סטטיסטיקת מסע פרסום
חקירה דו-שלבית OSINT - סיור פסיבי בינואר 2026, ואחריו ספירה פעילה של API ואיסוף נתונים ב-25 בפברואר 2026 - המכוונת לתשתית דיגיטלית של ממשלת אלבניה הביאו את הממצאים הבאים.
הקשר: המדינה הדיגיטלית השאפתנית של אלבניה
אלבניה הקדישה את העשור האחרון לבניית אחת מהתשתיות הממשלתיות הדיגיטליות השאפתניות ביותר במזרח אירופה. הסוכנות הלאומית לחברת מידע - אקשי (Agjencia Kombëtare e Shoqërisë së Informacionit) - מנהלת רשת המחברת בין 220 מוסדות ממשלתיים, מארחת 380 אתרי אינטרנט ממשלתיים, מפעילה 600+ שירותים אלקטרוניים לאזרחים, ומחזיקה CSIRT ייעודי לפעולות אבטחת סייבר. אלבניה דורגה מקום 14 בעולם במדד הבשלות של GovTech 2025 וקיבל הכרה של האו"ם כמודל לטרנספורמציה דיגיטלית.
המדינה היא גם חברה בנאט"ו השואפת באופן פעיל לחברות באיחוד האירופי, עם יעד הצטרפות ל-2030. בריסל זיהתה בעקביות שחיתות כמכשול העיקרי. תגובתה של אלבניה, בספטמבר 2025, הייתה למנות את שר הבינה המלאכותית הראשון בעולם.
דילה - על שם המילה האלבנית ל"שמש" - היא מערכת בינה מלאכותית שפותחה על ידי AKSHI באמצעות Microsoft Azure ו-OpenAI. ראש הממשלה אדי ראמה מינה אותה לשרת המדינה לבינה מלאכותית בשליחות מוצהרת: "מכרזים ציבוריים יהיו נקיים ב-100 אחוז משחיתות". באוקטובר 2025, ראמה הודיעה שדילה "בהיריון עם 83 עוזרים דיגיטליים" שיוקצו לכל חבר פרלמנט ממפלגת השלטון כדי לפקח על ישיבות החקיקה.
"הסוכנות שבנתה את הבינה המלאכותית נגד שחיתות של אלבניה הייתה בעצמה מפעל פלילי. המנכ"ל וסגנו נעצרו שלושה חודשים לאחר מינויה של דילה, שהואשמו בהפעלת קבוצת פשע מובנית כדי לתמרן מכרזים ממשלתיים".
הסיפור
חקירה זו החלה בינואר 2026 כסיור פסיבי: מיפוי התשתית של AKSHI ודילה, זיהוי תת-דומיינים באמצעות שקיפות תעודות, בדיקה של מערכות הפונות לציבור. המסקנה הראשונית הייתה פשוטה - תשתית ממשלת אלבניה הייתה, בסטנדרטים אזוריים, מאובטחת היטב. WAFs בדומיינים הראשיים, WordPress API הדורשים אימות, אין אישורים חשופים בחבילת JavaScript הקדמי של Diella.
ההערכה השתנתה לחלוטין בפברואר 2026. כאשר הספירה פנתה לפרלמנט האלבני - 83 "ילדי" הבינה המלאכותית של המוסד דילה היו אמורים לעקוב אחר - נוצרה תמונה אחרת. הפרלמנט (parlament.al) משרת יישום React של עמוד אחד, שעל פניו נראה כמבוי סתום: הוא מחזיר HTTP 200 עבור כל הנתיבים, תמצית SPA קלאסית. אבל החבילה הראשית של JavaScript סיפרה סיפור אחר.
משיכת חבילת ה-JS של 355 קילו-בייט והפעלת חילוץ מחרוזות גילתה כתובת אתר בסיסית API מקודדת קשה: https://kuvendiapi.azurewebsites.net/api. חילוץ נוסף ממשתני webpack ממוזער יצר שבעה שמות של ישויות OData. כל נקודת קצה הגיבה לבקשות GET לא מאומתות. ללא אסימונים, ללא הגבלת קצב, ללא בקרות גישה מכל סוג שהוא.
כל החלק האחורי של הפרלמנט האלבני API היה פתוח לרווחה.
האירוניה עמוקה. המנכ"לית של AKSHI, מירלינדה קרצ'נאג' וסגניתה נעצרו בדצמבר 2025 - שלושה חודשים בלבד לאחר מינויה של דילה - שהואשמו בניהול קבוצת פשע מובנית בתוך הסוכנות עצמה שבנתה את השר נגד AI נגד שחיתות. SPAK (המבנה המיוחד של אלבניה נגד שחיתות) זיהה 12 הליכי מכרזים שעברו מניפולציה שיטתית. הפרלמנט API היה פתוח לפחות מאז ינואר 2022. ודילה - משולבת בפלטפורמת e-Albania, עם גישה ל-36,000+ מסמכים ממשלתיים - לא ראתה דבר מזה.
ממצא קריטי 1 - הפרלמנט האלבני: לא מאומת API
פתח את API נקודות קצה
| נקודת קצה | שיאים | גוֹדֶל | תוֹכֶן |
|---|---|---|---|
| /אנטרט | 236 | 138 KB | רשומות MP - מלא PII |
| /strukturat | — | 274 KB | ועדות פרלמנטריות |
| /aktet | — | 3.1 מגה-בייט | פעולות חקיקה, אינטרפלציות |
| /lajmet | — | 19.8 מגה-בייט | כתבות חדשות פרלמנטריות |
| /mbledhjet | — | 2.2 מגה-בייט | רישומי מפגשים ופגישות |
| /dokumentet | 54,545 כתובות אתרים | 30.2 מגה-בייט | קטלוג מסמכים עם כתובות URL ישירות של Azure Blob |
| /YouTube/חיפוש | — | 8 KB | פרוקסי לחיפוש סרטוני YouTube |
| /abonimet | — | 401 | רק נקודת קצה מוגנת |
MP PII חשוף - 236 רשומות
כל אחד מ-236 חברי הפרלמנט רשם ב- /anetaret התגובה מכילה את המידע המאפשר זיהוי אישי הבא:
- שם חוקי מלא (שם פרטי, שם אב, שם משפחה)
- תאריך לידה ומקום לידה
- כתובת אימייל רשמית (@parlament.al)
- שיוך מפלגתי ומחוז בחירות
- כתובת אתר של תמונת פרופיל (מתארח ב-Azure Blob Storage)
- קישורי מדיה חברתית (פייסבוק, טוויטר/X, לינקדאין)
- מעמד פרלמנטרי פעיל / לא פעיל
זה מהווה תיק שלם ומובנה על כל אדם המשרת בבית המחוקקים האלבני - כולל מזהים אישיים, מידע ליצירת קשר והשתייכות פוליטית. הנתונים נאספו מבלי לעקוף שום אימות או בקרת גישה.
אחסון כתם תכלת - 54,545 מסמכים ציבוריים
ה /dokumentet נקודת קצה מחזירה קטלוג של 30.2 MB JSON המפרט כל מסמך בארכיון הפרלמנטרי. רישום המכולה פועל kuvendiwebfiles.blob.core.windows.net/webfiles/ מושבת - אבל כל כתובת אתר ניתנת למנות ישירות דרך התגובה API, ולכל הבלובים הבודדים מופעלת גישת קריאה ציבורית.
| סוג קובץ | לִסְפּוֹר |
|---|---|
| 32,627 | |
| JPEG / JPG | 18,289 |
| JFIF | 1,768 |
| DOCX | 885 |
| DOC | 397 |
| XLSX | 392 |
| PNG | 208 |
| XLS | 117 |
בין המסמכים ששוחזרו: טבלאות שכר MP (סגן PAGA) ו שיאי הטבות MP (PERFITIME DEPUTETE) המכסה את השנים 2018–2020 על בסיס חודשי; את מרשם הלוביסטים (Regjistri elektronik i Lobisteve); FOIA בקשות ויומני תגובות משתרע על פני 2018–2021; טבלאות הוצאות תקציב ונתוני קרן העתודה הציבורית; החוקה האלבנית, חוק הבחירות וחוק מעמד סגן; ודוחות שנתיים פרלמנטריים מ-2013 עד 2019.
חבילת JavaScript מכילה גם הפניה פנימית מקודדת API בכתובת http://134.0.63.165:5000/public - כתובת IP פנימית שאינה ניתנת להשגה מהאינטרנט הציבורי, המאשרת שקיימת תשתית עורפית נוספת מעבר למה שנחשף בפומבי.
ממצא קריטי 2 - שערוריית שחיתות AKSHI
האירוניה במספרים
| המטרה המוצהרת של דילה | מְצִיאוּת |
|---|---|
| "מכרזים ציבוריים יהיו נקיים ב-100% משחיתות" | הנהגת AKSHI נעצרה בגין מניפולציה מכרזית |
| שר בינה מלאכותית להילחם בשחיתות למען הצטרפות לאיחוד האירופי | מנהל הסוכנות נעצר 3 חודשים לאחר המינוי |
| ילדי בינה מלאכותית לפקח על פעילות החקיקה של כל חבר פרלמנט | הפרלמנט API פתוח, אפס אישור, כל הנתונים של חברי הפרלמנט חשופים |
| משולב ב-36,000+ מסמכים ממשלתיים | מסמכים שהחקירה הזו ניגשה אליהם ללא אישורים |
ממצא 3 - ניתוח Frontend של דילה AI
האבטחה הטכנית של תשתית החזית של דילה עצמה היא, כשלעצמה, מוכשרת. Azure Static Web Apps, תצורה המוזרקת בזמן ריצה, IAM תקין באמצעות Keycloak, תשתית פנימית מפולחת. אבל שאלות האבטחה שמעלה דילה אינן טכניות בעיקרן: הן מוסדיות. הסוכנות השולטת בנתוני האימון, הגישה למערכת והפרמטרים התפעוליים של דילה נפגעה על ידי האקרים של המדינה האיראנית ב-2022 ופעלה כמפעל פלילי עד דצמבר 2025. כיצד נבנתה דילה עם נתונים ממערכות שנפגעו? מי פיקח על הבינה המלאכותית נגד שחיתות בזמן שיוצריה תמרנו מכרזים?
מציאת 4 - פתח את פורטל הנתונים
ערכות נתונים זמינות
| מערך נתונים | מָקוֹר | כֶּרֶך |
|---|---|---|
| מרכזי בריאות | אקשי | 400 מרכזים עם GPS |
| בתי מרקחת ותרופות | אקשי | 2,289 רשומות |
| מרשם עסקים (טופס משפטי) | QKB | 2025 + 2026 נתונים |
| מרשם עסקים (בעלות) | QKB | 2025 + 2026 נתונים |
| מרשם עסקים (אזור) | QKB | 2025 + 2026 נתונים |
| מרשם החובות הלאומי 2024 | משרד האוצר | 4 קבצים רבעוניים |
| נתוני משרד האוצר | משרד האוצר | 900 הפצות יומיות |
| השקעות ציבוריות | משרד האוצר | נתונים חודשיים |
| e-Albania Statistics 2023 | אקשי | 12 דוחות חודשיים |
| e-Albania Users 2013–2024 | אקשי | סטטיסטיקת רישום שנתית |
| זרימת דואר בשדה התעופה 2025 | תעופה אזרחית | סטטיסטיקה חודשית |
סריקה רחבה יותר של ממשלת אלבניה
17 תחומים ממשלתיים אלבניים נחקרו בשלב פברואר 2026. הרוב מוקשחים: Incapsula WAF, תגובות 403/404, אין לוחות ניהול נגישים. ספירת שקיפות תעודה של .gov.al מרחב דומיינים באמצעות crt.sh יצר 832 דומיינים והרחיב את ספירת התת-דומיין הידועה של AKSHI מ-50 (ינואר) ל-110 (פברואר), וחושפת את Jira, Rancher, Wiki וסביבות בדיקה פנימיות - הכל מאחורי [[ZXQ1QXZ] פנימי בלבד]], לא נגישות מהאינטרנט.
| תְחוּם | תוֹצָאָה | יֵשׁוּת |
|---|---|---|
| e-albania.al | 200 (מוקשה) | פלטפורמת ממשל אלקטרוני מרכזי |
| akshi.gov.al | WordPress, WAF | סוכנות ה-IT הלאומית |
| parlament.al | React SPA - API פתוח | הפרלמנט האלבני |
| kryeministria.al | אינקפסולה WAF | משרד ראש הממשלה |
| president.al | 403 אסור | לשכת הנשיא |
| bankofalbania.org | 403 אסור | הבנק המרכזי |
| klsh.org.al | WordPress, 401 מוקשה | מוסד הביקורת העליון |
| pp.gov.al | לְמַטָה | התביעה הכללית |
| policia.al | לְמַטָה | משטרת המדינה |
| mbrojtja.gov.al | לְמַטָה | משרד הביטחון |
| financat.gov.al | לְמַטָה | משרד האוצר |
| drejtesia.gov.al | אינקפסולה WAF | משרד המשפטים |
| arsimi.gov.al | אינקפסולה WAF | משרד החינוך |
| tatime.gov.al | לְמַטָה | רשות המסים |
| dogana.gov.al | לְמַטָה | רשות המכס |
| dpshtrr.gov.al | 415 (רישום רכב) | רישוי נהיגה |
| instat.gov.al | 404 (נקי) | מכון סטטיסטיקה |
ארבעה פורטלי GIS התגלו באמצעות crt.sh ספירה: geoportal.asig.gov.al (גיאופורטל לאומי), instatgis.gov.al (סטטיסטיקה WebGIS), webgis.arrsh.gov.al (רשות הדרכים), ו webgis.atp.gov.al (תכנון שטח). אף אחת מהן לא חושפת נקודות קצה נגישות לנתוני GeoServer או WFS - כולם יישומים חזיתיים בלבד.
ארגונים עם פשרות
הקשר היסטורי: עשור של חשיפה
חשיפת הפרלמנט API לא קיימת בנפרד. אלבניה נפגעה באופן שיטתי בכל שכבה של התשתית הדיגיטלית שלה בחמש השנים האחרונות.
| תַאֲרִיך | תַקרִית | סוּלָם |
|---|---|---|
| אפריל 2021 | מאגר בוחרים דלף | 910,000 רשומות (כ-33% מהאוכלוסייה) |
| דצמבר 2021 | מאגר שכר דלף (וואטסאפ) | 637,138 רשומות (22% מהאוכלוסייה) |
| מאי 2021 | איראן HomeLand Justice זוכה בגישה ראשונית ל-AKSHI | 14 חודשים התמדה שקטה |
| יולי 2022 | התקפה הרסנית: תוכנת כופר ROADSWEEP + מגב ZeroClare | אלבניה מאלצת שירותי ממשלה במצב לא מקוון |
| ספטמבר 2022 | אלבניה מנתקת את הקשרים הדיפלומטיים עם איראן | נאט"ו מגנה את המתקפה |
| אוקטובר 2022 | המשטרה חושדת שמאגר מידע דלף באמצעות טלגרם | ~100,000 רשומות, 1.7 GB |
| דצמבר 2023 | פרלמנט + טלקום אלבניה אחד הותקף | 2 פטה-בייט טענו שהושמדו |
| ינואר 2024 | מכון הסטטיסטיקה INSTAT נפרץ | 100+ שחפת נטען שהוצאו |
| ספטמבר 2025 | דילה מינתה לשר בינה מלאכותית | — |
| דצמבר 2025 | מנכ"ל AKSHI נעצר על שחיתות | 12 מכרזים בבדיקה |
| פברואר 2026 | הפרלמנט API נמצא פתוח - החקירה הזו | 54,545 מסמכים, 236 חברי פרלמנט PII |
הקבוצה בחסות המדינה האיראנית HomeLand Justice (MITRE ATT&CK C0038, מיוחס על ידי ה-FBI, CISA, NATO ו-NCSC של בריטניה למשרד המודיעין והביטחון של איראן) הפר את AKSHI על ידי ניצול CVE-2019-0604 (Microsoft SharePoint). הגישה הראשונית הוקמה במאי 2021 - ארבעה עשר חודשים לפני המתקפה ההרסנית שהושקה ביולי 2022. במהלך אותו חלון, גנב המידע CHIMNEYSWEEP הסתנן נתונים מהסוכנות שתבנה מאוחר יותר את שר הבינה המלאכותית של אלבניה.
מלאי נתונים
אוסף כולל: 251 מגה-בייט על פני 1,309 קבצים, שוחזר מנקודות קצה נגישות לציבור ולא מאומתות וכתובות URL של Azure Blob Storage.
OSINT מתודולוגיה והודעה משפטית
כל הנתונים בחקירה זו שוחזרו באמצעות טכניקות פסיביות ואקטיביות OSINT שהוחלו על נקודות קצה API נגישות לציבור ובלתי מאומתות וכתובות URL של Azure Blob Storage. שום אימות לא עקף. לא נבדקו או השתמשו באישורים. שום בקרות גישה לא עקפו. API של הפרלמנט האלבני הגיב לבקשות GET סטנדרטיות HTTP מבלי לדרוש כל צורה של זיהוי או אסימון.
דוח זה עוקב אחר המתודולוגיה הסטנדרטית של ODINT: תשתית הפונה לציבור מונה, מתועדת ומדווחת. PII שנאסף מ-APIs פתוח מוצג בצורה מצטברת או ערוכה. רשומות גולמיות PII מוחזקות בגישה מוגבלת ואינן מתפרסמות בפומבי. גישה למערכי נתונים מוגבלים עשויה להינתן לעיתונאים, חוקרים וגופים ממשלתיים מושפעים על פי בקשה.