קבצים מעניינים באתרי חברות ביטוח

לפני שנה כתבתי פוסט בנושא רשלנות חברות הביטוח, הנושא היה סוגי מסמכים שונים שאפשר למצוא במנועי החיפוש של אתרי חברות ביטוח שונות, לא כולן. שנה אחרי הפוסט ההוא, מסתבר שמעט מאוד השתנה. חלק מהאתרים של חברות הביטוח עדיין מאפשרים לגולש הפשוט לחפש ולאתר מאות מסמכים וורד, אקסל, פאואר פוינט ומסמכים נוספים באמצעות חיפוש פשוט במנוע החיפוש של האתר. למרות שמרבית המסמכים האלה אינם מסווגים, חלקם בוודאי לא נועדו להיות מידע נגיש לציבור והם בבחינת קבצים לשימוש פנימי בלבד.

אתרי חברות ביטוח המאפשרים חיפוש מסמכי אופיס

האתר של מגדל

באתר של חברת הביטוח מגדל אפשר לחפש במנוע החיפוש הפנימי קבצים מסוג xls, doc, ppt או כל סוג אחר של קובץ המאוחסן על השרת. התוצאות מפתיעות וחיפוש אחר סוג הקובץ ppt מספק תוצאות של מסמכים פנימיים שאולי אינם סודיים, אבל ספק אם מישהו בחברת מגדל אי פעם התכוון לחלוק אותם עם הציבור הרחב. סוגי קבצים אחרים מחזירים הרבה יותר תוצאות ואנשים בעלי סבלנות גדולה משלי מוזמנים לבדוק אותם.

האתר של הפניקס

גם באתר של חברת ביטוח הפניקס אפשר למצוא פנינים בדוגמת מסמכי וורד וחיפוש אחר מחרוזות עם סיומות קבצים של וורד או אקסל מחזירים תוצאות מפתיעות, גם אם לא מסווגות תחת "סודי ביותר" עדיין יש בהן עניין למי שמצוי בתחום הביטוח.

קבצי PPT פתוחים לחיפוש באתר הפניקס

האתר של מנורה, כלל ביטוח ושאר אתרי חברות הביטוח

למנורה יש אתר מתחדש (סקירה ברוב) וגם לא מעט קבצי אופיס בשרת ובאתרים נלווים (כאלה שקיבלו קבצים בעבר שומרים אותם על השרת). כנ"ל גם לאתר של כלל ביטוח ושל לא מעט חברות ביטוח אחרות שמשתמשות בשרת שמארח את אתר האינטרנט בתור שרת להפצת קבצים בקרב סוכני הביטוח, לקוחות החברה או כל אחד אחר. נדמה שחברות אלה עדיין לא מודעות לכללים הנוקשים של אבטחת מידע באינטרנט, וגם אם אין בשרת קובץ חסוי, זו עדיין בגדר פרצה שקוראית לגנב.

אין לי שום כוונה לחשוף מסמכים רגישים של חברות ביטוח המופצים באינטרנט, וגם לא מצאתי כאלה. הכוונה היחידה היא להתריע כי קיימת פרצה אפשרית, וכי על חברות הביטוח מוטל לחסום אותה, ויחד איתה כל גישה גישה אפשרית לנתונים חסויים של לקוחות. על כל בעל אתר אינטרנט, במיוחד אם הוא שייך לגוף פיננסי שמרכז נתונים רגישים על לקוחותיו, מומלץ לאמץ את הכללים הנוקשים ביותר של אבטחת מידע ולא לאפשר לגולשים גישה לקבצי מערכת פנימיים. הדוגמאות של אתרי הפניקס ומגדל למעלה הן רק דוגמאות מייצגות, אבל מי שמכיר את יכולות החיפוש המתקדמות של גוגל (חיפוש בתוך דומיינים אחר סוגי קבצים מסויימים) עלול לגלות שגם אתרים אחרים שלב חברות ביטוח סובלים מכשלים דומים. גם אם נכון להיום כשלים אלה לא מסכנים מידע של לקוחות פרטייים, אי שמירה על כללי אבטחת מידע עלול לחשוף את הפרטים האלה להאקרים טורקים, או אפילו גרוע מזה: האקרים בעלי אינטרס כספי.