נפתלי בנט נואם בכנס הסייבר באוניברסיטת תל אביב / צילום: עמוס בן גרשום - לע''מ
בימים האחרונים סגרה את שעריה חברת סייבר ישראלית קטנטנה ואלמונית בשם נמסיס. החברה, שניסתה להתחרות ב-NSO באמצעות רוגלה המשתלטת על מכשירי טלפון חכמים, מעולם לא נחשפה בתקשורת ואפילו לא החזיקה באתר אינטרנט, אך סגירתה מבשרת בעיני רבים בענף הסייבר הישראלי עידן חדש ביחסים שבין משרד הביטחון והתעשייה הישראלית.
לפי מספר בכירים בענף איתם שוחחנו, נמסיס נסגרה לאחר שאגף פיקוח יצוא במשרד הביטחון (אפ"י) סירב להנפיק לה רישיונות יצוא של רוגלות מודיעיניות למספר מדינות בדרום אמריקה ובאפריקה. בכמה מקרים אחרים, התארכו תהליכי האישור מעל ומעבר והתשובות מיאנו להגיע. בסופו של דבר כרעה החברה תחת נטל המשכורות לעובדיה, רובם ככולם מתכנתי סייבר מבוקשים המצפים לתלוש שכר גבוה וסגרה את שעריה.
לחץ אמריקאי
בכירים רבים בענף מתלוננים בשבועות האחרונים על שינוי חד במדיניות שבה נוקט משרד הביטחון כלפי חברות ישראליות המייצאות רוגלות לשימוש מודיעיני מאז ינואר האחרון. אז הגביל המשרד בצורה משמעותית את מספר המדינות בעלות הפטור להוצאת רישיון שיווק ל-38 מדינות דמוקרטיות במערב אירופה ובצפון אמריקה, נוסף על דמוקרטיות באסיה והפסיפיק דוגמת אוסטרליה, ניו זילנד, דרום קוריאה ויפן. היצוא הביטחוני מישראל ב-2021 הסתכם ב-11.3 מיליארד דולר, כש-4% מתוכו היו מערכות מודיעין מידע וסייבר, כלומר כ-450 מיליון דולר.
כשהוכרז המהלך בחודש נובמבר שעבר, ההנחה הרווחת בענף הייתה שהוא איננו אוסר על יצוא סייבר התקפי למדינות שאינן נמצאות ברשימה - כמו הודו, פולין, צ'ילה, מקסיקו או איחוד האמירויות - אלא שלשם כך יהיה צורך בהוצאת רישיון שיווק, כלומר באישור מפורש של משרד הביטחון לתחליתו של תהליך מכירה. עם זאת, בחודשים האחרונים התברר שהמדינה כמעט ואיננה מנפיקה רישיונות שיווק או יצוא עבור אף אחת מהמדינות שאינן כלולות ברשימת המדינות הדמוקרטיות, ככל הנראה תחת לחץ אמריקאי המופעל על ישראל.
בחודש נובמבר האחרון הכריז ממשל ביידן על מלחמת חורמה ברוגלות הפוגעות במדיניות החוץ של ארה"ב בין השאר באמצעות מעקב אחר גורמי אופוזיציה או פעילי זכויות אדם ברחבי העולם. אלא שהמאבק התמקד בסופו של דבר רק בתוכנות מתוצרת ישראל: NSO וקנדירו, שהוכנסו לרשימה השחורה של משרד המסחר, בעוד ששורה של חברות יווניות, צרפתיות, גרמניות וסיניות העוסקות בתחום הרוגלות נותרו מחוצה לה.
"הרעבה של תעשייה שלמה"
סגירתה של נמסיס, כך אומרים כמה בכירים בענף הסייבר, היא סנונית ראשונה שעשויה לבשר על קשיים עתידיים בפעילותן של חברות נוספות בתחום. גם חברות כמו NSO, קוגנייט, קוואדרים, ווינטגו ועוד רשימה של חברות קטנות יותר סבלו בחודשים האחרונים מאי אישור של עסקאות חדשות ומביטולים של רישיונות יצוא שפג תוקפם. בחלק מהמקרים נטען כי רישיונות מבוטלים לקראת סיום תקופתם ובמקרים קיצוניים אף מבוטלים בעיצומם, בהודעה חד צדדית הנשלחת אליהם מאפ"י.
משרד הביטחון, בשיתוף עם משרד החוץ, צה"ל וגופים נוספים בוחנים כל עסקה שבה חברת סייבר התקפי מעוניינת, תהליך שלוקח בדרך כלל 45 יום. בחודשים האחרונים, מדווחים בכירים בענף הסייבר, אנשי אפ"י דורשים הארכה בתקופת הבחינה שוב ושוב, כך שבקשות לרישיון שיווק עשויות לקחת חודשים רבים, ולרוב אינן מאושרות.
"זו הרעבה של תעשייה שלמה", אמר בכיר באחת מחברות הסייבר ההתקפי שביקש להיוותר בעילום שם. "מותירים אותנו באפילה, לא מספרים לנו היכן נמצאת הבקשה שלנו, ואם היא לא אושרה, לא מסבירים לנו למה. זה נראה כאילו המדינה מוותרת על תעשיית הסייבר ההתקפי מבלי להגיד את זה, אבל אם זו המדיניות - אז מדוע לא לומר זאת בגלוי? מושכים אותנו כמו מסטיק עד שכל החברות ידממו למוות".
בכיר אחר בענף טען, כי "המדינה מנסה להגיד לנו שעלינו לשכוח מהשווקים בדרום אמריקה, אפריקה וכמה מדינות באסיה. אבל אי אפשר פשוט לסגור שווקים שלמים בפני תעשייה שלמה, כמו גם לבקש ממנה להישען על אירופה וצפון אמריקה בלבד. זהו שוק צפוף ולא רווחי שאינו יכול לתמוך בתעשייה הישראלית נכון להיום".
גם מדינות רבות שבעבר נחשבו לשוק יצוא מיידי למוצרים ישראלים עוברות שינוי חד בתקופה האחרונה. דרום אמריקה, למשל, חווה בשנה האחרונה גל סוציאליסטי-פרוגרסיבי שהעלה בכמה מדינות שליטים שאינם אוהדים את ישראל.
מזרח אירופה נכנסת לוואקום
אל תוך הוואקום שיוצר הפיקוח על חברות ישראליות, נכנסות באופן טבעי חברות זרות, וביתר שאת חברות אירופיות, שפעילות בתחום הסייבר ההתקפי עוד מראשיתו. למרות ששלוש חברות הסייבר ההתקפי האירופיות ששירתו שליטים במזרח התיכון - פינפישר הגרמנית, אמסיס הצרפתית וממנטו לאבס (לשעבר האקינג טים) האיטלקית - כבר אינן פעילות היום, בין השאר על רקע החמרת הנהלים של האיחוד האירופי, חברות אחרות הפעילות ממזרח אירופה או מדרומה הפכו ליצואניות פעילות של רוגלות.
אחת מהן היא אינטלקסה של אל"מ במיל' טל דיליאן, שפיקד בעברו על היחידה הטכנולוגית של אגף המודיעין, וכיום מתגורר ביוון. מחקר של "סיטיזן לאב" - מכון מחקר של אוניברסיטת טורנטו העוסק במדיה דיגיטלית, זכויות אדם וביטחון גלובלי - שפורסם בדצמבר 2021, טען כי אינטלקסה משווקת את רוגלת סיטרוקס פרדטור (Cytrox Predator) השואבת את תוכנם של טלפונים ניידים ומתחרה בפגסוס של NSO. לפי ההערכה, מתבצעת פעילות המכירה שלה מצפון מקדוניה, מדינה שאיננה חברה באיחוד האירופי ואינה כפופה לפיקוח שלו, למרות שמקדוניה כפופה לאמנת ואסנאר העוסקת ברגולציה של יצוא סייבר התקפי.
בין לקוחותיה של אינטלקסה מדינות שאפ"י איננו מאשר כיום, בהן בנגלדש, מצרים, אינדונזיה, ערב הסעודית ועומאן. בנוסף, מנהלת החברה משא ומתן עם איחוד האמירויות, מדינה בה פעילות נכון להיום חברות סייבר התקפי ישראליות רבות אחרות.
מייצאים חולשות לחו"ל
סוגיה נוספת עמה נדרש אפ"י להתמודד היא יצוא קניין רוחני של חברות סייבר התקפי. חברות סייבר התקפי מחלקות את הקניין הרוחני שלהן לשניים: חולשות סייבר, כלומר מידע על פרצות דרכן ניתן לחדור למערכות הפעלה או אפליקציות במכשירי טלפון חכם שונים; ומערכות ההתקפה - כלי הפריצה המנצלים את חולשות הסייבר על מנת להיכנס ולשאוב את תכולת המכשיר של המשתמש. חברות המפוקחות על ידי אפ"י לא יכולות לייצא חולשות או כלי פריצה ללא רשיון מפורש, אך הפיקוח של החודשים האחרונים עלול לעודד ישראלים להקים חברות המתמחות בפיתוח חולשות סייבר, שמכירתן לחו"ל באופן תיאורטי איננה נמצאת תחת פיקוח משרד הביטחון. לחלופין, ישראלים אחרים יכולים לסגור את החברה הישראלית ולפתוח אותה מחדש בחו"ל, אם כי הדבר ידרוש מהם לוותר על הקניין הרוחני שפותח בישראל.
"אנחנו חיים בעולם גלובלי ובחמש דקות אתה יכול לפתוח חברה בחו"ל ולעשות דברים לא פחות מתוחכמים בארה"ב ואירופה", אמר בכיר בענף הסייבר ההתקפי. "ואם יקשו עלינו לחיות כאן ולעשות דברים שאנחנו טובים בלעשות אותם, לא נילחם על משהו שאי אפשר לנצח אותו".
ממשרד הביטחון נמסר: "המשרד, בשיתוף עם משרד החוץ, הידק בשנה האחרונה את הפיקוח על יצואני סייבר ובין השאר פרסם נוסח מעודכן ל'הצהרת משתמש סופי', שעליה נדרשת לחתום כל מדינה כתנאי למתן רישיונות ליצוא מערכות סייבר איסופי ו/או מערכות מודיעין. לצד זאת, מדינת ישראל בוחנת סיוע ייעודי לתעשיית הסייבר, שישמר את יכולותיה, גם במציאות של רגולציה עולמית מחמירה".
מנמסיס ומאינטלקסה לא התקבלה תגובה.