רן בר-זיק, ארכיטקט תוכנה ראשי, עיתונאי טכנולוגיה ומרצה, יצא היום (3.9.26) נגד הטענות שהעלתה רכבת ישראל במכתב ההתראה ששלחה למפתחי Better Rail. לאחר שבחן לדבריו את קוד היישומון ואת אופן פעולתו, הוא קובע כי כמה מהטענות המרכזיות של הרכבת אינן עומדות במבחן טכני.
בר-זיק כתב כי אומנם במכתבי התראה משפטיים נהוג לעיתים להציג טענות באופן מחמיר, אך לדבריו במקרה הזה מדובר בטענות "לא נכונות ומופרכות כל כך שזה עלבון ומדאיג שגוף ציבורי מרשה לעצמו להשמיע אותן".
הדברים מגיעים יומיים לאחר חשיפת המכתב של רכבת ישראל נגד Better Rail. הרכבת דרשה ממפתחי היישומון להפסיק להשתמש ישירות בממשקי המידע שלה, למחוק מידע שכבר נמשך, להסיר את היישומון מחנויות היישומונים ולמסור פרטים על אופן השימוש בנתונים ועל הכנסות שנוצרו, לטענתה, מהפעילות.
הרכבת טענה בין היתר כי Better Rail ניגשה ללא הרשאה למערכותיה, עשתה שימוש במידע שאינו ציבורי, עקפה מנגנוני גישה ואף תרמה לעומסים ולתקלות שגרמו לה עלויות של מאות אלפי שקלים. במכתב הוזכרו בין היתר קריסת מנוע החיפוש ותכנון הנסיעה באוגוסט 2025 ושלושה אירועי עומס ב-19.5.26.
"אין כאן חדירה מיוחדת"
אחת הטענות המרכזיות שמפרק בר-זיק נוגעת למה שהרכבת הגדירה כגישה בלתי מורשית לממשקי המידע שלה. לדבריו, את הממשקים שבהם משתמש היישומון ניתן לזהות באמצעות כלי המפתחים הרגילים הקיימים בכל דפדפן מודרני, ללא צורך בפריצה או בעקיפת מנגנוני אבטחה מיוחדים.
בר-זיק מציג בשרשור צילומי מסך מתוך כלי המפתחים וטוען כי קריאות הרשת של האתר גלויות לעין. לשיטתו, עצם השימוש במידע שעובר בבקשות רשת רגילות אינו תואם את התיאור החריף של רכבת ישראל במכתב.
הוא מתייחס גם לטענת הרכבת שלפיה Better Rail ניגשה ל"רובד נוסף של מידע" שאינו מועבר לציבור ושמעניק ליישומון יתרון עסקי ותפעולי. לאחר שבחן את הקוד, לדבריו, הוא מצא שמדובר בעיקר במידע טכני בסיסי כגון התאמה בין שמות תחנות לבין מספרים מזהים.
ספק גם בנוגע לטענת העומסים
החלק שמטריד את בר-זיק במיוחד נוגע לטענת רכבת ישראל כי Better Rail תרמה לקריסות ולעומסי תעבורה במערכותיה.
לדבריו, בחינת הקוד אינה מצביעה על מנגנון שעלול ליצור עומס חריג. הוא מציין כי לא מצא לולאות של בקשות או פעילות אוטומטית יוצאת דופן, וכי אופן השימוש של היישומון בשרתים דומה במהותו לבקשות הנשלחות בעת שימוש רגיל באתר הרכבת.
בר-זיק כתב כי לפי שיפוטו המקצועי Better Rail תוכננה היטב. הוא מטיל ספק בכך שיישומון בעל מספר משתמשים קטן יחסית היה מסוגל לגרום לבדו לנזקים בהיקף של מאות אלפי שקלים, ובפרט כאשר הרכבת לא פרסמה את הנתונים הטכניים שעליהם מבוססת הטענה.
מפתחי Better Rail עצמם כבר דרשו מהרכבת להעביר להם את התחקירים, נתוני התעבורה וחישובי הנזק שעליהם נשען מכתב ההתראה.
"אם זה השבית את האתר - זה מדאיג"
בר-זיק מפנה את תשומת הלב גם לשכבת ההגנה של אתר רכבת ישראל. לדבריו, האתר משתמש בשירותי Cloudflare, שנועדו בין היתר להתמודד עם עומסי תעבורה ועם התקפות מניעת שירות.
מכאן הוא מעלה שאלה הפוכה: אם פעילות בהיקף של Better Rail אכן הספיקה כדי להשבית או לפגוע במערכות הרכבת, מדוע מנגנוני ההגנה לא עצרו אותה.
לדבריו, אם אכן אירועים כאלה הצליחו להשבית מערכות ציבוריות מרכזיות, הבעיה עשויה להימצא דווקא בתכנון ובהגדרות ההגנה של מערכות הרכבת. הוא כתב כי אם פעילות מסוג זה היא שגרמה להשבתות, הדבר "מדאיג" מבחינת איכות ההגנה הטכנית וצריך לעניין כל אזרח.
בר-זיק אף שוקל, לדבריו, להגיש בקשת חופש מידע כדי לקבל את הנתונים הנוגעים לאירועים שעליהם הסתמכה רכבת ישראל - ובהם יומני מערכת, תחקירים פנימיים ופרטים על אופן חישוב הנזק.
Better Rail ממשיכה לפעול
Better Rail ממשיכה בינתיים לפעול, לאחר שמפתחיה עברו להשתמש בנתונים שמפיץ משרד התחבורה ולא במידע הנמשך ישירות ממערכות רכבת ישראל. הם טוענים כי המעבר יצר פערים מסוימים במידע המוצג לנוסעים, בעיקר באירועים חריגים כגון שינויי רציפים וביטולי רכבות.
מאז פרסום האיום המשפטי זינק מספר ההורדות של היישומון. לפי נתונים שפורסמו לאחר חשיפת הפרשה, אלפי משתמשים חדשים הורידו אותו בתוך זמן קצר והוא טיפס לראש טבלאות ההורדות בישראל.
בר-זיק מסכם את הניתוח שלו בביקורת חריפה על הדרך שבה נוסח מכתב ההתראה. לדבריו, עוד לפני השאלות העקרוניות הנוגעות לחופש מידע ולזכות הציבור להשתמש בנתוני תחבורה, הטענות הטכניות עצמן דורשות בדיקה. הוא כתב כי היה ראוי שמי שניסח את המכתב יבחן תחילה לעומק את קוד Better Rail ואת אופן פעולתו.
חשוב להדגיש כי מדובר בניתוח מקצועי של בר-זיק ובטענות מפתחי Better Rail, מול טענות מנוגדות של רכבת ישראל. התחקירים והנתונים הטכניים שעליהם הסתמכה הרכבת לא פורסמו עד כה לציבור, ולכן בשלב זה אין אפשרות לאמת באופן עצמאי את טענתה כי פעילות היישומון תרמה לקריסות או לנזקים הכספיים שיוחסו לה.
רכבת ישראל: יש להשתמש במסד הנתונים של משרד התחבורה
רכבת ישראל מסרה בתגובה כי "המידע המלא והמקיף על אודות שירות הרכבות, זמניהן, מסלולן, וכלל היבטי השירות והמידע לנוסעים של רכבת ישראל, מפורסם לכל דורש באתר וביישומון רכבת ישראל, באופן שעומד בכל תקנות ודרישות אבטחת המידע, סייבר, נגישות ושירות המחמירות ביותר כנדרש מתשתיות קריטיות".
עוד נמסר כי "ככל שיש מיזמים המעוניינים להשתמש במסדי הנתונים, עליהם לעשות זאת בצורה מסודרת, כפי שגם הוצע למיזם המדובר, באמצעות מסד הנתונים של משרד התחבורה, וזאת בדומה לאפליקציות ושירותים דומים אחרים".
בתגובה לא ניתנה התייחסות מפורשת לטענתו של בר-זיק כי Better Rail לא עקפה מנגנוני אבטחה, ולא נמסרו נתונים התומכים בטענה שלפיה פעילות היישומון תרמה לקריסות או לנזקים של מאות אלפי שקלים.
תגובות
רגע, שקט פה מדי
דעתך חשובה - תהיו הראשונים להגיב על הכתבה