روزشمار خداحافظی با مجوزهای کاغذی
مهلت تبدیل مجوزهای کاغذی به شناسه یکتا تا ۲۵ اردیبهشت تمدید شده است و پس…
۱۳ اردیبهشت ۱۴۰۳
پس از هک چه خطراتی کاربران را تهدید می‌کند؟
۲۱ شهریور ۱۴۰۲
زمان مطالعه : ۷ دقیقه
شاید به ظاهر اطلاعات هک شده ما در پلتفرم‌های مختلف از هم گسیخته به نظر برسد و در نگاه اول تصور کنیم، مثلا اگر اطلاعات پاسپورت ما در سامانه قاصدک ۲۴ هک شود یا عکس کارت ملی ما در یک پلتفرم رمزارزی به دست هکرها بیفتد اتفاق خاصی رخ نداده است. اما کارشناسان امنیت فناوری اطلاعات موضوع را کمی جنایی و البته واقعی‌تر می‌بینند. هر پلتفرمی که هک می‌شود داده‌های هکرها را تکمیل‌تر می‌کند و آنها را برای حمله‌های بعدی آماده تر! اما چگونه؟
به گزارش پیوست، پس از زمزمه‌ها و گاه سروصداهایی که از هک پلتفرم‌های ایرانی در شبکه‌های اجتماعی می‌پیچد، می‌توان به خوبی به عمیق‌تر شدن مشکل امنیت و به اضطرار قانونی برای حفاظت از داده‌های کاربران ایرانی پی برد. اطلاعات به ظاهر بی‌ربط کاربران با هک هر پلتفرم، داده‌های مخازن هکرها در جهان دارک‌وب را غنی‌تر می‌کند و امکان وقوع برنامه‌ریزی برای یک مهندسی اجتماعی را فراهم می‌کند.
به جهان دارک وب خوش آمدید
رویا دهبسته مدیرعامل باگدشت و کارشناس امنیت فناوری اطلاعات در این باره به پیوست می‌گوید: «کاربران عادی گاه تصور می‌کنند پس از هک اتفاق خاصی نمیفتد، اما در واقع اینطور نیست. هک دادهها اغلب با دو هدف انجام می‌شود. یک سری از هکرها سازمان‌های حاکمیتی را با اهداف سیاسی هک می‌کنند. دسته دوم هکرهایی هستند که سازمان‌های خصوصی را با اهداف مالی و غنی‌تر کردن دیتای جامعه هکرهای دارک وب، مورد هدف قرار می‌دهند. چون هر قدر مخازن داده هکرها بیشتر شود دیتاهای غنی‌تر و کامل‌تری خواهند داشت و می‌توانند طیف بیشتری از مردم را در حمله‌های بعدی مورد سواستفاده قرار بدهند.»
او ادامه می‌دهد: «تصور کنید پایگاه داده‌های یک پلتفرم فین‌تکی هک شود، شماره تلفن، کارت بانکی و کارت ملی یک نفر در آن قرار دارد. از سوی دیگر داده‌های یک پلتفرم گردشگری نشت پیدا می‌کند و اطلاعات سفر و پاسپورت افراد در آن در اختیار هکرها قرار می‌گیرند. این زنجیره هر بار برای هکرها و با هک هر پلتفرم ارزشمند‌تر می‌شود.»
مخزن هکرها هر بار غنی‌تر می‌شود
دهبسته معتقد است این دادهها در حمله‌های مهندسی اجتماعی طیف بزرگی از کاربران را تهدید می‌کند. او می‌گوید: «تصور کنید یک پیامک دریافت کرده‌اید که نام و نام خانوادگی شما به همراه کد ملی و حتی نام پدر خود را در آن می‌بینید، هر بار این دادهها کامل‌تر باشد شما اعتماد بیشتری به این پیامک‌ها می‌کنید و یک لینک فیشینگ می‌تواند ناگهان حساب بانکی تعداد زیادی از افراد جامعه را خالی کند و یا اتفاقات بدتری از این دست رخ دهد. می‌شود با یک مهندسی اجتماعی در یک کشور بحران ساخت. بین هکرها هر کس مخزنش پرتر باشد قدم بعدی حمله مهندسی اجتماعی را راحت‌تر پیش می‌برد و به آنها امکان هدفمند‌تر کردن حمله‌های بعدی را می‌دهد.»
او در رابطه با علت بیشتر شدن هک در سال‌های اخیر می‌گوید: «گروهی از هکتیویست هستند اما در واقع آنها نشان می‌دهند که کدام پلتفرمها بلوغ امنیتی کمتری دارند و این به خودی خود زنگ خطری برای شرکت‌ها و افراد جامعه است.»
مشکل از ضعف قانون است
پویا پور اعظم متخصص و مشاور امنیت فناوری اطلاعات هم در این باره می‌گوید:«اطلاعات فاش شده هر قدر برای کاربران عادی غیر مهم قلمداد می‌شود، برای هکرها و فروشندگان داده در دنیای دارک وب داده‌های مفیدی برای برنامه‌ریزی، جعل هویت و برنامه‌ریزی برای حمله‌هایی است که هربار می‌تواند نفرات بیشتری را مورد تهدید قرار دهد. هک فقط در ایران نیست اما ضعف قانون کار را برای پلتفرمها ساده کرده است.»
او در ادامه می‌گوید: «برخی از شرکت‌ها پس از اینکه هک می‌شوند، با لاپوشانی آن را مخفی می‌کنند و برخی دیگر تنها با عذرخواهی به کار خود ادامه می‌دهند. اینها متاسفانه به خاطر ضعف قانون‌گذاری است. ما در ایران قانون مشابه مقررات عمومی حفاظت از دادهها GDPR نداریم. در این قانون مشخص شده اگر اطلاعات به واسطه پلتفرم افشا شود یا در اختیار جای دیگری قرار بگیرد، آن سازمان باید جریمه بپردازد و گاه حتی لایسنس و مجوز خود را از دست می‌دهد.»
به قانون حفاظت از دادهها برای جریمه شرکت‌های فناورانه نیاز داریم
طبق گفته پوراعظم، دولت قانون صیانت و حفاظت دادهها را دو سال پیش به مجلس برده و لایحه گرفته اما لایحه به سرانجام نرسیده و قانون مصوب نشده است. او در این باره توضیح می‌دهد:« اگر قانونی شبیه GDPR داشتیم کاربران می‌توانستند از پلتفرمها شکایت کنند و حتی قبل از آن دولت خودش می‌توانست برای استیفای حقوق کاربران پلتفرمها را جریمه کند. اما حالا بدون رودربایستی کاربران دستشان به جایی بند نیست.»
او تاکید می‌کند: «همه جای دنیا هک اتفاق میفتد و ما قانونی هم در حوزه امنیت سایبری داریم که هیچ چیز صد در صد امن نیست و ما هم قائل به این موضوع هستیم، اما به عنوان یک سازمان باید به مقدار لازم برای امنیت هزینه و تلاش کنیم. بحث دیگر جرائم مالی است که نبود آن کار را برای پلتفرمها ساده‌تر کرده است. برخی از پلتفرمها که به تازگی هک شده‌اند، پیش‌تر هم سابقه هک داشته‌اند. بخشی از هک هم از بیرون کشور اتفاق می‌افتد و حتی خیلی پیچیده هم نیستند اما متاسفانه به خاطر ضعف نیروی انسانی و دسترسی زیاد کارمندان به اطلاعات مشتریان روی می‌دهد. ما باید در حوزه منابع انسانی و امنیت دادهها هزینه‌های زیادی بپردازیم. آموزش، فرهنگسازی و نظارت لازمه کم شدن این اتفاقات است.»
هم تجاری هم جنایی
حجت کهن‌دل مدیرعامل فن‌آوری پردازش نوین اطلاعات خوارزمی هم در ادامه می‌گوید: «در هک اطلاعات داده‌های مختلفی دست مهاجم میفتد. از دید مهاجمین یا هکرها بحث جمع‌آوری اطلاعات مهم است و در مهندسی اجتماعی هر اطلاعات به ظاهر ناچیزی به آنها کمک می‌کند. دانه‌های تسبیح را در نظر بگیرید.
هر دانه تسبیح به خودی خود کاربردی ندارد اما با یک نخ و دانه‌های بیشتر، یک تسبیح کامل و کاربردی ساخته می‌شود. اهداف برخی هکرها تجاری است و گاه دادهها را به شرکت‌های رقیب می‌فروشند، اما گاهی برخی از هکرها دادهها را به افرادی می‌فروشند که مشخصا می‌‌خواهند به یک خانواده یا گروهی از افراد خاص لطمه بزنند.شاید شبیه فیلم‌ها به نظر برسد اما حتی هک یک پلتفرم با ۵۰۰ کاربر هم به تکمیل شدن زنجیره داده‌های هکرها کمک می‌کند.»
طبق گفته کهن‌دل کار خاصی از کاربران پس از هک شدن پلتفرمها برنمی‌آید و به طور کل فضای IT فضای ارتباطات است و نمی‌توان سیستم آنلاین را دور از این اتفاق‌ها نگه داشت و با قوی شدن سیستم‌ها مهاجمان هم قوی‌تر می‌شوند اما در واقع شرکت‌ها باید در حد توان خود امکانات امنیتی خود را بیشتر کنند.
عذرخواهی کافی نیست
میثم نماینده مشاور فعال در حوزه امنیت هم ادامه می‌دهد: «به نظر من فعلا تپسی موضوع اول مورد مطالعه در ایران و حتی منطقه خاورمیانه است.در هک داده‌های تپسی کدملی و اطلاعات هویتی و مکان‌هایی که افراد در آن رفت و آمد دارند و حتی شماره کارت‌های بانکی افراد لو رفته است. هکرها حتی دیتاهای خام را به هوش مصنوعی می‌دهند و به راحتی با دیتاهای خام ارتباط بین افراد را در می‌یابند. اینجا که دیگر همه چیز با هم لو رفته است. عده‌ای از مدیران این شرکت‌ها هک شدن را اجتناب ناپذیر می‌دانند و می‌گویند متا و پنتاگون هم هک می‌شوند.»
طبق گفته او: «باید در جواب اینها بگویم قوانین حاکمیتی و نظارتی در آنجا، آنچنان برخوردی با این پلتفرمها انجام می‌دهند که موجب ورشکسته شدن و بسته شدن پلتفرمها می‌شود، اما در کشور ما قانون وجود ندارد و اهرم حاکمیتی سازوکار مناسبی برای پلتفرم‌هایی که ضعف امنیتی داشته‌اند، قرار نداده است.»
او تاکید می‌کند: «باید داده‌های کاربران رمزنگاری شود در برخی بانک‌ها این اتفاق میفتد اما در سایر پلتفرمها گاه اینطور نیست. متاسفانه پلتفرم‌های ایرانی وعده وعید می‌دهند و در عمل اقدام پیشگیرانه و مناسبی که عملیاتی باشد صورت نمی‌گیرد.»
کاربران بی‌دفاع؛چه باید کرد؟
طبق گفته کارشناسان حوزه امنیت، کاربران باید تا حد امکان داده‌های کمتری را در اختیار پلتفرمها قرار بدهند و پلیس فتا و شرکت‌های فناورانه هم باید با آگاهی‌بخشی بیشتری در آگاهی‌رسانی عمومی نقش خود را ایفا کنند. نکته دیگر تدوین قانون حفاظت از داده‌هاست که کاربران بتوانند از پلتفرمها شکایت کنند و حتی قبل از آن دولت بتواند برای استیفای حقوق کاربران پلتفرمها را جریمه کند. در واقع در حال حاضر کاربران ایرانی پس از نشت اطلاعاتشان هیچ راهی برای دفاع از حقوق خود ندارند و در نهایت اینکه عذرخواهی کافی نیست!
ارسال دیدگاه