פוליגרף בחקירות עבירות סייבר: איתור הגורם האנושי מאחורי המקלדת

חקירת עבירות סייבר נתפסת, ובצדק, כתחום הנשלט על ידי מומחי פורנזיקה דיגיטלית ואנליסטים של נתונים. ואולם, מאחורי כל שורת קוד זדוני, העברת קבצים אסורה או גניבת זהות, ניצב כמעט תמיד גורם אנושי עם מניע. בדיקת פוליגרף מהווה כלי חקירתי חיוני המגשר על הפער שבין הראיות הדיגיטליות לבין הידע, הכוונה והמעורבות של האדם החשוד.

תפקיד הפוליגרף ככלי משלים לפורנזיקה דיגיטלית

מומחי פורנזיקה דיגיטלית מסוגלים לשחזר נתונים שנמחקו, לנתח לוגים (רישומי פעילות), לזהות כתובות IP ולאתר עקבות של תוכנות זדוניות. הם עונים על השאלות 'מה' קרה, 'איך' זה קרה ו'מתי'. עם זאת, הראיות הדיגיטליות מציגות לעיתים תמונה חלקית בלבד, במיוחד בתוך ארגונים בהם למספר עובדים יש הרשאות גישה זהות. לדוגמה, אם קובץ רגיש הועתק משרת ארגוני באמצעות שם משתמש וסיסמה של עובד מסוים, הפורנזיקה מאשרת את הפעולה הטכנית, אך אינה עונה בהכרח על שאלות מהותיות:

• האם העובד עצמו ביצע את הפעולה בכוונה תחילה?
• האם אדם אחר השתמש בהרשאותיו ללא ידיעתו?
• האם העובד פעל תחת סחיטה או איום?
• האם העתקת הקובץ הייתה חלק מעבודתו הלגיטימית, אך בוצע בה שימוש זדוני על ידי גורם שלישי?

כאן נכנסת לתמונה בדיקת הפוליגרף. היא אינה בוחנת את המחשב, אלא את האדם. באמצעות מדידת תגובות פיזיולוגיות בלתי רצוניות לשאלות ממוקדות, הבדיקה מסייעת לאמת או להפריך את מעורבותו וידיעותיו של הנבדק בנוגע לאירוע הספציפי. בכך, הפוליגרף הופך מכלי טכני לכלי אנושי, המספק תובנות קריטיות שהטכנולוגיה לבדה אינה יכולה להציע.

חקירת חדירה למחשב וגניבת נתונים בארגונים

עבירות של חדירה לחומר מחשב, המוגדרות בחוק המחשבים, התשנ"ה-1995, מתרחשות פעמים רבות מתוך הארגון עצמו. עובד ממורמר, ספק חיצוני בעל גישה או בכיר לשעבר עלולים לנצל את הרשאותיהם כדי לגנוב מידע עסקי, פרטי לקוחות או סודות מסחריים. במקרים אלה, חקירה פנימית עומדת בפני אתגר כפול: איתור האחראי וצמצום הנזק במהירות, תוך הימנעות מהאשמות שווא כלפי עובדים חפים מפשע.

בדיקת פוליגרף תקופתית או בדיקה הנערכת בעקבות אירוע חריג יכולה להיות הפתרון היעיל ביותר לצמצום מעגל החשודים. כאשר מזוהה פרצת אבטחה וברור כי היא בוצעה על ידי גורם פנימי, ניתן לבקש מקבוצת העובדים בעלי הגישה הרלוונטית לעבור בדיקה מרצון. הבדיקה תתמקד בשאלות ישירות וחד משמעיות הנוגעות לאירוע, כגון: "האם אתה העברת את קובץ הלקוחות למתחרה?" או "האם ידוע לך מי מחק את נתוני הגיבוי מהשרת ביום שני האחרון?". באופן זה, ניתן לזהות את המעורבים במהירות או לחילופין, לנקות את שמם של עובדים ישרים ולאפשר לחקירה להתמקד בכיוונים אחרים.

פוליגרף וחקירת גניבת קוד מקור וקניין רוחני

בעבור חברות הייטק וסטארט-אפ, קוד המקור והקניין הרוחני הם הנכסים היקרים ביותר. גניבתם על ידי עובד או שותף עסקי עלולה להוביל לקריסה כלכלית. חקירת עבירות מסוג זה מורכבת במיוחד, שכן לעיתים קרובות למפתחים רבים יש גישה לגיטימית למאגרי הקוד כחלק מעבודתם השוטפת.

בדיקת הפוליגרף מתגלה כיעילה במיוחד בתרחישים אלו. היא מאפשרת לבחון לא רק אם עובד העתיק קוד, אלא גם את הכוונה והשימוש שנעשה בו. ייתכן שעובד העתיק קטעי קוד כדי לעבוד מהבית, פעולה המהווה הפרת מדיניות אך אינה גניבה למטרות ריגול תעשייתי. לעומת זאת, עובד אחר יכול להעתיק את אותו הקוד במטרה למכור אותו למתחרים. הפוליגרף מסייע להבחין בין המקרים.

שאלות הבדיקה ינוסחו בתיאום עם הגורמים הטכניים של החברה כדי להבטיח דיוק מרבי. למשל: "האם מסרת, במישרין או בעקיפין, חלקים מקוד המקור של פרויקט 'אלפא' לגורם מחוץ לחברה?", "האם קיבלת תמורה כספית עבור העברת ידע הקשור לאלגוריתם שפיתחת בחברה?". תשובות לשאלות אלו מספקות אינדיקציה חזקה לגבי מעורבות הנבדק במעשה חמור של ריגול תעשייתי.

ניסוח שאלות הבדיקה: דיוק כמפתח לאמינות

אפקטיביות בדיקת הפוליגרף בחקירות סייבר תלויה באופן קריטי באיכות ודיוק השאלות. בודק פוליגרף מוסמך, הפועל לפי דרישות המרכז הישראלי לבודקי פוליגרף מוסמכים (האגודה האמריקנית לפוליגרף), חייב להבין את ההיבטים הטכניים של המקרה כדי לנסח שאלות רלוונטיות, ספציפיות וחד משמעיות. שאלות כלליות או עמומות כמו "האם אי פעם פרצת למחשב?" הן חסרות ערך ועלולות לייצר תוצאות שגויות.

התהליך מתחיל בראיון מקדים (Pre-test), בו הבודק לומד את פרטי המקרה מהמזמין ומהנבדק. הוא מוודא שהנבדק מבין את המונחים הטכניים שבהם ייעשה שימוש. לאחר מכן, מנוסחות שאלות רלוונטיות (Relevant Questions) שנוגעות ישירות למעשה הנחקר. דוגמאות לשאלות ממוקדות בחקירת סייבר:

• "בתאריך 15 במאי 2024, האם אתה זה שהפעלת את תוכנת הכופר על רשת המחשבים של החברה?"
• "האם אי פעם השתמשת בפרטי כרטיס האשראי של לקוח בשם 'ישראל ישראלי' לביצוע רכישה אישית?"
• "מלבד לצורכי עבודתך, האם העתקת את קובץ 'Customers_Q3_2024.csv' אל מחוץ לשרת הארגוני?"

הדיוק בניסוח מונע פרשנויות ומוודא שהתגובות הפיזיולוגיות הנמדדות קשורות באופן ישיר לידע של הנבדק על המעשה הספציפי, ולא לפעולה דומה או תמימה שביצע בעבר.

שאלות נפוצות

האם ממצאי פורנזיקה דיגיטלית לא מספיקים להרשעה בעבירת סייבר?

ממצאים פורנזיים הם ראיה חזקה, אך לעיתים נסיבתית. הם יכולים להוכיח שפעולה מסוימת בוצעה ממחשב או חשבון ספציפי, אך לא תמיד מוכיחים מי ישב ליד המקלדת ומה הייתה כוונתו. בדיקת הפוליגרף מסייעת לסגור את הפער הזה על ידי התמקדות בגורם האנושי. היא משמשת ככלי חקירתי ראשון במעלה להצביע על מעורבות, ידע או היעדרם, ובכך מכוונת את המשך החקירה ומחזקת (או מחלישה) את הראיות הדיגיטליות.

האם ניתן להשתמש בפוליגרף כראיה במשפט פלילי על עבירת סייבר?

בישראל, בהתאם להלכה הפסוקה (ע"פ 551/80 ועקנין נ' מדינת ישראל), תוצאות בדיקת פוליגרף אינן קבילות כראיה להוכחת אשמה או חפות במשפט פלילי, אלא אם שני הצדדים (התביעה וההגנה) הסכימו לכך מראש. עם זאת, חשיבותה המרכזית היא בשלב החקירה. משטרת ישראל, כמו גם גופים פרטיים, משתמשים בפוליגרף באופן נרחב כדי למקד חקירות, לסנן חשודים, לאתר שותפים ולהוביל להשגת הודאות, שהן קבילות בבית המשפט.

ומה אם החשוד הוא האקר מתוחכם, האם הוא יכול 'לרמות' את המכשיר?

התפיסה לפיה 'אינטליגנציה' או 'ידע טכני' מאפשרים להערים על בדיקת פוליגרף היא מיתוס. הבדיקה אינה מודדת כישורים קוגניטיביים אלא תגובות בלתי רצוניות של מערכת העצבים האוטונומית, הנובעות מהפחד להיתפס בשקר. בודק מוסמך ומנוסה מאומן לזהות 'פעולות נגד' (Countermeasures) - ניסיונות פיזיים או מנטליים של הנבדק לשבש את הבדיקה. הפרוטוקולים המוקפדים, כולל שאלות הביקורת והניתוח המקצועי של הגרפים, מקשים מאוד על נבדק, מתוחכם ככל שיהיה, להסתיר בעקביות את תגובותיו הטבעיות לשאלות הרלוונטיות הנוגעות למעשה שביצע.