روزنامه اینترنتی فراز: هیچ‌یک از شبکه‌ها در برابر حملات سایبری مصون نیستند و نخواهند بود. هک اطلاعات در سطح جهانی، یک واقعه تکراری و گاه طبیعی محسوب می‌شود اما آنچه که طبیعی‌تر به نظر می‌رسد، پذیرش مسئولیت کاهش و سوءمدیریت در حفاظت از داده‌های خصوصی کاربران است که به‌طور گسترده از سوی مقامات مربوطه در ایران، از شهروندان ایرانی پنهان شده است.
هک شدن بیش از ۱۱۵ میلیون داده اطلاعاتی شرکت‌های بیمه؛ خبری که به محض افشای اطلاعات کاربران و رانندگان تپ‌سی از یک منبع مشابه منتشر شد. در این خبر، جزئیاتی چون «نام و نام خانوادگی، تاریخ تولد، نام پدر، کد ملی و شماره پیگیری و شماره تلفن» مشترکان ۱۹ شرکت بیمه در کشور به مبلغ ۸۱ هزار دلار به فروش گذاشته شده است.
در حال حاضر، «مجید مشعلچی فیروزآبادی»، قائم‌مقام بیمه مرکزی تنها مقامی است که در صنعت بیمه کشور به این حادثه واکنش نشان داده و ضمن تأیید سرقت اطلاعات بیمه‌گذاران، بیان کرده که این اطلاعات منقضی شده و احتمال سوءاستفاده از آن‌ها وجود ندارد.
اما در اصل ماجرا، نکاتی در واکنش‌های مقامات بیمه‌ای و همچنین سکوت غیرمعمول مسئولان وجود دارد که در این گزارش بررسی خواهیم کرد.
این واقعه کی رخ داد؟
طبق گزارش‌هایی که به دست آمده، سرقت اطلاعات از شرکت‌های بیمه در ۱۱ آگوست، همزمان با ۲۰ مردادماه صورت گرفته است. این حادثه، تا زمان اعلام گروه‌های هکری به طور رسمی اطلاع‌رسانی نشده بود. چنین پنهان‌کاری به گونه‌ای انجام شده که حتی خبرنگاران حوزه بیمه نیز از این اتفاق بی‌خبر بودند و در نشست خبری «مجید بهزادپور»، رئیس کل بیمه مرکزی که چهارشنبه گذشته برگزار شد، هیچ اشاره‌ای به سرقت اطلاعات شرکت‌های بیمه نشد. البته، چند ساعت پس از انتشار خبر مربوط به سرقت اطلاعات بیمه‌ها، او برکنار شد.
گزارش‌ها حاکی از آن است که در مجمع سالانه بیمه مرکزی که در ۲۹ مرداد برگزار شد، وزیر اقتصاد با اشاره به اطلاعات به سرقت رفته از شرکت‌های بیمه از نمایندگان شرکت‌ها خواسته تا موضوع را به جدیت پیگیری کنند. با این حال، این حادثه هیچ‌گونه از مسئولیت وزارت اقتصاد و شخص وزیر را نمی‌کاهد. بیمه مرکزی یکی از نهادهای زیرمجموعه وزارت اقتصاد است و به همین دلیل، این وزارتخانه نیز مسئول مدیریت پیامدهای احتمالی افشای اطلاعات کارگزاران بیمه خواهد بود.
بیمه‌ای‌ها چه نظری دارند؟
مقامات صنعت بیمه، سعی کرده‌اند با کم‌اهمیت جلوه دادن یا کاهش دامنه بحران، اعلام کنند که اطلاعات سرقتی تنها شامل نام و نام خانوادگی و کد ملی است. اما نکته قابل توجه این است که اگر این اطلاعات بی‌ارزش بودند، چرا به قیمت تقریبی ۴ میلیارد تومان به فروش می‌رسند؟ این می‌تواند به سادگی قانع‌کننده باشد؛ اطلاعات دزدیده شده از ۱۹ شرکت بیمه به عنوان منبعی مناسب برای رسیدن به جزئیات دیگر مانند حساب بانکی و آدرس سکونت و کد پستی، می‌توانند برای هکرها ارزشمند باشند. به عبارت دیگر، نادیده گرفتن ابعاد بحران، واقعاً از اهمیت و جدیت این حمله سایبری نمی‌کاهد.
چرا فقط ۱۹ شرکت تحت‌حمله قرار گرفتند؟
در فهرست شرکت‌های بیمه‌ای که اطلاعات‌شان دزدیده شده، نام برخی دیگر از شرکت‌ها دیده نمی‌شود. علت اینکه چرا فقط ۱۹ شرکت به خطر افتاده‌اند بر اساس بررسی‌های انجام شده، موضوع جالبی به شمار می‌رود اما می‌توان فرضیاتی ارائه داد. یافته‌ها نشان می‌دهد که تمام این ۱۹ شرکت به‌طور مشترک با شرکتی به نام «فناوران» که یکی از بزرگ‌ترین ارائه‌دهندگان خدمات فناوری اطلاعات به شرکت‌های بیمه است، همکاری دارند. سناریوی اول این است که حمله اصلی ممکن است به این شرکت رخ داده و هکرها با استفاده از تکنیک «حرکت جانبی» قادر به دسترسی به اطلاعات دیگر شرکت‌ها شده باشند. نقطه نقض این ادعا این است که نام شرکت بیمه ایران علی‌رغم همکاری‌های فناوری اطلاعاتی با «فناوران» در این فهرست وجود ندارد. سناریوی دوم می‌تواند حمله سایبری به «فن‌هاب»، سامانه نظارت و هدایت الکترونیک که متعلق به بیمه مرکزی است باشد. هکرها از طریق دسترسی به سرورهای این شرکت نیز می‌توانستند به اطلاعات شرکت‌های بیمه دست پیدا کنند. به روشنی واضح است که هر دو سناریو تنها فرضیاتی هستند که تا زمان اظهارنظر صریح مقامات مربوطه، قابل تأیید یا رد نمی‌باشند.
این نوع خرابکاری سایبری، نخستین نشت اطلاعاتی نیست که در هفته‌های اخیر رخ داده است. روز گذشته، درست چند ساعت قبل از افشای اطلاعات بیمه‌ها، مدیرعامل شرکت «تپ‌سی» از دزدیده شدن اطلاعات رانندگان و مسافران تاکسی‌های اینترنتی این شرکت خبر داد. به ادعای یک کانال تلگرامی، این اطلاعات شامل مشخصات بیش از ۲۷ میلیون مسافر، ۶ میلیون راننده و ۱۳۶ میلیون سفر از جمله آدرس کامل مبدا و مقصد، سورس‌کدها و اطلاعات دستگاه‌های همراه مسافران و رانندگان می‌شود. «میلاد منشی‌پور»، مدیر عامل تپ‌سی اعلام کرد که این گروه هکری قبل از افشای عمومی اطلاعات، نیت اخاذی داشتند که در نهایت به‌دلیل عدم وجود تضمین، شرکت به پرداخت مبلغ راضی نشد.
پنهان‌کاری، بر روی پنهان‌کاری…
در خصوص شرکت‌های بیمه، در تمام دو هفته‌ای که از حمله سایبری گذشته است، نه‌تنها این شرکت‌ها هیچ‌گونه اطلاع‌رسانی نکرده‌اند بلکه به هر ترتیبی که ممکن بود، به پنهان‌کاری‌ها دامن زده‌اند. اطلاع‌رسانی به موقع در نخستین گام می‌توانست به تشدید توجه نهادهای نظارتی کمک کند و در مرحله بعدی، زنگ خطری برای دیگر شرکت‌ها و بسترهای موجود در کشور به صدا درآورد.
در نهایت می‌توان گفت که هیچ‌یک از شبکه‌ها در برابر حملات گروه‌های سایبری مصون نیستند و نخواهند بود. هک اطلاعات در دنیا واقعیتی تکراری و بعضاً طبیعی است، اما طبیعی‌تر، پذیرفتن مسئولیت کوتاهی و سوءمدیریت در حفاظت از داده‌های خصوصی کاربران است که به‌طور گسترده از سوی مقامات مربوطه در ایران، فراموش شده است.