הצפנה מקצה לקצה מגינה על נתיב המסירה; המכשירים שמעבדים הודעות במצב קריא עדיין זקוקים להגנה.
הצפנה מקצה לקצה מגינה על הודעות במעבר בין מכשירים. היא אינה הופכת אף אחד מהמכשירים לחסין מפני תוכנות ריגול. Pegasus ו-Graphite של Paragon ממחישות את ההבחנה הזאת: תוקפים יכולים לנצל חולשה בטלפון ולאסוף נתונים הזמינים בו, בלי לשבור תחילה את ההצפנה של פרוטוקול ההודעות.
תוכנת ריגול בטלפון שנפרץ אינה חייבת בהכרח להמתין עד שתבטלו את נעילת המסך או תפתחו שיחה. הנתונים שרכיב ריגול שהושתל יכול להשיג תלויים בהרשאות שלו, במערכת ההפעלה, ביישום ובמצב האבטחה של המכשיר. תיאור תוכנת ריגול ככלי שרק קורא את המסך ממעיט בחומרת האיום.
מה באמת מצאו החקירות על Pegasus ו-Paragon
בדוח Graphite Caught, שפורסם ב-12 ביוני 2025, הציג Citizen Lab ממצאים פורנזיים הנוגעים לשני עיתונאים שקיבלו התראות איום מ-Apple ב-29 באפריל. החוקרים ייחסו ברמת ביטחון גבוהה את הפריצה למכשיר של אחד העיתונאים ל-Graphite, וזיהו ניסיון תקיפה קשור נגד Ciro Pellegrino שלא דרש לחיצה מצד המשתמש. הדוח קישר את המקרים לתקיפה באמצעות iMessage וציין ש-Apple נקטה אמצעים לצמצום הפגיעות ב-iOS 18.3.1. אלה ממצאים הנוגעים למכשירים ולתקיפות מסוימים, ולא הוכחה שכל טלפון או יישום הודעות פגיעים באותה דרך. קראו את החקירה של Citizen Lab.
הניתוח של Amnesty International על Pegasus מ-16 ביולי 2026 בחן ראיות פורנזיות וחומרים של NSO Group שנחשפו במסגרת הליך משפטי. הוא מתאר איסוף נתונים ממכשירים שנפרצו במגוון קטגוריות, ובהן הודעות, שיחות טלפון, קבצים ותמונות. זו יכולת רחבה יותר מלכידת השיחה שבמקרה מוצגת כרגע על המסך. קראו את הניתוח הטכני של Amnesty.
המסקנה המעשית מצומצמת יותר מהאמירה ״ההצפנה נכשלה״: המכשיר שמעבד הודעות במצב קריא הוא בעצמו גבול אבטחה חשוב.
איך תוכנת ריגול יכולה לקרוא שיחה מוצפנת
יישום הודעות זקוק לתוכן קריא בצד השולח ובצד המקבל. הצפנה מקצה לקצה משאירה את התוכן מוצפן במעבר בין שני הצדדים; היא אינה מבטלת את הצורך לתת אמון בתוכנה ובחומרה שמעבדות אותו. הצפנה בזמן העברה והצפנת נתונים המאוחסנים במכשיר פותרות בעיות שונות. מדריך ההצפנה של EFF מסביר את ההבדלים האלה.
הטבלה הבאה מפרידה בין איומים שלעיתים קרובות נידונים כאילו היו אותו דבר:
| מצב | מה עלול להיחשף | הגנה רלוונטית |
|---|---|---|
| מישהו צופה בתעבורת הרשת | תעבורה מוצפנת וחלק ממידע החיבור | הצפנה מקצה לקצה (E2EE) עם אימות, שמומשה כראוי, מגינה על תוכן ההודעות |
| מישהו משיג טלפון לא נעול | שיחות ומידע נוסף שהמכשיר מאפשר לו לגשת אליו | נעילת מכשיר, בקרות גישה וניהול חשבונות וסשנים |
| תוכנת ריגול פורצת למכשיר | נתונים שנגישים במסגרת ההרשאות של הרכיב שהושתל | אבטחת מערכת ההפעלה והיישומים, התקנת תיקונים בזמן ומענה מקצועי לאירועי אבטחה |
| ליישום יש גישה להתראות | תוכן התראות שמערכת ההפעלה וההגדרות מתירות לחשוף | הגבלת הגישה להתראות והתצוגות המקדימות של הודעות |
| נמען מעתיק שיחה | התוכן שקיבל | אמון בנמען ושיתוף זהיר; ההצפנה אינה יכולה לבטל את העותק שברשותו |
שינוי אלגוריתמים של הצפנה אינו יכול, כשלעצמו, להסיר נוזקה. באותה מידה, הסיכון במכשיר הקצה אינו סיבה לוותר על E2EE: ההגנה על נתיב המסירה עדיין חשובה.
דליפות דרך התראות הן גבול נפרד ומצומצם יותר
גישה להתראות ב-Android אינה זהה לניצול חולשה ברמה של Pegasus. שירות המאזין להתראות מקבל אירועים ממערכת ההתראות, בכפוף להרשאות ולמגבלות הפלטפורמה. הגדרות התצוגה המקדימה של יישום ההודעות משפיעות על התוכן הזמין. התיעוד של Android לממשק ה-API של שירות האזנה להתראות.
יש להימנע מהטענה שכל שירות המאזין להתראות תמיד יכול לקרוא כל קוד חד-פעמי. Android 15 הוסיפה הסתרה של תוכן רגיש בהתראות המזוהות כהתראות קוד חד-פעמי (OTP) מיישומי האזנה שאינם מהימנים, בכפוף לחריגים מוגדרים. הגנות כאלה אינן הופכות טלפון שנפרץ למכשיר קצה מהימן. עיינו בשינויי האבטחה של Android.
לשמירה על פרטיות יומיומית, בדקו אילו יישומים מקבלים גישה להתראות, בטלו גישה שאינה נחוצה והסתירו תצוגות מקדימות רגישות במסך הנעילה. בדקו את התוצאה באמצעות הודעה ללא מידע רגיש, במקום להניח שההגדרה פעלה.
מה לעשות אם אתם חוששים מתוכנת ריגול
התחילו במניעה המותאמת לרמת הסיכון
הקפידו לעדכן את מערכת ההפעלה ואת היישומים, השתמשו בקוד גישה חזק למכשיר והגנו על חשבונות חשובים באמצעות אימות חזק. לדברי Apple, תוכנות ריגול מסחריות לתקיפות ממוקדות מכוונות למספר קטן של אנשים שנבחרו במיוחד, לרוב בשל עבודתם או זהותם. גם גניבת חשבונות רגילה, יישומים זדוניים וגישה פיזית עדיין דורשים תשומת לב. ההנחיות של Apple בנושא התראות איום.
לאנשים הניצבים בפני תקיפות ממוקדות במיוחד, מצב נעילה (Lockdown Mode) של Apple מצמצם את משטח התקיפה באמצעות הגבלת תכונות מסוימות. הוא משנה את אופן הפעולה של יישומים ואתרי אינטרנט ואינו מבטיח הגנה מפני כל תקיפה. בחנו את הוויתורים התפקודיים והפעילו אותו במכשירים הנתמכים הרלוונטיים אם הוא מתאים לסיכון שלכם. המדריך של Apple למצב נעילה.
התייחסו לאזהרה אמינה כאל אירוע אבטחה
אם קיבלתם התראת איום מ-Apple, אמתו אותה בכניסה ישירה לחשבון Apple שלכם, במקום ללחוץ על קישורים בהודעה לא צפויה. Apple ממליצה להיעזר במומחים, לרבות שירות הסיוע לאבטחה דיגיטלית Digital Security Helpline של Access Now. התראה אמיתית אינה מבקשת מכם להתקין פרופיל או למסור את הסיסמה בדוא״ל או בטלפון. כך פועלות ההתראות של Apple.
העובדה שטלפון נראה נקי אינה תוצאה של בדיקה פורנזית. Mobile Verification Toolkit (MVT) נועד לחוקרים מיומנים, לא לבדיקה עצמאית של המכשיר בידי משתמשי קצה. התיעוד שלו מזהיר שסמנים ציבוריים לבדם אינם יכולים לקבוע שמכשיר לא נפרץ. פנו לעזרה מקצועית מוסמכת במקום לראות בסריקה ללא ממצאים אישור לכך שהמכשיר בטוח. תחום השימוש והמגבלות של MVT.
איך להעריך טענות של יישום הודעות בנוגע לתוכנות ריגול
שאלו שלוש שאלות נפרדות: מה מוצפן? מי מחזיק במפתחות? מה קורה כשמכשיר קצה נפרץ? תיאור אבטחה מועיל עונה על שלושתן במקום להבטיח שיחה ״חסינה מתוכנות ריגול״.
גבולות האבטחה ומודל האיומים שפרסמה Livara מתארים את ההצפנה שלה ומכירים בכך שנוזקה, מכשיר לא נעול או נמען יכולים לחשוף טקסט גלוי. אלה טענות בתיעוד המוצר, לא ביקורת אבטחה עצמאית ולא הבטחה ש-Livara מונעת הידבקות ב-Pegasus או ב-Graphite.
Proof Lab יכול לעזור בבחינת הדגמות קריפטוגרפיות מסוימות ובהשוואת APK לסכום ביקורת מהימן. ערך גיבוב תואם מעיד על התאמה לערך הגיבוב הזה; הוא אינו מוכיח שהקוד נקי מפגיעויות ואינו מזהה תוכנת ריגול במקומות אחרים בטלפון. זו בדיקה מועילה בעלת תחום מוגדר, לא תחליף לאבטחת מכשיר הקצה.
שאלות נפוצות
האם החקירות האלה הראו ש-E2EE נשברה מבחינה מתמטית?
הדוחות המצוטטים כאן אינם מדגימים שבירה כזאת. הם מתארים תקיפות המכוונות למכשירים ופריצה למכשירים. הימנעו מהכללות החורגות מהראיות המסוימות שמציגה כל חקירה.
האם הסתרת תצוגות מקדימות של הודעות מספיקה כדי לעצור תוכנת ריגול?
לא. היא מצמצמת דרך אחת לחשיפת תוכן ההתראות. לרכיב ריגול בעל גישה עמוקה יותר למכשיר עשויות להיות דרכים אחרות לאיסוף נתונים.
האם נעילת יישום הופכת טלפון שנפרץ לבטוח?
לא. נעילת יישום יכולה להרתיע מפני גישה מזדמנת, אבל ההגנה שלה תלויה בשלמות המכשיר שאוכף אותה. היא אינה ראיה לכך שמערכת ההפעלה מהימנה.
השורה התחתונה: המשיכו להשתמש ב-E2EE, אבל העריכו אותה לצד אבטחת המכשיר, הגדרות ההתראות ותוכנית תגובה מציאותית. ערוץ מוצפן חזק ומכשיר קצה מהימן הם הגנות משלימות.
