כ־13 אלף טלפונים והודעות נשאבו מקבוצות וואטסאפ של מטופלי קנאביס

בשתי כתובות אינטרנט ציבוריות תחת הדומיינים canabolabs.com ו־hinbit.com, המקושרים לחברת הקנאביס הרפואי "שיח מדיקל", תועדו השבוע ממשקי ניהול ששאבו ושמרו מידע מכ־160 כרטיסי קבוצות וואטסאפ, והציגו אותו ללא סיסמה, ובהן המובילות והבולטות שבקהילות מטופלי הקנאביס הרפואי בישראל. לצדן גם קבוצות רבות נוספות של בתי מרקחת מובילים, מותגים, אתרים ורשתות מבצעים בתחום הקנאביס הרפואי.

בקבוצת וואטסאפ אין סודיות מול שאר החברים בה. כל מי שנמצא בקבוצה רואה את רשימת החברים ואת מספרי הטלפון שלהם, וגם את כל מה שנכתב בה מאז שהצטרף. הוא יכול להפעיל כלי אוטומטי שמחובר דרך חשבון הוואטסאפ שלו, ולשמור את הרשימות ואת תוכן השיחות במחשב, בטלפון או בשרת חיצוני. במקרה הזה הכלי אסף את המידע מהקבוצות – והוא גם הושאר פתוח באינטרנט בלי סיסמה, ולכן היה נגיש לכל מי שהגיע לכתובת. מהמקרה עולות שתי שאלות נפרדות: מדוע נאסף ורוכז מידע מקבוצות של מטופלים ומתחרים ללא היתר, ומדוע נותר המאגר חשוף לכל.

אך לא רק שמות הקבוצות. הדשבורד הציג טבלה מלאה של רשימות החברים ברבות מהקבוצות, עם שמות ומספרי טלפון. במקביל, היה זמין בממשק גם תוכן טקסטואלי – דיונים, הודעות, התכתבויות וקבצי מדיה שנראה כי נשאבו מתוך הקבוצות. לצד כל הודעה שם ו/או מספר הטלפון של הכותב.

הרשימות כללו בסך הכל כ-13,219 מספרי טלפון ייחודיים של חברי הקבוצות שהיו נגישים לכל מי שהגיע לכתובת האתר. לא נדרשה עקיפה או כניסה לאזור מוגן וכל אחד יכול היה לעיין במאגר של אלפי חברים בקבוצות מטופלי קנאביס רפואי ותוכן ההתכתבויות שלהם, לצדן גם קבוצות ועדכונים תפעוליים של חברת שיח, לרבות ערוצים של הנהלה, שיווק וסוכנים.

בפאנל באתר החשוף מוצג הטקסט הבא, בתרגום לעברית: "כל הודעה, כל תגובה מצוטטת וכל תגובת אימוג'י נשמרות במסד הנתונים המוגדר. קבצי מדיה נשמרים כ־base64 בתוך שורת ההודעה". בפאנל הסטטוס שלצדו מוגדר מצב ההפעלה: listen-and-send – האזנה ושליחה.

מי עומד מאחורי המערכת

על המסך בדשבורד החשוף מופיע נתיב ההתקנה על השרת ושם משתמש המפנים ל"הינביט" (Hinbit) – שמה של חברת תוכנה בבעלות מלאה של שי אברהם שריד, מייסד ומנהל הטכנולוגיות הראשי (CTO) של שיח מדיקל גרופ (Seach Medical Group), חברת קנאביס רפואי ציבורית הנסחרת בבורסה בתל אביב.

הזיקה בין Canabolabs ו-Hinbit לבין שי שריד וחברת שיח מדיקל, אינה חדשה ואינה נסתרת. Canabolabs רשומה כבעלת הזכויות בפטנט בינלאומי למכשיר ושיטה למסירה מבוקרת של תרכובת טיפולית למטופל, ואחד הממציאים הרשומים בו הוא Shay Avraham Sarid. בדיווח לרשות ניירות ערך האמריקאית משנת 2015 מוזכרת שיח כשותפה של Canabolabs. על אותו דומיין עצמו יושבים עמודים הקשורים לבתי המרקחת של שיח, ובהם כתובות דוא"ל בדומיין הרשמי של החברה, כגון [email protected], [email protected] ועוד. Hinbit היא כאמור חברת התוכנה של שריד.

כאמור, איסוף כזה של מידע מחייב חשבון וואטסאפ שמחובר לקבוצות. בהגדרות הממשק החשוף הופיע instanceName: sivan, ובמסך חיבור ה־QR הוצג Account: sivan. בנפרד, מספר שנשמר ברשימות החברים בשמות "סיון שיח מדיקל" ו"סיון שיח – טלפון עבודה" הופיע ב־110 מתוך 129 הרשימות והוגדר כמנהל ב־18 מהן.

המערכת באתר הוגדרה על ידי מפתחיה להתקשר עם האינטרנט דרך שרת-מתווך ("פרוקסי") שמדינת היעד שלו מוגדרת "ישראל", ולצדו מופיע שדה שנועד להחזיק רשימת שרתים חלופיים. הממשק כלל גם לשונית שנועדה לשליחת הודעות וכפתור לייצוא רשימת חברים.

באותו ממשק פומבי נחשפו לא רק כתובת הפרוקסי, אלא גם שם המשתמש והסיסמה שלו, בטקסט קריא – כשל אבטחה נפרד משאלת חשיפת חברי ותוכן הקבוצות: המערכת חשפה למעשה את אישורי הגישה של תשתית התקשורת שלה. באישורים אלה לא עשינו שום שימוש, כדי לא להיכנס לאזורים סגורים.

כ-160 כרטיסי קבוצות עם 13,219 מספרי טלפון ותוכן הודעות

בדשבורד של המערכת, הופיעה כאמור הרשימה המלאה של 160 כרטיסי קבוצות וואטסאפ. אבל, סך החברויות המצטבר, לפי המספר הגבוה לכל שם, מגיע לכ־36,400. מדובר במספר חברויות, לא מספר אנשים ייחודיים – אותו אדם יכול להופיע בכמה קבוצות. ב־129 מתוך 160 כרטיסי הקבוצות, הממשק החזיר רשימות ובהן יחד 22,630 רשומות חברות ו־13,219 מספרי טלפון ייחודיים. בכל שורה הופיעו שם, מספר טלפון, תפקיד ומזהה.

ברשימה מופיעות רבות מהקהילות הבולטות של מטופלי הקנאביס בישראל, בהן קבוצות של פעילים ותיקים ומוכרים בענף העוסקים בהמלצות זנים וקידומי מכירות, לצד קהילות שיתוף ודיונים עם מאות חברים כל אחת. לצדן גם קבוצות השייכות לבתי מרקחת – כאלה מרשת בתי המרקחת של שיח וגם כאלה שהם מתחרים של בתי המרקחת של שיח – שהכילו רשימת לקוחות או עוקבים, כמו גם קבוצות שנשאו שמות המעידים על פעילות הנהלה, מכירות, שיווק וסוכנים של שיח, וכן מותגים של חברות מתחרות של שיח.

מתוך הדשבורד שנחשף: קבוצות וואטסאפ שנשמרו במאגר

1 / 62 / 6 3 / 64 / 6 5 / 66 / 6

×

×

×

×

×

×

בולטות ברשימה כמה קבוצות שונות של פורום של הלומי קרב ומתמודדי פוסט־טראומה הפועל בשיתוף שיח, שאחת מהן מנתה 1,259 חברים, וגם רשת שלמה של קבוצות מבצעים ועדכונים בוואטסאפ, השייכת לאתר אינטרנט בתחום, שהגדולה שבהן הגיעה ל־1,609 רשומות חברים. הרשימות לא רק נשלפו מוואטסאפ, אלא נאספו אל מסד הנתונים של המערכת.

בממשק הפתוח נחשף כי ברבות מהקבוצות נשמר לא רק מידע על החברים, אלא גם תוכן שפורסם בהן – כולל התכתבויות, הודעות וקבצי מדיה – בלי דרישת סיסמה או הזדהות.

למרבה האירוניה, בחלק מהקבוצות שנשמרו במאגר מופיעות הודעות פנימיות הכוללות הבטחות של מנהלים לחברי הקבוצה על "קהילה סגורה ומאומתת" ובדיקה אישית של מצטרפים – ככל הנראה בניסיון לשוות תחושת ביטחון ואמינות לחברי הקבוצה, להאמין לתכנים המופיעים בה ולא לחשוש מלשתף את מחשבותיהם. אותן הודעות עצמן היו כמובן גלויות גם הן בממשק הפתוח.

מה שהחוק אומר, ומה שהקבוצות עצמן אמרו

בשורה התחתונה, עמוד פומבי פתוח באינטרנט, בשני דומיינים שונים הקשורים לחברת שיח ו/או למייסד ומנהל הטכנולוגיות שלה, ריכז ספרייה רחבה של קבוצות מטופלי קנאביס רפואי, בתי מרקחת וקהילות רגישות, וחשף רשימות חברים ברמת הפרט ותוכן התכתבויות, תוך איסוף אוטומטי שההרשאה והבסיס החוקי לו לא הובהרו. כמובן, אי אפשר לקבוע שכל רשומה שייכת למטופל בהכרח – כי בקבוצות יש גם מנהלים, נציגים ואחרים – אך השיוך לקבוצה כמו מתמודדי פוסט־טראומה או קהילת מטופלים עשוי ללמד על מצב רפואי של החבר בהן, זאת לצד תכנים של הודעות שכוללות גם מידע רפואי או אישי.

החשיפה מעוררת כמובן שאלות לפי חוק הגנת הפרטיות, במיוחד לאחר תיקון 13 לחוק הגנת הפרטיות מאוגוסט 2025, המגדיר מידע על מצבו הבריאותי של אדם כמידע בעל רגישות מיוחדת, ומחמיר את חובות מי שמנהל מאגר כזה. איסוף אוטומטי רחב־היקף כזה עשוי לעמוד גם בניגוד לתנאי השימוש של וואטסאפ.

חלק ממנהלי הקבוצות אף אוסרים בעצמם במפורש שימוש בתוכן הנמצא בהן שלא לצורכי הקהילה עצמה. למשל, בתיאור של פורום מתמודדי פוסט־טראומה נכתב: "שימוש בתוכן מתכני הקהילה שלא לצורכי הקהילה אסור…". בקהילת מטופלים גדולה אחרת מבקשים מהחברים שלא לשתף תכנים מהקבוצה לקבוצות אחרות בלי אישור מנהל. שתי הקבוצות האלה הופיעו במאגר, לצד כפתור שמציע לייצא את רשימת החברים שלהן לקובץ.

בתגובה לפנייה ראשונית בעניין הדומיין canabolabs.com, שבהמשך התגלה שמארח את אחד הממשקים שנחשפו, מסר שריד כי Canabolabs "עברה בעבר לבזלת ונסגרה", והפנה לחברה המתחרה, שמסרה כי אין לה קשר לנושא. לאחר פנייה מסודרת לקבלת תגובה מחברת שיח אתמול (2.9) השתנה מצב הממשקים כמה פעמים עד שבבדיקה הבוקר (3.9) לא ניתן היה עוד לצפות במידע בממשקים ונראה שהם נחסמו לגישה.

משיח מדיקל גרופ נמסר: "הנושא נבדק וטופל באופן מיידי. אבטחת מידע ושמירה על פרטיות נמצאות בראש סדר העדיפויות של החברה." החברה לא השיבה לשאלות בדבר זהות בעל השליטה במאגר, הבסיס החוקי לאיסוף המידע מקבוצות המטופלים, מטרת האיסוף, האם הועבר לצדדים שלישיים, האם הנפגעים יודעו, והאם האירוע דווח לרשות להגנת הפרטיות, למערך הסייבר הלאומי או לדירקטוריון. החברה גם לא השיבה מי הורה על שינוי, השבתה או הסרה של הממשקים, מתי בוצע כל שינוי, והאם נשמרו הלוגים, התצורות, הגיבויים ורשומות הגישה.