چرا بانک‌های ایران هر چند ماه یک بار هک می‌شوند؟ بررسی ریشه‌ها و راهکارها

هک بانک‌های ایرانی؛ زنگ خطر جدی برای امنیت اقتصادی کشور

در دو سال گذشته، صنعت بانکداری ایران با یکی از پرتنش‌ترین دوره‌های امنیت سایبری خود مواجه بوده است. هک بانک ایرانی به عنوان یک تهدید جدی، نه تنها اختلال در خدمات روزمره بانکی را به همراه داشته، بلکه اعتماد عمومی به سیستم مالی کشور را نیز تحت تأثیر قرار داده است. آنچه ابتدا با نفوذ به زنجیره تأمین نرمافزارهای بانکی و باج‌گیری آغاز شد، به مرور به حملات مخرب علیه سامانه‌های عملیاتی بانک‌ها و در نهایت حمله به زیرساخت‌های مشترک بانکی رسید. بررسی رخدادهای این دوره نشان می‌دهد که هدف مهاجمان دیگر صرفاً دسترسی به داده‌های محرمانه یا اخاذی مالی نبوده، بلکه ایجاد اختلال در تداوم کسب‌وکار بانک‌ها و کاهش تاب‌آوری زیرساخت‌های مالی نیز به یکی از اهداف اصلی تبدیل شده است.

در شهریور ۱۴۰۳، نخستین زنگ خطر جدی با هک کربنکینگ شرکت توسن به صدا درآمد؛ زمانی که گروه هکری IRLeaks مدعی نفوذ به سامانه بانکداری متمرکز این شرکت، یکی از تأمین‌کنندگان اصلی نرمافزار بانکداری کشور، شد. مهاجمان اعلام کردند به اطلاعات مربوط به حدود ۱۰ بانک مشتری این شرکت دست یافته‌اند و بخشی از داده‌ها را منتشر کردند. این رویداد نشان داد که آسیب‌پذیری در زنجیره تأمین نرمافزارهای بانکی می‌تواند به یک فاجعه امنیتی در سطح کل شبکه بانکی منجر شود.

موج اول حملات؛ بانک سپه و پاسارگاد در خط مقدم

نخستین موج حملات سایبری در اواخر خرداد ۱۴۰۴، بانک سپه و بانک پاسارگاد را هدف قرار داد. در نتیجه این حملات، بسیاری از خدمات الکترونیکی از جمله همراه‌بانک، اینترنت‌بانک، خودپردازها و سامانه‌های پرداخت دچار اختلال یا متوقف شد و مشتریان با مشکلاتی مانند عدم دسترسی به حساب‌ها، اختلال در پرداخت‌ها و تأخیر در تسویه تراکنش‌ها مواجه شدند. گروه هکری موسوم به «گنجشک درنده» مسئولیت نابودی بخشی از داده‌های این بانک‌ها را بر عهده گرفت. اختلال در بانک سپه، به دلیل نقش این بانک در ارائه خدمات به بخش‌های مختلف اقتصادی و دولتی، بازتاب گسترده‌تری در کشور داشت.

در فروردین ۱۴۰۴، گروه هکری Code Breakers مدعی شد به بیش از ۱۲ ترابایت اطلاعات بانک سپه شامل داده‌های حدود ۴۲ میلیون مشتری دسترسی پیدا کرده و این اطلاعات را برای فروش عرضه کرده است. همچنین ادعا شد که برای جلوگیری از انتشار اطلاعات، درخواست ۴۲ #میلیون_دلار باج مطرح شده است. بانک سپه این ادعا را رد کرد و اعلام کرد سامانه‌های بانک به اینترنت متصل نیستند و نفوذی رخ نداده است. با این حال، بررسی‌های بعدی نشان داد که حمله سایبری به بانک سپه، در واقع یک سرقت داده بوده است.

حمله گسترده به چهار بانک بزرگ دولتی در خرداد ۱۴۰۵

یک سال بعد و در ادامه تنش‌های منطقه‌ای، چهار بانک بزرگ دولتی شامل بانک ملی ایران، بانک تجارت، بانک صادرات ایران و بانک توسعه صادرات ایران هدف حمله سایبری قرار گرفتند. این حمله که از روز ۲۳ خرداد ۱۴۰۵ آغاز شد، بار دیگر میلیون‌ها مشتری را در انجام امور روزمره مانند خرید، انتقال وجه و پرداخت قبوض با مشکل مواجه کرد. خودپردازها، اینترنت‌بانک، موبایل‌بانک و بخشی از تراکنش‌های بانکی برای ساعتها و در برخی موارد روزها از دسترس خارج شدند. شورای هماهنگی بانک‌ها اعلام کرد که منشأ این اختلال‌ها یک «حمله سایبری محدود» به زیرساخت ارتباطی مشترک این بانک‌ها بوده است.

گزارش‌های متعددی حاکی از آن است که این اختلال گسترده، پلتفرم‌های همراه‌بانک، اینترنت‌بانک، خودپردازها و پایانه‌های فروشگاهی را در چهار بانک بزرگ به طور کامل از مدار خارج کرد. در پاسخ به این وضعیت اضطراری، شرکت خدمات انفورماتیک به عنوان هاب فنی و ارائه‌دهنده زیرساخت مشترک پرداخت به این بانک‌ها، تصمیم گرفت به منظور مهار دامنه نفوذ، جلوگیری از دسترسی‌های غیرمجاز و صیانت از اطلاعات حساس مالی مشتریان، ارائه خدمات پایه مبتنی بر کارت را در سراسر کشور به صورت موقت معلق کند. اگرچه در روزهای بعد بخشی از خدمات کارتی به صورت ناپایدار احیا شد، اما ریشه‌های نفوذ همچنان فعال باقی ماند.

ادعای هک ۲۰ بانک ایرانی و باج‌گیری میلیون دلاری

نشریه آمریکایی پولیتیکو در گزارشی مدعی شد که در بزرگترین حمله سایبری تاریخ ایران، اطلاعات ۲۰ بانک ایرانی به سرقت رفته و هکرها سه میلیون دلار باج دریافت کرده‌اند. بنابر این گزارش، اطلاعات کاربران بانک توسعه و معادن، بانک مهر، پست‌بانک ایران، بانک ایران زمین، بانک سرمایه، بانک ایران ونزوئلا، بانک دی، بانک شهر، اقتصاد نوین، بانک سامان و شعبه‌هایی در ایتالیا و آلمان در دست هکرها افتاده است. این ادعا در حالی مطرح شد که پیش از آن، ایران‌اینترنشنال نیز در خبری اختصاصی از هک شدن سامانه اصلی #بانک_مرکزی و چند بانک دیگر خبر داده بود.

گروه‌های هکری مختلفی در این دوره مسئولیت حملات را بر عهده گرفتند. گروه هکری «تپندگان» از هک بانک ملت خبر داد و اطلاعات بیش از ۳۲ میلیون حساب مشتریان این بانک را منتشر کرد. همچنین این گروه مدعی هک و انتشار اطلاعات کاربران بانک ملی و بانک صادرات شد. گروه هکری «گنجشک درنده» نیز که یک گروه شناخته‌شده و منتسب به عملیات سایبری اسرائیل است، مسئولیت حمله به بانک سپه را بر عهده گرفت.

خسارات و اطلاعات نشت‌یافته؛ از داده‌های مشتریان تا اختلال در خدمات

بر اساس ادعاهای مطرح‌شده، حجم عظیمی از اطلاعات مشتریان بانک‌ها در معرض نفوذ و سرقت قرار گرفته است. گروه Code Breakers مدعی دسترسی به بیش از ۱۲ ترابایت داده از اطلاعات ۴۲ میلیون مشتری بانک سپه شد. گروه «تپندگان» نیز ادعای هک و انتشار اطلاعات ۷۳ میلیون حساب بانکی بانک ملی و ۳۲ میلیون حساب بانک ملت را مطرح کرد. همچنین این گروه مدعی دسترسی به اطلاعات بیش از ۶۳ میلیون مشتری بانک صادرات شد. اگرچه بانک‌های مربوطه این ادعاها را تکذیب کرده‌اند، اما حجم بالای داده‌های ادعاشده نشان‌دهنده ابعاد گسترده تهدیدات سایبری علیه شبکه بانکی کشور است.

فراتر از نشت اطلاعات، خسارت اصلی این حملات در اختلال گسترده و طولانی‌مدت خدمات بانکی بود. از کار افتادن کارت‌های بانکی و سرویس‌های اینترنتی بانک‌ها حداقل از دو سال گذشته به یک روتین طبیعی برای شهروندان تبدیل شده است. خودپردازها، همراه‌بانک، اینترنت‌بانک و پایانه‌های فروشگاهی برای ساعتها و حتی روزها از دسترس خارج شدند و میلیون‌ها شهروند در انجام امور روزمره خود با مشکل مواجه شدند. این اختلالات علاوه بر ایجاد نارضایتی عمومی، خسارت‌های اقتصادی قابل‌توجهی به کسب‌وکارها و بنگاه‌های اقتصادی وارد کرده است. با وجود تلاش‌ها، آثار اختلال بانکی برای روزها در شبکه بانکی ادامه یافت.

گزارش‌های فنی و کارشناسی؛ آسیب‌پذیری زیرساخت‌های بانکی

بررسی‌های فنی نشان می‌دهد که آنچه شبکه بانکی ایران را در حملات سایبری خرداد و تیر ۱۴۰۵ آسیب‌پذیر کرد، تنها توان مهاجمان نبوده است. بخشی از این آسیب‌پذیری به سیاست‌هایی بازمی‌گردد که قرار بود امنیت شبکه را افزایش دهند، اما در عمل مسیر نفوذ را هموارتر کردند. کارشناسان حوزه مالی و سایبری سه دلیل مشترک در حملات سایبری به بانک‌ها را «بکاپ‌گیری متصل»، «استفاده از تجهیزات بدون لایسنس» و «تست نکردن بازیابی واقعی» می‌دانند. شواهد فنی نشان می‌دهد که فیلترینگ در حمله سایبری به بانک‌ها بی‌نقش نبوده است.

بررسی‌های دقیق فنی حاکی از آن است که اختلال در چهار بانک بزرگ ناشی از یک حمله سایبری محدود به این بانک‌ها بوده و خوشبختانه هیچ‌گونه دسترسی غیرمجاز به اطلاعات مشتریان رخ نداده و نشت اطلاعاتی اتفاق نیفتاده است. با این حال، یک کارشناس بانکی می‌گوید حمله اخیر سایبری به چهار بانک در مقابل حملاتی که در یک سال گذشته تجربه شده، تخریب کمتری داشته است. همچنین مشخص شده که این حمله تنها به خطوط ارتباطی بوده، نه خود منابع و مخازن داده‌ها. با وجود این، حملات در دو موج عملیاتی اصلی و پیاپی رخ داد که هسته خدماتی و پلتفرم‌های پرداخت کارت‌محور کشور را هدف گرفت.

بدافزارهای مورد استفاده در این‌گونه حملات، از پیچیده‌ترین نمونه‌های شناخته‌شده در حوزه امنیت سایبری هستند و توسعه آنها عموماً خارج از توان مهاجمان عادی است. شرکت خدمات انفورماتیک اعلام کرد هیچ شواهدی از وجود «در پشتی» در سامانه‌های بانکی هک‌شده وجود ندارد. با این حال، بررسی‌های فنی نشان می‌دهد که حذف IPv6 به یکی از پاشنه‌های آشیل امنیت شبکه بانکی تبدیل شده است.

واکنش‌ها و اطلاع‌رسانی‌ها در رخدادهای هک بانکی

بانک مرکزی و شبکه بانکی در واکنش به این حملات، ضمن تأکید بر حفظ اطلاعات مشتریان، از مردم خواستند صبوری کرده و اخبار را از مراجع رسمی دنبال کنند. معاون بانک مرکزی ادعای هک بانک‌ها را رد کرد و گفت داده‌های مردم محفوظ بوده و هیچ نشت اطلاعاتی رخ نداده است. با این حال، رئیس کل بانک مرکزی در نشست علنی مجلس اعلام کرد در یک سال گذشته سرویس‌های حاکمیتی بیش از ۱۲۲ هزار بار هدف حملات سایبری قرار گرفتند که مدیریت شدند؛ اما تجربه اخیر نشان داد که صرف داشتن سایت پشتیبان کافی نیست و معماری آینده شبکه بانکی باید بر فرض وقوع حمله طراحی شود.

با وجود تلاش‌های اطلاع‌رسانی، همچنان ابهامات زیادی در مورد علت حملات، میزان خسارت و مسئولیت نهادهای متولی وجود دارد. منتقدان معتقدند مسئولان بانکی و رگولاتور بازار فقط از مردم می‌خواهند صبوری کنند و در نهایت بعد از چند روز و حتی چند هفته، بدون توضیح روشن درباره علت حادثه، میزان خسارت، نقاط آسیب‌پذیر و حتی یک عذرخواهی رسمی بابت نقض حقوق مشتریان، مشکل برطرف می‌شود. شورای هماهنگی بانک‌ها و شرکت خدمات انفورماتیک نیز با صدور اطلاعیه‌هایی، از مشتریان خواستند اخبار را صرفاً از طریق کانال‌های رسمی پیگیری کنند.

نظریه‌ها و نظریات کارشناسان و تحلیل‌گران سایبری

کارشناسان امنیتی درباره ریشه‌های این حملات نظریه‌های مختلفی مطرح کرده‌اند. برخی معتقدند این حملات از خارج از کشور و با هدف تضعیف ثبات اقتصادی ایران طراحی شده‌اند. در این میان، گروه هکری «گنجشک درنده» که یک گروه شناخته‌شده و منتسب به عملیات سایبری اسرائیل است، به عنوان یکی از عوامل اصلی این حملات معرفی شده است. با این حال، برخی تحلیل‌گران معتقدند ممکن است بخشی از این حملات از داخل کشور و با انگیزه‌های مختلف صورت گرفته باشد. آنچه مسلم است، پیچیدگی بدافزارهای مورد استفاده در این حملات نشان می‌دهد که مهاجمان از توان فنی بالایی برخوردار بوده‌اند.

یک کارشناس امنیتی معتقد است تجربه حملات سایبری اخیر به بانک‌ها نشان می‌دهد اساساً در سیستم بانکی کشور، مدیران نیازی به پاسخگویی نمی‌بینند و تمایلی به پذیرش مسئولیت یا اطلاع‌رسانی شفاف ندارند. برخی کارشناسان نیز معتقدند اتفاق‌ات اخیر، هشداری جدی برای نوسازی زیرساخت‌های بانکی است. از سوی دیگر، گروه‌های هکری مانند «تپندگان» و «گنجشک درنده» با انتشار بیانیه‌هایی، اهداف خود را افشای اطلاعات و ایجاد زنگ خطر برای مسئولان عنوان کرده‌اند. با این حال، مقامات بانکی این ادعاها را از نظر عملیاتی و فنی نادرست خوانده‌اند.

پیشنهاد تمهیدات فنی و تغییرات زیرساخت‌ها برای جلوگیری از تکرار هک‌ها

رئیس کل بانک مرکزی تأکید کرده است که معماری آینده شبکه بانکی باید بر فرض وقوع حمله طراحی شود تا دارایی مردم و خدمات حیاتی مصون بماند. کارشناسان حوزه سایبری بر ضرورت سرمایه‌گذاری بیشتر در امنیت سایبری، معماری‌های پشتیبان و تاب‌آوری عملیاتی شبکه بانکی تأکید دارند. از جمله راهکارهای پیشنهادی می‌توان به استفاده از سامانه‌های پشتیبان با قابلیت بازیابی سریع، کاهش وابستگی به یک تأمین‌کننده نرمافزار واحد، توسعه زیرساخت‌های امنیتی مبتنی بر IPv6 و انجام منظم تست‌های نفوذ و ارزیابی آسیب‌پذیری اشاره کرد.

علاوه بر راهکارهای فنی، شفاف‌سازی در اطلاع‌رسانی و پاسخگویی مسئولان در قبال رخدادهای سایبری نیز از اهمیت بالایی برخوردار است. کارشناسان معتقدند تا زمانی که گزارش‌های شفاف درباره علت حملات، میزان خسارت و نقاط آسیب‌پذیر منتشر نشود، امکان اصلاح ساختاری و جلوگیری از تکرار این رخدادها وجود نخواهد داشت. همچنین ضرورت دارد همکاری بین‌بخشی بین بانک مرکزی، مرکز افتا و سایر نهادهای متولی امنیت سایبری تقویت شود تا شناسایی و مدیریت تهدیدات با سرعت و دقت بیشتری انجام گیرد. آموزش و آگاهی‌بخشی به مشتریان بانکی نیز در کاهش خطرات ناشی از حملات سایبری نقشی کلیدی دارد.