דומיין ששוחרר המשיך לקבל אלפי הודעות פרטיות. מה זה מלמד על סגירת שירותים, ספקים ואבטחת מידע בעסק.
תשובה קצרה: דומיין או שירות שהעסק הפסיק להשתמש בהם עדיין יכולים לקבל מידע. כשדומיין משתחרר ומישהו אחר רוכש אותו, כל מה שעדיין נשלח אליו מגיע לבעלים החדש, בלי פריצה ובלי האקר. לכן סגירה של שירות צריכה להיות תהליך מסודר, ולא רק הפסקת תשלום.
הסיפור: חדר נשכח שממשיך לקבל מכתבים
תארו לעצמכם בית ישן עם חדר ששכחתם ממנו, ויום אחד מתברר שאליו עדיין מגיעים מכתבים, מלאים בסודות של השכנים. זה פחות או יותר מה שתיאר לאחרונה חוקר אבטחה ישראלי.
MMS, שירות שליחת התמונות בין טלפונים מהתקופה שלפני האינטרנט הסלולרי הזול, כמעט נעלם מהתודעה. אבל הוא עדיין פעיל. לפי הדיווח של החוקר, דומיין ששימש את שירותי ה־MMS של פרטנר שוחרר. החוקר רכש אותו מתוך סקרנות, וגילה שהדומיין ממשיך לקבל אלפי הודעות שנשלחו למנויים: תמונות אישיות, צילומים של מסמכים פיננסיים ותכנים אינטימיים, יחד עם מספרי הטלפון של השולחים והנמענים. בחודש אחד בלבד מדובר, לדבריו, בכ־15,000 הודעות.
החוקר פנה למערך הסייבר, ולפי דיווחו הטיפול התקדם רק לאחר שהפנייה הגיעה גם לרשות להגנת הפרטיות.
למה זה נוגע גם לעסק שלכם
לא צריך להיות חברת תקשורת כדי להיות חשופים לאותו מנגנון. כמעט בכל עסק יש נכסים דיגיטליים שנשכחו:
- דומיין של מותג ישן או של קמפיין שהסתיים.
- כתובת מייל של עובד שעזב, שספקים עדיין שולחים אליה חשבוניות.
- טופס באתר ישן שעדיין מחובר למערכת.
- חשבון אצל ספק דיוור או אחסון שהפסיקו לשלם עליו, אבל המידע עדיין שם.
כשמישהו אחר רוכש דומיין שפג תוקפו, הוא מקבל שליטה גם על המייל שלו. כל מי שעדיין שולח לכתובות האלה, לקוחות, ספקים, בנקים או מערכות אוטומטיות, ימשיך לשלוח, והמידע יגיע לבעלים החדש.
ההיבט המשפטי
חוק הגנת הפרטיות ותקנות אבטחת המידע מטילים על בעל מאגר מידע אחריות לאבטחת המידע לאורך כל חייו, כולל בסיום השימוש. אירוע שבו מידע אישי מגיע לגורם לא מורשה עלול להיחשב אירוע אבטחה חמור, עם חובות דיווח לרשות. מאז תיקון 13 לחוק, לרשות להגנת הפרטיות יש סמכויות אכיפה רחבות יותר, כולל עיצומים כספיים. לפירוט ראו דיני פרטיות ותיקון 13.
חמישה לקחים לבעלי עסקים
- דומיין ישן הוא נכס רגיש. לפני שמוותרים עליו, בודקים אם מערכת כלשהי עדיין שולחת אליו מידע. לעיתים נכון להמשיך לחדש אותו.
- חיסכון קטן עלול לעלות ביוקר. חידוש דומיין עולה עשרות שקלים בשנה. אובדן אמון של לקוחות נמדד בשנים.
- בדקו מה עובר בערוצים שלכם. הודעות, טפסים וקבצים עם מידע רגיש שנשלחים בדרך לא מאובטחת.
- שאלו את הספקים שאלות מפורשות. מה קורה למידע כשהשירות מסתיים? מי אחראי על הדומיינים והגיבויים? זה צריך להיות כתוב בהסכם.
- תכננו מראש תגובה לאירוע. מי מטפל, למי מדווחים, ואיך ומתי מודיעים ללקוחות.
צ׳קליסט קצר
- רשימה מלאה של הדומיינים של העסק, עם תאריכי חידוש ואחראי.
- חידוש אוטומטי, והתראות שמגיעות לאדם ולא לתיבה שאף אחד לא קורא.
- נוהל סגירת שירות: ניתוק מערכות, הפניית מייל, מחיקה מסודרת של המידע.
- מיפוי סוגי המידע שהעסק שומר, ובדיקה אם באמת צריך את כולם.
שאלות נפוצות
האם מותר לשחרר דומיין ישן?
מותר, אבל רק אחרי שווידאתם ששום מערכת, לקוח או ספק לא שולחים אליו מידע. אם יש ספק, עדיף להמשיך לחדש.
מי אחראי אם ספק חיצוני השאיר דומיין פתוח?
בעל מאגר המידע נושא באחריות גם כשהמידע מעובד אצל ספק. לכן חשוב שההסכם עם הספק יסדיר את סיום ההתקשרות ואת אבטחת המידע.
רוצים לבדוק אילו נכסים דיגיטליים נשכחו אצלכם? שירות Legal Pro ממפה את המידע והערוצים של העסק, או תאמו שיחה.
המידע במאמר כללי ואינו מהווה ייעוץ משפטי למקרה ספציפי. פרטי האירוע מבוססים על דיווח החוקר.