"מצאנו אנומליות טכנולוגיות אוטומטיות של חומרים, שיש לגביהם ויכוח משפטי אם מדובר בפעולות שלא לפי החוק". למשפט המסורבל הזה, שבו רב הנסתר על הגלוי, היה אחראי אתמול (יום ג') סגן ראש אגף החקירות במשטרה, תת-ניצב יואב תלם. הוא נשלח לעמוד בחזית הדיון שנערך בוועדת החוקה, חוק ומשפט של הכנסת על ממצאי תחקיר "כלכליסט", והביא שתי בשורות: הראשונה טמונה במשפט המסובך שלעיל, שתורגם זמן קצר אחר כך למשהו קצת יותר נהיר בהודעת המשטרה הרשמית: "התגלו ממצאים נוספים המשנים בהיבטים מסוימים את מצב הדברים".
הבשורה השנייה של תלם היא שהחוק הקיים כלל אינו מאפשר למשטרה לחדור מרחוק לטלפונים באמצעות תוכנת פגסוס של NSO (סייפן בעגה המשטרתית) ולשאוב מידע. הקביעה הזאת גובתה גם בדבריה בדיון של עו"ד גבי פיסמן ממחלקת ייעוץ וחקיקה במשרד המשפטים.
הדרך לחשיפת כל האמת בפני הציבור עוד ארוכה, והיא תהיה חייבת בסופו של דבר לעבור דרך גוף חיצוני. אבל לפחות כעת אין עוד חולק: במצב החוקי הקיים, כל שימוש בתוכנת מעקב כמו פגסוס על ידי המשטרה אינו חוקי. אין שום מסלול בחוק שמסמיך את המשטרה לחדור לנייד באופן סמוי ולשאוב את המידע שבו. ואם אין חוק, בטח שאין שום צו שיאפשר אותו. קו ההגנה המשטרתי של "הכל לפי צווי בית משפט" - קרס סופית.
איפה היו החולשות
בעתיד הלא רחוק המשטרה תידרש גם לתת את הדין ביחס ל"מי נתן את ההוראה", "מי ביצע" ו"מה היו הנימוקים". עד אז הגיע הזמן לעבור לשלב הפרקטי: מה צריך לעשות מיד כדי לצמצם את הנזק שנגרם ועוד עשוי להיגרם לציבור.
לשם כך צריך להבין מהם הכשלים ברמת הביצוע והתפעול היומיומי - וחשוב לא לטעות: השימוש בכלי המעקב הזה בשנים האחרונות נעשה ברמה יומיומית. וצריך גם להבין איפה היו החולשות שאפשרו את הפעלת שיקול הדעת הפגום על ידי קציני משטרה שיצאו למסעות דיג כדי לאסוף מודיעין. "פישיניג", כפי שחשף התחקיר, לא רק נגד רוצחים, אנסים או פדופילים אלא גם נגד פעילים חברתיים, ראשי ערים ובני משפחותיהם, עובדים בחברות ממשלתיות ועוד.
התיקונים הנדרשים: תחזוקה, תפעול ופיקוח
כדי לרסן את הסוס הפרוע של NSO נדרשים לפחות שישה שלבים:
הראשון הוא שלב התחזוקה והתפעול. המערכת של NSO היא דינמית. מפתחי החברה הפרטית מחפשים כל הזמן כשלים במכשירי אנדרואיד ואפל שיאפשרו לפרוץ לניידים, ומעדכנים את המערכת. רק אתמול חשף הוושינגטון פוסט שאנשי NSO הציעו "ערימות של כסף" לאנשי אבטחה בחברות סלולר אמריקאיות בתמורה לגישה לרשת. כך שמלכתחילה עצם השירות שהחברה נותנת למשטרה הוא בעייתי ומעלה שאלות של חוקיות. הפתרון צריך להיות העסקת מפתחים משטרתיים, שעברו קורס שיטור וצמוד אליהם יועץ משפטי. כשהמשטרה סומכת את ידיה על חברה פרטית ועל הקוד האתי שלה, זה מפוקפק ולא חוקי.
השלב השני הוא פיקוח והבניית שיקול הדעת. היועץ המשפטי של חטיבת הסיגינט-סייבר, כך ממידע שבידנו, מודר מעבודת כלי המעקב. הוא מבקר את האזנות הסתר, לא את עבודת פגסוס. כל הפעלת צוות המ"מ (מבצע מיוחד) נעשית על בסיס תוכנית מבצעית שמאושרת ישירות על ידי ראש חטיבת הסיגינט ובחתימתו, ללא ייעוץ משפטי מוקדם, ובוודאי ללא צו בית משפט שכלל לא נופק. זהו כשל בסיסי ומהותי בכל ההפעלה. עבודת צוות המודיעין חייבת להיות מלווה בייעוץ משפטי, כמו שנעשה בשלבי החקירה.
השלב השלישי שבו יש חולשה הוא הפריצה עצמה. המפעיל בצוות המ"מ, שיושב על הפגסוס ומקבל ממפקדו את מספר הטלפון של היעד ("המטרה"), מחפש איך להדביק אותו. זאת יכולה להיות הודעה בסגנון "קיבלת החזר של 1,000 שקל מסופר פארם, לחץ כאן לפרטים", או "השכנה מתה לשוחח איתך ושלחה לך סרטון — לחץ כאן".
מדובר בפעולה שיש בה פיתוי קלאסי, שימוש במרמה לצורך חדירה לרשות הפרט — ונייד הוא רשות הפרט — שנעשית בלי צו מפורש. וגם כאן נזכיר שהחוק כלל לא מאפשר חדירה סמויה לנייד, כך שאין שום צו משפטי מראש שיכסה את זה מבחינה חוקית. הפתרון הוא צו ייעודי להדבקה, ששופט יבחן אם לתת אותו לפי המידע המודיעיני. מדובר למעשה בסל של צווים — חיפוש, האזנת סתר (עתידי), מחקרי תקשורת (היסטורי ועתידי), תפיסת מסמכים, וחדירה למחשב. בית משפט חייב לדעת מראש מה השימוש, למה חודרים ומה מחפשים — ולהגדיר מותר ואסור.
שאיבת המידע, החיטוט בו ושמירתו
השלב הרביעי הוא שלב שאיבת המידע. כאשר הטלפון הודבק, המערכות שבידי המשטרה שואבות ללא הבחנה את כל המידע שעליו. במקביל הן גם ממשיכות ליירט ולהקליט כל שיחה, כל הודעה, כל מידע שמתקבל באפליקציות, כל תמונה שמצולמת. אין סינון, והיכולות האלה לא נוונו מראש, חרף ההצהרות הרפות של המשטרה. זו המערכת, ככה היא עובדת. ניוון של חלקים שלה אינו אפשרי בלי פיתוח טכנולוגי, או רכישת כלי שונה, שאינו של NSO.
השלב החמישי הוא החיטוט במידע. בהאזנת סתר החוק קובע שכל מה שנקלט והוקלט חייבים להאזין לו. הסיבה: בחומר יכול להיות לא רק מידע מפליל, אלא גם מידע מזכה. אלא שבפגסוס כלל לא מבצעים את זה. זה הרי מוגדר לצורכי עבודה מודיעינית. פשוט מחטטים ומאזינים למה שרוצים. לפעמים רק למה שנוח. הפתרון ברור: ייאסר חיטוט למטרות פישיניג. אם תיקיית קבצים ירדה למחשבי המשטרה — בהנחה שהחוק יתיר זאת בבוא היום ויינתן לכך צו מיוחד — תחול חובה לבדוק לעומק מה שהוגדר ספציפית. לא להסתפק בחיפוש של משפט פה או שם.
דיון בתוכנה בוועדה לביטחון הפנים בכנסת
(צילום: ערוץ כנסת )
השלב השישי הוא שמירת המידע. כיום המידע שמגיע מהפגסוס נשמר במחשב נפרד במשרדי חטיבת הסייבר-סיגינט בירושלים. הוא לא מחובר לשום מערכת. "stand-alone" הוא המונח הטכנולוגי. זהו מכרה זהב מודיעיני שמוגן בדלת עם קוד, ועד כאן זה נשמע נהדר.
אלא שבסוף מדובר במידע בהיקפים אדירים, שנאגר ונשמר ולא נמחק. וזה, כפי שנחשף, מידע רגיש לא רק על פושעים מסוכנים, אלא גם על אזרחים מן השורה. לא ברור בכלל איזה חוק כיום מתיר את קיומו של מאגר מידע כזה. וכיום ליחידות רבות במשטרה יש גישה למאגר הזה: מחלקת טכנולוגיות, מחלקת מחקרי תקשורת, מחלקת האזנות סתר — כמעט לכל מי שרוצה לחפש מידע מודיעיני. לכן הפתרון הוא כללים נוקשים לא רק ביחס לאופן שמירת המידע, אלא גם ביחס לסוג המידע שיישמר, ביחס למי שיהיה רשאי לגשת אליו, וביחס לזמן שמותר יהיה לשמור את המידע בטרם יימחק.
יש לחדול את הניסיונות להקטין כל ממצא וגילוי
ומעל הכל קיים הצורך לשינוי ברמת ואופי ההכשרה. אנשי מודיעין, בוגרי שב"כ, מוסד ו-8200 שמגיעים לחטיבת הסיגינט-סייבר ומתעסקים בכלי המעקב בלי שעברו קורס שיטור וקורס מקצועי יוצרים פתח לצרות. הם חייבים להפנים את ההבדל בין עבודת מודיעין מול גורמים עוינים לבין אזרחים.
פרשת הפגסוס היא הזדמנות פז לא רק למשטרה, אלא גם למשרד המשפטים, לשינוי תרבותי-ארגוני. היועצת המשפטית החדשה לממשלה שצפויה להתמנות, עו"ד גלי בהרב מיארה, צריכה לחולל מהפכה. לדאוג שייפסק ציפוף השורות האוטומטי מול כל ביקורת, ייפסקו ההאשמות כלפי מי שבא לבקר את המערכת, ויחדלו הניסיונות לטחון ולהקטין כל ממצא וגילוי.
אלה בדיוק הדברים שסודקים את אמון הציבור במערכות החשובות האלה, יותר מהטעויות עצמן, שלעתים הן סבירות. כן, כמו כל אדם או גוף, גם הפרקליטות והמשטרה טועות. לפעמים בקטן, לפעמים בגדול. להודות בטעות, ודאי באמת, זאת לא חולשה. זה בדיוק מה שהציבור מצפה ממי שכוח אדיר מצוי בידיו.
