ההצפנה לא נפרצה, אבל הדלת נשארה פתוחה: איך תגנו על חשבון הוואטסאפ שלכם?

דליפת התכתבויות וואטסאפ המיוחסות ליועץ ראש הממשלה, יונתן אוריך, עוררה מחדש את הדיון בנוגע לאבטחת מידע באפליקציות מוצפנות. הפרשה החלה בחשיפת התכתבויות באתרים פיראטיים, ולאחר מכן הגיע לידי עיתונאים קובץ אקסל עם התכתבויות נוספות, בין היתר עם שרה ויאיר נתניהו. ההדלפות לכאורה קשורות לפיתוח כלי לניטור תקשורת עבור ראש הממשלה, שקוד התוכנה שלו נחשף ברשת וכלל מזהים ומפתחות גישה לקבוצות וואטסאפ. בנוסף, דווח כי אוריך חיבר את חשבון הוואטסאפ שלו לתוכנה מדובאי.

מומחי אבטחה מסבירים כי למרות ההצפנה מקצה לקצה, שנועדה להגן על ההודעות בזמן העברתן, היא אינה מונעת גישה למידע לאחר שהגיע למכשיר או לשירות חיצוני שקיבל הרשאה. חיבור שירותים חיצוניים, כלי AI, או קוד שנכתב במהירות עלולים ליצור פרצות אבטחה. לדברי משה לוי, מייסד שותף ו-CTO ב-LevinityCyber, "ההצפנה לא נפרצה. אף אחד לא צריך לפרוץ אותה. מספיק שמישהו מבפנים יפתח דלת, מתוך כוונה טובה, ושכולם ישכחו שהיא פתוחה".

שי נחום, מנכ"ל חברת CYGHT, מדגיש את הסיכון בפיתוח מהיר באמצעות כלי AI, שעלול להוביל לשגיאות אבטחה ולחשיפת מפתחות גישה. נדב אביטל, CTO בחברת אימפרבה-תאלס, מוסיף כי מחקרים חשפו חולשות בפלטפורמות AI ואוטומציה, וכי כ-40% מממשקי API ארגוניים סובלים מסיכוני אבטחה. הוא מדגיש את הצורך לעקוב אחר זהות המשתמשים, האפליקציות, המידע אליו הן ניגשות וההרשאות שניתנו להן.

רון שטראופר, סמנכ"ל מוצר ב-Spikerz Security, מזהה שלושה מוקדי סיכון עיקריים: מכשיר מקושר שנותר פתוח, מסירת קוד אימות לשירות חיצוני, וקישור פישינג או נוזקה בטלפון. כדי להתגונן, מומלץ לבדוק ולנתק מכשירים מקושרים שאינם מוכרים, להימנע מחיבור שירותי צד שלישי או כלי AI שאינם מוכרים, להפעיל אימות דו-שלבי, ולא למסור קודי אימות. למפתחים, חשוב למנוע שמירת מפתחות API וטוקנים בקוד ציבורי. במקרה של חשד לחדירה, יש לנתק מכשירים מקושרים ולבדוק את אבטחת חשבון המייל המקושר.