פרשת NSO הישראלית אמנם הולכת ומסתבכת, אך גם בלעדיה חברת הסייבר ההתקפי ממשיכה לגרוף כותרות לא מחמיאות בעולם. רק בשבועות האחרונות דווח על שימוש לרעה לכאורה בתוכנת פגסוס של NSO נגד גורמי אופיזציה בפולין, נגד עיתונאים באל סלבדור ונגד מתנגדי משטר בבחריין. וזה רק בנוסף לשורה ארוכה ארוכה של דיווחים על מקרים בעייתיים בשלל מדינות ויבשות שכבר תועדו בעבר.
אלא ש-NSO היא רק נערת הפוסטר לתעשייה ישראלית שלמה שנמצאת במשבר קיומי. ענף הסייבר ההתקפי הישראלי כולל גם חברות כמו קנדירו (חברתה של NSO לרשימה השחורה האמריקאית), קוגנייט (שפוצלה מוורינט), קוואדרים, רייזון, פאראגין ורבות נוספות. NSO לבדה מעסיקה יותר מ-800 איש ובאופן מצרפי מדובר בענף שמעסיק אלפים של עובדים, רבים מהם בשכר גבוה מאד.
האם אין דרך בריאה יותר - מוסרית, דיפלומטית, כלכלית - לרתום את הכשרונות של הסייבר ההתקפי, התחום הכי ידוע לשמצה בהייטק המקומי?
הביקורת הבינלאומית וסימני השאלה מבית על השימוש באמצעי סייבר התקפי מספקים הזדמנות טובה לעצור רגע ולשאול אם לא הגיע הזמן לזהות לאן נושבת הרוח. האם מדינת ישראל צריכה להמשיך לתחזק תעשיית סייבר התקפי, שבקלות רבה מדי מתחברת למשטרים מפוקפקים והופכת את האקוסיסטם הישראלי למשתף פעולה. האם אין דרך חיובית ובריאה יותר - מוסרית, דיפלומטית, כלכלית - לרתום את הכשרונות יוצאי הדופן של תת הענף הכי ידוע לשמצה בהייטק המקומי.
תחקיר בינלאומי ענק - וסנקציות אמריקאיות קטלניות
קשה לשים את האצבע על הרגע המדויק שבו הדברים החלו להידרדר. לאחר שורה ארוכה של פרסומים ספורדיים וטפטופים על מעורבות בעסקאות שנויות במחלוקת, NSO התפוצצה אל התודעה הציבורית בקיץ האחרון בעקבות פרסום פרויקט פגסוס: תחקיר ענק בינלאומי שבו השתתפו עיתונאים מכל העולם (בהם כותב שורות אלו), ושכלל חשיפות רבות על פעילויות בעייתיות של החברה הישראלית. באופן מקיף נחשפו מקרים של שימוש לרעה בכלי התקיפה פגסוס במדינות אנטי דמוקרטיות כמו אזרבייג'ן ורואנדה ובדמוקרטיות בנסיגה כהודו והונגריה.
החשיפות יצרו משברים דיפלומטיים גלויים בין ישראל לצרפת וארה"ב. ראש הממשלה התערב, שר הביטחון בני גנץ הוזעק לתת הסברים בארמון הנשיאות בצרפת. ומרבית המדינות המערביות דרשו בראש ובראשונה לחסום לריגול במערכות NSO את מספרי הטלפון של אזרחיהן - כפי שאכן נעשה במדינות חמש העיניים, ברית מודיעינית בהשתתפות ארה"ב, בריטניה, קנדה, אוסטרליה וניו זילנד.
בסמיכות זמנים התפרסמו גם תחקיר לא מחמיא על קנדירו הישראלית ופרטים על עסקאות שביצאה קווארדים בערב הסעודית, והלכלוך התחיל לצוף יותר ויותר לפני השטח.
מכה קשה יותר הגיעה בנובמבר: משרד המסחר האמריקאי הכניס את NSO לרשימה שחורה של חברות המכונה the Entity List, בעקבות מה שהוגדר כ"פגיעה בביטחון הלאומי והאינטרסים של ארה"ב". הדבר הוסבר בכך שלממשל יש ראיות כי החברות "אפשרו לממשלות זרות לבצע דיכוי חוצה גבולות - שיטה המשמשת מדיניות סמכותניות להשתקת מתנגדים". משמעות ההכרזה היתה מניעת גישה מהחברות לטכנולוגיה אמריקאית, אך בפועל ספק אם גופים אמריקאיים יעשו עסקים עם חברות שהוכנסו לרשימה.
התגובה הישראלית הגיעה בסוף אותו החודש. משרד הביטחון התלה את רישיונות המכירה של חברות סייבר התקפי לעשרות מדינות, והותיר אותם רק עבור עסקאות עם דמוקרטיות מובהקות. מ-102 מדינות מותרות למכירה ירד המספר ל-37 בלבד, בהן מדינות לא מאד רלבנטיות כקפריסין וליכטנשטיין. תהליכי מכירה שהיו ב-Pipe line נעצרו, אם כי התקנות שכבר בוצעו הורשו לסיים את תקופת החוזה שלהן.
בשיחות סגורות אמר מנכ"ל משרד הביטחון אמיר אשל כי הכנסת חברות הסייבר הישראלית לרשימה השחורה של ארה"ב היא סטירה גם למשרד, שכשל בפיקוח עליהן. "הם מכוונים את האצבע אלינו", צוטט אשל
אלא שמוקדם היה לשמוח. לא מדובר היה בשינוי מדיניות אלא בפלסטר. בשיחות סגורות נשמע מנכ"ל משרד הביטחון אמיר אשל מסביר שהכנסת החברות הישראליות לרשימה השחורה של האמריקאים היא סטירה לא רק לחברות עצמן אלא גם למשרד הביטחון, שעל פניו כשל בפיקוח עליהן. "הם מכוונים את האצבע אלינו", צוטט כאומר. כנראה שזה מה שעמד מאחורי החלטת משרד הביטחון לשנות מדיניות ולא איזה פרץ דאגה לעיתונאים באמירויות או לחופש הדיבור במרוקו.
חברות הסייבר ההתקפי נלחמות על חייהן
חברות הסייבר ההתקפי הישראליות, רובן ככולן, נכנסו ללחץ. לפחות מחצית מהעסקאות שלהן לא מתקיימות ב-37 המדיניות המורשות. רבות מהחולשות שניצלו נחשפו בתחקירים העיתונאיים וכתוצאה מכך הן נאלצות לפתח דרכי גישה חדשות לבצע את משימות המעקב שלהן. הן עצמן סובלות ממשבר תזרימי אמיתי, במיוחד NSO שסוחבת חוב בן מאות מיליוני דולרים.
טווח האפשרויות שלהן מוגבל. אפשרות אחרת היא העברת הפעילות כולה לארה"ב: להירשם כחברה אמריקאית ולהעביר למדינה את ההנהלה והעובדים. אפשרות שנייה היא מכירה לחברה אמריקאית קיימת. בחברות מעריכים כי צעדים מסוג זה יובילו לרגולציה נוחה יותר בחסות מטריית הגנה מהממשל האמריקאי. הדבר אף עשוי לפתוח בפניהן את השוק האמריקאי החשוב. כמעט כל החברות שהוזכרו בפיסקאות לעיל מגששות את דרכן ומקיימות מגעים עם גופים רלבנטיים בצפון אמריקה. במקביל, הן לוחצות על משרד הביטחון למצוא מנגנון שיאפשר להן למכור חזרה לכל 102 המדינות כבעבר.
משרד הביטחון רוצה לאחוז במקל משני קצותיו. מצד אחד, הוא לא רוצה שהחברות ימכרו למשטרים סמכותניים אבל כן רוצה שהן ישרדו כדי שיוכל להשתמש ביכולות שלהן. זה לא סוד שמדינת ישראל רואה בחברות הסייבר ההתקפי נכס אסטרטגי, הן דיפלומטית והן מבצעית. המדינה השתמשה בחברות הללו כנדוניה דיפלומטית אך גם רתמה מעת לעת את הכלים שלהן לצרכיה שלה. כך, בסוף 2021 דווח כי פגסוס הושתלה בטלפונים של פעילים פלסטיניים, כנראה בידי השב"כ. מדי פעם, לפי הנסיבות, כוחות הביטחון מעדיפים להשתמש בכלים של חברות אזרחיות במקום בפיתוחים שלהם.
להפנות את הידע והמיומנויות לאפיקים חיוביים, כמו סייבר הגנתי
כשמסלקים את המילים הגדולות כמו אסטרטגיה ודיפלומטיה ומסתכלים על ההיקפים האמיתיים של הענף מגלים שהוא רחוק מלהוות אימפריה. נתוני משרד הביטחון מראים כי הסייבר היווה בערך 5% מכלל היצוא הביטחוני ב-2020 והסתכם במעט יותר מ-400 מיליון שקל. כך שאולי במקום להיבהל מהפיקוח והביקורת הבינלאומיים כדאי לראות כאן דווקא את ההזדמנות, גם לענף הסייבר ותעשיית ההייטק וגם למדינת ישראל כולה.
נתוני משרד הביטחון מראים כי הסייבר היווה בערך 5% מכלל היצוא הביטחוני ב-2020 והסתכם במעט יותר מ-400 מיליון שקל
עד לאחרונה חברות הסייבר הישראלי צמחו ומכרו באין מפריע למרות כל הציקצוקים. אבל כעת הנסיבות אחרות. האיחוד האירופי מקדם הגברה של הפיקוח על ייצוא נשק, ממשל ביידן בארה"ב סבלני פחות מקודמו לסייבר התקפי. ואפילו כאן בישראל 64% מהציבור מתנגד למכירת נשק שעלול לשמש להפרת זכויות אדם, לפי סקר שערך ארגון רבנים למען זכויות אדם. זו אפילו לא עמדה שמאלנית: אחד הפעילים הקולניים ביותר בארץ נגד יצוא נשק למשטרים רצחניים הוא פעיל מפלגת הבית היהודי אלי יוסף.
במקום להתפתל ולנסות לחפש דרכים להיאחז בקרנות המזבח, חברות הסייבר ההתקפי צריכות להשלים עם המציאות. הראיות האחרונות מפולין, הונגריה והודו מראות שגם על דמוקרטיות למחצה לא ניתן לסמוך שישתמשו בכלי הסייבר העוצמתיים הללו בתבונה. במקום לגלגל עיניים, לחקור בדיעבד ולטייח, החברות והאנשים שעובדים בהן יכולים לפתח אפיקים חדשים ונקיים יותר.
נכון, הן יצטרכו להצטמצם, להתאים את עצמן ולהשתנות, אבל זה אפשרי. הידע והניסיון של היזמים והעובדים בהן רלבנטי מתמיד בשוק ההייטק הנוכחי. יוצאי NSO כבר הראו כיצד היכולות שלהם משמשות היטב גם לאפיקים אחרים וחיוביים יותר. כמו חברת Noname Security שעוסקת בסייבר הגנתי, שהגיוס האחרון שביצעה בדצמבר האחרון, שנתיים אחרי הקמתה, כבר היה לפי שווי של מיליארד דולר. או חברת סטרנום של נטלי תשובה, עוד יוצאת NSO, שגייסה לאחרונה 27 מיליון דולר כדי להגן על התקני האינטרנט של הדברים (IoT).
העולם השתנה. המלחמה הקרה נגמרה מזמן וישראל כבר לא צריכה לנקוט בדיפלומטיית עוזי ולמכור נשק באפריקה כדי לקושש קולות באו"ם מהמדינות הבלתי מזדהות. ישראל צועדת בבטחה לעשורה השמיני, מציגה נתוני צמיחה מהגבוהים ב-OECD ומובילה עולמית בכלכלת החדשנות. יש לה מה להציע לעולם מלבד אמצעי אלימות, פיזיים או אלקטרוניים.