בניין NSO בהרצליה / צילום: Associated Press, Daniella Cheslow
בשנים האחרונות נחשפנו ללא מעט פרסומים וביקורת שליוו את פעילותה של חברת הריגול ההתקפי הישראלית NSO, נגד פעילי זכויות אדם ומתנגדי משטר, בתוכנה שהמציאה. אלא שכעת, בכתבה שפורסמה על-ידי תומר גנון ב"כלכליסט", מתברר כי בשנים האחרונות גם מדינת ישראל באמצעות המשטרה עושה שימוש בתוכנת הריגול של NSO - נגד אזרחים ישראלים. חלק מהפעילות נעשה, כך לפי הכתבה, כדי לפרוץ לטלפונים של מפגינים (מפגיני מחאת "הדגלים השחורים") וראשי רשויות מקומיות.
ממתי משתמשת המשטרה במערכת של NSO, מה ניתן ללמוד מהסכום שעל-פי הערכות שילמה עבור התוכנה, ומהי הפרקטיקה החוקית הנדרשת להפעלת כלים כאלה נגד אזרחים?
המשטרה ממתינה לבג"ץ
הפרסום מגיע בזמן שבית המשפט העליון מבקר בחריפות את הפגיעה בפרטיות על-ידי רשויות החוק, והשימוש בתוכנה שובר שיאים. המשטרה מכחישה כי נעשה שימוש במערכת ללא צווי בית משפט, אך בין אם השימוש "הולבן" בצו ובין אם לא - התופעה מטרידה ביותר בייחוד כשעל-פי הפרסומים, השימוש במערכת נעשה כלפי אזרחים שלא היו חשודים בביצוע עבירות.
רק לפני שבועיים דרש בג"ץ מהמשטרה לנמק מדוע היא אינה מפסיקה שימוש בתוכנת "עין הנץ", המתעדת ומזהה לוחיות זיהוי של אזרחים ושומרת על המידע במאגר. כך שתנועות אזרחים שלא נחשדו בדבר נשמרות, מבלי שקיימת הסמכה בחוק. הליכי החקיקה החלו, אך בינתיים השימוש בתוכנה נמשך.
כאשר המשטרה מבצעת האזנות סתר במסגרת חקירות סמויות, היא מחויבת לפעול לפי צו שופט. המשטרה אוספת מידע בדרכים שונות וחוסה אותו בתעודת חיסיון כאשר מגיע שלב הגשת כתב האישום. בתיקים שהתיק לא הבשיל לכתב אישום - גם לא תוצא תעודת חיסיון. הפרקטיקה של הוצאת תעודת חיסיון קבועה בחוק, והמשטרה היא שמבקשת אישור שלא להעביר את החומרים על-מנת שלא לחשוף את אופן פעולתה. הגורם המאשר הוא השר לביטחון הפנים. האם הוא אמור לדעת?
עמר בר-לב, השר לביטחון הפנים, הגיב לפרסומים, ואמר כי "אין פרקטיקה של האזנות סתר או חדירה למכשירים בידי משטרת ישראל, ללא אישור שופט", והוסיף: "הנחיתי את המפכ"ל על בדיקה שנים אחורה של כל המקרים שבהם בוצע שימוש באמצעים טכנולוגיים, במטרה לוודא שלא היו אירועים כאלה שלא באישור שופט".
רב-ניצב (בדימוס) רוני אלשיך, שבתקופתו הפך השימוש בתוכנה של NSO לפרקטיקה נגד אזרחים, לא הגיב לדברים. רב-ניצב (בדימוס) יוחנן דנינו, מפכ"ל המשטרה לשעבר, אמר לגלובס כי "בכל תקופת שירותי במשטרה בתפקידים השונים, השימוש בכלי כזה או אחר להאזנה לטלפונים נעשה רק על-פי חוק ובעבירות שהוגדרו בחוק של פשע חמור וכיוצא בזה. האירועים שעולים בכתבה אינם מוכרים לי".
היועץ המשפטי לממשלה, אביחי מנדלבליט, שלפי תגובת המשטרה מפקח על הכלים המופעלים על-ידה - לא הגיב לפנייה.
המחירון של NSO
גופי אכיפה בישראל, כמו המשטרה והשב"כ, עושים כמעט תמיד שימוש בטכנולוגיות אזרחיות ישראליות. מאחר שהם אינם מחזיקים מחלקות פיתוח גדולות, אלא בעיקר אנשי טכנולוגיה המפעלים כלי מעקב, האזנה ויירוט, לצד מומחי סייבר, המשטרה והשב"כ נוטים לרכוש מערכות מן המוכן בחברות אזרחיות ולהטמיע אותן במחלקות הסיגינט, או המודיעין האלקטרוני. כבר זמן מה ידוע כי בכוחות הביטחון עושים שימוש בטכנולוגיות כמו אלה של סלברייט או ורינט הישראליות.
לפי הפרסום ב"כלכליסט", המשטרה הזמינה את מערכת פגסוס מחברת NSO כבר לפני קרוב לעשור, והיא עושה בו שימוש רב, ככל הנראה בעיקר לצורכי יירוט מסרונים והודעות צ’ט. NSO איננה המערכת המודיעינית האזרחית היחידה שגופי הביטחון הישראלים מחזיקים באמתחתם.
על-פי הערכות, המשטרה שילמה ל-NSO מאז 2013 סכום של 10 מיליון שקל. הסכום, כולל את רכישת המערכת ותחזוקתה, ומעיד על דפוסי שימוש נמוכים במערכת או על הנחה משמעותית שניתנה למשטרה, לאור העובדה שהחברה מוכרת מערכות לכוחות משטרה בחו"ל בסכומים של עשרות מיליוני דולרים.
חוזים ותכתובות אימייל שהשיג ה"ניו יורק טיימס" הראו כי החברה גבתה נכון ל-2013, תעריף ראשוני להתקנת המערכת בגובה חצי מיליון דולר. מעבר לתעריף ההתקנה המחיר נקבע על-פי מספר הטלפונים אליהם חדרו הלקוחות. כאמור, עבור חדירה ל-10 מכשירי אייפון למשל, גבתה NSO תעריף של 650 אלף דולר. לאחר מכן המחיר הלך וירד. לסכומים אלה צריך להוסיף 17% של עמלת תחזוקה שנתית שגובה NSO.
סוגיית המחיר עולה לדיון בהשוואה לעסקאות שלא הבשילו. כך למשל, NSO ניסתה במשך שנים לחתום על הסכם עם אחד מגופי אכיפת החוק האמריקאים. אולם על אף מאמצים אינטנסיביים אלה, ככל הידוע אף רשות חוק אמריקאית לא חתמה על הסכם וזאת בשל העלויות הגבוהות שדרשה NSO. מקסיקו, לקוחה לשעבר של NSO, חשפה כי הממשלה שילמה 61 מיליון דולר לחברה הישראלית לאורך יותר מעשור (2006-2018), בטרם הופסקה ההתקשרות.
הלקוחות של המשטרה
חבר הכנסת אבי דיכטר מהליכוד, שהיה השר לביטחון הפנים ב-2006, מתאר בשיחה עם גלובס את עבודת ההקמה של חטיבת הסיגינט במשטרה. "בעוד שאנחנו בשב"כ ובאמ"ן ידענו מה זה סיגינט, במשטרה הפעילו תוכנית מצחיקה בעלות של עשרה מיליון שקל שכללה בעיקר יכולות האזנה קלאסיות לטלפונים. החלטנו להקים אז ועדה שתבדוק את הנושא וחייבתי אותם לקחת יועץ מ-8200 ומהשב"כ, והם בנו תוכנית לרכישת סיגינט בעלות של 300 מיליון שקל על פני שלוש שנים".
NSO, כאמור, היא לא החברה היחידה - כבר שנים שהמשטרה עושה שימוש במערכות טכנולוגיות אזרחיות לניהול המודיעין האיסופי והחקירתי שלה, באמצעות חברות ישראליות ואמריקאיות. חברת סלברייט מפתח תקווה מסייעת למשטרה לפענח פשעים באמצעות שליפת מידע מטלפון, מצלמות או רחפנים באופן חוקי ורק לאחר צו בית משפט, לצורכי חקירות פליליות. בין השאר, היא מסייעת לכוחות הביטחון להצליב את המידע עם פריטי מידע אחרים שנאספו ממקורות אחרים.
בדו"ח מבקר המדינה נחשפה כוונתה של משטרת ישראל להשקיע ארבעה מיליון שקל בניסוי במערכת בינה מלאכותית של חברת המימד החמישי בה היה מעורב בזמנו שר הביטחון בני גנץ. מפכ"ל המשטרה דאז, רוני אלשיך, ביקש לרכוש את המערכת מהחברה בתמורה ל-50 מיליון שקל ללא מכרז.
במשטרת ישראל מכחישים נמרצות וטוענים כי כל פעילות המשטרה בתחום נעשית על-פי דין ועל בסיס צווי בתי משפט ונהלי עבודה מוקפדים. "בתחום זה קיימות מערכות פיקוח ובקרה מוגברות בתוך הארגון ומחוצה לו", נמסר מהמשטרה. המפכ"ל רב-ניצב יעקב שבתאי אמר: "הוריתי על בדיקת כל המקרים שעלו בכתבה ושלכאורה התרחשו לפני מספר שנים. מהבדיקה עלה שחלק מהמקרים אינם נכונים. בכל הנוגע לשימוש באמצעי אכיפה באופן כללי, כאמור, הכול נעשה עם האישורים המשפטיים הנדרשים".
פיקוח הדוק על יצוא
חברות הסייבר ההתקפי, כמו NSO, קוואדרים, פארגון או רייזון, טוענות שהן פועלות לפי חוקי היצוא הישראלי, דבר שהוא ברובו נכון. כל החברות הללו נזקקות לאישור אגף פיקוח יצוא (אפ"י) במשרד הביטחון כדי למכור את המערכות שלהן בחו"ל לפי כללים ברורים. בעקבות חשיפת פרשיות NSO בחודש יולי האחרון והסערה הדיפלומטית מול ממשלות צרפת וארה"ב, משרד הביטחון אף החמיר את כללי השימוש במערכות אלה.
יותר מזה, כאשר המערכת מיועדת ליצוא, מחייב חוק יצוא הנשק את NSO ואת מתחרותיה לחסום מעקב אחר מספרים ישראליים ומספרים אמריקאים. בעקבות סערת המעקב אחר מספר הטלפון האישי של נשיא צרפת עמנואל מקרון, הסכים ראש הממשלה נפתלי בנט להכניס את המספרים הצרפתיים לרשימת האיסור במעקב ביצוא תוכנות המעקב, כך נודע לגלובס.
וזו בדיוק הבעיה של NSO בישראל: אין גוף שיפקח על לקוחותיה, כפי שהדבר קורה מחוץ לארץ. הגופים האמונים על שמירת החוק על-ידי המשטרה, דהיינו המחלקה לחקירות שוטרים, המשרד לביטחון הפנים או היועץ המשפטי לממשלה, לא תמיד ערים לכל פעולת איסוף מודיעיני או חקירה שהמשטרה מבצעת בזירה הדיגיטלית.