הלחץ במפלגת השלטון היה גדול. קצת יותר מחודש לפני הבחירות חתמה הממשלה על עסקה לרכישת מערכת המאפשרת איסוף וניתוח מידע על פעילות של אזרחים. המערכת יועדה לשימוש השב"כ המלזי (SB — Malaysian Special Branch), ומטרתה היתה לעקוב אחרי פעילים פוליטיים של האופוזיציה. מי שפיתחה את המערכת וסיפקה אותה למלזים היתה חברת מודיעין הסייבר הישראלית סנפאי (Senpai).

העסקה בין הצדדים נסגרה באפריל 2018 עם תג מחיר של 1.5 מיליון דולר, וזכתה לשם הקוד "פרויקט מגנום". מכיוון שלישראל ומלזיה אין יחסים דיפלומטיים רשמיים, היא נחתמה רשמית מול חברת צינור קפריסאית של סנפאי בשם קוהאי (Kohai), שאותה הקימו שניים מבעלי המניות שלה בשביל המטרה הזאת בלבד — לשמש ה"פרונט" של עסקאות כאלה. המטרה, "חקירות פוליטיות", לא הוסתרה מהחברה הישראלית, ואף מופיעה במפורש בתכתובות מייל פנימיות שלה.

מלזיה לא היתה היעד השנוי במחלוקת היחיד של סנפאי. ממסמכים שהגיעו לידי "מוסף כלכליסט" עולה שהחברה ניהלה בעבר משא ומתן למכירת המערכת והשירותים שלה גם לעומאן, הסולטנות המוסלמית בדרום־מזרח חצי האי ערב, שאף היא אינה מקיימת קשרים רשמיים עם מדינת ישראל.

לא רבים שמעו על סנפאי, שבינתיים הקפיאה את פעילותה. אבל היא אחת משורה ארוכה של חברות סייבר ישראליות שאינן בוחלות בעבודה עם מדינות טוטליטריות או ממשלות שאינן מקיימות קשרים עם ישראל (עוד על כך בהמשך). וכמו מתחרותיה, גם סנפאי כיוונה גבוה. כך למשל, במאי 2019 פורסם כי היא מתכננת מיזוג עם חברה נוספת, שייצור חברה שתוביל את הסקטור ותוכל להתחרות בחברות סייבר התקפי כמו ורינט ו־NSO.

מוצר הדגל של סנפאי הוא המערכת RogueEye, שאוספת מידע על אנשים ממקורות גלויים באינטרנט, כמו רשתות חברתיות, מצליבה מקורות ומנתחת נתונים כדי להפיק דו"חות מודיעין עבור ארגוני ביון, משטרה, צבא וגופים עסקיים. בין היתר, נשען מערך איסוף המידע של סנפאי על אוואטרים — פרופילים פיקטיביים ברשתות חברתיות שעוקבים אחרי המטרה וחולבים ממנה מידע באמצעות תקשורת ישירה עמה.

מיד אחרי הבחירות במלזיה, כך עולה מתכתובות שהגיעו לידי "מוסף כלכליסט", נערכו בסנפאי לחוזי המשך עם השב"כ המלזי, תוך התאמת ההסכמים והייעוד של המערכת לכך שמפלגת השלטון נחלה  הפסד צורב בבחירות. "הלקוח קיבל את המסמכים ואנחנו מחכים לתגובתו", כתב רועי שלומן, סמנכ"ל המכירות של סנפאי, במייל ששלח לשותפים בחברה בעשרה ביוני 2019 תחת הכותרת "Magnum". "כידוע לכם אחרי הבחירות הרבה דברים השתנו שם והפכו ליותר מורכבים. לצורך ניהול המשא ומתן, ובהסתמך על שיחות קודמות איתם, אני חושב שאנחנו צריכים לבקר ב־KL (קואלה לומפור, בירת מלזיה)".

ושלומן ממשיך: "המטרה המרכזית שלנו בנסיעה כזאת היא לפגוש את הלקוחות פנים אל פנים, ולתת להם קצת טיפים וטריקים איך להפיק את המקסימום מהמערכת... תזכרו כי היעדים שלהם השתנו אחרי הבחירות מחקירות פוליטיות לחקירות של פשעים פליליים וטרור".

בהמשך המייל כותב שלומן כי הוא חושב שהשינויים במלזיה צריכים להוביל את סנפאי לפנות גם לאנשי עסקים: "השימוש בקשרים שלנו יסייע לנו להציע את המערכת ואת השירותים למגזר העסקי ולסוכנויות ממשל נוספות עם תקציבים נמוכים", כתב שלומן.

יעדי המכירות וזהות הלקוחות הפוטנציאליים הנוספים של סנפאי במלזיה נחשפו בהתכתבות ווטסאפ ממאי 2019 בין בעל המניות אריק בנון, שמתואר על ידי מקורבים לחברה כ"מנוע" הצמיחה שלה לאיתור לקוחות ועסקאות, לבין טל דיליאן, מי שניהל משא ומתן מתקדם לרכישת החברה. בתכתובת פורס בנון את מצב החוזים העתידיים שדובר עליהם בעל פה עם הלקוחות או באמצעות הקשרים שלהם: "מלזיה: שלב שני (Phase 2) ל־SB - 300 עד 400 אלף דולר. משרד ראש הממשלה — 2 עד 2.5 מיליון דולר. הרשת למלחמה בשחיתות — 800 אלף דולר עד 2.2 מיליון דולר. המשטרה — 800 עד 2.2 מיליון דולר". באותה תכתובת מציין בנון גם את פוטנציאל העסקה במדינה המזרח תיכונית עומאן — 1.2 עד 2.5 מיליון דולר. לא ידוע אם העסקאות האלה נחתמו בסופו של דבר.

רזאק עלה לשלטון במלזיה ב־2009 בניצחון סוחף וצפוי: אביו היה ראש ממשלה אהוב, הוא עמד בראש "הארגון הלאומי המלזי המאוחד", המפלגה ששלטה במדינה מאז הכרזת עצמאותה ב־1957, וברקורד שלו שורה ארוכה של תפקידים בממשלה ובהם שר הביטחון, שר החינוך ושר האוצר — האיש שהוציא את מלזיה מהמשבר הפיננסי של 2008. הציבור במדינה הדרום־מזרח אסייתית אהב את המדיניות הליברלית שלו, ששמה דגש על תקשורת ישירה בין הממשל לאזרח ועל צמיחה כלכלית, שהיתה כה נחוצה למדינה המתפתחת.

לאחר היבחרו הקים רזאק קרן השקעות ממשלתית ששמה 1MDB כדי להשקיע בשיתופי פעולה גלובליים, שיתרמו לשגשוג כלכלת המדינה. יותר ממיליארד דולר העבירה מלזיה לקרן, שגייסה בכמה הנפקות לפחות 6.5 מיליארד דולר נוספים באג"ח. אך לאחר חקירה אינטנסיבית של משרד המשפטים האמריקאי, התברר שהקרן הביאה לשגשוג בעיקר של רזאק ומקורביו. כבר בחודשים הראשונים לחייה, השקיעה הקרן מיליארדים מכספי משלמי המיסים המלאיים בשורה של חברות מפוקפקות, חלק מהן, כמו חברה ששמה PetroSaudi, נראו כאילו הוקמו במיוחד למטרה זו. ניהול הקרן הופקד בידי איש עסקים צעיר ולא מוכר בשם ג'ו לו, שהיה מיודד עם בנו החורג של רזאק, כמו גם עם כמה מיליארדרים ממדינות המפרץ.

ייתכן שהמעילה הגרנדיוזית לא היתה נחשפת, אילו האנשים שהכסף זרם לחשבונותיהם היו מהזן הצנוע מעט יותר. אלא שהם היו ההפך הגמור. לו התפרסם בגלל מסיבות הענק שארגן, הוא שילם לכוכבים אמריקאים כמו פריס הילטון וג'יימי פוקס מיליונים כדי לבלות איתו, שכר את בריטני ספירס לקפוץ מעוגה והעניק מכוניות בוגאטי במתנה לחברים. ואילו רוסמה מנסור, אשתו השנייה של רזאק, זכתה לכינוי "אימלדה מרקוס המלזית" בזכות חיבתה לבזבוזים מנקרי עיניים. החקירה של משרד המשפטים האמריקאי העלתה כי מנסור בזבזה לפחות 6 מיליון דולר מכספי הקרן הממשלתית. במקרה אחד, כך דווח במלזיה, היא מילאה מטוס סילון שלם במוצרי יוקרה במסע קניות יחיד.

הכסף של אזרחי מלזיה מימן לראש הממשלה ולחבורה שהקיפה אותו אורח חיים ראוותני להחריד: פנטהאוז בבניין טיים וורנר במנהטן שעלה 30 מיליון דולר, דירת קונדו בפארק לורל במנהטן ב־33 מיליון דולר, עוד פנטהאוז במנהטן ב־51 מיליון דולר, אחוזה בבוורלי הילס ב־31 מיליון דולר, בית בלוס אנג'לס שעלה כמעט 40 מיליון דולר, טאון־האוס בלונדון ב־42 מיליון דולר, מטוס מנהלים פרטי של חברת בומברדייה ב־35 מיליון דולר, ציורים של ואן גוך ומונה בכמעט 100 מיליון דולר וחברת הפקות הוליוודית נוצצת, שעמדה מאחורי הסרט "הזאב מוול סטריט" בכיכובו של לאונרדו דיקפריו, שבאופן אירוני עוסק בחיים ההדוניסטיים של מועל בכספי הציבור.

המעילה לא הוגבלה רק למשפחת השלטון ומקורביה. רזאק עלה לשלטון אחרי המשבר הכלכלי של 2008, בזמן שבנקאי ההשקעות ששרדו חיפשו שווקים אלטרנטיביים, ורבים מהם פנו למזרח. טים לייסנר, מי שניהל את גולדמן זאקס בדרום־מזרח אסיה, רצה לקחת חלק בחגיגת המיליארדים במלזיה. גולדמן הנפיקה עבור הקרן שהקים רזאק אג"ח בשווי 3.5 מיליארד דולר תמורת שכר טרחה של 600 מיליון דולר — פי 200 מהמקובל בתחום. הטענה היא שהתשלום היווה שוחד, בתמורה להעלמת עין משחיתות ופעילות לא חוקית בהנפקה.

בשנת 2015 קרן 1MDB צברה חובות כה גדולים, עד שהממשלה היתה צריכה להעביר כסף ממקומות אחרים. בין השאר היא רוקנה את קרן האג'י, ששימשה את ציבור המוסלמים במדינה לצבירת חסכונות לעלייה למכה. רבים מהם הפרישו לקרן כספים במשך עשרות שנים כדי שיוכלו לקחת חלק במצווה החשובה.

שנה לאחר מכן סיפור המעילה התפוצץ, והוביל למחאה אזרחית רחבה במלזיה. רזאק הגיב בצעדים כוחניים, כמו כליאת מתנגדים וחקיקה שהגבילה את המחאה. ככל שהבחירות של 2018 התקרבו, גברה המתיחות במדינה. בינואר של אותה השנה, כשהודיע מהטיר מוחמד, ראש ממשלת מלזיה לשעבר והמנטור הפוליטי של רזאק, כי בכוונתו להתמודד על ראשות הממשלה ולבער את השחיתות במדינה, רזאק החליט להעלות הילוך בקרב לריסוק האופוזיציה. על הרקע הזה נכנסה סנפאי לתמונה.

נדיר שעסקאות ריגול ממשלתי נחשפות, ובמיוחד נדירות עדויות כתובות לכך שהחברה המוכרת היתה מודעת במפורש לשימוש שייעשה במערכת שפיתחה. למעשה, אלמלא התגלע סכסוך כספי בין השותפים בחברה, שהגיע לבית המשפט, לא היו נחשפים המסמכים והתכתובות שמעידים על הפעילות הנרחבת של סנפאי, שסיפקה שירותים במקסיקו, אקוודור, גאבון, אנגולה, קניה, אינדונזיה וסינגפור. המחירון שהציגה ללקוחות פוטנציאליים עמד על 1.2–1.6 מיליון דולר למערכת; 0.75–1 מיליון דולר לאוואטרים; ו־30–70 אלף דולר לחודש לשירות. סך הכל, היקף העסקאות שסגרה סנפאי מאז הקמתה, עמד על יותר מ־9 מיליון דולר.

רשמית החברה הצהירה כי היא עוסקת באיסוף מידע גלוי, רק הדברים שאנשים מפרסמים מיוזמתם במקומות פתוחים כמו רשתות חברתיות. בפועל, כפי שחושפות התכתבויות ווטסאפ בין שלומן לבין איש מכירות בחברה, נראה כי המערכת RogueEye מספקת גם ניתוח מידע מטלפונים שהודבקו בתוכנת ריגול. איש המכירות כתב לשלומן כי "המערכת אספה את המידע מהטלפון שהודבק ועושה עליו אנליזה".

אולם גם הפעילות המוצהרת של כריית מידע באמצעות אוואטר אינה חפה מבעיות אתיות וחוקיות. "איסוף מידע באמצעות אוואטר נפוץ ומקובל מאוד בחברות סייבר", אומר בכיר בתעשיית ההייטק הישראלית. "זה מאפשר לאסוף מידע בלי לפרוץ לשום מקום. בחלק מהמקומות, כמו פורומים, אתה ממילא לא נכנס בשמך האמיתי אלא בשם משתמש". אולם העובדה שהשיטה נפוצה, אין משמעה שהיא בהכרח חוקית: "זו סוגיה מורכבת במשפט העולמי. קחו למשל יצירת משתמש פיקטיבי כדי לשוחח עם האקר ולהחליף איתו מידע שמעניין אותי להגנה על לקוח. האם זה מוסרי לנהל משא ומתן עם פושע ועוד להחליף איתו מידע? לכאורה הדבר הנכון הוא לדווח עליו לרשויות החוק".

סנפאי, כמו חברות סייבר ישראליות אחרות,  בחרה בפרקטיקה של מכירת שירותיה ומוצריה למדינות שלישראל אין יחסים דיפלומטיים איתן באמצעות חברות צינור. "זו שיטה נפוצה מאוד עבור חברות סייבר ישראליות רבות, שעיקר כוח האדם שלהן כלל אינו בארץ", מסביר בכיר ההייטק. "צריך לזכור שחברות סייבר התקפי זקוקות לאישור של אפ"י (אגף הפיקוח של משרד הביטחון)". הוא מזכיר את אחת מחברות הסייבר הישראליות היותר מוכרות בעולם ומציין שהיא מוכרת מוצרים למדינות המפרץ דרך חברות־בנות באופן קבוע: "יש לה אישור מאפ"י, אז או שמדינת ישראל יודעת והכל נעשה במודע, או שהחברה עושה זאת בצורה עקלקלה ודרך ישויות אחרות. הרי גם מדינות המפרץ מצדן צריכות לטשטש את הרכישה של טכנולוגיה ישראלית".

בכיר בחברת סייבר גדולה מסביר כי לעתים קרובות אלה המדינות הרוכשות שלא רוצות להיות מקושרות למוצר ישראלי, והדגיש כי "עולם הסייבר ההתקפי הוא תעשייה שבמובן מסוים מקבילה לתעשייה הצבאית ה'קונבנציונלית'. תוכנות ריגול אולי לא הורגות אנשים, אבל נותנות הרבה מאוד כוח ושליטה למדינה מול אזרחיה".

סנפאי, כאמור, היא חוליה נוספת בשרשרת ארוכה מדי של חברות סייבר ישראליות ששמן נקשר במשטרים לא דמוקרטיים, לקוחות מפוקפקים, פעילויות שנויות במחלוקת או הסתבכות עם רשויות החוק. המפורסמת ביותר היא NSO, מפתחת תוכנת הריגול פגסוס: בנובמבר האחרון תבעה פייסבוק את NSO על פריצה לווטסאפ, ששימשה לטענתה להפצת תוכנת הריגול שלה ל־1,400 מכשירים, לפחות כ־100 מהם של פעילי זכויות אדם ועיתונאים. עוד קודם לכן נקשר שמה של החברה בשלל פעולות בעייתיות, כמו מעקב ממשלתי אחר עיתונאים ופעילי זכויות אדם במקסיקו, פריצה לאייפון של פעיל זכויות אדם מאיחוד האמירויות ואפילו לכאורה סיוע ברצח העיתונאי הסעודי ג'מאל חאשוקג'י. לאחרונה מתנהלת נגדה תביעה של פעילי אמנסטי, שטוענים כי נפלו קורבן למעקב שלה. NSO מכחישה את ההאשמות.

חברות נוספות ששמן נקשר לסיוע למשטרים למעקב אחר אזרחים הן סייברביט (CyberBit), חברה־בת של אלביט מערכות, שלפי חברת המחקר הקנדית סיטיזן לאב, סיפקה לממשלת אתיופיה תוכנה לריגול אחר עיתונאים, מתנגדי משטר ופעילים למען זכויות בני השבט אורומו; AnyVision, שלפי דיווחי "NBC" ו"הארץ", פיתחה תוכנה מתקדמת לזיהוי פנים, ששימשה את כוחות הביטחון הישראליים כדי לרגל אחרי פלסטינים בשטחי הגדה המערבית; וגם DarkMatter, חברה שפועלת תחת חסות איחוד האמירויות במפרץ ומעסיקה יוצאי יחידת 8200 של חיל המודיעין. לפי תחקיר של "הניו יורק טיימס", החברה פיתחה כלי ריגול המוני בשם ToTok, שאפשר לאיחוד האמירויות לשאוב מידע מטלפונים.

חומרת המקרים הביאה את דיוויד קיי, המפקח המיוחד של האו"ם לנושא ההגנה על חופש הביטוי וחופש הדעה, להזכיר את ישראל בדו"ח שפרסם בקיץ 2019. בדו"ח הוא מתייחס בהרחבה לסוגיית כלי הסייבר ההתקפי וקובע כי "על מדינות לעצור מיידית את היצוא, המכירה, ההעברה והשירות של כלי ריגול המפותחים על ידי המגזר הפרטי, עד שיוחלו מנגנוני הגנה מתאימים בתחום". זאת משום ש"מעקב אחר יחידים — לרוב עיתונאים, אקטיביסטים, מתנגדים, מבקרים ואחרים שמשתמשים בזכותם לחופש הביטוי — מוביל [...] לעתים לעינויים וייתכן שגם להוצאות להורג. מעקבים כאלה משגשגים בחסות פיקוח רפה על יצוא והעברה של טכנולוגיות למשטרים שיש להם מדיניות ידועה של דיכוי".

הדו"ח מביע ביקורת מרומזת על ישראל ומזכיר את סירובה לאסור על NSO לייצא מוצרי מעקב, כפי שדרש ממנה ארגון אמנסטי. בהקשר של משרד הביטחון הישראלי כותב קיי כי "היעדר לחץ אזורי ובינלאומי ומדיניות של הסתרה, שמוצדקת כשמירה על ביטחון לאומי, מהווים כאן מכשול משמעותי". עוד הוא מעיר כי "למרות היותה גורם משמעותי בתחום ייצור הסייבר ההתקפי", ישראל אינה חברה פעילה בהסכם ווסנר (Wassenaar), האמנה הבינלאומית לפיקוח על התחום. ואף שישראל מצהירה שאימצה חלק מהגבלות האמנה, האכיפה שלהן בפועל "אפופה במעטה של סודיות".

סנפאי הוקמה בינואר 2016 בידי חמישה שותפים, שהתמקצעו קודם לכן במיטב חברות ההייטק המקומיות: יונתן למפרט, אריק בנון, רועי שלומן, גיא דוד ועומרי רייטר. כך למשל, בנון שימש סמנכ"ל מכירות ופיתוח עסקי של חטיבת הסייבר והמודיעין של נייס, ובהמשך שיווק את מערכת פגסוס של NSO למדינה זרה ששמה נאסר לפרסום; למפרט שימש מנהל מכירות בכמה חברות ביטחוניות, ובהן פז לוגיסטיקה, ששימשה, לפי משרד המשפטים האמריקאי, חברת תיווך למכירת מוצרים צבאיים לשירותי אכיפת חוק; ואילו שלומן שימש, לדבריו, בתפקידים בכירים ב־NSO, ורינט ופרטנר.

בחודש שעבר הסתיים סכסוך השליטה בחברה בהודעה שהגישו הצדדים לבית המשפט המחוזי בתל אביב על הסכם פשרה חסוי ומחיקת התביעה. מכתב התביעה עלה כי החברה ניהלה משא ומתן מתקדם למכירתה לאינטלקסה (Intellexa) שבשליטת טל דיליאן. התובעים למפרט, בנון ושלומן טענו בו כי דיליאן רקם מזימה עם דוד ורייטר כדי לרוקן את החברה מפעילותה. לא ברור אם המכירה התבצעה לבסוף, אולם באתר אינטלקסה המערכת של סנפאי עדיין מוצעת ללקוחות.

דיליאן היה קצין בסיירת מטכ"ל, שעבר שורת תפקידי חי"ר עד שמונה למפקד היחידה הטכנולוגית של אגף המודיעין. במהלך שירותו בתפקיד, כך נטען בכתב התביעה, נפתחה נגדו חקירת מצ"ח בעניין אי־סדרים כלכליים, שהביאה את הרמטכ"ל לרשום לו הערה פיקודית ואותו עצמו לפרוש מצה"ל. דיליאן היה ממקימי חברת הסייבר ההתקפי Circles (שבה היה שותף גם בנון והתמזגה לבסוף עם NSO), שפיתחה טכנולוגיה "שמסוגלת לפרוץ לכל טלפון נייד בתוך 6 שניות", כפי שאמר בראיון מצולם ונרחב שנתן ל"פורבס" מביתו בלרנקה, קפריסין.

באותו ראיון מדצמבר 2019 הוא הדגים למצלמות כיצד הוא מסוגל לפרוץ מרכבו המאובזר במערכת של אינטלקסה למערכת אנדרואיד ממרחק וללא מגע יד, והדגים טכנולוגיית זיהוי פנים, האזנה לשיחות ואיתור מדויק של מכשיר נייד בתוך דקות. לפי דיווחים בקפריסין, המשטרה המקומית בלרנקה החרימה את הרכב וציוד בשווי 9 מיליון דולר בעקבות אותה כתבה וחקרה אנשים הקשורים לחברה.

הפעילות של סנפאי במלזיה לא הצליחה להציל את רזאק. ב־9 במאי 2018, לראשונה בהיסטוריה של מלזיה, הודחה מפלגת השלטון UMNO ומהטיר  מוחמד נבחר לראש הממשלה.

זמן קצר לאחר ההפסד בבחירות רזאק נעצר בחשד לקבלת שוחד של כ־10 מיליון דולר מחברה פרטית. המשטרה הקפיאה נכסים שהיו בבעלותו ובהם בתים, יהלומים, תכשיטים, תיקי יד ושעונים בשווי של יותר מ־220 מיליון דולר. "אנחנו ללא ספק מזועזעים. זו התפיסה הגדולה ביותר בתולדות מלזיה", אמר מפקד היחידה לפשיעה כלכלית. נגד רזאק הוגש כתב אישום על עבירות שחיתות והלבנת הון, ומשפטו החל באפריל 2019 וטרם הסתיים.

זכויות אזרח עמדו בלב מערכת הבחירות ההיא, והן שהביאו למפלתו של רזאק המושחת. רדיפת המיעוטים, הפגיעה בחופש הביטוי וכליאת מתנגדי המשטר — כל אלו היוו עיקר המצע של מהטיר, שהבטיח לבער את מלזיה משחיתות. אבל מהרגלים ישנים קשה להיפטר, וחרף הבטחותיו, הוא ביצע רק חלק קטן מהשינויים שהבטיח. אף שרבים מהחוקים הדרקוניים של רזאק בוטלו בידי הממשלה החדשה, היא הותירה לא מעט חוקים ריכוזיים מאוד שנותנים לה כוח רב מאוד על התקשורת.

אי־היציבות השלטונית במלזיה נמשכת עד היום. בפברואר האחרון התפטר מהטיר מתפקידו על רקע קרע קואליציוני. ובמקומו לבסוף מונה חבר מפלגתו מוהידין יאסין. ספק אם מי מכל אלה יוותר בסופו של דבר על שימוש בכלי מעקב אחר אזרחיו.

מסנפאי נמסר בתגובה לכתבה: "חברת סנפאי פועלת כדין ובהקפדה מלאה על ההנחיות וההגדרות הרלוונטיות לתחום עיסוקה ומעולם לא חרגה מהן".

מאפ"י נמסר: "החברה אינה מופיעה במרשם היצואנים הביטחוניים".

טל דיליאן ואריק בנון לא השיבו לפניות "מוסף כלכליסט".