האם המידע על הנסיעות האחרונות שלכם בתחבורה הציבורית, תאריך לידה ומספר זהות הוא מידע שיש לאבטח? חשבון הפייסבוק של חברת אגד שיתף אמש (ד') את האפליקציה למכשירי אנדרואיד שפיתח אדם המזדהה כ-Nadav Mos, המאפשרת לקרוא מספר נתונים מהכרטיס באמצעות כל מכשיר שתומך בתקן העברת מידע NFC אותו התקן שמאפשר לכרטיס לשוחח עם המסוף באוטובוס. רבים ממכשירי אנדרואיד כיום כוללים תמיכה ב-NFC, ביניהם סדרת הגלקסי של סמסונג ו-One של HTC.
"שלום חברים, יש לכם רב-קו ואתם משתמשים באנדרואיד?" נכתב בהודעה בפייסבוק של אגד. "אתם יכולים לדעת איזה חוזים יש עליו, כמה נסיעות נותרו ואת נסיעות אחרונות שעשיתם בעזרת אפליקציה שפותחה על ידי בחור בשם נדב מוס ועובדת די טוב במכשירים מתקדמים". באגד אף מצרפים את קישור ההורדה של האפליקציה.
פרט המידע הבעייתי ביותר שמתקבל באפליקציה הוא שש הנסיעות האחרונות שעת העברת הכרטיס ומספר הקו, כשבמקרה של רכבת מקבלים גם את התחנה בה עליתם וירדתם. בנוסף, מופיע בחלק מהכרטיסים מספר תעודת הזהות של המשתמש ותאריך הלידה שלו. וכך, כל מי שמניח את ידו על כרטיס רב קו מזוהה (שאינו כרטיס אנונימי), מקבל גישה לשם מלא ותמונה בגב הכרטיס ולתעודת הזהות והנסיעות האחרונות באמצעות קריאת הכרטיס עם טלפון סלולרי.
עוד בינואר 2009, זמן לא רב לאחר שנכנס הרב-קו לשימוש, כתבנו בוואלה! TECH כי המידע על הנסיעות האחרונות ופרטי הזהות נאגר על הכרטיסים, אך אז רק הנהגים יכלו להוציא את התדפיס, ולא כל אדם עם טלפון בעל קישוריות NFC.
תגובות:
דובר אגד רון רטנר מסר בתגובה:
"לנוכח התראת וואלה!, הסתבר שבליל אמש פקיד זוטר באגף השיווק של אגד הפנה בתום לב לאפליקציה שהועלתה על ידי משתמשים לקיר של אגד, אפליקציה שהינה מאוד יעילה עבור חלק ניכר מציבור המשתמשים. בו בזמן, נוכחנו לגלות כעת כי יש באפליקציה פרצה, המאפשרת להציג את מספרי תעודות הזהות ואת תאריכי הלידה של בעלי הכרטיס. מבחינתנו מדובר בפרצה בלתי נסבלת, והורינו להסיר את ההפניה להורדת האפליקציה לאלתר. טוב יעשה משרד התחבורה, הממונה על תחום הרב קו בתחבורה הציבורית בישראל, אם יצפין את המידע הנ"ל, ובכך יסייע בידינו לשמור על פרטיות לקוחותינו".
לא התקבלה תגובת משרד התחבורה עד למועד הפרסום.
להורדת האפליקציה
הרב-קו יודע לאן נסעתם וואלה! TECH, ינואר 2009