14 בנובמבר 2016. עשרה ימים אחרי שסאליבן העיד בפני ה-FTC ש-Uber תיקנה את אבטחת המידע שלה.
יש רגע בסיפור הזה שאני חוזר אליו שוב ושוב: ג’וזף סאליבן (Joseph Sullivan), מנהל אבטחת המידע הראשי (CSO) של Uber, פותח מייל שהוא הכי לא רצה לקבל. שני האקרים כותבים לו שהוציאו נתונים של 57 מיליון נהגים ונוסעים מחשבון AWS ודורשים תשלום תמורת מחיקתם.
עשרה ימים קודם לכן, ב-4 בנובמבר 2016, העיד סאליבן תחת שבועה בפני ה-FTC האמריקאי על הצעדים שנקטה Uber כדי לאבטח נתוני לקוחות, עדות שהייתה חלק מחקירת ה-FTC על פריצה קודמת, מ-2014. וזה הפרט שכדאי לעצור עליו לרגע: הפרצה שדרכה נכנסו ההאקרים ב-2016 נבעה מאותה בעיית שורש כמו ב-2014: פרטי גישה (credentials) ל-AWS שנחשפו בריפוזיטורי GitHub ששימש מהנדסי Uber. זה לא היה שכפול מדויק: ב-2014 המפתח ישב בריפוזיטורי ציבורי שכל אחד יכול היה לקרוא, ואילו ב-2016 ההאקרים נאלצו קודם לגנוב פרטי התחברות של מהנדס Uber ל-GitHub (בשיטת credential stuffing) כדי להגיע לריפוזיטורי הפרטי שהחזיק את מפתחות ה-AWS. אותה נקודת כשל בדיוק, עם צעד אחד נוסף בלבד, ובכל זאת היא הובילה אותם ישר לתוך האחסון שבו ישבו הרשומות.
סאליבן לא פנה ל-FTC. הוא לא פנה לדירקטוריון. לפי התביעה, הוא אמר לכפיף שלו שהאירוע צריך להיות “tightly controlled” (בשליטה הדוקה), ושמחוץ לצוות האבטחה: “החקירה הזו לא קיימת”.
במקום זאת הוא דאג לכך ש-Uber תשלם להאקרים 100,000 דולר, לא ככופר אלא דרך תוכנית ה-bug bounty של Uber, שהופעלה בשיתוף עם פלטפורמת HackerOne, אותו ערוץ בדיוק שדרכו החברה שילמה לחוקרי אבטחה שדיווחו באחריות על חולשות. ההאקרים נדרשו לחתום על הסכם סודיות (NDA), כולל הצהרה שלא לקחו ולא שמרו נתונים. על הנייר, גניבת נתונים בהיקף פלילי הפכה בן רגע לדיווח באג בתשלום. (מכבסת המכוניות של וולטר וייט הייתה מתביישת ברמת ההלבנה הזאת.)
הנייר הזה שרד הרבה יותר מהסיפור שהיה אמור לקבור. הפריצה נשארה חבויה במשך כשנה שלמה, עד שהמנכ”ל החדש של Uber, דארה חוסרוושהי (Dara Khosrowshahi), גילה אותה וחשף אותה בפני ה-FTC ובפני הציבור בנובמבר 2017. Uber שילמה בהמשך 148 מיליון דולר כדי לסגור תביעות של כל 50 המדינות ומחוז קולומביה בעקבות ההסתרה. סאליבן הואשם ב-2020, עמד לדין ב-2022, וב-5 באוקטובר 2022 חבר מושבעים הרשיע אותו בשיבוש הליכי ה-FTC ובאי-דיווח על פשע (misprision of felony). אישומי wire fraud שהוגשו נגדו נמחקו לפני המשפט. במאי 2023 גזר עליו השופט וויליאם אוריק (William Orrick) שלוש שנות מבחן, 200 שעות שירות לתועלת הציבור וקנס של 50,000 דולר, בלי יום מאסר אחד, חרף בקשת התביעה לכ-15 חודשי מאסר. בית המשפט לערעורים של המחוז התשיעי אישרר את ההרשעה במרץ 2025.
הארטיפקט: לא הפריצה, אלא התיעוד של איך היא טופלה
בלי כל הדרמה, הפריצה עצמה הייתה כמעט שולית מבחינת התביעה. שני האנשים שבפועל פרצו לחשבון ה-AWS, Brandon Glover ו-Vasile Mereacre, הודו באשמה ושיתפו פעולה עם התביעה, ולימים אף העידו במשפטו של סאליבן. התיק נגד סאליבן מעולם לא באמת עסק בפריצה. הוא נבנה על מה שקרה אחריה: הכרטיס במערכת ה-bug bounty, גובה התשלום והדרך שבה נותב, הניסוח של ה-NDA וההודעות הפנימיות שתיארו איך צריך לדבר על האירוע.
אפילו ההסתרה השאירה טביעות אצבע משלה. ה-NDA של תוכנית ה-bug bounty נחתם אלקטרונית דרך AdobeSign, ומטא-דאטה של יומן הביקורת של הפלטפורמה (כולל כתובת IP שהתקשרה לחתימה) הוא בדיוק מה ששימש את חוקרי האבטחה של Uber עצמה כדי לאתר את ה”חוקרים” ולקשר אותם לפריצה בפועל, פרט שחזר וצף כראיה במשפטו של סאליבן. המערכת שנבנתה כדי שהתשלום ייראה שגרתי היא בדיוק זו ששמרה יומן מדויק של מי קיבל אותו. היא עבדה בדיוק כפי שתכננו אותה, וזו בדיוק הייתה הבעיה. (מסתבר שהענן זוכר הכל: גם את מה ששילמתם לו כדי לשכוח.)
זו התבנית שמומחה תוכנה הממונה מטעם בית המשפט נתקל בה בתיק של תגובה לפריצה: לא פריצה אחת, אלא ערימה שלמה של מערכות (פלטפורמת ה-bug bounty, שירות החתימה האלקטרונית, מייל, Slack, מערכת הטיקטים) שכל אחת מהן מייצרת בשקט תיעוד משלה, בין אם התכוונו לכך ובין אם לא.
למה זו בעיה שדורשת חוות דעת מומחה, לא עורך דין
עורך דין כללי שקורא את התיק הזה רואה סיפור הונאה: לשלם להאקרים, להסתיר את הפריצה, להיתפס. מומחה תוכנה ברמת בית משפט קורא אותו כבעיית ארכיטקטורת ראיות: אילו מערכות ייצרו תיעוד של האירוע, באיזה סדר, מי יכול היה לגשת ולשנות את הסיווג, והאם רצף הכרטיסים, התשלומים והחתימות תואם לרצף האירועים שהחברה סיפרה מאוחר יותר לרגולטור.
זו לא שאלה של שיקול דעת משפטי. זו השאלה הטכנית הצרה שמומחה תוכנה נשכר כדי לענות עליה: להגדיר מה בדיוק מראים כרטיס ה-bug bounty, ה-NDA ורשומת התשלום; לקבוע באיזה סדר הם נוצרו ותועדו; לרשום אילו מערכות ויומנים חייבים להישמר לפני ש”מנקים” ערוץ תקשורת של אירוע; ליישם שיטה שניתנת לשחזור לבניית ציר הזמן; ולהיות מוכן להגן על השחזור הזה בחקירה נגדית.
צוותי אבטחה ועורכי הדין שלהם שמחכים עד שהרגולטור שואל כבר מאחרים. השאלה שצריך לשאול ביום הראשון של כל אירוע מהותי היא לא “איך נמסור את זה”, אלא “מה התיעוד אומר שקרה, והאם נוכל להוכיח את זה”.
כאן נכנסת חוות דעת מומחה מחשבים — מסמך שמסביר את הממצא, לא רק מציג אותו.
למנהלי אבטחת מידע ויועצים משפטיים ראשיים בישראל
אם אתם מנהל אבטחת מידע או יועץ משפטי ראשי בישראל, כדאי לשים לב: חברות ישראליות מריצות תוכניות bug bounty וגילוי חולשות בדיוק על אותן פלטפורמות שבהן השתמשה Uber. כרטיס תשלום, תבנית NDA ושרשור צ’אט שמחליט “מי צריך לדעת” הם לא רק כלים תפעוליים. אם פריצה הופכת לעניין רגולטורי או אזרחי, הם הראיות.
הלקח מתיק סאליבן הוא לא “אל תשלמו bug bounty”, אלא זה: ברגע שאירוע אבטחה מתחיל לייצר כרטיסים, אישורים ומסמכים חתומים, צריך להתייחס לתיעוד הזה כאילו בית משפט עתיד לקרוא אותו, כי ייתכן שהוא באמת יקרא.
האמור לעיל הוא מידע כללי בלבד ואינו מהווה ייעוץ משפטי. פרטי התיק מבוססים על המקורות המצוטטים.