פרצת אבטחה חשפה פרטים אישיים של אנשי קשת

פרטים אישיים של עובדי חברת קשת (ערוץ 12) נחשפו היום (א') בטעות בפוסט שגרתי לכאורה בפייסבוק: עמוד הפייסבוק הרשמי של אחת מתוכניות האירוח היותר פופולריות של הערוץ, "אופירה וברקוביץ'", פרסם קישור לתוכנית שנערכה עם הזמר אייל גולן. אל הפרסום הצטרף כמקובל קישור מקוצר - אלא שמנהל העמוד שפרסם את הפוסט הדביק כנראה קישור לא נכון. הלינק הוביל למסמך גוגל דוקס רגיש, שבו מופיעים פרטיהם האישיים של עשרות עובדי החברה, כתובות מייל וגם סיסמאות ושמות משתמש. נוסף על כך הכיל הקובץ מסמכים פנימיים הקשורים לתכנים השונים העולים בערוץ.

כך הופיע הקישור בפוסט המקורי(צילום: רן בר זיק)

רן בר זיק, מתכנת ישראלי שאחראי לכמה חשיפות של פרצות אבטחה שהביכו ארגונים שונים בעבר, הוא שקיבל את הפנייה בנוגע לפרסום וחשף אותו, כאשר גולש בשם יניב הרוש הפנה את תשומת ליבו של בר זיק לכך שלחיצה על הלינק לא מובילה לאותה כתבה מובטחת אלא דווקא למסמך שנמצא ב-Google Docs.  

המסמך שנחשף בלחיצה על הלינק(צילום: רן בר זיק)

בקשת קיבלו במבוכה את דליפת המסמך ומיהרו להסיר את הקישור הרגיש מהפוסט בפייסבוק, אך שכחו לחסום את המסמך עצמו בגוגל דוקס, כך שאלפי גולשים יכלו להיכנס אליו כאוות נפשם ולעיין בפרטים שהופיעו שם. המסמך היה גלוי גם בעת כתיבת שורות אלו, ואף הצלחנו להיכנס לחלק מהחשבונות המופיעים, וסביר להניח שכמונו ניסו גולשים רבים אחרים.

לדבריו של בר זיק, "הכשל האבטחתי כאן הוא לא בחשיפת הלינק. טעויות אנוש יכולות לקרות. הכשל כאן הוא שימוש בג׳ימייל באופן לא תקין, בחוסר מדיניות לניהול סיסמאות ואבטחת מידע. גם בארגון שלי משתמשים בג׳ימייל, ועדיין לכל משתמש יש הגדרה משלו, מופעלת אבטחה דו-שלבית ובטח ובטח יש איסור חמור למסור סיסמאות או לאחסן אותן על גבי מסמך טקסטואלי כלשהו. מי שרוצה לשמור סיסמאות נדרש להשתמש במנהל סיסמאות". 

מקשת נמסר: "מדובר בטעות אנוש, כל הסיסמאות שונו".