כמה עולה הזהות שלך, ולמה שירצו לגנוב אותה?

זוכרים שכתבתי לפני כמה חודשים על לקוח יוקרתי, עשיר, יציב ונחשב שנאלצתי לוותר עליו כי לא רציתי לוותר על הפרטיות? היום גיל שלח לי כתבה על סוף הליך משפטי שהתנהל נגד החברה שהייתה אמורה לעשות עלי בדיקות רקע בשבילם, חברת צ'וייספוינט.

כמו שתיארתי לכם אז, לחברה יש היסטוריה בעייתית ומפוקפקת. ב-2005 הם הועמדו לבירור אחרי מספר מקרים של איבוד פרטים אישיים של קרבנות מועמדים לעבודות שונות. לפי הFTC, בסה"כ נגנבו זהויות של 163,000 איש ומתוכם 800 איש לפחות נפגעו, אז נגזר על החברה לשלם קנס של $10 מליון למדינה ו-$5 מליון פיצויים. החברה גם חויבה להפעיל מערכות איתור התנהגות חשודה על הגישה המקוונת אל השרתים שלהם. החברה משום מה כיבתה את מערכת הניטור (לא ברור למה), סיסמא של לקוח ממשלתי גדול דלפה לאינטרנט וגולשים אקראיים קיבלו גישת שיטוט לפרופילים נוספים של 13,750 מועמדים לעבודה (למשרה ממשלתית כלשהיא, כזכור… לא צוין אם עבודה מסווגת או פקידותית רגילה, אבל עדיין, בלגן). הפעם לא מצוין בכמה מהפרטים נעשה שימוש לרעה שהוכח שהוא תוצאה של הדליפה, אז הפעם "החברה הסכימה לשלם $275,000" לפי לשון הידיעה (כלומר שהיה שלב מיקוח?!) קנס ל-FTC. צ'וייספוינט מנסחים את זה אחרת, בהודעה שלהם לעיתונות הם כותבים שהסכום הוא תרומתם (הצנועה, בלי ספק) לקרן לשיפוי הלקוחות הנפגעים. אני תוהה אם נפגעים עתידיים יראו משהו מהכסף בלי ללכת דרך עו"ד יקר והוכחות בלתי אפשריות.

אז בחשבון מהיר:
– זהות שנגנבה/דלפה ב-2006 שווה קנס של $20.
– אם נניח שזהו המחיר של זהות "דלופה" גם ב-2005, הרי שמתוך $10 מליון נשאר $6.7 מליון או קנס $8450 על כל זהות גנובה שהוכח שהשתמשו בה לרעה ופיצויים לאזרח הגנוב בסך $6,250 מעליבים.

אני תוהה אם ה-FTC באמת מפצה נפגעים בעזרת הכסף. לפי הדוחות באתר גניבות הזהות שלהם, מדובר בסיפור של בין $15 ל-$50 מליארד בשנה (הם מודים שהנתונים שלהם די גרועים כי רוב האנשים לא טורחים לדווח), ובערך $5000 נזקים לאדם בממוצע. אני תוהה אם נזקים מצטברים לאורך שנים שעוד יבואו משוקללים פנימה, או נזקים של פרופיל אשראי מרוסק שפוגע ביכולת לקבל הלוואות ומשכנתאות. האם הפרטיות שלנו עד כדי כך זולה, או שצריך הוכחת נזק כדי לענוש באחראים כמו שצריך? מה אם משתמשים בפרטים שדלפו אחרי ששולם הקנס? האם ישלמו פיצויים רטרואקטיביים מעבר לקרן? האם היה איתם הסכם שתשלום הקנס מגן עליהם מתביעות פרטיות, כמו שנתנו לתעשיית הטבק בזמנו?

לי הסכומים האלו נשמעים קטנים ומעליבים, לא משהו שבאמת פוגע בחברות האלו, מכה קטנה על גב היד. אם ההיסטוריה של צ'וייספוינט מראה על משהו, זה שזה לא עובד, וממש לא אכפת להם אם דלפו פרטים, אלו רק שורות במסד נתונים, לא? ביטים, לא אנשים. מיטצ'ל וווב מסכמים את הרגשתי יפה:

אותה הכתבה בריג'יסטר מזכירה כבדרך אגב עוד חברות שנקנסו לאחרונה. האחת היא חברת "מאניגראם" שעקב הזנחה איפשרה לשרלטנים ועוקצים ניגריים לשתות $44 מליון דולר מקורבנות אמריקניים ועוד $40 מליון מתושבים בשאר העולם, הם שילמו רק $18 בקנסות ופיצויים ל-FTC, אני לא יודע כמה בארצות אחרות, אבל איכשהוא הסכום עדיין לא מסתדר. כמו כן מוזכרת רשת הלבשת ילדים בשם איקוניקס שאספה בניגוד לחוק המפורש את שמם המלא, כתובתם, גילם, מינם, טלפון ודואל של כאלף קטינים. החברה סיכמה על קנס של רבע מליון דולר, או $250 לילד, על פרטים שאפילו לא דלפו החוצה אלא רק נאספו והוחזקו בצורה לא חוקית. נראה שלצ'וייספוינט יש סוללת עורכי דין חדשה וממולחת יותר בהתמקחות מאז 2005, ואייקוניקס התקמצנו. באותה הזדמנות אני תוהה כמה קטינים אפשר למצוא במאגרי המידע של צ'וייספוינט (שמכילים מידע על אולי חצי מליארד בני אדם ברחבי העולם).

שימו לב שהקנסות האלו הם מטעם ה-FTC, רשות המסחר הפדרלית שתפקידה לשמור על הצרכנים, ולהבנתי לא מדובר בחבות פלילית אישית של אף אחד. אני לא אתפלא אם גם אף אחד בצ'וייספוינט לא פוטר מתפקידו בשל כך, החברות האלו משקללות את הקנסות האלו בתוך ההוצאות הכמעט-צפויות של ניהול עסק שכזה… המסקנה שלי היא שמדינת החירות האמריקנית לא ממש מעוניינים לשמור על הצרכנים עד שמאוחר מדי. הם טובים בקנסות אבל לא בהגבלות מראש.

מה המצב בישראל? דו"ח BDI ב-2003 ציין 250 מליון ש"ח בנזקים מגנבות זהות, אבל דוחות נוספים לא מצאתי (עדכנו אותי אם אתם מצליחים). לפי הערכות ה-FTC ב-2005 פגעו גניבות זהות ב8-10 מליון איש, כלומר 3.5-4% מהאוכלוסיה. גם אם נתעלם מהעובדה שמדובר בצורת הפשיעה הכי צומחת, זה אומר כ-250,000 ישראלים אם המצב אצלנו דומה. האם עוד מאגרי מידע זה רעיון טוב, ועוד בידיים של משרד הפנים? אני מקווה שמישהוא מהקוראים יודע להביא מידע יותר מדויק על ישראל בנושא כדי שנתבדה, אבל אין לי כוח להרים טלפונים לדובר המשטרה או BDI או אנא עארף מי אחראי לניטור הענין. ואולי אף אחד לא טורח אפילו? מתאים למדינה שלנו, בה החוקים הנוגעים לדבר הם גבינה שוויצרית וממילא לא אפקטיביים והברדק חוגג. אחד המקומות שקיוויתי למצוא סטטיסטיקה חלקית לפחות הוא אתר עמותת אשנב, אבל שם גיליתי כי בכנס בשנה שעברה הם קדמו אמצעים ביומטריים להקטנת גנבות הזהות. מעניין כמה מידע מאמת נאסף למחקר בנושא, ומהן השיטות שהוזכרו בכנס.

עד שדלפו מאגרים שונים (מרשם התושבים, נתוני בעלי חוב בהוצאה לפועל) אנשים זייפו צ'קים ות"ז ידנית, וזייופים נעשו במאמצים רבים על זהויות ספורות. ניכר שבעידן של נתונים ממוחשבים, היצירתיות התרחבה לגניבות סדרתיות, אולי מתקפות בזק על עשרות או מאות מספרי אשראי במקביל כדי להספיק להעלים מה שיותר עסקאות קטנות מתחת לרד"אר במקום בודדות גדולות ובולטות. מאגרי נתונים נוספים מאפשרים להצליב פרטים, והכי חכמות בהצלבות האלו הן חברות האשראי – הן מפעילות מערכות מחשב יקרות ביותר כדי לזהות פעולות חשודות – קניה לא טיפוסית של לקוח בבית עסק כלשהוא, יותר מדי חיובים בערימת כרטיסי אשראי בבית עסק כלשהוא שבדיקה תוכיח שכולם ישבו בבית קפה כלשהוא חודש לפני וכך עולים על המלצר שהעתיק את המספרים. חברות האשראי מכינות על כל לקוח פרופיל וניתוח לצורך כך, והנתונים האלו גם הם שווים המון כסף, והם מוכרים אותם למשווקים השונים שמפרסמים בצורה ישירה פרסומות בתחתית הדוח החודשי. בתירוץ של "בדיקה לניטור רמאויות" מבקשות חברות האשראי בארה"ב גם את פירוט הקניה ולא רק את הסכום שמספק בית העסק, מענין אם בארץ גם ינסו להשחיל כזה דבר. המון מידע ששווה המון כסף, האם יש פלא שמישהוא מרוויח ממסחר בו? בארה"ב חברות אשראי הן גנבות ברשיון ממש: מותר להן לשנות לך אפילו את הריבית השנתית בלי הודעה מראש, ואפילו רטרואקטיבית(!), אם נראה להן שאתה לקוח "בסיכון" (למשל אם בפירוט ההוצאות שלך עולות פגישות עם פסיכיאטר, או יועץ גירושים, או יותר מדי תיקונים במוסך וכולי).

אז האם מעניין אותם לעצור גניבות או להרוויח מאחוזי העסקאות? לפי דו"ח ה-FTC (המבוסס על סקר טלפוני, אגב…) – למעלה מחצי מהאנשים שניזוקים מגלים עדיין את הגניבה לבד, ולא בגלל התראה של חברות האשראי או גופים אחרים, לכו תדעו כמה לא מגלים גניבות קטנות לאורך זמן כי הם לא בודקים את דוח השימוש בכרטיס. בנוסף, גם רוב (כ75%) אילו שמגלים גניבה לא טורחים להתלונן עליה, אולי מחוסר אמון שהענין יטופל כראוי? ואל תתפלאו שהגענו למצב כזה, כי בישראל המצב יותר גרוע בנושא פניה למשטרה, אני אתייחס לזה בפוסט קרוב.

לבסוף בחזרה לעבריינים: למה שירצו לגנוב את הזהות של מישהו מאיתנו אישית? אולי כדי להוציא דיבה בשמנו (ענין מסוכן ואפילו יקר יותר מגניבת כסף בעיני החוק ברוב המדינות), אולי כדי לרוקן את חשבון הבנק שלנו, או כרטיס האשראי, אולי לפתוח על שמינו חשבון ולקחת הלוואה ענקית ולהעלם, אולי לקבל בשמינו תשלומים מהמדינה כמו החזרי מס וקצבאות (בעזרתה של טביעת האצבע הגנובה, כמובן), אולי להכנס למדינה זרה, אולי דברים יצירתיים אחרים… זו הסיבה שצריך להגן על הפרטים האישיים ולא לחלק אותם בקלילות, זו הסיבה שכדאי שמה שפחות פרטים עליך ישמרו במקום מרכזי כמו מאגר ממשלתי מיותר, כי שמו שציטטתי בעבר, הדרך היחידה למנוע ממאגרי מידע פרטי לדלוף היא להמנע מלאסוף אותם מלכתחילה.