הרשות להגנת הפרטיות, בראשות עורך דין גלעד סממה, הודיעה שלשום (יום שני, ח’ בשבט, תשפ”ב) כי משרד עורכי דין אליהו מלך, הפר ‘חוק הגנת הפרטיות’ בעקבות אירוע אבטחה חמור שהתרחש בו. קיימה הליך פיקוח לבירור שני אירועי אבטחת מידע חמורים, שהובילו לדליפת מידע רגיש ממערכות המידע של המשרד.
■ רוצים עוד עדכונים? הצטרפו אל ’כאן ישראל | כאן נעים | אתר החדשות המקומיות הוותיק של כל המדינה’ ב’פייסבוק’ או ב’טוויטר’.
עולה, כי הרשות, ביצעה הליך פיקוח מנהלי בעקבות דיווח שהתקבל מהמשרד, ממנו עלה חשד לתקלה ב’שרתי המשרד‘ במהלך הליך הפיקוח, התברר, כי בחלק ממחשבי ושרתי המשרד נמצאה ‘נוֹזְקָה‘ (Malware) מסוג ‘כוּפרה‘ (Ransomware).
בהודעה לעיתונות מטעם הרשות להגנת הפרטיות נמסר כי עם זיהוי התקלה, החל צוות חב’ “בינת תקשורת מחשבים בעמ” (חברה המתחזקת את מערכת השרתים של המשרד) בבחינת התקלה ולאחר תחקיר, נמצא, כי המקור הוא נוזקה מסוג וירוס כופר.
בעקבות הדיווח על האירוע, ביצעה הרשות להגנת הפרטיות פעולות פיקוח שונות אשר כללו, בין היתר;
קבלת מידע ראשוני ממשרד עורכי הדין לגבי האירוע ואופן הטיפול בו, פניה בדרישה לקבלת מידע ומסמכים נוספים ובחינת המידע וההשלמות שסופקו.
כמו כן, ניתנו למשרד עורכי דין אליהו מלך ושות’ מספר הנחיות לצורך תיקון הליקויים שנמצאו. ממצאי הפיקוח, העלו, בין היתר, כי התוקף התקין והפעיל תוכנות זדוניות ברשת הארגונית במסגרת התקיפה.
במועד האירוע, חלק מהשרתים ותחנות העבודה היו נעולים באמצעות משתמש מקומי, ובאמצעות הרצת תהליכי גניבת סיסמא מקומית, בוצעה כניסה לתחנות אלו.
עוד נמצא, כי במועד האירוע על חלק מהשרתים, הייתה מותקנת תוכנת TeamViewer המאפשרת התחברות מרחוק.
תוכנה זו, ידועה בחולשות האבטחה שלה וקיימת המלצה לא לעשות בה שימוש, או לחלופין להסירה מיד לאחר השימוש.
הרשות, קבעה, כי באחריות המשרד, לוודא, כי הגישה למאגר המידע שברשותו נעשית בידי בעל הרשאה המורשה לכך בלבד.
█ הרשות להגנת הפרטיות; “חובתם של עורכי הדין לחיסיון, כלפי לקוחותיהם. משרדי עורכי הדין, נדרשים לוודא, כי הגישה למידע תהיה בידי בעל הרשאה בלבד.
כמו כן, קבעה הרשות, כי משרד עורכי דין אליהו מלך ושות’ לא התקין אמצעי הגנה מתאימים מפני חדירה לא מורשית, טרם חיבר את מערכות המאגר שלו לרשת האינטרנט.
בנוסף, קבעה הרשות להגנת הפרטיות, כי משרד עורכי הדין לא התקין אמצעי אבטחה מקובלים לאבטחת נתוני הלקוחות מפני חדירה לא מורשית.
הרשות להגנת הפרטיות, מדגישה, כי משרדי עורכי דין, מעצם טיבם ועיסוקים מחזיקים במידע רב ורגיש.
כמו כל בעלים או מחזיק של מאגר מידע, חלות עליהם חובות בקשר לאבטחת המידע שברשותם, בין אם המידע הוא שלהם עצמם, ובין אם של לקוחותיהם.
חובה זו, מקבלת משנה תוקף בשל חובתם של עורכי הדין לחיסיון, כלפי לקוחותיהם. בהתאם נדרשים משרדי עורכי הדין, לוודא, כי הגישה למידע תהיה בידי בעל הרשאה בלבד.
משרדי עורכי דין, רבים מסתייעים בגורם חיצוני לצורך תחזוקת מערכות המחשוב במשרדם. עובדה זו כשלעצמה אינה פוטרת אותם מאחריותם ל-אבטחת המידע.
בנוסף, מדגישה הרשות להגנת הפרטיות, כי שימוש בתוכנות שיתוף (כגון; TEAMVIEWR) טומן בחובו סיכוני אבטחת מידע. על בעל מאגר (או מחזיק), אשר עושה שימוש כאמור, לקחת בחשבון, כי תוכנות אלו עשויות להוות פרצת אבטחה, אשר תעמיד בסיכון את המידע המוחזק על ידו.
דוברת היחידות המקצועיות באגף דוברות הסברה ותקשורת, של משרד המשפטים, הגב’ כרמית אורפז-ימין, מסרה לאתר ’כאן ישראל | כאן נעים | אתר החדשות המקומיות הוותיק של כל המדינה’, כי ממצאי הפיקוח, העלו, כי בסיום ההליך, קבעה הרשות, כי משרד עורכי דין אליהו מלך ושות’, הפר את הוראות החוק והתקנות מכוחו וניתנו למשרד הנחיות לתיקון הליקויים שנתגלו.
הרשות להגנת הפרטיות, ציינה לטובה את שיתוף הפעולה של המשרד ואת הפעולות שנקט ממועד הדיווח על האירוע לשם אבטחת המידע המצוי ברשותו ולמניעת הישנות מקרים דומים בעתיד.
█ משרד עורכי דין אליהו מלך ושות’
עורך דין אליהו מלך, הוא בוגר הפקולטה למשפטים באוניברסיטה העברית בירושלים והוסמך כחבר לשכת עורכי הדין בישראל ב- 27/10/1977.
הוא בעל התמחות בתחום המשפט המסחרי-עסקי, הוצלפ, משפטי-מנהלי, מיסוי מוניציפאלי, חוזים וחברות, ליטיגציה, ביטוח ונזיקין.
עורך דין מלך, הקים בשנת 1982 את משרד עורכי הדין אליהו מלך ושות’ והוא מכהן מאז כמנהל המשרד וכבעליו.
כיום הוא משמש כיועץ משפטי של תאגידים ציבוריים ופרטיים, עיריות ורשויות מקומיות, שותפויות ועמותות, חברות תקשורת, ועדות ערר עירוניות, עסקים, לקוחות פרטיים, בנקים וחברות ביטוח.
