נערכים לעידן הסייבר: הנחיות להעמדה לדין בגין חדירה למחשב

לפני חודשיים הותרה לפרסום פרשת סייבר מהחמורות בתולדות ישראל: נחשף כי עובד של חברת הסייבר הישראלית NSO שעמד בפני פיטורים גנב ממחשבי החברה את תוכנת "פגאסוס" והציע אותה למכירה בדארקנט. תוכנת פגאסוס היא כלי עוצמתי שמי שמחזיק בו יכול להגיע לכל אדם בעולם, לצותת לו ולצלם אותו בלי ידיעתו. נפילתה של התוכנה לידי גורמים לא מוסמכים יכולה הייתה להוות פגיעה חמורה בביטחון המדינה, אך הקטסטרופה נמנעה, ובמקום זאת העובד נתפס, והוגש נגדו כתב אישום בגין עבירות מחשב ועבירות נגד ביטחון המדינה על-ידי מחלקת הסייבר בפרקליטות המדינה.

הפרשה הזאת הפכה להיות אחת מיני פרשות סייבר רבות שטופלו ומטופלות בפרקליטות בעת האחרונה, וביתר דיוק: במחלקה החדשה שלה - מחלקת הסייבר. בין היתר, נחשפנו לפרשת "מאגר אגרון", שבמסגרתה הורשע שלום ביליק, עובד משרד הרווחה לשעבר, בגניבת מאגר מידע שכלל את פרטי מרשם האוכלוסין (מאגר "אגרון"), שהופץ לאחר מכן באינטרנט; בפרשת "ההאקר מאשקלון" שהורשע בעבירות רבות של סחיטה באיומים, עבירות מחשב, הלבנת הון ועוד לאחר שהתקשר לחברות תעופה, בתי ספר, מוסדות יהודיים ומוסדות נוספים, ואיים עליהם כי מעשי טרור ורצח עתידים להתרחש בהם.

מחלקת הסייבר בראשות עו"ד חיים ויסמונסקי הוקמה לפני כשלוש שנים על-ידי פרקליט המדינה, עו"ד שי ניצן, והיא אמונה על טיפול בתיקי הסייבר המורכבים הנחקרים בידי המשטרה ובידי רשויות אכיפה נוספות. על רקע התגברותן של פרשות סייבר בשנים האחרונות, ריבויים של מקרי חדירה לחומר מחשב (תופעת ההאקרים) והצורך לרענן ולדאוג כי החקיקה תיתן פתרונות נכונים לעידן המודרני-הטכנולוגי-האינטרנטי, פרסם הבוקר (ג') פרקליט המדינה הנחיה חדשה בעניין מדיניות התביעה בהעמדה לדין, בניהול תיקים ובטיעון לעונש בעבירה של "חדירה לחומר מחשב".

ההנחיה גובשה כחלק מהיערכותה של פרקליטות המדינה וכלל רשויות האכיפה לעידן הסייבר, והיא מפרטת את האופן שבו על הפרקליט להעריך את הראיות לביצועה של העבירה, את השיקולים להעמדה לדין, את היחס בין עבירה זו לבין עבירות אחרות, וכן את שיקולי הענישה בגין הרשעה בעבירה זו. 

  החדירה ועונשה

חדירה גם ללא פריצה

בהנחיה, שכותרתה "מדיניות העמדה לדין וענישה בעבירה של חדירה לחומר מחשב" יוצר פרקליט המדינה מדרג בחומרת המעשים לצורך שקילת הענישה, וקובע, בין היתר, כי קיים צורך בתגובה עונשית מחמירה שתהלום את הנזק. זאת, כפי שצוין בהנחיה, בהתחשב בפוטנציאל הפגיעה כתוצאה מעבירות מחשב, בשים לב לתלות של הציבור בשימוש במחשבים, לרבות טלפונים חכמים, ובמידע.

עבירת החדירה לחומר מחשב היא עבירת הליבה של חוק המחשבים, והפכה - עם השימוש הגובר במחשבים בעידן הסייבר - לשגורה יותר ויותר בשנים האחרונות. העונש המקסימלי שנקבע לעבירת החדירה לחומר מחשב בחוק המחשבים עומד על 3 שנות מאסר, ובנסיבת המחמירות שלה - חדירה למחשבי לשם ביצוע עבירה אחרת (שאינה עבירה על חוק המחשבים) - 5 שנות מאסר.

לפני כשלוש שנים ניתח בית המשפט העליון את עבירת החדירה לחומר מחשב, בפרשה המכונה "פרשת ניר עזרא", שבמסגרתה נקבע כי יש לפרש את היסוד ההתנהגותי של "חדירה" באופן רחב הכולל כל גישה או כניסה אל מידע הנמצא במחשב וזאת בכל דרך שהיא, הן בהפעלה, הן בהתחברות (לרבות התחברות מרחוק) והן בהתקשרות אל המחשב.

ההנחיה החדשה של פרקליט המדינה מאמצת במלואה את הקביעה של ביהמ"ש העליון בפרשה, ולפיה, כלשון ההנחיה, "אין לדרוש התגברות על מנעול או מכשול טכנולוגי, כגון סיסמה או הצפנה, כתנאי להתקיימות יסוד החדירה שבעבירה". עם זאת, קיימת חומרה יתרה בביצוע עבירה של חדירה לחומר מחשב בדרך של התגברות על מנעול טכנולוגי - הדבר רלוונטי לעניין העונש שיוטל על מבצע העבירה ולעתים עשוי להיות רלוונטי גם בשלב בחינת העניין הציבורי בהעמדה לדין.

עוד נקבע, כי העבירה אינה מוגבלת רק למקרים שבהם נעשתה חדירה למידע המבוטא בשפת הקוד של המחשב (שפה קריאת מחשב בלבד) והיא מתקיימת גם במקרים שבהם אדם חדר לקבצי מסמכים ולמידע דיגיטלי הקריא בשפת בני-האדם.

חדירה בנסיבות מחמירות

ההנחיה מפרטת את שיקולי מדיניות ההעמדה לדין בעבירה של "חדירה לחומר מחשב", ובין היתר מציינת כנסיבות לחומרה (כל נסיבה שמתקיימת תגביר את הנטייה להעמיד את החשוד לדין) מצבים שבהם נעשתה חדירה כדי לעבור עבירה אחרת וכן ביצוען בפועל של עבירות נוספות בעקבות ביצוע ה"חדירה לחומר מחשב"; גרימת נזק, ישיר או עקיף, בעקבות החדירה לחומר המחשב, לרבות נזק למוניטין, נזק למידע, פגיעה בביטחון הלאומי, פגיעה בתשתיות חיונית, פגיעה בפרטיות, אובדן לקוחות של תאגיד שנחדר שלא כדין, הוצאות לתיקון פרצת האבטחה, ירידת שער המניה של חברה בורסאית שנחדרה, וכן כוונה או פוטנציאל ממשי להביא לאחד מאלה; חדירה למחשב שתכליתה הייתה, או שהביאה בפועל, לפגיעה בצנעת הפרט, כדוגמת חשיפתן של תמונות אינטימיות או חשיפת עבר מיני.

נסיבה נוספת לחומרה, הנה הפקת רווח כלכלי כתוצאה מהחדירה או כוונה להפקת רווח, בין אם הרווח הגיע לידי החשוד ובין אם הגיע לידי אחר. "מובן כי ככל שהרווח הכלכלי שהופק או שהייתה כוונה להפיקו היו גבוהים יותר, יגבר משקלה של נסיבה זו", נכתב בהנחיה.

גם ריבוי מחשבים שנחדרו, או חדירה חוזרת ונשנית לאותו מחשב במועדים שונים יילקחו בחשבון בעת הקביעה אם מדובר בנסיבות לחומרה. עוד יילקחו בחשבון רמת התחכום של ביצוע העבירה והתגברות על מנעולים טכנולוגיים. כמו כן יילקחו בחשבון מקרים שבהם החדירה לחומר מחשב כללה גם פעולת התחזות של החודר כבעל המחשב או המידע הנחדר, כדוגמת חדירה לחשבון דוא"ל של אדם ללא ידיעתו או הסכמתו ושליחת תכתובות בשמו.

שלושה מתחמי ענישה

בהנחיה מצוינים גם שיקולי מדיניות הענישה המחולקים לשלוש קטגוריות של מתחמי ענישה: האחת, קטגוריית "המקרים החמורים ביותר", שבהם חלקו העליון של המתחם יתקרב לעונש המקסימום בגין העבירה; השנייה, קטגוריית "מקרי הביניים", שתצדיק ככלל הטלת מאסר בפועל; השלישית, קטגוריית "המקרים הקלים", שבהיעדר נסיבות אחרות לחומרה, רף הענישה בעניינם עשוי לנוע בין מאסר מותנה לבין מספר חודשי מאסר בפועל.

בקטגוריית המקרים החמורים ביותר ייכללו, בין היתר, מקרים שבהם חדירה למחשב שהינו חלק מ"מערכת ממוחשבת חיונית" של בנקים וחברות אשראי, גופים של ביטחוניים ומאגרי מידע הכוללים למעלה מיליון רשומות; או חדירה במטרה לפגוע בביטחון המדינה או חדירה על-ידי גורם הפועל מטעם מדינה זרה. זאת, אף אם לא הוכחה מטרה לפגיעה בביטחון המדינה; וכן חדירה למאגרי מידע הכוללים מעל למיליון רשומות של מידע אישי.

בקטגוריית מקרי הביניים ייכללו, בין היתר, מקרים בהם שנעשתה חדירה למחשבים של משרדי הממשלה ומוסדות המדינה, שאינם "תשתית לאומית קריטית" ושאינם של גופים ביטחוניים, חדירה למטרות ריגול עסקי, לחשבונות בנק או לחשבונות המאפשרים ביצוע העברות כספיות, כדוגמת ארנקים אלקטרוניים למיניהם וחדירה למטרת השגה של מידע פרטי בהיקף ניכר או השגה של מידע פרטי ורגיש, כגון מידע אינטימי, מידע על עברו המיני של אדם או מידע הנוגע לענייניו של קטין.

בנוסף ייכללו בקטגוריה של מקרי הביניים מקרי חדירה למאגרי מידע הכוללים מעל ל-10,000 רשומות של מידע אישי ומתחת למיליון רשומות, וכן חדירה לחומר מחשב הנגרמת בעקבות חבירה מאורגנת של שני חשודים או יותר.

לפי ההנחיה, יש להיוועץ במחלקת הסייבר בפרקליטות המדינה בכל הנוגע לסוגיות המתעוררות במסגרת טיפול בתיקים בעבירה של "חדירה לחומר מחשב". בפועל ההתייעצות הזו מתקיימת מזה תקופה, וכמעט בכל תיק סייבר מהשנים האחרונות הייתה מעורבת מחלקת הסייבר, בין אם כמובילה ובין אם כגורם מייעץ.