ספאם ומחדלי אבטחת מידע: השיטות המוזרות של פנאקסיה לגיוס לקוחות

פנאקסיה, חברה הפועלת בתחום הקנאביס בעיקר כמפעל ייצור עבור חוות גידול אחרות וכבית מרקחת המספק שירותי שינוע, מקפידה לנסות לבדל את עצמה מתעשיית הקנאביס ה”רגילה” ולהציג עצמה כחברת תרופות המייצרת “תרופות קנאביס”. כך החברה גם נהגה להציג עצמה בהודעות לבורסה, עד שהוזכר לה כי לא מדובר בתרופה על פי חוק והיא נאלצה לחדול מפרסומים אלו.

“שיטת מצליח” זו של החברה באה לידי ביטוי גם בתחומים אחרים כולל שיטות גיוס לקוחות הנחשבות לנלוזות ונמצאות בדרך כלל בשימוש של נוכלים – כך עולה מטענות מטופלים. רבים מהם מדווחים מזה זמן רב על הודעות ספאם תכופות שמתקבלות מהחברה ב-SMS ומגיעות לטענתם עד כדי הטרדה, כל זאת תוך הפרה לכאורה של חוקים הנוגעים להפצת פרסומות (“חוק הספאם”), חוקי אחסון במאגרי מידע ועוד. 

בגין אלו עלולה פנאקסיה להיאלץ לשלם מיליוני שקלים כפיצוי לאלפי נפגעים, שלפחות חלקם, כך ממידע שהגיע למגזין, כבר מתכוננים להגשת תביעות קטנות ובוחנים אף הגשת תביעה ייצוגית. על פי החוק הודעת ספאם שאזרח קיבל מבלי שהסכים לכך, דינה 1,000 ש”ח פיצוי ללא הוכחת נזק. בהתחשב בכך שהודעות SMS כאלו נשלחו עד 10 פעמים ויותר, לאלפי מטופלים, הרי שמדובר בסכום שיכול להגיע למיליונים רבים.

חלק מההודעות ששולחת פנאקסיה לטלפונים הן שיווקיות בלבד וכוללות האדרה עצמית כגון “אנחנו בית המרקחת המוביל בישראל למשלוחים” וכד’, מה שלא בהכרח נכון. הודעות אחרות לעומת זאת כבר עלולות להיחשב כהטעיה ממש. לדוגמה, אלפי מטופלים קיבלו לאחרונה SMS מהחברה שהכיל את מס’ תעודת הזהות שלהם והודעה שהיא מן פרסומת במסווה של הודעה טכנית: “בשל תקלה לא הצלחת לבצע רכישה, מוזמן להיכנס שוב” – וזאת על אף שמעולם לא ניסו לבצע כל הזמנה.

שליחת הודעות כאלה ללא קבלת אישור מהנמען היא כאמור עבירה לכאורה על “חוק הספאם”, מה גם שעד לאחרונה ההודעות אף לא כללו קישור להסרה מרשימות התפוצה כמתחייב בחוק. קישור כזה נוסף רק לאחרונה בעקבות פניית מגזין קנאביס, אך זה לא הכל. הן הקישור לאתר החברה והן הקישור החדש להסרה מרשימת התפוצה אינם מאובטחים כנדרש, מפנים לאתרים אנונימיים, ופרטים אישיים שהוזנו בהם עלולים לדלוף.

חוסר הקפדה זה מצד פנאקסיה בכל הנוגע לאבטחת מידע ושימוש במאגרי מידע הוא לא חדש כאמור ואף היה גרוע יותר בעבר. לדוגמה, בסבב הודעות ה-SMS הקודם של החברה, היא הפנתה את המטופלים למסור פרטיהם הרפואיים האישיים באתר פרטי של יחצ”ן שאסף אצלו את הפרטים, כולל מספרי תעודות זהות, עותק מרשיונות רפואיים ועוד – זאת לכאורה גם כן בניגוד לחוק מאגרי המידע ושימוש במידע רפואי.

אותו יחצ”ן מוכר בתעשייה כמי שמנסה מזה זמן רב לאסוף פרטי מטופלים, בין השאר בעזרת אתרים המתחזים לעצומות אינטרנטיות, מה שלא מנע מפנאקסיה להשתמש בשירותיו מבלי לבצע בדיקת רקע יסודית מספיק. בעקבות פניית מגזין קנאביס טענה פנאקסיה כי הפצת הקישור לאתר היחצ”ן שהתחזה לאתר של החברה נעשתה “בטעות” וכי הקישור אליו דלף שלא בכוונה.

אך מבדיקת המגזין עלה כי הקישור דווקא הופץ בפורומים וקבוצות מטופלים באופן שנראה מסודר והכיל פרמטרים פרסומיים הנוספים לקישור רק בשלב הפצה שיווקית שלו ולצורך מעקב על מקור הכניסה לאתר, כלומר לא “בטעות”. במקביל נוהגת החברה לתאם פרסום טפסי איסוף מידע רפואי אישי דומים גם עם ארגונים וקבוצות קיקיוניות שונות שרמת האבטחה באתריהן לא מוקפדת מספיק גם כן.

מאיפה מגיעים מאגרי מספרי הטלפון אליהם מפיצה פנאקסיה סמסים? חלקם מאותם אתרים וקישורים בלתי מזוהים ורובם כנראה ממידע שאספה החברה במשך מספר שנים בהן היא משמשת כספקית ייצור, אריזה ו/או שינוע עבור חברות גידול, בעיקר “בטר”, “IMC” ו”שיח”. פרטי הלקוחות נאספו לכאורה במשך השנים ומשמשים כעת את החברה להפצת אותן פרסומות, וזאת גם כאשר המטופלים אינם לקוחות החברה ובודאי מעולם לא חתמו על הסכמה לקבלת דברי פרסומת.

“הם שלחו לי כבר 8 הודעות בשבועות האחרונים,” מספר למגזין קנאביס מטופל ותיק. “מעולם לא נרשמתי לקבלת הודעות, מעולם אפילו לא הייתי לקוח שלהם. פעם אחת התקשרתי אליהם כדי לברר מלאי והם אמרו לי שהתנאי לקבלת מידע הוא למסור את מס’ תעודת הזהות שלי, מס’ הטלפון שלי, ומס’ הרישיון, רק כדי שיסכימו לספר לי מה יש במלאי. בסוף בכלל לא קניתי כלום. לא מבין למה הם שולחים לי הודעות כאלה.”

כלל המטופלים עמם שוחחנו בנושא, כולל כולם, טוענים חד משמעית כי מעולם לא הסכימו בעל פה או בכתב לקבלת הודעות כלשהן מפנאקסיה ובודאי שלא פרסומות, זאת על אף שלשון החוק בעניין זה ברורה מאוד וקובעת כי הדבר אסור. הודעות אלו אף אינן כוללות מס’ טלפון של החברה לחזרה, אלא רק את שם החברה בלבד – שיטה שמבוצעת בדרך כלל על ידי חברות מפוקפקות המנסות להסתיר את מעשיהן.

כאמור, מדובר במעשה שנחשב כעילה לתביעה נזיקית שיזכה את את התובע/ת ב-1,000 ש”ח פיצוי ללא צורך בהוכחת נזק. מאחר וניתן להגיש תביעה קטנה כזו ב-5 דקות מהבית, ייתכן שהחברה תצטרך להתמודד עם מאות ואולי אף אלפי תביעות קטנות כאלו, כלומר תיאלץ לשלם מיליוני שקלים בגין התנהלות זו. במקביל נודע כאמור למגזין קנאביס כי יש מטופלים שכבר שוקלים הגשת תביעה ייצוגית.

שיטות אלו של פנאקסיה מצטרפות לדוגמאות מתחומים אחרים ונראות כמו ההפך מהתדמית שהחברה מנסה להציג כלפי חוץ, כאילו מדובר בחברת פארמה מתקדמת ואיכותית. לדוגמה הם פרסמו לבורסה על מחסור שלא היה בשמני CBD, שלחו שליחים שלא סיפקו קבלות על תשלום, משלוחים שמגיעים באיחור רב או לא בכלל, שליחים שמגיעים כשהם רכובים על אופניים במקום ברכב מאובטח כנדרש, ועוד.

התנהלות זו, המנוגדת לנהלים רבים, לא מצופה מחברה המציגה עצמה כחברת תרופות רצינית, ובוודאי לא מחברה ציבורית הנסחרת בבורסה בשווי של מעל 320 מיליון ש”ח ואמורה לפעול בניקיון והגינות מלאים. למרות זאת, דוברת החברה גלי דהן, ממשרד היח”צ בן חורין אלכסנדרוביץ, סירבה להגיב לטענות. לאחר פנייה אל מנכ”ל החברה דדי סגל, שסירב גם הוא להגיב בתחילה, נמסרה אמש תגובה גנרית המתעלמת מכל הטענות בכתבה.

“במיוחד בתקופה זו, אנחנו מיידעים את המטופלים שלנו על האפשרות לבצע הזמנה באתר במקום בשרות הלקוחות הטלפוני, לצורך קיצור זמני ההמתנה ומתן שרות יעיל יותר עבורם,” זה כל מה שמסרה החברה. עם זאת פנאקסיה סירבה להגיב לטענה כי ההודעות נשלחות מזה זמן רב ולא רק “בתקופה זו”, בניגוד לחוק הספאם, וגם אל מי שהם כלל לא מטופלים של החברה.