אינטרסים מעורפלים

אי אפשר היה להתחמק השבוע מלכתוב על הרוגלה Flame, שנתגלתה במחשבים שונים ברחבי המזרח התיכון. אין ספור כתבות – מודפסות, משודרות ואינטרנטיות – כוללות את תיאורי המקרה ופרשנויות. עיקר ההתעניינות קשור למתיחות שבין ארצות המערב, וישראל בראשן, לאיראן. בין הרבים שנדרשו לפרשה מצויים, כמובן, מומחי אבטחת מערכות המידע שנפתח להם צוהר נוסף לשחרור אמירותיהם נגועות האינטרסים. הפוליטיקאים מיהרו לעלות אף הם על העגלה. ואני שואל: לכבוד מה? האם חשיפתה של רשת ריגול וסיכול מהלכיה הם סיבה למסיבה?

אין בכוונתי לחזור ולדוש כאן בעובדות המעטות והמעורפלות שנחשפו. חשוב יותר לנצל את ההזדמנות על מנת לדון בהיבטים עקרוניים ביותר, שהמומחים והפרשנים מתחמקים מהם בעקביות.

דבר קיומה של התוכנה המורכבת והלא שגרתית בהיקפה נחשף על ידי ענקית אבטחת המידע קספרסקי (Kaspersky). אלכסנדר גוסטב, מנהל צוות הפיתוח והניתוח בחברה, כתב באתר סקיורליסט, כי הבדיקה שהובילה לגילוי נערכה לבקשתו של גוף לא כל כך מוכר בשם איחוד התקשורת הבינלאומי, שמהווה חלק מהאו"ם. כאן מתעורר הרובד הראשון של סימני השאלה.

ברצוני להדגיש בצורה הברורה ביותר שדבריי הינם עקרוניים ואינם מתייחסים במאומה לקספרסקי, שנחשבת בצדק לאחת היותר רציניות בעולם. אני מציין זאת לא רק בכדי לצאת ידי חובתי, אלא קודם כל משום שאין לי צל צילו של מידע על הפרשה הנדונה מעבר למה שנכתב בעיתונות, בדרך כלל על ידי אנשים שבוודאי לא יודעים יותר ממני.

בכל מקרה, חשוב להבין שחברות אבטחת המידע יוצאות נשכרות מכל התפוצצות של פרשה שכזאת. כל מקרה שנחשף מביא ישירות להגדלת מכירת אמצעי האבטחה לישויות פרטיות ולממשלות. כגודל הפוטנציאל של התוכנה הזדונית שנתגלתה גדלה שורת ההכנסות.

בהרבה פורומים כבר הבעתי עמדה תקיפה נגד הדעות הקונספירטיביות, שמייחסות לחברות האבטחה עידוד פעיל של פגיעות כדי להגביר את המודעות לצורך בהגנה. זה נוגד כל היגיון. אולם, מאידך, אין לי ספק שחברות האבטחה יעשו הכול על מנת למקסם את התהודה של מקרים שנחשפים. במקרים לא מעטים זה נראה בעיניי גובל בתגובת יתר. אולם כאן בא הרובד השני, שבתנאים מסוימים יכול לעמוד בניגוד למה שנאמר עד כה: אל מול האינטרס המסחרי של כל חברת אבטחה ייתכן שיעמוד אינטרס חזק עוד יותר.

נעמיד זאת בפשטות: נניח שתוכנת מתקפה פותחה על ידי ארגונים חשאיים במדינה מסוימת בכדי לרגל או לפגוע באויבי אותה מדינה. נניח גם שחברת אבטחה ששוכנת במקרה באותה מדינה הייתה מתבקשת על ידי גוף בינלאומי לחשוף את המתקפה. האם יש לנו ביטחון שאותה חברה הייתה בכל מקרה פוגעת באינטרסים הביטחוניים של המדינה בה היא מתקיימת? האם לא הייתה מעדיפה במקרים מסוימים להעדיף אינטרסים פטריוטיים אל מול אינטרסים כלכליים? האם במקרים מסוימים אי אפשר לשער שמדינות יכולות לאכוף שיתוף פעולה פסיבי, או אף אקטיבי, על חברות שפועלות בגבולותיהן? אולי אף מבלי שחלק מהמנהלים יודעים על כך?

אפשר אף להפליג הלאה במחשבות: העולם כולו משתמש בתוכנה וחומרה מתוצרת חברות גדולות. מאסת התוכנות מיוצרת במערב, בעיקר בארצות הברית, בעוד שהחומרה מגיעה ברובה מסין. אחר כך הן מופצות ברחבי העולם, כולל במדינות בהן קיימים אינטרסים פוליטיים שונים, לעתים אף מנוגדים. האם אי אפשר להעלות על הדעת אפשרות שבה מישהו מתכנן מתקפות מלכתחילה, משבץ בתוצרתו מרכיבים שמסוגלים לרגל או לחבל ביום פקודה? הלוא זה הרבה יותר פשוט ומתוחכם מאשר לנסות לפגוע לאחר מעשה ומבחוץ. אני, מטבעי, דוחה ברפלקס מותנה כל נטייה לתיאוריות קונספירטיביות, פשוט מפני שהן דורשות תחכום אצל מקבלי החלטות, שאיננו קיים בדרך כלל. האפשרויות שהעליתי כאן הרבה יותר פשוטות – ולכן גם יותר אפשריות.