דו״ח סייבר שבועי
עדכון שבועי 16.02.2023
עיקרי הדברים
-
ישראל: מתקפת סייבר על הטכניון. האקרים דורשים 6 מיליון ש״ח. מערכות המוסד הושבתו ובחינות נדחו. משטרת ישראל עצרה חשודים בהפעלת קמפיין הודעות פישניג.
-
מתקפת סייבר על חברת התעופה הסקנדינבית SAS, נפרצה האפליקציה ומידע הודלף.
-
ארה״ב: צפון קוריאה עושה שימוש במקפות כופרה כדי לתקוף מוסדות בריאות על מנת לממן את תוכנית הגרעין שלה.
-
מערך הסייבר מזהיר: תוקפים מדינתיים עושים שימוש בשירות הענן Office 365 לתקיפה; אזהרה מפני תקיפות באמצעות קבצי OneNote.
-
*אנו ממליצים את המוצרים הבאים: מוצרי אפל (Zero Day); מוצרי Microsoft (Zero Day); מוצרי Cisco (קריטי); דפדפן Firefox של Mozilla (גבוה); *
תוכן עניינים
הציטוט השבועי
איפה אפשר לקרוא את הדוחות
חולשות חדשות
Cisco פרסמה עדכון אבטחה קריטי למוצריה המושפעים מחולשה של Spring
ארגון CISA מוסיף 3 חולשות לקטלוג החולשות המנוצלות
חברת Apple משחררת עדכוני אבטחה אשר נותנים מענה לחולשת Zero Day
עדכוני אבטחה למוצרי Adobe נותנים מענה לחולשות קריטיות
מיקרוסופט מפרסמת עדכונים למספר רב ממוצריה - ביניהם עדכונים לחולשות Zero Day
חברת Mozilla מפיצה עידכון אבטחה ברמה גבוהה ל Firefox ו Firefox ESR
התקפות ואיומים
Microsoft OneNote משמשת להעברת הנוזקה QakBot
השבוע בכופרה
סייבר בעולם
הפלטפורמה הפופולרית ״Reddit״ מעדכנת כי בעקבות קמפיין phishing שכוון לעובדיה, זוהתה גישה בלתי מורשית למערכותיה ולפרטי העובדים והמשתמשים
שירות רישום הדומיינים Namecheap נפרץ ונשלחו ממנו מיילי פישינג
חברת הביקבוק של Pepsi נפרצה, דלף מידע על לקוחות
סייבר בישראל
״הטכניון״ מאשר כי שרתיו הותקפו במתקפת סייבר, התוקפים דורשים כופר של יותר מ-6 מיליון שקלים
משטרת ישראל עצרה חשודים בהפעלת קמפיין הודעות פישינג
סייבר ופרטיות - רגולציה ותקינה
בית הדין האירופאי לזכויות האדם: קציני הגנת הפרטיות של מידע אישי (DPOs) חייבים להקפיד על העדר ניגוד עניינים
חשש לסחר במידע רפואי אישי מצד ספקים של שירותי בריאות מקוונים בארה"ב: פרשת GoodRX
היערכות פורנזית עבור שירותי ענן: הצעה חדשה של NIST לבניית שיטה פורנזית ממוקדת ענן
כנסים
הציטוט השבועי
״פושעי סייבר, במיוחד אלה בברוסיה, רוצים לתקוף תשתיות קריטיות ועסקים בארה"ב ולנצל את המערכת הפיננסית הבינלאומית. ארה"ב נוקטת היום בפעולה בשיתוף עם בריטניה מכיוון ששיתוף פעולה בינלאומי הוא המפתח לטיפול בפשעי סייבר שמקורים ברוסיה.״
תת השר בריאן א. נלסון. בעקבות הטלת הסנקציות על חברי כנופיות Trickbot
איפה אפשר לקרוא את הדוחות
ערוץ הטלגרם
https://t.me/corona_cyber_news
חולשות חדשות
Cisco פרסמה עדכון אבטחה קריטי למוצריה המושפעים מחולשה של Spring
החולשה התגלתה במרץ 2022, ורמת חומרתה היא CVE-2022-22965 CVSS 9.8. ניצול החולשה קיים בשני אפליקציות הרצות על סביבת JDK בגרסא 9+ : 1. Spring MVC ו- ו-Spring WebFlux 2. Apache Tomcat עם אפליקציה שרצה על WAR ( ארכיון קבצים ). אפליקציות אלו רצות על מספר רב של מוצרי Cisco; בין המוכרים, Cisco CX Cloud Agent Software, Cisco Enterprise Chat and Email ועוד. רשימת המוצרים המלאה נמצאת כאן.
צוות קונפידס ממליץ למשתמשים במוצרי Cisco לעדכן בהקדם האפשרי אותם, בהנחה והם חלק מהמוצרים המושפעים.
ארגון CISA מוסיף 3 חולשות לקטלוג החולשות המנוצלות
החולשות שהתווספו הן:
CVE-2023-0669 - Fortra, GoAnywhere MFT - הרצת קוד שרירותי מרחוק ללא אימות.
CVE-2022-24990 - TerraMaster OS - הרצת קוד שרירותי מרחוק ללא אימות.
CVE-2015-2291 - Intel Ethernet Diagnostics Driver - חולשה המאפשרת DDoS.
צוות קונפידס ממליץ למשתמשי המוצרים הבאים להגביל את הגישה אליהם מן האינטרנט לרשת הפנימית במידת האפשרות ולעקוב אחרי הוראות היצרן לעדכון ותיקון החולשות.
חברת Apple משחררת עדכוני אבטחה אשר נותנים מענה לחולשת Zero Day
חברת Apple משחררת עדכוני אבטחה ל-iOS, iPadOS, macOS ו-Safari אשר נותנים מענה לחולשת Zero-Day שזוהתה כי מנוצלת כעת על ידי תוקפים. החולשה (CVE-2023-23529) היא מסוג Type Confusion במנוע הדפדפנים WebKit שמנוצלת כאשר קורבנות גולשים אל אתרי אינטרנט זדוניים בבעלות התוקפים, מה שיגרום להרצה של קוד זדוני בעמדה פגיעה. מחברת Apple נמסר כי החולשה טופלה בעדכונים וכי הם מודעים לנסיונות לניצול החולשה על ידי גורמים זדוניים. נכון לעכשיו עדיין לא ברור כיצד מנוצלת חולשת ה-Zero Day אך זוהי החולשה השנייה מסוג Type Confusion שהתגלתה במנוע הדפדפנים WebKit של Apple. בחודש דצמבר התגלתה חולשה נוספת מסוג זהה (CVE-2022-23514). צוות קונפידס ממלית למשתמשי המוצרים לעדכנם לגרסה העדכנית ולפעול על פי הוראות היצרן.
עדכוני אבטחה למוצרי Adobe נותנים מענה לחולשות ברמת חומרה גבוהה
Adobe פירסמה עדכונים למוצרים מרובים שלה, ביניהם ל InDesign, After Effects ו-Photoshop אשר מתקנים חולשות מרובות. החולשה החמורה מבניהן (CVE-2023-22237, CVSS 7.8) עלולה לאפשר לתוקף הרצה של קוד שרירותי. חולשות נוספות ברמת חומרה בינונית, עלולות לאפשר לתוקף לבצע מתקפת מניעת שירות בהקשר של האפליקציה ולדליפה של זיכרון. אנו בקונפידס ממליצים למשתמשי המוצרים לעדכנם בהקדם לגרסאותיהם האחרונות.
מיקרוסופט מפרסמת עדכונים למספר רב ממוצריה - ביניהם עדכונים לחולשות Zero Day
חולשות רבות התגלו במוצרי מיקרוסופט, כאשר החמורה שבהן עלולה לאפשר לתוקף הרצת קוד מרחוק. ניצול מוצלח של הפגיעויות עם רמת החומרה הגבוהה ביותר שהתגלו עשוי לאפשר לתוקף להריץ קוד מרחוק עם ההרשאות של חשבון השירות המושפע. בהתאם להרשאות הקשורות לחשבון שעליו השתלט התוקף, הוא יוכל להתקין תוכניות. להציג, לשנות או למחוק נתונים ואף ליצור חשבונות חדשים עם זכויות משתמש מלאות.
מבין החולשות שהתגלו, ישנן 3 חולשות Zero Day שנמצאו מנוצלות באופן פעיל ע״י תוקפים:
CVE-2023-21823 - פגיעות Windows Graphics Component Remote Code Execution היא פגיעות של ביצוע קוד מרחוק שעלולה לאפשר לתוקף להריץ קוד בהרשאות גבוהות.
CVE-2023-21715 - עקיפה של תכונות האבטחה של Microsoft Publisher מאפשרת לתוקף להימנע ממדיניות המונעת ביצוע של פקודות מאקרו מקבצים לא מהימנים.
CVE-2023-23376 - פגיעות Windows Common Log File System Elevation of Privilege עלולה לאפשר לתוקף להשיג הרשאות ברמת SYSTEM במערכת.
העדכונים רלוונטים לרשימת המוצרים הבאה המצוייה בפרסום הרשמי של מיקרוסופט.
קונפידס ממליצה למשתמשים במוצרים המוזכרים לעדכנם לגירסתם האחרונה.
חברת Mozilla מפיצה עידכון אבטחה ברמה גבוהה ל Firefox ו Firefox ESR
חברת Mozilla מפיצה עדכון אבטחה עבור שתיים מהמוצרים שלה Mozilla Firefox ו-Firefox ESR. העדכון כולל בתוכו תיקונים לעשרה חולשות ברמת חומרה גבוהה, וביניהם חולשות שניצולן יאפשר לתוקף לבצע מתקפות מסוג use-after-free, spoofing, ועוד. בנוסף לכך העדכון מכיל תיקונים עבור ארבע חולשות ברמת חומרה בינונית ועוד חמש חולשות ברמת חומרה נמוכה.
חברת קונפידס ממליצה למשתמשים במוצרים אלה לבצע עדכון גרסה לזו האחרונה כפי שפורסמה על ידי חברת Mozilla.
התקפות ואיומים
Microsoft OneNote משמשת להעברת הנוזקה QakBot
חוקרי אבטחה גילו לאחרונה עלייה בכמות התקיפות המבצעות שימוש ב Microsoft OneNote על מנת להעביר נוזקות ביניהם הנוזקה QakBot. המתקפה מתבצעת באמצעות שליחת קבצים עם הסיומת one. שימוש בסיומת זו נובע בעיקר בעקבות כך שניתן להטמיע בקבצים מסוג זה קבצים מסוגים שונים הכוללים קבצי LNK וסקריפטים. בנוסף, נמצא כי גרסאות מסויימות של OneNote אינן מתחשבות בסימון Mark of the Web המשמש לזיהוי קבצים שהורדו מהאינטרנט, יש לציין ששימוש בשיטת תקיפה זו הופך נפוץ למרות החסימה שחברת Microsoft ביצעה כברירת מחדל להפעלת סקריפטים בתוכנות כמו Office כניסיון של החברה להפחית את השימוש בשיטת תקיפה זו. בנוסף נמצא כי מתקפה זו מתמקדת במערכות הפעלה של Windows וזאת נקבע על ידי כך שבניסיון פתיחה של הקובץ במערכות של Mac,Linux ו android הקורבן מקבל שגיאה 404 כאשר מועבר לשרת המאחסן את הקובץ הזדוני וכשאר מבוצע ממערכת הפעלה של Windows הקורבן מועבר להורדה של הקובץ הזדוני.
על מנת להימנע מפגיעות למתקפה זו חברת קונפידס ממליצה לבחון אפשרות למניעת קבלת קבצים מסוג זה באמצעות מערכות האימייל, ניטור של הפעלת תוכנות אשר יכולות להריץ סקריפטים מתוך היישום OneNote, בנוסף ניתן להשתמש ביכולות של מערכת ההפעלה כגון Attack Surface Reduction או Exploit Guard על מנת למנוע את ההאפשרות ליצור תהליכים מתוך יישומי Office.
סייבר בעולם
הפלטפורמה הפופולרית של לוח מודעות מקוונות ״Reddit״ חשפה כי הייתה קורבן לאירוע אבטחה שהתגלה ב-5 בפברואר. במסגרת האירוע, החברה גילתה קמפיין phishing שכוון לעובדיה, במסגרתו נשלחו הנחיות לעובדים להיכנס לאתר שדומה לאתר החברה, בניסיון לגנוב את סיסמאותיהם ופרטי אימות דו-שלבי. לאחר שהתוקפים הצליחו להשיג את פרטיו של עובד אחד, הם השיגו באמצעותם גישה למספר מסמכים פנימיים, קודים ומערכות עסקיות של החברה. החברה עדכנה כי פרצת אבטחה זו כללה מידע ליצירת קשר עם מאות עובדי ״Reddit״, בעבר ובהווה, וכן מידע מוגבל על מפרסמים שמשתמשים בפלטפורמה. עם זאת, החברה מדגישה כי לאחר בדיקות מעמיקות, היא לא מצאה עדויות לכך שנעשה שימוש במידע שאינו פומבי אודות עובדיה או משתמשיה, וכי לא מצאה שהמידע שהודלף פורסם ברשת האינטרנט.
שירות רישום הדומיינים Namecheap נפרץ ונשלחו ממנו מיילי פישינג
שירות רישום הדומיינים Namecheap נפרץ ביום ראשון ה 12 לחודש, דבר שהביא לתחילת קמפיין פישינג עם הודעות המתחזות לחברת MetaMask שמספקת שירותים של ארנקי קריפטו וחברת המשלוחים DHL במטרה לגנוב פרטים אישיים וארנקי קריפטו מקורבנות, קמפיין הפישינג התחיל מ SendGrid, פלטפורמת מיילים של Namecheap המשמשת לשליחת מיילים לחידושי מנויים ומיילי שיווק. מנכ״ל החברה Richard Kirkendall אישר את אירוע הפריצה לאחר שאנשים אשר קיבלו את הודעות הפישינג החלו להתלונן בטוויטר והוסיף כי הפסיקו את שליחת המיילים מ SendGrid בזמן שהם מבצעים חקירה וכי ייתכן והפריצה קשורה לדוח שפורסם על כך שמפתחות ה API של Mailgun, MailChimp, ו SendGrid חשופים על אפליקציות סלולר. בקמפיין הפישינג נשלחו שתי הודעות אימייל אחת המתחזה להודעה מחברת DHL ומודיעה על דרישה לתשלום עמלה על מנת להשלים שליחת חבילה ומובילה לאתר המיועד לגנוב את פרטי הקורבן והודעה נוספת המתחזה להודעה מחברת MetaMask ומבקשת מהקורבן לאמת את פרטי הארנק שלו תוך כולל הזנה של מפתח ההצפנה על מנת לגנוב מטבעות מארנק הקריפטו. בהודעה שפורסמה מטעם Namecheap ביום ראשון בערב נמסר כי הפריצה אינה קשורה למערכות שלהם ונגרמה בעקבות מערכת צד שלישי בה החברה עושה שימוש לשליחת מיילים.
חברת הביקבוק של Pepsi נפרצה, דלף מידע על לקוחות
חברת הביקבוק Pepsi Bottling Ventures LLC בבעלות חברת המשקאות Pepsi נפרצה ומידע של לקוחות דלף לרשת. Pepsi Bottling Ventures היא חברת הביקבוק הגדולה ביותר של Pepsi בארצות הברית ואחרית על ייצור, מכירה והפצה של המשקה. בהודעה שהחברה הוציאה למשרד היועץ המשפטי לממשלה של מחזור מונטנה נאמר כי הפריצה קרתה ב 23 לדצמבר 2022 אבל התגלתה במערכות החברה רק ב 10 לינואר 2023 כעבור 18 ימים במהלכם התוקף ביצע גניבת נתונים על לקוחות החברה הכולל שמות פרטיים ושמות משפחה, כתובות מגורים, תעודות זיהוי ורישיונות נהיגה, מידע מדרכונים, חתימות דיגיטליות ועוד. בתגובה לאירוע החברה ביצעה פעולות הכוללת הוספה של אמצעי אבטחה לרשת האינטרנט, החלפת סיסמאות גורפת לכלל החברה והמשך ניטור על נכסי החברה.
סייבר בישראל
״הטכניון״ מאשר כי שרתיו הותקפו במתקפת סייבר, התוקפים דורשים כופר של יותר מ-6 מיליון שקלים
דוברות המוסד האקדמי ״הטכניון״ אישרה כי בשעות הלילה של יום שבת שרתיה הותקפו במתקפת סייבר. מערכות המחשוב של ״הטכניון״ נותקו באופן יזום על מנת להכיל ולחקור את המתקפה. בנוסף, הסטודנטים נתבקשו לנתק את מחשביהם האישיים מרשת המוסד, ולצמצם את תעבורת המיילים עד להודעה חדשה. הבחינות שתוכננו להתקיים באותו היום במוסד האקדמי התקיימו כסדרן, אולם ההנהלה הודיעה כי הבחינות שהיו אמורות להתקיים בימים הבאים יידחו לתחילת סמסטר האביב.
למרות ש״הטכניון״ לא אישר כי מדובר במתקפת כופרה, נחשף מייל שנשלח לכאורה על ידי קבוצת ההאקרים DarkBit שעומדת מאחורי המתקפה, בו היא דורשת כופר של 80 ביטקוין - סכום ששווה ליותר מ-6 מיליון שקלים. במידה והכופר לא ישולם, התוקפים איימו להעלות את הסכום ל-104 ביטקוין.
חוקרים מעריכים כי מקור התקיפה באיראן, וכי המניע למתקפה אינו כלכלי בלבד, אלא גם אידיאולוגי-פוליטי. בהודעת הכופר, התוקפים כתבו: ״אנחנו מצטערים להודיע שפרצנו לרשת של הטכניון והעברנו את כל הדאטה לשרתים המאובטחים שלנו. תישארו רגועים, קחו נשימה ותחשבו על משטר האפרטהייד שגורם לצרות פה ושם. הם צריכים לשלם על השקרים והפשעים שלהם, על השמות והבושות שלהם. הם צריכים לשלם על הכיבוש, על פשעי מלחמה נגד האנושות, על הריגת האנשים (לא רק הגופות של הפלסטינים, אלא הנשמות של הישראלים) ועל הריסת העתיד וכל החלומות שהיו לנו". בנוסף, התוקפים פרסמו בערוץ הטלגרם שלהם חלקים רבים מהטקסט שהופיע במכתב הכופר. כמו כן, התוקפים פתחו פרופיל לינקדאין מזויף לנשיא הטכניון, בו הם הודיעו בשמו על התפטרותו בעקבות מתקפת הסייבר על המוסד.
(מקור שתי התמונות: דו״ח PDF של קלירסקיי)
משטרת ישראל עצרה חשודים בהפעלת קמפיין הודעות פישניג
בתום חקירה של יחידת הסייבר של משטרת ישראל במחוז מרכז, נעצרו 3 חשודים תושבי השפלה בחשד לשליחת הודעות פישינג המתחזות להודעות ממוסדות פיננסים. החקירה התנהלה במשך מספר חודשים במבצע משותף של יחידת הסייבר של מחוז מרכז תחנת משטרת יבנה, תחנת משטרת רחובות ומערך ביטחון הבנקים. מוערך כי במהלך פעילות הפישינג, החשודים גנבו מעל למיליון שקלים מקורבנותיהם. המתקפה בוצעה במספר שלבים: בשלב ראשון שליחת הודעת סמס המתחזה להודעה לגיטימית מהבנק בה הקורבן התבקש להזין את פרטי המשתמש לחשבון האינטרנטי של מערכת הבנק. שלב שני, הקורבנות קיבלו הודעה נוספת מהחשודים בה נאמר כי זוהתה פעילות חשודה בחשבונם וכי נציג יצור איתם קשר. בשלב שלישי, אותו ״נציג״ יצר קשר עם הקורבן בהתחזות לאיש ביטחון של הבנק ובמהלך השיחה הוציא מהקורבנות קודי משיכה או קוד להחלפת מנוי טלפון בחשבון לאחר קבלת כלל הפרטים החשודים השתמשו במידע על מנת לבצע משיכת והעברת כספים מהחשבונות.
סייבר ופרטיות - רגולציה ותקינה
בית הדין האירופאי לזכויות האדם: קציני הגנת הפרטיות של מידע אישי (DPOs) חייבים להקפיד על העדר ניגוד עניינים
ביום 9.2.2023 פסק בית הדין האירופאי לזכויות האדם, ה-CJEU, כי תפקיד ה-Data Protection Officer, כפי שהוא מוגדר בסעיפים 37-39 של ה- General Data Protection Regulation, מחייב הפרדה זהירה בין תפקידי ה-DPO ומשימותיו. זאת, כדי שלא ייבצר ניגוד עניינים בניהול זכויות היסוד לפרטיות המידע האישי של נושאי מידע בתוך הארגון שבו מכהן ה-DPO. מדובר בהחלטה של בית הדין שמבהירה כי על אנשים שממלאים את התפקיד הזה בארגון חייבים להיות בעמדה שמאפשרת ביצוע חובותיהם ומשימותיהם באופן עצמאי ובלתי-תלוי. יחד עם זאת, לפי ההערכה של מר ג'ו ג'ונס, מנהל המחקר בארגון מומחי הגנת הפרטיות הבינלאומי (ה-IAPP), לעתים קרובות, "...לא ניתן להפקיד בהם משימות או חובות שיביאו לכך שהוא יקבע את המטרות והשיטות לעיבוד מידע אישי מצד הבקר [controller] או המעבד [processor] שלו." בית הדין גם פסק כי הקביעה של קיומו של ניגוד עניינים הינו ענין שכל מדינה באיחוד האירופאי חייבת להחליט בעצמה, בהתאם לפרשנותה של הכללים של ה-General Data Protection Regulation שמסדיר את תפקידי ה-DPO באופן מפורש בסעיף 39 שלו. פסק הדין של ה-CJEU מתפרסם בשעה שהגוף הכלל-אירופאי שמפקח על אכיפת ה-GDPR, ה-European Data Protection Board, יוזם תהליך של אכיפה שממוקדת במינוי של ה-DPO.
חשש לסחר במידע רפואי אישי מצד ספקים של שירותי בריאות מקוונים בארה"ב: פרשת GoodRX
בתחילת חודש פברואר יזם ה-Federal Trade Commission בארה"ב מהלך תקדימי נגד חברת GoodRX, חברה שמספקת תרופות ללקוחותיה דרך אתר אינטרניטי. ה-FTC טוען כי החברה התחייבה ללקוחות שלעולם לא תשתף גורמים שלישיים במידע האישי והרפואי שלהם, אך מסתבר ש-GoodRx אכן שלחה פרטים אלה לפייסבוק, גוגל וחברות אחרות, באמצעות כלי מעקב דיגיטליים שהותקנו באתר החברה. בעקבות הפרשה, קבוצה של סנאטורים בקונגרס של ארה"ב פתחה בחקירה של התופעה. לפי נתונים שהתפרסמו במסגרת חקירה ראשונית, 49 מתוך 50 החברות שמספקות תרופות ללקוחות באופן מקוון ושנבדקו, העבירו מידע אישי ובריאותי של לקוחותיהם לחברות פרסום. פרטים אלה כוללים תשובותיהם של לקוחות לשאלות תוצאות מיון רפואיות, ומינונים של התרופות שהם רכשו. החקירה שנערכת בסנאט ממשיכה לברר את היקף התופעה ולשקול צעדים חקיקתיים בהמשך.
היערכות פורנזית עבור שירותי ענן: הצעה חדשה של NIST לבניית שיטה פורנזית ממוקדת ענן
החודש פרסם ה-NIST לראשונה מסמך שמציע מודל ומתודולוגיה של ארכיטקטורה להיערכות הפורנזית של שירותי ענן (Cloud Computing Forensic Reference Architecture). מדובר במתודולוגיה שתסייע למשתמשים של שירותי ענן להתמקד באתגרים הפורנזיים שעשויים להתקיים בשירותי ענן בהם משתמש הארגון. המסמך של NIST שמאפשרת לזהות חשיפות וסיכונים שבשימוש של שירותי הענן, ומציע גם אמצעים למזעור סיכונים אלה. בנוסף, המסמך מפרט את הצרכים הרבים שקיימים כיום לפורנזיקה של שירותי ענן, וביניהם: חקירות פליליות, ניתוחם של אירועי סייבר, ותביעות אזרחיות שונות. המסמך גובש על ידי קבוצת עבודה ב-NIST, והציבור מוזמן חלהגיש הערות עד יום 31.3.2023.
כנסים
דיסקליימר: המידע שמופיע בדוח זה מיועד להרחבת הידע של הקוראים והקוראות בלבד, ואינו מהווה תחליף לייעוץ רגולטורי, משפטי ו/או טכני בתחומים אליהם מתייחס הדו"ח. חברת קונפידס אינה אחראית לתוצאות של הסתמכות הקוראים על המידע שמוצג בדו"ח, ואינה נושאת באחריות כלשהי עבור אופן השימוש בו ו/או נזקים כתוצאה מכך. אזכור מקור מידע כלשהו אינו מהווה אישור למהימנותו; ואנו שומרים את הזכות לעדכן ולתקן את המידע שבדוח בכל זמן.
בכתיבת הדו״ח השתתפו: רחל ביניאשוילי, רם לוי, דבּ האוסן-כוריאל, אלי זילברמן-כספי, אלינה מיטלמן-כהן, יובל אוחנה, רוני עזורי, עמית מוזס, בת-אל גטנך, עמרי סרויה, עדי טרבלסי, נעמי גליצקי, תמר מרדיקס ושירי מס ברזילי.