טלגרם, הביון הרוסי והאיש שביניהם: האם המידע של מיליארד משתמשים בסכנה?

OCCRP הוא ארגון תחקירים מהגדולים בעולם שמתמקד בחשיפת שחיתות ופשיעה מאורגנת

הכתבה מאת רומן אנין וניקיטה קונדרטייב, פורסמה במקור ביום 10.6.25. תורגם מאנגלית ומפורסם בהסכמת The Organized Crime and Corruption Reporting Project https://www.occrp.org/en

טלגרם, אפליקציית הצ'ט וההודעות שזוכה לפופולרית עצומה, היא גאוות תעשיית ה־IT הרוסית. לדברי פאבל דורוב, היזם האניגמטי שיצר את השירות לפני 12 שנה, יש לה כעת יותר ממיליארד משתמשים פעילים בכל חודש ברחבי העולם.

אחת הסיבות להצלחה הזאת היא המוניטין של טלגרם בתחום האבטחה, לצד תדמיתו של דורוב כמגן חופש הביטוי שהתריס בפני ממשלות רבות. "בניגוד לחלק מן המתחרים שלנו, איננו סוחרים בפרטיות בתמורה לנתח שוק", כתב באפריל האחרון. "ב־12 שנות קיומה טלגרם מעולם לא חשפה בייט אחד של הודעות פרטיות".

אלא שחקירה חדשה של ארגון Important Stories, שותפו הרוסי של המיזם לדיווח על פשע מאורגן ושחיתות OCCRP, חושפת פגיעות קריטית. כאשר כתבים חקרו מי שולט בתשתית ששומרת על זרימת מיליארדי ההודעות של טלגרם, הם מצאו אדם ללא פרופיל ציבורי אך בעל גישה חסרת תקדים: ולדימיר ודנייב, מהנדס רשת בן 45.

ודנייב הוא הבעלים של החברה המתחזקת את ציוד הרשת של טלגרם ואחראית להקצאת אלפים מכתובות ה־IP שלה. מסמכי בית המשפט מוכיחים כי הוענקה לו גישה בלעדית לחלק משרתי טלגרם, וכי הוא אף הוסמך לחתום על חוזים מטעם טלגרם.

אין ראיות שלפיהן חברה זו עבדה עם ממשלת רוסיה או סיפקה נתונים כלשהם. אולם לשתי חברות נוספות של ודנייב, הקשורות זו לזו - אחת מהן מקצה גם היא כתובות IP של טלגרם והשנייה עשתה זאת עד 2020 - היו כמה לקוחות רגישים ביותר הקשורים לשירותי הביטחון. איתם נמנים סוכנות הביון FSB וכן מרכז מחשוב למחקר סודי, שסייע בתכנון הפלישה לאוקראינה ופיתח כלים להסרת אנונימיות ממשתמשי אינטרנט, ומעבדת הדגל למחקר גרעיני הנמצאת בבעלות המדינה.

"אם דיווח זה נכון, הוא מדגים את הפער המסוכן בין מה שרבים מאמינים בנוגע לתכונות האבטחה והפרטיות של טלגרם לבין המציאות", אמר ג'ון סקוט־ריילטון, חוקר בכיר במכון המחקר The Citizen Lab. "כאשר אנשים אינם יודעים מה קורה באמת, אבל מניחים שהמטא־דאטה (נתוני המידע) שלהם נשאר פרטי, הם יכולים, בלי לדעת זאת, לקבל החלטות מסוכנות ולסכן את עצמם ואת האנשים שאיתם הם מתקשרים. הדבר נכון כפליים אם ממשלת רוסיה רואה בהם איום".

מומחה IT אוקראיני, ששוחח עם כתבים בעילום שם, אמר כי הצבא הרוסי השתמש במעקב מסוג "התקפת אדם בתווך" (man-in-the-middle) בארצו, לאחר שהשתלט על תשתית הרשת. "אתה מקבל גישה פיזית לערוץ תמסורת הנתונים ומתקין שם את הציוד שלך", אמר. "במתקפה כזו ההאקרים אפילו לא מתעניינים כל כך בהתכתבויות של המשתמש. הם מקבלים מטא־דאטה לניתוח - משמע כתובות IP, מיקומי משתמשים, מי מחליף חבילות נתונים עם מי, סוג הנתונים... באמת, כל המידע האפשרי".

דורוב נחקר כעת בצרפת, לאחר שנעצר באוגוסט האחרון באשמה הקשורה להפצת תוכן בלתי חוקי בטלגרם. מאז החברה יישמה כמה צעדים כדי להגביר את האכיפה ולחזק את שיתוף הפעולה שלה עם הרשויות. דורוב שוחרר תחת פיקוח בית המשפט ומותר לו לצאת מהמדינה.

הוא לא השיב לבקשת התגובה. ודנייב שוחח עם כתבים, אך סירב לאשר את פרסום דבריו.

הלחץ שהביא ליצירת טלגרם ולעזיבת רוסיה

סיפורה של טלגרם מתחיל באתר רשת חברתית אחר, פחות מוכר מחוץ לרוסיה, VKontakte. האתר, שהקים דורוב בשנת 2006, כשהיה בן 21 בלבד, צבר במהירות בסיס משתמשים גדול, משום שהעתיק רבות מן התכונות הפופולריות של פייסבוק וסיפק גישה חופשית לכמויות עצומות של מוזיקה וסרטונים פיראטיים.

אלא שעלייתו של VKontakte נתקלה בסמכותנות הגוברת של נשיא רוסיה ולדימיר פוטין. כאשר קבוצות אופוזיציה נעזרו באתר לצורך ארגון מחאות המוניות נגד הממשלה בשנת 2012, הרשויות דרשו מדורוב לחסום אותן. "שוטרים חמושים באו לביתי, וניסו לפרוץ כי סירבתי", אמר למגיש תוכניות האקטואליה הימני טאקר קרלסון בראיון בשנה שעברה, והסביר כי בעקבות האירוע הזה עלה במוחו הרעיון ליצור שירות מסרים חדש ומאובטח יותר.

הלחץ מצד הרשויות גבר, והן דרשו מדורוב לחשוף מידע אישי של אוקראינים המוחים נגד הממשלה בקייב המזוהה עם הקרמלין, עד שעזב את רוסיה בשנת 2014. הוא מכר את חלקו ב־VKontakte - שאנשים המקורבים לקרמלין השתלטו עליו - ואף פרסם מניפסט עם הכותרת "שבע סיבות לא לחזור לרוסיה".

לאחר מכן, עם אחיו, מתמטיקאי מוכשר בשם ניקולאי, יצר דורוב את טלגרם - שירות מסרים חדש עם דגש על פרטיות. כבר מן ההתחלה הוא טען שהמוצר שלו "בטוח יותר" ממתחריו וכי "הודעות הנשלחות דרך טלגרם אינן ניתנות ליירוט בידי צדדים שלישיים".

הוא מכחיש שלטלגרם יש תשתית כלשהי ברוסיה, ואף טוען שלא ביקר כלל במדינת הולדתו מאז שעזב בשנת 2014. "אני לא נוסע לאף אחת מן המעצמות הגיאופוליטיות הגדולות, מדינות כמו סין או רוסיה או אפילו ארה"ב", אמר לקרלסון. בשנה שעברה כתבים מ־Important Stories חשפו שזה לא נכון. מסד נתונים של מעברי גבול שדלף הראה שדורוב הגיע לרוסיה יותר מ־50 פעמים בין 2015 ל־2021.

בינתיים המוניטין של טלגרם בכל הנוגע לפרטיות תרם לצמיחה העצומה שלה. משתמשים רוסים ראו באפליקציה אלטרנטיבה בטוחה ל־VKontakte. היא הפכה לכלי מרכזי לא רק עבור מפיצי תעמולה התומכים בקרמלין ושירותי ביטחון, אלא גם עבור כלי תקשורת עצמאיים ואנשי אופוזיציה. מיליונים ממדינות אחרות הצטרפו גם הם, לאחר שוואטסאפ הבהירה כי היא עשויה לשתף נתונים מסוימים עם החברה־האם שלה מטא.

התשובות הרשמיות לשאלות הנפוצות באתר טלגרם מדגישות את תכונות האבטחה שלה וכן את השקיפות: "כל אחד יכול לבדוק את הקוד הפתוח של טלגרם ולוודא שהאפליקציה לא עושה דבר מאחורי גבו", נכתב שם.

אך המציאות מורכבת יותר. בשונה מאפליקציות כמו וואטסאפ או סיגנל, הצ'טים של טלגרם לא מוצפנים מקצה לקצה כברירת מחדל. האפשרות זמינה למשתמשים שבוחרים להפעיל אותה, אך כפי שציין כבר בשנת 2018 עמיתו לשעבר של דורוב, אנטון רוזנברג, הרוב המכריע של המשתמשים לא עושה זאת, אלא מתכתב באמצעות צ'טים רגילים בענן, המאוחסנים בשרתי החברה.

טלגרם מבטיחה למשתמשים שהנתונים שלהם בטוחים. "נתוני צ'ט בענן מאוחסנים במרכזי נתונים מרובים ברחבי העולם, הנשלטים בידי ישויות משפטיות שונות הפרוסות על פני תחומי שיפוט שונים", נכתב בתשובות לשאלות הנפוצות של החברה. "מפתחות הפענוח הרלוונטיים מפוצלים לחלקים ואינם נשמרים באותו מקום שבו מאוחסנים הנתונים שהם מגנים עליהם... הודות למבנה זה, אנו יכולים להבטיח שלא יהיו ממשלה או גוש של מדינות בעלות דעות דומות שיוכלו לפלוש לפרטיותם של אנשים ולחופש הביטוי שלהם".

אולם מומחי אבטחת רשת מזהירים שאפילו הצ'טים המוצפנים מקצה לקצה של טלגרם עלולים לחשוף את המשתמשים למעקב. פרוטוקול MTProto של האפליקציה, המסדיר את אופן פעולת ההצפנה שלה, מציין שאלמנט לא מוצפן מצורף לתחילת כל הודעה מוצפנת.

"החלק הלא מוצפן מאפשר לזהות מכשיר ספציפי ולדעת שהוא מקושר לשרתי טלגרם", אמר מיכאל רייסייק ווז'ניאק, שעבד בעבר ב־OCCRP כראש מחלקת תשתיות ואבטחת מידע. "באמצעות צפייה בחבילות הרשת אני גם מקבל את כתובת ה־IP שלך, מה שמראה לי את מיקומך הגיאוגרפי המשוער".

משמעות הדבר היא שמי ששולט בתעבורת הרשת של טלגרם עשוי להיות מסוגל לעקוב אחר משתמשים, גם אם את ההודעות עצמן לא ניתן לקרוא.

השכיר יותר מ-10,000 כתובות לטלגרם

כדי להבין כיצד עוברות הודעות טלגרם, כתבים שלחו הודעות זה לזה דרך השירות ותיעדו זאת באמצעות Wireshark, כלי לניתוח תעבורת רשת. התוצאות הראו שכתובות ה־IP נשלטו בידי חברה בשם Global Network Management (GNM), הרשומה במדינת אנטיגואה וברבודה שבקריביים.

בניתוח של טווחי IP נוספים שמנהלת החברה, גילו כתבים כי היא השכירה יותר מ־10,000 כתובות לטלגרם, ומשמעות הדבר היא שהחברה ממלאת תפקיד משמעותי בתשתית של אפליקציית המסרים.

גם מסמכי בית המשפט של תביעה שהוגשה בפלורידה בשנת 2018 - בגין סכסוך בין GNM לקבלן - חושפים הרבה יותר. הבעלים של GNM, כך הם מראים, הוא מהנדס הרשת הרוסי ולדימיר ודנייב. הוא אמר לבית המשפט כי החברה שלו "מעורבת בהתקנת ציוד לקוח - במקרה זה עבור אפליקציית המסרים טלגרם - ובתמיכה טכנית נוספת של ציוד זה".

על פי המסמכים המשפטיים של החברה שלו, ודנייב היה האדם היחיד שהורשה לגשת לשרתי טלגרם במרכז נתונים במיאמי. הוא גם העיד כי החברה מחזיקה נתב בחדר השרתים של טלגרם.

"אם חברה שולטת בנתבים שמפיצים תעבורה שעוברת דרך שרתי טלגרם, זה אומר שהיא או כל מי שהיא מעניקה לו גישה לכך יכולים לראות את הפרטים המזהים של משתמשי האפליקציה", אומר ווז'ניאק, מומחה האבטחה.

מסמכי בית המשפט של התיק מראים גם כי מערכת היחסים של ודנייב עם דורוב חורגת מאספקת תשתית רשת. כבר לפני תשע שנים, הם מראים, הסמיך דורוב את ודנייב לחתום על מסמכים כסמנכ"ל הכספים של טלגרם. חוזה אחד שנמצא בחומרי התיק מסמיך את GNM לנהל עסקים מול קבלן צד שלישי מטעם טלגרם. ודנייב חתם עליו פעמיים: כמנהל GNM וכסמנכ"ל הכספים של טלגרם.

בעדותו ודנייב מתאר את ההסדר כ"לא פורמלי" ואומר שמעולם לא קיבל תשלום מטלגרם כעובד החברה. אך הוא גם אמר לבית המשפט ש"היה לו ייפוי כוח לחתום על מסמכים מטעם פאבל דורוב ובשם טלגרם".

לא אליס קמפו, מנהל פיתוח שותפויות לשעבר בטלגרם שדיבר עם כתבים, ולא אחרים המכירים את המבנה התאגידי של טלגרם שמעו אי פעם על ודנייב. בהתחשב בתרבות התאגידית הסודית של החברה - אפילו המנהלים הבכירים שלה לא ידועים כולם לציבור, והיא מקיימת מדיניות קפדנית של "אסור להיות בלינקדאין" - אולי לא במפתיע.

"כלי למעקב עולמי אחר משתמשי האפליקציה"

ודנייב, למעשה, הוא שחקן מפתח בשוק התקשורת הרוסי. הוא המייסד של GlobalNet, מפעילת תקשורת בסנט פטרסבורג השולטת ב־18 אלף ק"מ של תשתית תקשורת, מסיביר ועד מערב אירופה ב־24 מדינות. בשנה שעברה ודנייב העביר את רוב חלקו בחברה לקרובי משפחה.

עד שנת 2020 כתובות ה־IP של טלגרם, שמוקצות כעת בידי GNM, היו בשליטת GlobalNet. אבל זו אינה סתם ספקית שירותי רשת. אחד מלקוחותיה הוא מרכז המחשוב הראשי למחקר של מחלקת ניהול הנכסים הנשיאותית של רוסיה (GlavNIVTS). באופן רשמי ארגון זה מספק תמיכה טכנית לאירועי "הקו הישיר" של הנשיא פוטין לשאלות ותשובות פומביות, לוועידות פסגה ולפגישות רמות־דרג אחרות.

אך GlavNIVTS עשויה להיות גם השירות המיוחד הסודי ביותר והפחות נחקר ברוסיה. הסוכנות סייעה בתכנון הפלישה לאוקראינה, שדרגה רשת בוטים גדולה, פיתחה מערכת מרכזית למעקב וידאו ובנתה כלים למעקב אחר משתמשי אינטרנט ולחשיפת זהותם.

על פי נתונים מפורטל הרכש הרשמי של רוסיה, GlobalNet גם מספקת תשתית תקשורת למכון קורצ'טוב, מעבדת מחקר גרעינית מובילה בבעלות המדינה, בראשות מיכאיל קובלצ'וק, בעל בריתו של פוטין, וחלות עליה סנקציות מטעם ארה"ב.

זמן קצר לאחר הפלישה של רוסיה לאוקראינה ב־2022, היא גם הודיעה שהיא המפעילה הרוסית הראשונה שהטמיעה מערכת לניטור תנועת משתמשים בשם Deep Packet Inspection (DPI) "בהתאם לכללי הרגולטור הרוסי לאינטרנט".

יש לה גם בעל מניות מיעוט ראוי לציון: רומן ונדיקטוב, קצין בכוחות החלל הרוסיים. ונדיקטוב, בוגר האקדמיה היוקרתית מוז'איסקי, המחזיק בארבעה אחוזים ממניות GlobalNet, שירת במשך עשר שנים כמעט במרכז ניסויי רכבי חלל של משרד ההגנה מחוץ למוסקבה. הוא החל לעבוד בשיתוף פעולה עם משפחת דורוב לפני כ־15 שנה, כשהפך לשותף בחברתם Peering בסנט פטרסבורג, שהייתה הבעלים של רשת חילופי התעבורה DATAIX וטיפלה בתעבורה עבור VKontakte. הוא לא השיב לבקשת התגובה.

GlobalNet של ודנייב רכשה את DATAIX בשנת 2018, מה שהפך אותו, את משפחת דורוב ואת קצין כוחות החלל לשותפים עסקיים במשך שנים. הוא העביר את חלקו בה לקרובי משפחה בשנה שעברה. GlobalNet לא השיבה לבקשות לתגובה.

במקביל הוא העביר את חלקו בחברה נוספת בשם אלקטרונטלקום - מפעילת טלקום הקשורה גם היא לתשתית של טלגרם. החברה הקצתה יותר מ־5,000 כתובות IP לאפליקציית המסרים.

כתבים השיגו את מסמכי החשבונאות הפנימיים של החברה לשנת 2024, המראים שאחד מן הלקוחות החשובים ביותר שלה, השייכים לממשלה, הוא שירות הביטחון הפדרלי הרוסי FSB. המסמכים מראים שאלקטרונטלקום מתקינה ומנהלת ציוד עבור מערכת המשמשת את משרדי ה־FSB בסנט פטרסבורג ובאזור לנינגרד לצורך מעקב.

"אני המום, אבל לא מופתע", אמר ווז'ניאק על ממצאי הכתבים. "אם למישהו יש גישה לתעבורת טלגרם והוא משתף פעולה עם שירותי המודיעין הרוסיים, פירוש הדבר שמזהה המכשיר הופך לבעיה גדולה באמת - כלי למעקב עולמי אחר משתמשי האפליקציה, ללא קשר למקום שבו הם נמצאים ולאיזה שרת הם מתחברים".

מאת רומן אנין וניקיטה קונדרטייב, פורסם במקור ביום 10.6.25. תורגם מאנגלית ומפורסם בהסכמת The Organized Crime and Corruption Reporting Project https://www.occrp.org/en