פרצות אבטחה מסוכנות במיוחד בטוויטר; ההנהלה שיקרה לממשל הפדרלי ולדירקטורים

מנהלי טוויטר הוליכו שולל את הרגולטורים הפדרליים ואת מועצת המנהלים של החברה בנוגע לפרצות אבטחה מסוכנות במיוחד בהגנותיה של החברה מפני פצחנים (האקרים) ובנוגע למאמצים להיאבק במסרי ספאם. כך טוען מי שהיה מנהל האבטחה של טוויטר ופוטר בינואר השנה, פֵּייְטֶר זאטקו, בתלונה בת 84 עמודים שהגיש בחודש שעבר לרשות ניירות הערך האמריקנית ואשר נחשפת (23.8.22) בוושינגטון פוסט.

זאטקו מתאר את טוויטר כחברה כאוטית, חסרת כיוון וקרועה לגזרים במאבקים פנימיים, אשר אינה מסוגלת להגן כיאות על 238 מיליון משתמשיה היומיים. הללו כוללים רשויות ממשלתיות, ראשי מדינות ואנשי עסקים בכירים בכל העולם, ולפי תיאורו של זאטקו - גם הם חשופים לכשלי האבטחה של החברה. הוא מציין, כי בידי טוויטר מצויים מספרי הטלפון, כתובות הדוא"ל ומידע רגיש נוסף של אישים אלו - כמו גם של מתנגדי משטר במדינות רודניות, שחייהם עלולים להיות בסכנה אם המידע ייחשף בידי פצחנים שבשירות אותם משטרים.

בהקשר זה מציין זטאקו, כי יש לו יסוד להאמין שממשלת הודו כפתה על טוויטר להעסיק במדינה זו סוכן מטעמה, לו הייתה גישה למידע רגיש בזמן שבמדינה התחוללו הפגנות נגד ממשלו של נרנדרה מודי. הוא העביר מידע נוסף בנושא למחלקת הביטחון הלאומי במשרד המשפטים ולוועדת המודיעין של הסנאט.

"הפרה את התחייבויותיה מ-2011"

צילום: התלונה עשויה לסייע למאסק [צילום: מאט רורק, AP]

לדברי זאטקו, מצב האבטחה בטוויטר גרוע עוד יותר מכפי שיודעים הרגולטורים, וכאשר הצטרף לחברה בסוף 2020 – הוא לא היה טוב בהרבה מאשר תשע שנים קודם לכן, כאשר היא התחייבה בפני הממשל ליישם תוכנית אבטחה מקיפה. לטענתו, למחצית מ-7,000 עובדי טוויטר במשרה מלאה יש גישה נרחבת למערכותיה הפנימיות ואין מעקב צמוד אחרי הגישה בפועל אליהן. כך יש לעובדים אפשרות לחדור למידע רגיש וללמוד כיצד המערכת עובדת. שלושה עובדים בהווה ובעבר אישרו את הטענה באוזני הפוסט.

זאטקו העביר את תלונתו גם לרשות הסחר הפדרלית (הרגולטור בתחום ההגבלים), למשרד המשפטים ולוועדות בקונגרס. התלונה עשויה להוות ראיית מפתח מצידו של אלון מאסק, אשר ביטל בחודש שעבר את רכישת טוויטר, בתביעת החברה נגדו לממש את העסקה. מאסק טען, כי הביטול נבע מכך שלא יכול היה לקבל נתונים אמינים על מספר ה"בוטים" – חשבונות אוטומטיים המנפחים את התעבורה. תיאורה של הנהלת החברה ככזו שאינה יודעת, או אינה רוצה לדעת, על כשלים מהותיים ביותר בפעילותה – אבטחת המשתמשים והמידע שלהם – יחזק משמעותית את טענותיו של מאסק.

אחת הטענות החמורות ביותר בתלונה היא שטוויטר הפרה את תנאי ההסכם אליו הגיעה ב-2011 עם רשות הסחר הפדרלית, בכך שטענה בכזב שיש לה תוכנית אבטחה מוצקה. לדברי זאטקו, הוא הזהיר את עמיתיו שמחצית מן השרתים של טוויטר מיושנים ומבוססים על תוכנות פגיעות – אולם המנהלים הסתירו את המידע על מספר פרצות האבטחה שהתגלו ועל העדר הגנה למידע בנוגע למשתמשים. במקום זאת, הם הציגו לדירקטורים, באמצעות תרשימים, תמונה ורודה בנוגע לשינויים חסרי חשיבות.

עוד טוען זאטקו, כי בכירי טוויטר העדיפו את הגידול בפעילות על פני הפחתת פעילות הספאם, למרות שמידע בלתי רצוי פגע בחוויית המשתמש. הוא מסביר, כי מקצת מן המנהלים עמדו לקבל בונוסים של עד 10 מיליון דולר בהתאם לגידול במספר המשתמשים היומי – ואף סנט תמורת הקטנת מספר הספאמים (המגדילים מלאכותית את מספר המשתמשים). לדבריו, המנכ"ל פאראג אגראוואל שיקר כאשר הצהיר לפני שלושה חודשים, כי לחברה יש "מניע חזק לאתר ולהסיר ככל יכולתה את הספאם".

"מסירים מיליון ספאמים ביום"

צילום: דורסי הביא את זאטקו, מחליפו פיטר אותו [צילום: AP]

בראיון לפוסט אמר זאטקו, כי החלטתו לחשוף את התלונה היא המשך של פעילותו לחשיפת פגמים בתוכנות בפרט ובתחום הגנת הסייבר בכלל. זאטקו, אשר זכה להערכה רבה דווקא מצד האקרים נגדם פעל, נשכר בידי המנכ"ל הקודם, ג'ק דורסי, בשלהי 2020 לאחר גילוי פרצת אבטחה משמעותית במערכות החברה. הוא פוטר בידי אגראוואל, וסירב לומר מה היה הרקע לכך.

דוברת טוויטר, רבקה האן, אמרה בתגובה: "הביטחון והפרטיות נמצאים זמן רב בראש סדר העדיפות של טוויטר". לדבריה, תלונתו של זאטקו "רצופה באי-דיוקים", ונראה שהוא מנסה כעת בצורה אופורטוניסטית לפגוע בחברה, לקוחותיה ובעלי מניותיה. עוד אמרה כי זאטקו פוטר לאחר 15 חודשי עבודה בשל "ביצועים ומנהיגות עלובים". האן הוסיפה, כי טוויטר חיזקה משמעותית את האבטחה מאז 2020 [כאשר ספגה ביקורת נוקבת על השימוש שנעשה בה בבחירות לנשיאות – א.ל], מדיניות האבטחה שלה עולה בקנה אחד עם המקובל בענף ויש לה כללים מוגדרים לגבי בעלי הרשאה להיכנס למערכותיה.

בתגובה לטענותיו של זאטקו בנוגע לסאפם ול"בוטים" אמרה האן, כי טוויטר מסירה מדי יום למעלה ממיליון חשבונות ספאם. הגידול במספר המשתמשים היומיים הוא בעל ההשפעה הקטנה ביותר מבין שלושת הגורמים המרכיבים את מדיניות הבונוסים במזומן, לצד גידול בהכנסות וקני מידה פיננסיים אחרים. היא הדגישה, כי החברה עומדת בצורה מלאה מאחורי דיווחיה לציבור על גישתה למאבק בספאם.

מקור בחברה אמר לפוסט, כי היא בחנה את טענותיו של זאטקו בעת עבודתו בה ומצאה שהן סנסציוניות וחסרות בסיס. ארבעה מקורות אחרים הוסיפו, כי טוויטר משתמשת בכלים אוטומטיים וידניים כדי לאתר ולסלק חשבונות ספאם. רשות ניירות הערך, רשות הסחר ומשרד המשפטים סירבו להגיב.