حراج اطلاعات کاربران!
رسانه‌ای شدن ماجرای هک یکی از شرکت‌های تاکسی آنلاین و در ادامه آن چند شرکت بیمه، بار دیگر توجه افکار عمومی را به مساله آسیب‌های حملات سایبری جلب کرد. این موضوع پس از آن جدی‌تر شد که شماری از برنامه‌نویسان با انتشار تحلیل‌های فنی، به سوء‌استفاده‌های احتمالی از این اطلاعات نشت‌یافته اشاره کردند و حتی جمع‌آوری بعضی از این داده‌ها توسط این شرکت‌ها را غیرضروری دانستند. گلایه از کوتاهی شرکت‌ها...
از مقاومت تا سکوت چند هفته ای
شنبه گذشته بود که کانالی تلگرامی منتسب به یک گروه هکری، مدعی هک تپسی شد. به فاصله کوتاهی پس از درج این پست، میلاد منشی پور، مدیرعامل تاکسی آنلاین تپسی، با انتشار پستی در حساب کاربری خود در «ایکس»، هک شدن سیستم‌های اطلاعاتی این شرکت را تایید کرد. وی در پست خود نوشت: «طی روزهای گذشته متوجه دسترسی غیرمجازی به زیرساخت‌های شرکت تپسی و برداشت بخشی از اطلاعات شدیم. به محض کشف این موضوع، ضمن ثبت شکایت، پلیس را در جریان قرار دادیم و راه دسترسی هکرها را بستیم.» مدیرعامل تپسی در ادامه تاکید کرد: «ایمیل های دریافتی از گروه مهاجم، از قصد آنها برای اخاذی و دریافت پول در ازای منتشر نکردن داده ها حکایت داشت و ما تصمیم گرفتیم که به این خواسته تن ندهیم. زیرا در مذاکره با آنها متوجه شدیم که ضمانتی برای عدم‌نشر اطلاعات و سوءاستفاده های آتی وجود ندارد و از طرفی، باج دهی به آنها به مشوقی برای تکرار این اقدامشان در قبال دیگر شرکت‌ها منجر خواهد شد.» منشی پور در ادامه با پذیرش مسوولیت این اتفاق، از بروز آن ابراز تاسف کرد و از همکاری نزدیک این مجموعه با پلیس برای کشف ابعاد جدید این حمله خبر داد.
آن‌طور که هکرها مدعی شدند، در این حملات به اطلاعات بیش از 27 میلیون مسافر تپسی شامل نام، نام خانوادگی، شماره همراه، شهر و بعضا ایمیل و همچنین اطلاعات بیش از 6 میلیون راننده شامل نام، نام خانوادگی، کد ملی، شهر، شماره همراه دست یافته اند. آنها تاکید کردند که حتی اطلاعات بیش از 136 میلیون سفر مسافران این شرکت شامل آی دی مسافر، اطلاعات دستگاه همراه مسافر و راننده، آدرس کامل مبدأ و مقصد، آدرس کوتاه مبدأ و مقصد، مشخصات جغرافیایی (GPS Locations) مبدأ و مقصد را در اختیار دارند و در کنار این موارد توانسته اند سورس کد محصولات شرکت تپسی مانند اپلیکیشن های موبایل را نیز به دست آورند. این افشاگری در کنار تجربه هک دیگری که در سال 98 برای شرکت تپسی اتفاق افتاده بود، نام این شرکت را بر سر زبان‌ها انداخت و از عملکرد این شرکت در حفاظت از داده های کاربران انتقاد شد.
با این‌حال به فاصله کوتاهی از این ماجرا مشخص شد که تپسی تنها شرکتی نبوده که از سوی هکرها مورد حمله واقع شده و همین گروه هکری چند هفته پیش از رسانه ای کردن هک تپسی، اطلاعات 18 شرکت بیمه ای را برای فروش در فضای مجازی آگهی کرده بودند. طبق ادعای هکرها، داده های کسب شده، 115 میلیون رکورد اطلاعاتی شامل نام، نام خانوادگی، تاریخ تولد، نام پدر، شماره تلفن / موبایل، شماره شناسنامه، کد ملی، کد ملی شرکت و... بوده و این گروه برای فروش این اطلاعات برای متقاضیان قیمت نیز تعیین و اعلام آمادگی کرده اند. با وجود این مشخص شده که تا زمان افشای این اطلاعات، بیمه مرکزی هیچ اظهارنظری در این‌باره نکرده و موضوع را مسکوت گذاشته است. اگرچه بیمه مرکزی پس از رسانه ای شدن این خبر، نشت اطلاعات را تکذیب کرد، اما عزل مدیرکل بیمه مرکزی و انتصاب مدیری جدید، باعث شد این احتمال در ذهن کاربران تقویت شود.
بازار اخبار هک اطلاعات شرکت‌ها در هفته گذشته به حدی داغ بود که ماجرا به همین جا نیز ختم نشد و شایعات دیگری مبنی بر هک اطلاعات چند صرافی آنلاین رمزارز و حتی چند شرکت استارت‌آپی مطرح دیگر نیز به گوش رسید که بعضی از آنها در بیانیه هایی رسمی این موضوع را تایید و بعضی دیگر به شکل غیر‌رسمی این ادعا را رد کردند. آن‌طور که به نظر می‌رسد شاید مدیران برخی از استارت‌آپ‌های کوچک‌تر دیگر - که احتمالا خبر هک آنها نیز صحت داشت - حتی ترجیح دادند تا در جنجال ایجاد شده حول موضوع هک تپسی، به کل هیچ واکنشی به این احتمالات نشان ندهند.
افشای زیست مجازی کاربران
گذشته از آنکه تعداد شرکت‌های هک شده در یک ماه اخیر چند مورد بوده است، تحلیل همین میزان اطلاعاتی که هکرها مدعی دستیابی به آن شده بودند، باعث شد تا سوالاتی پیرامون آسیب های احتمالی سوءاستفاده از این داده ها مطرح شود.
میلاد نوری، کارشناس حوزه آی تی، در نقدی که در حساب ایکس خود منتشر کرده بود، تشریح کرد که نشت چنین مجموعه ای از داده می‌تواند چه خطراتی را متوجه کاربران کند. این برنامه نویس با تاکید بر آنکه دسترسی به چنین داده هایی می‌تواند هویت فرد در دنیای واقعی را فاش کرده و زمینه را برای کلاهبرداری و آزار افراد فراهم کند، نوشت: «ماجرا به اینجا ختم نمی‌شود و به کمک برخی پارامترهای موجود در این داده ها و اطلاعاتی که از دستگاه کاربران مسافر و راننده در دسترس است، می‌توان فعالیت های آتی آنها در اپلیکیشن های دیگر را نیز ردیابی کرد.» نوری در بخش دیگری از تحلیل خود نوشته بود: «با تطابق برخی از این شناسه ها در سرویس های مختلف، مشخص می‌شود مثلا شمایی که در یک اپلیکیشن خبری، خبر 1 و 3 را خوانده اید، همان کاربری هستید که در یک اپلیکیشن دیگر یک عکس مشخص را بارگذاری کرده اید و در برنامه یک تاکسی آنلاین نیز از چنین مسیرهایی عبور کرده اید. به این ترتیب اطلاعات قابل توجهی از زیست مجازی فرد به دست می آید و حریم خصوصی کاربر، آن هم در شرایطی که به گمان خود به صورت ناشناس در فضای مجازی فعالیت می‌کند، نقض شده است.»
یاشار شاهین زاده، یکی از کارشناسان حوزه امنیت سایبری نیز در مصاحبه با «دنیای‌اقتصاد»، با تایید چنین ریسک هایی گفت: «اگرچه به روز بودن سیستم عامل دستگاه های مورد استفاده کاربران، تا حد زیادی ریسک چنین سوءاستفاده هایی را کاهش می‌دهد، اما نمی‌توان صددرصد نشت چنین اطلاعاتی را بی خطر دانست.» این کارشناس امنیت اطلاعات با تاکید بر آنکه نشت چنین مجموعه اطلاعاتی می‌تواند زمینه ساز بروز طیف گسترده ای از آسیب ها - از حملات فیشینگ تا حتی سرقت های فیزیکی - باشد، می گوید: در مواردی حتی شرکت‌های رقیب می‌توانند از چنین اطلاعاتی سوءاستفاده کنند و با ارائه پیشنهادهایی جذاب که با رفتار کاربر تطابق دارد، انتخاب آنها را به نفع خود تغییر دهند.
رمزگشایی تکرار این حملات
فارغ از خطرات متعددی که این هک‌ها و نشت داده های شرکت‌ها می‌تواند برای کاربران ایجاد کند، این سوال مطرح می‌شود که اصلا چرا اخیرا تعداد این حملات تا این اندازه بالا رفته و چگونه می‌توان احتمال تکرار آنها را کاهش داد. شاهین زاده در بخش دیگری از گفت‌وگوی خود با «دنیای‌اقتصاد» به رمزگشایی تکرار این حملات پرداخته و می گوید:«اگرچه امنیت هیچ‌گاه صددرصدی نیست، اما برای دستیابی به یک سطح قابل قبول، باید مراحلی طی شود که هزینه های نسبتا قابل توجهی دارند. وضعیت درآمدی و رقابتی شرکت‌ها گاهی آنها را به جایی می رساند که ترجیح می‌دهند هزینه زیادی در این بخش صرف نکنند و گاهی شکست از همین نقطه شروع می‌شود.» این کارشناس معتقد است که داشتن یک تیم قوی و متخصص برای شناسایی حفره های امنیتی، اولین لایه برای حفاظت از اطلاعات است و در ادامه شرکت‌ها باید یک واحد امنیت مجزا نیز داشته باشند تا با رصد مداوم شبکه، حملات احتمالی را شناسایی و سریعا وارد عمل شوند.
شاهین زاده می افزاید: با این حال حتی این دو مرحله نیز برای برقراری امنیت اطلاعاتی کفایت نمی کند و شرکت‌ها باید به مانند آنچه در خارج از کشور نیز انجام می‌شود، بستری داشته باشند تا به کسانی که حفره ها و باگ های امنیتی یک کسب‌و کار را گزارش می‌کنند، پاداش و جایزه دهند. تعریف بانتی (جایزه در ازای کشف باگ) به مانند آن است که شما باگ یابی کسب و کار خود را به کل دنیا برون سپاری کنید و به سرعت از وجود هرگونه آسیب پذیری در زیرساخت‌های خود آگاه شوید.
این کارشناس امنیت با بیان اینکه اکنون در ایران نیز کسب‌و‌کارهایی مانند «دیوار» و « بازار»، به خوبی در حال اجرای این رویه هستند و جوایز قابل قبولی نیز به هکرهای کلاه سفید اعطا می‌کنند، می گوید: اما متاسفانه برخی کسب‌و‌کارها به این مورد بی توجه هستند. آنها یا چنین سیستمی ندارند یا مانند مورد اخیر تپسی، جایزه آنها به قدری کم است که هکرها رغبتی به همکاری با آنها برای کشف آسیب پذیری ها ندارند. مثلا ماکزیمم پاداش در نظر گرفته شده از سوی تپسی برای گزارش باگی مشابه آنچه مورد سوءاستفاده قرار گرفت، 12 میلیون تومان بوده است.
وی تاکید می‌کند: زمانی که مثلا فیس‌بوک حاضر است تا 60 هزار دلار برای گزارش باگ جایزه دهد و هکرهای کلاه سفید ایرانی می‌توانند با کاری مشابه آنچه می‌توانستند برای تپسی انجام دهند، از یک شرکت خارجی دست کم 2هزار دلار بگیرند، دیگر انگیزه ای برای همکاری با شرکت‌های داخلی نخواهند داشت. شاهین زاده معتقد است که هزینه نکردن شرکت‌ها برای بحث امنیت که گاهی ناشی از بی میلی آنهاست و گاهی فضای رقابتی اجازه آن را نمی دهد، باعث شده تا حریم خصوصی در کشور، از هر زمان دیگری آسیب پذیرتر شده و فعلا امیدی به بهبود آن نباشد.
در پناه بی قانونی
نبود قانون مشخصی که شرکت‌ها را به حفظ برخی حداقل ها در بحث امنیت اطلاعات کاربران مکلف کند، یکی از موضوعاتی است که کارشناسان بارها بر آن به عنوان عاملی در تشدید نابسامانی های امنیتی موجود، تاکید کرده اند. یاشار شاهین زاده در تشریح این مورد می گوید: در سال‌های اخیر حاکمیت کشورها سخت گیری های جدی تری را نسبت به هزینه کرد و خروجی امنیتی شرکت‌ها به خرج می‌دهند و همین باعث می‌شود که با تمام دشواری های تجارت، همواره بودجه قابل قبولی از سوی شرکت‌ها به بحث تامین امنیت اطلاعات تخصیص داده شود. این فعال حوزه امنیت چنین ادامه می‌دهد: از سوی دیگر، شرکت‌ها ملزم هستند امکانی فراهم کنند تا کاربر در صورت تمایل، بتواند تمام سوابق اطلاعاتی خود را از سرور یک کسب و کار مشخص حذف کند. این در حالی است که در کشور ما قانون خاصی برای حمایت از حریم خصوصی کاربران وجود ندارد؛ در نتیجه عمدتا امکان حذف اطلاعات در اختیار کاربران قرار نمی‌گیرد و شرکت‌ها نیز در سایه همین ضعف قانونی، الزامی برای فراهم کردن آن نمی بینند.
در کنار ضعف قانونی موجود، واکنش پلیس فتا به ماجرای نشت اطلاعات کاربران تپسی یکی دیگر از موضوعاتی بود که در این چند روز واکنش برانگیز شد و انتقاداتی را متوجه رویکرد این نهاد حافظ امنیت فضای مجازی کشور کرد. در همان روزی که بحث بررسی عمق ماجرای هک تپسی از سوی کاربران حسابی داغ بود، معاون اجتماعی پلیس فتا در مصاحبه ای با خبرگزاری مهر، به تشریح ابعاد این ماجرا پرداخت. رامین پاشائی ضمن اعلام آنکه هویت گروه هکری مشخص شده و این افراد خواستار دریافت 35 هزار دلار در ازای عدم‌افشای اطلاعات بودند، از شکایت شرکت تپسی از این هکرها خبر داد. وی با تاکید بر آنکه در پی شکایت تپسی، اقدامات قضایی انجام و منبع آلودگی برطرف شد، گفت: شرکت تپسی هم در حال انجام خدمات خود است و هیچ نگرانی برای هموطنان وجود ندارد.
تاکید معاون اجتماعی پلیس فتا بر اینکه جای نگرانی نیست، باعث شد تا انتقاداتی نسبت به رویکرد پلیس در قبال حملات سایبری اخیر مطرح شود. وحید فرید، از برنامه نویسان و فعالان حوزه ICT در گفت‌وگوی خود با «دنیای‌اقتصاد»، به نقد رویکرد پلیس پرداخت و گفت: اگرچه پلیس با تاکید بر آنکه همه چیز تحت کنترل است، قصد دارد آرامش را به کاربران القا کند، اما حقیقت آن است که اکنون اطلاعات کاربران در اینترنت موجود است و حتی شاید در دارک وب در حال خرید و فروش باشد. در چنین شرایطی حفظ آرامش مشکل را حل نمی کند و باید نسبت به عواقب این نشت اطلاعات آگاه بود. وی معتقد است که کاربران باید به شکلی شفاف در جریان آنچه اتفاق افتاده و تمام خطراتی که ممکن است متوجه آنها باشد، قرار بگیرند و القای آرامش در حالی که نشت اطلاعات عملی شده، در واقع پاک کردن صورت مساله است.
در راستای پیگیری جزئیات بیشتر این ماجرا، روابط عمومی تپسی در پاسخ به «دنیای‌اقتصاد» اعلام کرد که فعلا ترجیح می‌دهند واکنش بیشتری به این موضوع نداشته باشند و در صورت لزوم، اطلاعات جدیدی به زودی در اختیار رسانه ها قرار خواهد گرفت. در ادامه سکوت فعلی تپسی، فرید تاکید می‌کند: «اکنون هدف صرفا متهم کردن و فشار آوردن به یک شرکت خاص نیست که حالا خودش نیز قربانی شده و آسیب دیده است؛ بلکه باید نگاه جامعی به تمام حملاتی داشت که در ماه ها و سال‌های اخیر، مکررا اتفاق می افتند و هیچ اقدام خاصی نیز در راستای جلوگیری از وقوع آنها انجام نمی‌شود.» وی با اشاره به ضعف قانونی موجود می گوید: «از آنجا که قانون حدود مسوولیت‌ها و وظایف پلتفرم ها را مشخص نکرده، صاحبان این کسب‌و‌کارها نیز چندان برقراری امنیت را جدی نمی گیرند و حاضر به صرف هزینه کافی برای آن نیستند.»
این کارشناس حوزه فناوری اطلاعات در بخش دیگری از صحبت‌های خود، به نوع داده هایی که در مورد اخیر هک اطلاعات تپسی نشت پیدا کرده اشاره کرده و می گوید: خوب است که از همین موارد هکی که اتفاق افتاده بهره ببریم و شرکت‌ها را وادار به شفاف سازی درباره نوع اطلاعاتی کنیم که به طور منظم از کاربرانشان جمع آوری می‌کنند. فرید با تاکید دوباره بر لزوم شفاف سازی تپسی درباره حدود اطلاعاتی که از کاربران جمع آوری کرده، به مرور آنچه کارشناسان دیگر درباره ریسک های احتمالی نگهداری این اطلاعات گفته اند می پردازد. وی تاکید می‌کند: «باید مشخص شود که یک پلتفرم خاص، مثلا یک تاکسی اینترنتی که مدل درآمدی آن دریافت سهم از سفرهای انجام شده است، برای پیشبرد وظیفه اصلی خود به چه حدی از اطلاعات کاربر نیاز دارد تا هیچ شرکتی اجازه نداشته باشد داده ای فراتر از نیاز واقعی، جمع آوری کند.»
یکی از موضوعاتی که برخی کارشناسان حقوقی در این میان مورد تاکید قرار دادند، حمایت قانونی بسیاری از کشورهای خارجی از کاربرانی بود که اطلاعات آنها نشت پیدا کرده است. این درحالی است که با وجود آنکه به گواه آمارهای بین‌المللی، کشور ما یکی از مهم‌ترین مقاصد حملات سایبری در جهان به حساب می آید، هنوز با خلأ قانونی درباره حمایت از داده های کاربران مواجه هستیم. در همین راستا علیرضا طباطبایی‌هاشمی، وکیل پایه یک دادگستری، در گفت وگو با «باشگاه خبرنگاران جوان» تصریح کرده بود: «ما در قانون جرائم رایانه ای در خصوص مسوولیت تپسی در قبال این اطلاعات خلأ داریم و هیچ قانونی در این زمینه وجود ندارد و از این بابت قانون مسوولیتی برای شرکت‌ها در نظر نگرفته است. در نتیجه امروزه شرکت‌ها آنقدر نگران لو رفتن دیتا نیستند.» اگرچه سیاستگذاران با دنبال کردن تصویب طرحی مانند صیانت، بر حمایت از حقوق کاربران در فضای مجازی تاکید داشتند، اما انتشار مفاد جزئیات این طرح در عمل نشان داد که طرح، کارکرد موثری در این زمینه ندارد و تنها به محدود کردن زیست مجازی کاربران پرداخته است. در همین حال، با وجود گذشت دو سال از پیشنهاد لایحه ای برای حفاظت از داده های کاربران، هنوز سرنوشت این لایحه مشخص نشده است.
--> اخبار مرتبط