת מטשטושים או מריחות בגלל הזזת הראש. המשקפיים גם תומכים בפתרון FastConnect 6900 מבית, שמספק קישוריות WiFi 6/6E ו-בלוטות' כדי לבצע את הצימוד להתקן שמספק את המחשוב, ומבטיח זמן שיהוי של 3 אלפיות-השנייה לכל היותר. המפתחים גם יכולים להשתמש בחבילה תוכנה ייעודית, שמציעה קוואלקום כדי להבטיח שהמוצרים הסופיים שלה אכן יציעו את מה שהם מבקשים עם זמן קצר יותר לשוק.

ההתנהלות המחמירה של הממשל הסיני בכל מקרה של התפרצות קורונה, שמובילה לכך ששוב ושוב מפעלי ייצור והרכבה ברחבי סין מושבתים לתקופה לא קצרה, גרמה לאפל (Apple) – כך לפי הדיווחים – להתחיל לבחון את הגדלת הייצור של מכשיריה במפעלים של שותפיה מחוץ לסין. לפי אנשים שמקורבים לתחום הייצור של אפל, החברה בוחנת רשימה של אתרים אפשריים שיוכלו להגדיל את התפוקה שלהם לטובתה, כלומר להרחיב את קווי הייצור שלהם, כדי לאפשר העברה כמעט מיידית של נפח ייצור אל המפעלים, כך דיווח הוול סטריט ג'ורנל. ברשימה הקצרה של החברה נמצאים מפעלים בהודו ובווייטנאם, כשלפחות במקרה של הודו מעבר לבעיות של סגרי הקורונה בסין, מדובר גם בקיצור הדרך של שינוי הסחורה הסופית, בוודאי לאירופה. הסגרים האחרונים שהתרחשו בסין בגלל התפרצויות הקורונה החדשות לא רק שהאטו את הייצור מבחינתה של אפל, אלא גם גרמו לפגיעה בדרישה עבור מוצריה.

הממשל הפדרלי בארצות הברית הזהיר בסוף השבוע שמוצרי VMWare שאינם מעודכנים ושאין בהם את טלאי האבטחה האחרונים מהווים "סיכון בלתי מתקבל על הדעת לאבטחת הרשת הפדרלית". הפגיעויות שהסוכנות לאבטחת סייבר ותשתיות של ארצות הברית, CISA, הזהירה מפניהן קשורות לחמישה מוצרים: VMware Workspace ONE Access, VMware Identity Manager, vRealize Automation, VMware Cloud Foundation ו-vRealize Suite Lifecycle Manager. אחת הפגיעויות "זכתה" לציון 9.8 בדירוג החומרה שלה. באזהרת הסוכנות נכתב כי "ניצול אחת מהחולשות מאפשר לתוקפים לבצע השתלטות מרחוק על המערכת בלא צורך באימות והרשאות". "הפגיעויות הללו מהוות סיכון בלתי מתקבל על הדעת לאבטחת הרשת הפדרלית", אמרה ג'ן איסטרלי, ראשת CISA. לדברי הסוכנות, "התרעה דחופה זו נועדה להבטיח שסוכנויות אזרחיות פדרליות ינקטו פעולה דחופה כדי להגן על הרשתות שלהן. בנוסף, אנחנו מפצירים בפני כל ארגון – גדול כקטן – ללכת בעקבות הממשל הפדרלי ולנקוט בצעדים דומים, כדי להגן על הרשתות שלהם". יצוין ש-VMware עודדה לקוחות שעדיין לא עדכנו את המוצרים הללו להשתמש במערך של תיקונים שאותם היא הנפיקה בשבוע שעבר. מומחים ציינו שבשנה החולפת, האקרים צפון קוריאנים ניצלו חולשות שהיו במוצרי ושירותי ענקית הווירטואליזציה להתקין נוזקות, חלקן עם דלת אחורית, שקשורות לפגיעות Log4J.

קומסיין מבצעת בימים אלה פרויקט ענק בשירותי בריאות כללית, שכולל הקמת תשתית מרכזית לחתימה אלקטרונית. עם תום הפרויקט יוכלו 48 אלף עובדי הקופה, שהיא ארגון הבריאות השני בגודלו בעולם, להזדהות ולבצע את הפעולות הקשורות בעבודתם בממשק חתימה אחד, חוצה ארגון ותהליכים. זהו פרויקט החתימה האלקטרונית וההזדהות הגדול ביותר שהיה עד כה בארגון בסדר הגודל של הכללית. ההשקעה הישירה בו מוערכת במיליוני שקלים. באחרונה הסתיימה הקמת התשתית לחתימה האלקטרונית, שתתמשק לעשרות תהליכי חתימה נפרדים – חלקם ידניים. מיד לאחר סיום ההקמה החל פיילוט לעובדי שני בתי חולים מרכזיים של הכללית, ששמם לא נמסר. לצד התשתית פותח ממשק ידידותי, עם אבטחת מידע גבוהה ויכולת התממשקות עם שורה ארוכה של מערכות פנים ארגוניות – מה שחייב עד כה סבבי חתימה מרובי נמענים. זאב שטח, מייסד ומנכ"ל קומסיין. צילום: יח"צ תוצר של תקופת הקורונה הצורך בפרויקט נולד בכללית בתקופת הקורונה, וכחלק מהמסקנות של הקופה בעקבותיה. זאת, במסגרת הטרנספורמציה הדיגיטלית שעוברת הכללית ביתר שאת מאז פרוץ המגפה. סיבה נוספת שבארגון הבריאות שמחו לבצע את הפרויקט בגללה היא שהוא מניב חיסכון משמעותי בנייר – הן מבחינת העלויות והן מבחינת שמירה על איכות הסביבה. המעבר לחתימה האלקטרונית האחודה יאפשר לכל צוותי העבודה בכללית – מהרופאים והסגל הרפואי ועד למנהלה – לבצע שורה של תהליכים, שחלקם כבר מתאפשר כיום: לחתום על מרשמים דיגיטליים, טפסים פנימיים, הפניות, טפסי ביקור רופא, תוצאות של בדיקות מעבדה ועוד. במסגרת ההכנות לפרויקט המורכב ביצעה הכללית איחוד של כמה סוגי כרטיסים לכרטיס אחד, שכולל הן צ'יפ חכם להזדהות מול אפליקציות ומחשבים, והן הזדהות ללא מגע בכניסה לחדרים. למעשה, מדובר בתג עובד לכל דבר ועניין, שכולל תמונה ופס מגנטי. המהלך הזה נעשה בעזרת מערכת ניהול הכרטיסים החכמים של קומסיין. "שירות יעיל ומהיר, וקיצור תהליכים" "הצורך בהזדהות חכמה, עם כרטיס אחד, לרבות יכולת חתימה דיגיטלית על מסמכים ומרשמים, היא בין היכולות שאנחנו מטמיעים בימים אלה, לטובת הסגל הרפואי והצוות האדמיניסטרטיבי בכללית", אמרה ליאורה שכטר, סמנכ"לית וראשת חטיבת מערכות המידע והדיגיטל בקופה. לדבריה, "הפרויקט יאפשר לנו לספק למטופלים שירות בטוח, יעיל ומהיר בכל זמן, ויקצר הרבה תהליכים". לדברי זאב שטח, מייסד ומנכ"ל קומסיין, "מדובר בהתייעלות תפעולית ושירותית, תוך חיסכון כספי משמעותי לקופה, השפעה על היעילות הכלכלית וקיצור הביורוקרטיה. המערכת מניבה יתרון תחרותי לחברות בכלל, ולחברות שנותנות שירותים לציבור לקוחות רחב, כמו הכללית, בפרט".

בשליש הראשון של 2022, היקף מתקפות הסייבר מסוג סוס טרויאני לצורך גניבת סיסמאות (Trojan-PSW) גדל ב-25%, בממוצע עולמי, בהשוואה לתקופה המקבילה אשתקד: כארבעה מיליון השנה לעומת כשלושה מיליון ב-2021. בישראל, לעומת זאת, חל זינוק של יותר מ-400%, ומספר המתקפות עמד על 8,575 לעומת 2,041 בתקופה המקבילה בשנה שעברה. נתונים אלה עולים ממחקר חדש של קספרסקי, שבחן את מתקפות הסייבר השכיחות ביותר שמסכנות עסקים קטנים ובינוניים ברחבי העולם. המחקר העלה כי המספר הכולל של המתקפות בין ינואר לאפריל 2022 גדל משמעותית בהשוואה לשנה הקודמת. עלייה גם ב-"מתקפות האינטרנט" סוסים טרויאניים מסוג PSW (ר"ת Password Stealing Ware) מאפשרים לתוקפים לקבל גישה מרחוק לרשת הארגונית ולגנוב מידע רגיש. כלי פופולרי נוסף שתוקף עסקים קטנים הוא "מתקפות אינטרנט" – שיטה שבה תוקפים מחדירים נוזקה לאתרי ולדפי אינטרנט, כדי לנצל פרצות אבטחה מוכרות, או להפעיל נוזקות או בוטנט, לצורך חדירה לרשתות ארגוניות וגניבת מידע. חוקרי קספרסקי מצאו עלייה של כשלושה מיליון מתקפות מסוג זה בשליש הראשון של 2022 בהשוואה לתקופה המקבילה אשתקד – 35.4 מיליון לעומת 32.5 מיליון. ממצא נוסף מהמחקר קשור להרגלי העבודה המשתנים בעקבות הקורונה, ובעיקר לעבודה מהבית תוך שימוש בפרוטוקול RDP (ר"ת Remote Desktop Protocol), שמאפשר לקשר בין מחשבים באותה רשת ארגונית – מרחוק. על פי המחקר, היקף הניצול של חולשות ב-RDP נמצא במגמת ירידה – אך לא בכל המדינות. בארצות הברית, למשל, הוא נמצא בעלייה: בשליש הראשון של 2022 התרחשו שם כ-51 מיליון מתקפות כאלה, לעומת 47.5 מיליון באותה התקופה ב-2021. לדברי דניס פרינוב, חוקר אבטחה בקספרסקי, "עם המעבר לעבודה מרחוק והכנסת טכנולוגיות מתקדמות רבות לפעילות היומית, גם חברות קטנות חייבות להטמיע הרגלי אבטחת סייבר. זאת, כדי להתגונן מפני מתקפות מתוחכמות. כמעט כל ארגון, כולל עסקים קטנים, יחווה ניסיון מתקפה בשלב מסוים. עבור חברות קטנות, זה לא עניין של האם אירוע הסייבר יקרה – אלא של מתי הוא יקרה. קיומו בארגון של צוות מיומן בתחום הגנת הסייבר הוא לא בגדר מותרות, אלא חובה, כחלק מהפיתוח העסקי".

הצעת החוק ממדים ללימודים, שהממשלה אמורה להעלות להצבעה במליאת הכנסת מחר (ב'), ובעיקר ההחלטה של האופוזיציה שלא להצביע בעדה, משיקולים פוליטיים, מעוררות סערה ציבורית. מדובר בהצעת חוק צודקת, צודקת מאוד, ולו כי מדובר בחיילים משוחררים שכבר נרשמו ללימודים אקדמיים, התחייבו לשכר לימוד על בסיס ההסדר שצה"ל מעניק לחייליו, ואם ההצעה, שמעבירה שני שלישים מהמימון לתקציב המדינה, לא תאושר, הם לא יוכלו לשלם אותו. בימים האחרונים דובר רבות על ההשלכות של אי אישור החוק, ועל הוויכוח הפוליטי שנוצר סביב ההצעה בין הקואליציה לאופוזיציה ובתוך הליכוד. האמתלה לכוונת הליכוד להתנגד להצעה היא שהם רוצים שהמדינה תממן 100% מהתוכנית ולא רק שני שלישים, כהצעת הממשלה, אבל באקלים הפוליטי הנוכחי, ברור שזה רק תירוץ ולא הסיבה האמיתית. כך או כך, מה שלא הושם הדגש עליו בדיבורים סביב התוכנית, ומשמעותי מאוד למשק הישראלי, הוא שאי אישור שלה משמעו העמדת מחסום ופגיעה בסיכוייהם של החיילים המשוחררים הללו להשתלב בהיי-טק. חלק לא מבוטל מהחיילים המשוחררים, שאמורים ליהנות מהמימון של המדינה, מתכננים ללמוד באקדמיה את מקצועות המחשבים, ההנדסה והטכנולוגיה. סביר להניח שחלק מהם, שנרשמו ללימודים אלה, עשו הכנות, עברו מבחני מיון או שיפרו את ציוני הבגרות שלהם כדי לעמוד בתנאי הקבלה הגבוהים. והנה, אם הצעת החוק לא תעבור, חלילה, חלק לא מבוטל מהם ייאלץ לוותר על מקומו באקדמיה. וידוע הוא שהאקדמיה היא אחד המקורות המרכזיים לכוח אדם בתעשיית ההיי-טק. אי אישור התוכנית ישפיע לרעה גם על הענף לפני כמה חודשים עורר הרמטכ"ל, רא"ל אביב כוכבי, סערה בנאום שלו בטקס סיום קורס קצינים בבה"ד 1, שבו הוא התלונן על הטרנד של הטובים להיי-טק, שבצבא בא לידי ביטוי ביחידות הטכנולוגיות. במקום זאת, הוא הילל את הלוחמים שלנו (מה שלא סותר, משום שהניסיונות להתקבל ליחידות הטכנולוגיות לא באים על חשבון החילות הקרביים). בעקבות השיח שהתפתח הודיע הרמטכ"ל שצה"ל יעודד לוחמים להשתלבות בתעשיית ההיי-טק, בין היתר על ידי מתן אפשרות לשרת חלק מהזמן ביחידות הטכנולוגיות, וגם לקבל הכשרה בקורסים ייעודיים. עד שהתוכנית הזו תצא לפועל יכולים חלק מהחיילים הללו להירשם ללימודים באקדמיה ולשלם על זה מהכסף שהם יקבלו במסגרת תוכנית ממדים ללימודים, אם זו תאושר. אבל אם היא לא תאושר – זה, כאמור, לא יקרה. העובדה שעושים מתוכנית מדים ללימודים סלע מחלוקת מזיקה למדינה ומעמידה באור מאוד לא מחמיא את מי שעושה זאת, במיוחד שמדובר באדם כמו בנימין נתניהו, שמבין את חשיבות ההיי-טק למשק הישראלי ועשה רבות למענו כשהיה ראש הממשלה ולא רק החיילים: אי אישור התוכנית ממדים ללימודים ישפיע לרעה גם על הענף עצמו, משום שאותם חיילים משוחררים, שלא יוכלו, או לפחות יתקשו, ללמוד את מקצועות ההיי-טק ללא ההטבה המשמעותית, יכולים לצמצם במשהו את המחסור הכרוני בכוח אדם שתעשיית הטכנולוגיה העלית הישראלית סובלת ממנו. הייצוג של צעירים אחרי צבא בהיי-טק לוקה בחסר – אלא אם הם מגיעים מיחידות טכנולוגיות. ואם הם לא יוכלו ללמוד את המקצועות הרלוונטיים באקדמיה, הסיכוי שלהם להתקבל לחברות ההיי-טק נמוך עד אפסי. שלא לדבר על כך שאי אישור יעכב מגמה חשובה נוספת בהיי-טק: גיוס עובדים מאוכלוסיות גיוון. ענף ההיי-טק מהווה אחד ממנועי הצמיחה של המשק כולו, אחראי לכמעט מחצית מכלל היצוא של ישראל, מזרים דולרים (וגם שקלים) רבים וחשובים לקופת המדינה, ומעניק תעסוקה לאקו-סיסטם נרחב. אם לא יגדילו את מספר הסטודנטים שמסיימים מקצועות מדעיים, לא תהיה אפשרות לצמצם את המחסור החמור בכוח אדם כאן, וחברות יעבירו את הייצור והפיתוח למדינות שכנות ואף רחוקות יותר. זה קורה כבר כיום, ויקרה ביתר שאת אם המחסור בהון האנושי לא יצומצם. השורה התחתונה: הצעת החוק ממדים ללימודים צריכה לעבור, ולו כי היא צודקת, והיא לא אמורה להוות סלע מחלוקת. העובדה שעושים ממנה סלע מחלוקת מזיקה למדינה ומעמידה באור מאוד לא מחמיא את מי שעושה זאת, במיוחד כשמדובר באדם כמו בנימין נתניהו, שמבין את חשיבות ההיי-טק למשק הישראלי ועשה לא מעט למענו כשהיה ראש הממשלה. יש לקוות שבסופו של דבר, יו"ר האופוזיציה יתעשת, כי אם התוכנית הזאת לא תעבור, לא יהיה מדובר רק בפגיעה בחיילים המשוחררים ובסיכוי של רבים מהם להגיע להיי-טק, אלא גם בענף עצמו, בתעשיית החדשנות, שמשפיעה על כל החברה הישראלית.

לידיעת אנש ונשות ההיי-טק, ובפר הסייבר, הדתיים והחרדים, ולידיעת החברות הגדולות: פסק הלכה חדש מתיר לחלל שבת כדי להגן מפני אירועי סייבר, גם אם מדובר בגופים כלכליים גדולים, שהנזק שנגרם להם מהמתקפה הוא פיננסי – ולא רק באירועים בגופי צבא וביטחון. הרב מנחם פרל, ראש מכון צומת, שמשלב דת יחד עם מדע וטכנולוגיה, פסק ש-"בשנים האחרונות, עם התפתחות הטכנולוגיה, השתנה העולם שאנחנו מכירים. הגנת המדינה, או מתקפה שמטרתה פגיעה באויב, לא חייבות לעבור דרך חרבות או חומרי נפץ, אלא מתבצעות על ידי מתקפות סייבר". "בחודשים האחרונים", ציין הרב פרל, "למדתי וחקרתי את סוגיית הסייבר יחד עם מומחים בתחום. חילקתי את מרחב הסייבר לשלוש רמות רמזור: ירוק – שגרת הגנה, מצב שבו לא מסתמן נזק לתפקודם התקין של נכסי IT חיוניים; צהוב – מצב שבו קיים איום ממשי לפגיעה בנכס IT חיוני; ואדום – פגיעה בנכס IT חיוני, שבגינה קיימת אפשרות לפגיעה משמעותית ברציפותו של תהליך הליבה של הארגון שהותקף". מתי מותר ומתי אסור לחלל שבת לטיפול באירועי סייבר? הרב פרל מסתמך במאמרו על מערך הסייבר הלאומי במשרד ראש הממשלה, שמיפה את נכסי הסייבר החיוניים וחילק את היעדים שדורשים הגנה לשלוש רמות עיקריות: הדרגה העליונה היא תשתיות מדינה קריטיות (תמ"ק), שבהן כלולים כמה עשרות גופים כגון מקורות, חברת החשמל, בתי הזיקוק ובנק הדם. פגיעה בהם עלולה להסב נזק ממשי למדינת ישראל, ולכן "צריך להתייחס להגנה עליהם כפיקוח נפש לכל דבר ועניין", לדבריו. הדרגה השנייה היא קבוצה A, שבה כלולים כמה מאות ארגונים שמחזיקים בנכסי IT חיוניים, "שמשקלם בתהליכים המרכזיים במשק גדול מאד, ותקיפתם עלולה לגרום נזק רב ולשבש מאוד את מהלך החיים במדינה", ציין. בקבוצה זו כלולים, בין השאר, רשתות שיווק מזון גדולות וחברות ביטוח. "במצב זה", כתב הרב פרל, "יש להפריד בין פגיעת ליבה, שאז מותר לחלל שבת – כמו במלחמה, לבין איום ממשי, שגם אז ניתן – וצריך לפעול פעולות הגנה". הוא מסייג את פסק ההלכה וקובע כי "אז צריך לפעול על בסיס אמצעים שמפחיתים חילול שבת, כפי שקורה באופן דומה במקרים מסוימים בצבא". ברמה השלישית, קבוצה B, כלולים עסקים בינוניים רבים, המהווים כ-70% מהמשק בישראל, שעבורם אין היתר לחלל שבת במקרה של אירוע סייבר. לדברי הרב פרל, "באופן כללי, בין דיני נפשות לדיני ממונות קיים ניגוד קוטבי. במצב של פיקוח נפש, או גם במצב של ספק לכך, מחללים שבת כבשגרה. לעומת זאת, במצב של איבוד ממון, ואפילו ממון רב, אין היתר לחלל שבת, אף לא באיסורי דרבנן. אף שאין לחלל שבת להצלת רכוש, לעתים, הפתח לנזק או לגניבת רכוש עלול לשמש כפתח לסכנת נפשות". "לכן", סיכם ראש מכון צומת, "במקרים של איום, ניתן לחלל שבת ולפעול להגנה בסייבר, כאילו היה מדובר בפיקוח נפש – גם במקרים של תקיפת סייבר נגד בנקים גדולים, חברות שיווק מזון ועוד". המאמר המלא של הרב פרל יתפרסם בחודש הבא, בכרך ה-42 מסדרת ספרי תחומין של מכון צומת, המשמשת במה, בין השאר, לבירורים בסוגיות שנולדות מהמפגש בין ההלכה לטכנולוגיה.