This post is also available in:
English (אנגלית)
שירותים לסריקת כתובות אינטרנט משמשים באופן נרחב כמערכת התרעה מוקדמת מפני פישינג ונוזקות. חברות יכולות להעביר אליהם באופן אוטומטי קישורים המופיעים בהודעות דוא"ל נכנסות, כדי שהשירות יבדוק את אתר היעד, ינתח קוד ופעילות רשת ויקבע אם מדובר באתר מסוכן. אלא שחוקרים זיהו תוצאה בלתי צפויה: בדיקת האבטחה עצמה עלולה לחשוף מידע שאמור היה להישאר פרטי.
מחקר שהוצג בכנס IEEE Symposium on Security and Privacy 2026 מצא כי חלק משירותי סריקת הקישורים מפרסמים את הכתובות שנשלחו אליהם במאגרים הפתוחים לציבור. הבעיה מתחילה כאשר הקישור אינו רק כתובת רגילה, אלא כולל אסימון סודי (Token) המשמש למעשה כמפתח דיגיטלי.
קישורים מסוג זה משמשים בדרך כלל לאיפוס סיסמאות, התחברות ללא סיסמה, שיתוף מסמכים, הזמנות ושירותים נוספים. במקרים מסוימים, כל מי שמחזיק בכתובת המלאה יכול לקבל גישה למידע המשויך אליה ללא צורך בהזדהות נוספת. אם מערכת אבטחה ארגונית מעבירה קישור כזה באופן אוטומטי לסריקה, ושירות הסריקה מפרסם אותו לאחר מכן, אסימון הגישה הפרטי עלול להפוך לגלוי לגורמים חיצוניים.
על פי דיווח של TechXplore, כדי למדוד את היקף התופעה פיתחו חוקרים מ־CISPA, ממכון מקס פלאנק לאבטחה ופרטיות ומאוניברסיטת קה פוסקרי בוונציה מערכת ניתוח בשם LEAKYLINKS. המערכת אספה כתובות שהופיעו במאגרים הציבוריים של שישה שירותי סריקה מרכזיים, סיננה רשומות שאינן רלוונטיות והשתמשה במודל שפה גדול, שפעל על שרתים פנימיים מאובטחים, כדי לזהות קישורים שעלולים לחשוף מידע רגיש.
לאחר שבחנה יותר משני מיליון כתובות, זיהתה המערכת יותר מ־4,000 קישורים שהעניקו גישה למידע רגיש, ברמת דיוק של 97% לפי החוקרים. בין הנתונים שנחשפו נמצאו פרטי הזמנות, מסמכי אשרות ומסמכים הקשורים לגופים ממשלתיים.
החוקרים בדקו גם האם גורמים כלשהם עוקבים בפועל אחר המאגרים הציבוריים הללו. לצורך כך הם יצרו אתרי פיתיון מבוקרים, שלחו את כתובותיהם לשירותי הסריקה ועקבו אחר הפעילות שהגיעה אליהם לאחר מכן. הקישורים זכו לביקורים מצד מערכות אוטומטיות וממקורות נוספים, מעבר לפעילות גלישה רגילה. החוקרים הדגישו כי אין בכך הוכחה לכוונת זדון, אך הממצאים מאשרים שקישורים המתפרסמים במאגרים הללו אינם בהכרח נותרים ללא תשומת לב.
לממצאים יש השלכות משמעותיות על אבטחת הסייבר במערכות ממשלתיות, ביטחוניות ובתשתיות קריטיות. ארגונים בתחומים אלה משתמשים באופן שגרתי במוצרי אבטחה אוטומטיים לבדיקת תקשורת של עובדים וקישורים חשודים. תהליך אבטחה שמפרסם בטעות אסימוני אימות או כתובות למסמכים מוגבלים עלול לחשוף מידע רגיש גם מבלי שתוקף יפרוץ אי פעם לרשת הארגונית.
החוקרים ממליצים לספקי שירותי הסריקה להימנע כברירת מחדל מפרסום כתובות שעלולות להכיל מידע רגיש. מפעילי אתרים יכולים גם לצמצם את הסיכון באמצעות קיצור תוקפם של קישורים המכילים אסימוני גישה, או באמצעות דרישה לשלב אימות נוסף לפני מתן גישה למידע.
לפי המחקר, גם לאחר סינון הקישורים שעלולים להיות רגישים, יותר מ־99% מהכתובות הנסרקות עדיין יוכלו להישאר זמינות לצורכי מודיעין איומי סייבר ציבורי. הממצאים מדגישים לקח חשוב בתחום האבטחה: כלי יכול לפעול בדיוק כפי שתוכנן, ובכל זאת ליצור פרצת אבטחה כאשר הוא מתקשר עם מערכת אחרת באופן שלא נצפה מראש.
המחקר המלא פורסם כאן.
