אחרי שטענה שהטלפון של אוריך ״לא פריץ״ ותקעה את קטרגייט 7 חודשים, המשטרה מרחיבה עם סלברייט את ההתקשרות

משטרת ישראל מבקשת להגדיל ב-8 מיליון שקל את הפטור ממכרז שלה מול חברת סלברייט מובייל סנכרוניזיישן, המספקת לגופי אכיפה בארץ ובעולם כלים לפריצת מכשירים סלולריים – כך עולה מהודעת כוונה להתקשרות שפרסמה המשטרה באתר מינהל הרכש הממשלתי. השירותים שמבקשת המשטרה לקבל קובצו תחת הכותרת ״מערכת מיצוי מידע מחומר מחשב״ – שם מכובס לכלים שנועדו לפרוץ למכשירים סלולריים, לשלוף מהם מידע ולהעבירו למשטרה. אלה נמצאים בשימוש המשטרה מעל עשור. בחוות הדעת המקצועית מוסבר כי לצד רכש מערכות נוספות ״להעתקה, מיצוי והיתוך מידע״, לפענוחו ולניתוחו והצלבתו, המשטרה תקבל במסגרת העסקה גם ״רכש יכולת חדשה להעתקה ומיצוי מידע מרחפנים״. 

לפי חוות הדעת שצורפה לה מבקשת המשטרה להגדיל את היקפה של התקשרות קיימת בשווי 90 מיליון שקל שאושרה ב-2025. הן ההתקשרות והן הרחבתה כעת נערכו תחת פטור ממכרז בעילה של ״ספק יחיד״. אלא מבדיקת המקום הכי חם בגיהנום עולה כי בעוד ההתקשרות כבר אושרה ובתוקף; מה שההגדלה קונה עכשיו, על פי חוות הדעת, הוא בראש ובראשונה יכולת שהחוק טרם הסדיר – העתקה ומיצוי מידע מרחפנים. 

ההגדלה מתבקשת פחות משנה אחרי שנחשפו מגבלות הכלים של סלברייט דווקא בתיק הרגיש ביותר על שולחן המשטרה. במסגרת חקירת פרשת קאטרגייט תפסה המשטרה בסוף מרץ 2025 את הטלפונים הניידים של יועץ ראש הממשלה יונתן אוריך. אוריך סירב למסור את הסיסמאות, והמכשירים הועברו לסלברייט. פריצת שניים מהם נכשלה, ולגבי השלישי נכתב במסמכי בית המשפט שהדגם ״בלתי פריץ״ ולא נעשה בו כל ניסיון. כפי שדיווח TheMarker, במשך שבעה חודשים נותרה החברה ״עיוורת״ למכשירים. זו הפעם הראשונה שבה נחשפו באופן פומבי מגבלות הכלים שלה. כל עוד המכשירים נעולים, הגוף החוקר אינו יכול לדעת מה יש בהם, גם כאשר מדובר בתיק שבמרכזו יועץ בכיר של ראש הממשלה.

מיצוי מידע – מהטלפון שלכם

חברת סלברייט (Cellebrite) היא חברת סייבר ישראלית הממוקמת בפתח תקווה, ומשם מספקת לרשויות אכיפת חוק, גופי מודיעין וצבאות ברחבי העולם כלים לעקיפת מנגנוני אבטחה במכשירים ניידים. תוכנת הדגל שלה, UFED, מיועדת לעקוף נעילות וסיסמאות של סמארטפונים, לשלף מתוכם מידע רגיש – מהודעות מוצפנות ותמונות ועד נתוני מיקום והיסטוריית גלישה – ולהפיק דוחות חקירה המשמשים כראיות בתיקים פליליים. המוצרים שלה מחייבים חיבור פיזי למכשיר, בניגוד לרוגלת פגסוס של NSO שחודרת מרחוק, ולכן נחשבים פחות פוגעניים. על פי הדוח השנתי שהגישה החברה לרשות האמריקאית לניירות ערך, הכנסותיה ב-2025 עמדו על 475.7 מיליון דולר, כאשר סוכנויות אכיפה וממשלות היוו יותר מ-90 אחוז מהן.

בעוד פריצה לטלפון של חשוד מתבצעת בצו ומוגבלת לתיק מסוים; מערכת כמו פאת׳פיינדר, אשר מצליבה מידע ממקורות רבים זה סיפור אחר, והפיקוח החל עליה אינו מוסדר בחקיקה במסגרת הפיקוח על הפעלתה. כפי שפרסמנו בינואר השנה, דוח מבקר המדינה מצא ״ליקוי מערכתי ויסודי בהליכי הבחינה והאישור״ שקדמו לשימוש המשטרה בשורה של כלים טכנולוגיים, וקבע כי במערכותיה נאגרו כ-50 טרה-בייט של חומרי האזנת סתר שאת רובם הייתה אמורה להשמיד. 

גם ליכולת הרחפנים החדשה אין עדיין מסגרת חוקית מוסדרת. למעשה, המשטרה רוכשת את היכולת עוד לפני שהמחוקק קבע את כלליה. כפי שפרסמנו בשבוע שעבר, משרד המשפטים הפיץ להערות הציבור את תזכיר ״חוק סמכויות להתמודדות עם איום הרחפנים (הוראת שעה), התשפ״ו-2026״ שיאפשר לשישה גופי ביטחון לקלוט בזמן אמת תיעוד חזותי מרחפנים פרטיים ולהתחבר למערכותיהם. על פי החוק, הפעולות האלה מוחרגות מחוק האזנת סתר ומחוק המחשבים, וההיתר להן יינתן בידי ״מפקד האירוע״ ולא בידי שופט. התזכיר פתוח להערות הציבור עד 17 באוגוסט. בזמן שהמדינה מכינה את התשתית החוקית, סלברייט כבר הכינה את המוצר: בדוח השנתי שלה מדווחת החברה כי במרץ 2026 השלימה רכישה של חברת SCG הקנדית, המתמחה בפורנזיקה של רחפנים, תמורת 17 מיליון דולר.

המוצר של סלברייט לפורנזיקת רחפנים נקרא CFID (ראשי תיבות של Covert Forensic Imaging Device, "מכשיר הדמיה פורנזית חשאי") – מכשיר כיס נייד במשקל 250 גרם המופעל בסוללה, שלפי החברה פועל "ללא מעבדה, ללא חיבור אינטרנט וללא צורך במומחה פורנזי". לפי דף המוצר, המכשיר מאפשר גישה ליותר מ-80 פלטפורמות רחפנים, כולל "דגמים מוצפנים ורחפנים מסחריים חדשים", ומחלץ מהם לוגי טיסה, נתוני המכשיר השולט (controller) ומדיה מצולמת. בין היכולות המפורטות: חילוץ "נקודת הבית" של הרחפן (GPS home point) – כלומר מוקד השיגור – "בפחות מארבע דקות", ושחזור ויזואלי של מסלול הטיסה על גבי מפה לא-מקוונת.

"על פי הצהרתה"

בדיקת מאגר פרסומי הפטור הממשלתיים מעלה 26 התקשרויות בפטור ממכרז עם סלברייט מאז ספטמבר 2013 ועד היום – 15 מהן של המשטרה. מבדיקת המקום הכי חם בגיהנום עולה כי סך התקשרויות המשטרה לבדה עם סלברייט עומד על 125.75 מיליון שקל. מלבד המשטרה משתמשים בכלים גם אנשי ״רשות המסים, רשות המכס, מצ"ח (משטרה צבאית חוקרת – א״פ) ואחרים", נטען במסמכי ההתקשרות. במרץ פרסם גם משרד המשפטים כוונה להתקשר עם החברה בכ-445 אלף שקל לתחזוקת מערכת INSEYETS עבור מח״ש, הרשות להגנת הפרטיות והסנגוריה הציבורית. את הסמכות לפריצה ומיצוי המידע מרחפנים יקבלו השב״כ, השב״ס, המשטרה, המוסד, המלמ״ב ומשמר הכנסת.

פרוטוקול ועדת הפטור של החשב הכללי מדצמבר 2021, שנכתב לטובת כוונת התקשרות בשווי 24.1 מיליון שקל, חשף כי הגורם לזינוק בהוצאה על התקשרות עם סלברייט טמון במעבר אל "מנגנון תשלומים משופר במסגרתו התשלום יהיה ברישוי שנתי ולא פר שימוש". לפני כן, כאשר התשלום עבר פר שימוש עמדו ההתקשרויות על פי רוב על סכום שנתי של 1.1 מיליון שקל לכל היותר.

ב-23 מהפרסומים, לאורך יותר מעשור, קבעה המדינה שאין לחברה מתחרים והצדיקה את הפטור ממכרז ומהליך תחרותי הוגן תחת הסעיף לחוק חובת המכרזים המאפשר פטור במקרה של מוצר עם ספק יחיד. בטופס חוות הדעת של המחלקה לחקירות שוטרים, לשאלה "האם קיים מכרז מרכזי של החשב הכללי?" סומן: "לא". והנימוק לספק יחיד, כלשון המסמך: "על פי הצהרתה, חברת Cellebrite DI Ltd היא היצרנית, המפתחת והבעלים של קוד המקור. החברה היא היחידה המורשית לשווק ולהפיץ מערכות אלו בישראל". במילים אחרות הבחינה של הגופים שמטרתה לוודא שאכן מדובר בספק יחיד, נסמכת על הצהרת החברה על עצמה. בשוק פועלות מתחרות בינלאומיות דוגמת Magnet Forensics ו-Oxygen Forensics.

״בואו נשמור על זה בשקט ככל האפשר. אנחנו ממש לא רוצים ששיטות ידלפו בבית המשפט דרך הליכי גילוי״.

נציג חברת סלברייט בסרטון שדלף ב-2023

באחד הפרוטוקולים של ועדת הפטור נטען מטעם אגף החקירות כי נבחנו מערכות אחרות אך אף אחת "לא נתנה מענה דומה״, וכי "החברה נותנת מענה מידי מכיוון שהיא חברה ישראלית – יתרון משמעותי במהלך חקירה עם עצורים". נימוק שאינו טכנולוגי – ואיך לומר, שבעה חודשים שהסתיימו בכישלון זה לא בדיוק מענה מיידי.

״בואו נשמור על זה בשקט״

חוות דעת של המחלקה לחקירות שוטרים מאוגוסט 2025 הסבירה כי הרישוי השנתי מביא לכך ש"עולה ההספק הכולל בתהליך תחקור הטלפונים הסלולריים של החשודים". ביולי 2024 חשפה רויטל חובל במקום הכי חם בגיהנום כי מספר החדירות שמבצעת המשטרה למכשירים סלולריים של אזרחים הוכפל בחמש שנים. בפרסום עלה כי המשטרה מחרימה וחודרת לטלפונים סלולריים גם במהלך מעצר של מפגינים או במעצרים על עבירות קלות. 

בשנת 2021 חשף מוקסי מרלינספייק, מייסד אפליקציית סיגנל, פרצות אבטחה במערכות של סלברייט. בפוסט שפרסם הדגים כיצד קובץ שנשתל במכשיר הנפרץ יכול להריץ קוד על מחשב החקירה ולשנות לא רק את הדוח המופק באותה סריקה, אלא גם את כל הדוחות שהופקו בעבר ושיופקו בעתיד – ״בלי שינויי חותמת זמן או כשלים בבדיקות השלמות שניתן לזהות״. נתון שמציב בספק את שלמות הראיות הדיגיטליות שהמערכת מפיקה לתיקים פליליים.

אף שהטכנולוגיה ממותגת ככלי למלחמה בפשיעה חמורה, בשנים האחרונות נאספו נאספו ברחבי העולם עדויות על שימוש בכלים שלה נגד עיתונאים ופעילים ועל חולשות במערכותיה. כך למשל, ב-2023 הודלף סרטון הדרכה פנימי שבו נציג של סלברייט מנחה גורמי אכיפה לשמור בסוד את אופן הפעולה של הטכנולוגיה: ״איך נכנסתם – בואו נשמור על זה בשקט ככל האפשר״, אומר הנציג בסרטון, ״אנחנו ממש לא רוצים ששיטות ידלפו בבית המשפט דרך הליכי גילוי״.

לקרמלין באהבה

ב-2020 חשפו עו״ד איתי מק והעיתונאי עודד ירון ב״הארץ״ כי ועדת החקירה הפדרלית הרוסית הצהירה שהשתמשה בכלי סלברייט יותר מ-26 אלף פעמים, ובהן, על פי מסמכים רשמיים, בפריצת הטלפון של מקורבת לאלכסיי נבלני, ליובוב סובול. במרץ 2021 הודיעה סלברייט כי תחדל למכור לרוסיה ובלארוס. אלא שתחקיר של מכון Citizen Lab מאוניברסיטת טורונטו שפורסם ביוני האחרון תיעד כיצד נפרץ הטלפון של פעיל האופוזיציה אנדריי פיבובארוב – יותר משלושה חודשים אחרי הודעת החברה. ב-2023 דווח כי שירות הביטחון הפדרלי הרוסי חילץ מידע מהטלפון של הפעיל דמיטרי איבנוב שנידון ל-8.5 שנות מאסר על ״הפצת פייק״ על הצבא.

דוח של אמנסטי אינטרנשיונל מדצמבר 2024 תיעד כיצד רשויות בסרביה פרצו בכלי סלברייט טלפונים של עיתונאים ופעילים – ואז שתלו בהם רוגלה. דוח נוסף של Citizen Lab, מינואר האחרון, תיעד שבעה מקרים שבהם נעשה שימוש בכלי החברה נגד פעילים ומגיני זכויות אדם בירדן השכנה, בין סוף 2023 לאמצע 2025; ותחקיר שלישי של המכון, מפברואר, זיהה עקבות של כלי החברה בטלפון של הפעיל הפוליטי הקנייתי בוניפייס מוואנגי אחרי מעצרו. עוד ב-2021, ערב הנפקת החברה בנאסד״ק, דרשו ארגוני זכויות דיגיטליים במכתב פתוח לרשות ניירות הערך האמריקאית ולבורסה לעצור את ההנפקה, בין השאר בשל מכירת מערכות ששימשו את המשטרים הדכאניים במיאנמר ובבלארוס.

סלברייט מצהירה כי ביכולתה להשבית מרחוק מכשירי UFED מחוברי אינטרנט כשפג רישיונם או כשנעשה בהם שימוש בניגוד לתנאיו, וכי רוסיה נמצאת ״לצמיתות ברשימת הלקוחות המוגבלים״ שלה. בדוח ששלחה סלברייט עצמה לרשות לני״ע דיווחה כי ״אין לנו נראות לאופן שבו לקוחותינו משתמשים במוצרינו״, והודתה כיח היא מסתמכת בעיקר על דיווחים בתקשורת כדי לגלות שימוש לרעה. 

בעקבות פרשת פיבובארוב קראו פעילי זכויות אדם למדינות ״לבחון מחדש את כל הסכמי הסחר, רישיונות הייצוא והרכש״ מחברות שכליהן נוצלו לרעה שוב ושוב.  בישראל, הבחינה היחידה שנעשתה קבעה שוב ושוב שאין ספק אחר.