ציטוט:

שורה של פרצות אבטחה חמורות באתר הגיוס של השב"ס חשפו מידע רגיש וחשאי על אלפי מועמדים לשירות. מדובר במידע כה רגיש, שהגעתו לידי גורמים עוינים יכולה להציב את המועמדים בפני סכנת חיים. את הפרצה חשף האקטיביסט נעם רותם והיא מתפרסמת ב"כלכליסט" לאחר תיקונה וחסימת הגישה למידע. שירות בתי הסוהר מפעיל אתר מיוחד לגיוס עובדים, שפועל בכתובת igips.co.il. האתר מיועד הן להצגת מידע על המשרות והזדמנויות התעסוקה בשב"ס, והן לצורך הגשת מועמדות למשרות אלו והמיון הראשוני אליהן. ואולם, לדברי רותם, אתר זה פרוץ לחלוטין. "האתר מכיל פרצות אבטחה רבות שמאפשרות לא רק גישה לכל נתוני המועמדים לגיוס אלא אף השתלטות מלאה על האתר", אמר.

https://www.calcalist.co.il/interne...3736798,00.html

וכן


https://www.themarker.com/technation/1.6030269

נעם רותם פרסם שרשור ובו הפרטים הטכניים של הפרצה. מסתבר שהאתר היה בנוי ככה שכל אחד היה יכול לקבל גישה לכל הפרטים האישיים של מגוייסי שב"ס והססמא של מנהל העל של האתר הייתה השם שלו. לא היית צריך להיות האקר מיומן כדי להשתלט עליו בלי מאמץ. זו פשוט הפקרות, זה אתר של גוף בטחוני, איך זה שמראש הוא לא נבנה עם אבטחה בסיסית ואיך זה שלא היה פיקוח מגופים אחרים?

המושג "פרצת אבטחה" חוטא לאמת. פרצה = מקום קטן במשהו סגור שדרכו נכנסים. כאן - השערים פתוחים לרווחה...

אבל סך הכל אני לא מבין מה הוא רוצה. כולה משהו שכנראה נבנה על ידי חברה חיצונית[*] באיזה מכרז ועבר בקרה סטנדרטית של מומחי הסייבר שאנחנו כל הזמן שומעים עליהם. אותם חבר'ה שמפקחים גם על המאגר הביומטרי?

[*] הדומיין נרכש על ידי איזו אחת בשם סיגל נמר שעבדה/עובדת בחברת "simply smart". כלומר אפילו לקנות דומיין לבד הם לא ידעו... ולמעשה גם עכשיו שירות ה DNS של הדומיין ניתן על ידי "simply seo" שזוהי בעצם אותה חברה. מעניין שהם עצמם משתמשים בשירותי DNS של חברה אחרת, "clubweb"/"clubvps"

[**] יוער שהעובדה שהדומיין יושב ב simply smart לא אומר שהם בנו את האתר (הוא לא מופיע ברשימת "סיפורי הצלחה" שלהם, ומצד שני הוא בעצם לא ממש סיפור הצלחה - בהתחשב בנסיבות...) - ואפילו אם הם בנו את האתר, יכול להיות שמישהו בשב"ס עשה שינויים שהם אלה שפתחו את השערים.

נמאס לכם לזכור סיסמאות? לחצו כאן!

והסאגה נמשכת:

והעלילה מסתבכת:

https://www.themarker.com/technation/1.6032104

השאלה היא כמובן מה יקרה אחרי שיטפלו בבעייה הספציפית הזו. אני אישית מחכה שנים שמישהו יוציא את זה לאוויר העולם (לי הספיק לדעת, מגישת ה"רק מיקרוסופט בשרתים שאנחנו מריצים", שלא באמת איכפת לאף אחד מאבטחה) - מצד שני אני פחדן ולא עשיתי מה שהוא עשה כי אני לא רוצה להגיע לכלא. הרי בעבר המדינה כבר נכנסה בכוח באנשים שניסו לעזור לה במציאת פרצות אבטחה ללא ביצוע נזקים בדרך. אז א. כל הכבוד לו, ו-ב. האמת שאני מופתע לטובה שהוא עדיין אדם חופשי. נחכה לעתיד...

נמאס לכם לזכור סיסמאות? לחצו כאן!