همه آنچه باید از سرقت اطلاعات ۱۹ شرکت بیمه بدانید؛ مقصر کیست؟

هیچ شبکه‌ای از هجوم گروه‌های سایبری در امان نبوده‌ و نخواهد بود. هک اطلاعات در سراسر جهان، پدیده‌ای تکرارپذیر و گاه طبیعی است اما طبیعی‌تر، پذیرش مسوولیت کوتاهی و سوءمدیریت در حفاظت از اطلاعات خصوصی کاربران است که به طور گسترده توسط مقامات مربوطه در ایران، از شهروندان ایرانی دریغ شده است.

هک بیش از ۱۱۵ میلیون ذخیره اطلاعات شرکت‌های بیمه؛ خبری که ساعاتی پس از اعلام خبر هک و افشای اطلاعات کاربران و راننده‌های تپسی، از یک منبع مشابه، منتشر شد. در این خبر، اطلاعاتی شامل «نام و نام خانوادگی، تاریخ تولد، نام پدر، کد ملی و شماره شناسنامه و شماره تلفن» مشترکان ۱۹ شرکت بیمه در کشور با قیمت ۸۱هزار دلار به فروش گذاشته شده است.

تا این لحظه، «مجید مشعلچی فیروزآبادی»، قائم‌مقام بیمه مرکزی تنها مسوول در صنعت بیمه کشور است که در مورد این حادثه صحبت کرده است. او ضمن تایید به سرقت‌رفتن اطلاعات بیمه گزاران، گفته این اطلاعات، قدیمی بوده و نمی‌تواند مورد سوءاستفاده قرار بگیرد.

در اصل ماجرا، در واکنش‌های مقامات بیمه‌ای و حتی در سکوت عجیب مسوولان نکاتی وجود دارد که در این گزارش به آن می‌پردازیم.

کِی اتفاق افتاد؟

طبق اخباری که به خبرنگار «فراز رسیده»، سرقت اطلاعات شرکت‌های بیمه در ۱۱ ماه آگوست، مصادف با ۲۰ مردادماه اتفاق افتاده است. این اتفاق، تا زمان اعلام گروه‌های هکری، از مجاری رسمی اطلاع‌رسانی نشده بود. این پنهان‌کاری در سطحی صورت گرفته بود که حتی خبرنگاران حوزه بیمه نیز اطلاعی از این حادثه نداشته‌اند در نشست خبری روز چهارشنبه هفته گذشته «مجید بهزادپور»، رییس کل بیمه مرکزی نیز حرفی از سرقت اطلاعات شرکت‌های بیمه به میان نیامد. البته او چند ساعت پس از انتشار خبر سرقت اطلاعات بیمه‌ها، از کار برکنار شد.

شنیده‌ها حاکی از این است که در جریان مجمع سالانه بیمه مرکزی که در ۲۹ مرداد برگزار شد، وزیر اقتصاد با اظهار اطلاع از اطلاعات به سرقت رفته از شرکت‌های بیمه، به نمایندگان شرکت‌ها درخواست پیگیری جدی کرده است. با این حال اما، این اتفاق چیزی از بار مسوولیت وزارت اقتصاد و شخص وزیر کم نمی‌کند. بیمه مرکزی یکی از نهادهای زیرمجموعه وزارت اقتصاد است و از این جهت، این وزارت‌خانه نیز مسوول پیامدهای احتمالی افشای اطلاعات کارگزاران بیمه خواهد بود.

بیمه‌ای‌ها چه گفتند؟

مقامات صنعت بیمه، با تلاش برای بی‌اهمیت جلوه دادن یا تقلیل بحران گفته‌اند که این اطلاعات فقط در حد اسم و فامیل و کد ملی بوده است. نکته قابل توجه اما این است که اگر این اطلاعات بی‌ارزش بود، چرا به قیمت حدود ۴ میلیارد تومان به فروش گذاشته شده است؟ پاسخ می‌تواند ساده باشد. اطلاعات به سرقت رفته از ۱۹ شرکت بیمه، از آن جا که مبداء اطلاعاتی خوبی برای دست‌یابی به مشخصات دیگر مثل حساب بانکی و حتی آدرس سکونت و کد پستی هستند، می‌توانند ارزش زیادی برای هکرهای داشته باشند. به عبارت دیگر، بی‌اهمیت‌ جلوه‌ دادن ماجرا، در واقع از بزرگی و اهمیت مضاعف این حمله سایبری نمی‌کاهد.

چرا فقط ۱۹ شرکت؟

در لیست اسامی بیمه‌هایی که اطلاعاط‌شان به سرقت رفته اما نام تعدادی از شرکت‌ها به چشم نمی‌خورد. این که چرا تنها ۱۹ شرکت مورد هجوم سایبری قرار گرفته‌اند، تا این لحظه محل مناقشه است اما حدس‌هایی نیز می‌توان زد. بررسی‌ها نشان می‌دهد که همه‌ی این ۱۹ شرکت به طورت مشترک با شرکتی به نام «فناوران»، یکی از بزرگترین شرکت‌های ارایه‌دهنده خدمات آی‌تی به شرکت‌های بیمه همکاری می‌کنند. سناریوی نخست این است که حمله اصلی ممکن است به این شرکت صورت گرفته و هکرها از طریق تکنیکی به نام «حرکت جانبی» یا ... توانسته‌اند به اطلاعات شرکت‌های دیگر دست پیدا کنند. مثال نقض این ادعا اما این است که نام شرکت بیمه ایران با وجود همکاری‌های آی‌تی با شرکت «فناوران» در این لیست دیده نمی‌شود. سناریوی دوم، حمله سایبری به «فن‌هاب» است. «فن‌هاب» سامانه نظارت و هدایت الکترونیک و متعلق به بیمه مرکزی است. هکرها از طریق دسترسی به سرورهای این شرکت نیز می‌توانستند به اطلاعات شرکت‌های بیمه دسترسی داشته باشند. طبیعی است که هر دو سناریو، احتمالاتی‌اند که تا زمان اظهار نظر شفاف مقامات مربوطه، قابل تایید یا تکذیب نیستند.

این خرابکاری سایبری اما اولین نشت اطلاعاتی هفته‌های اخیر نیست. روز گذشته، درست چند ساعت پیش از افشای اطلاعات بیمه‌ها، مدیرعامل شرکت «تپ‌سی» از سرقت اطلاعات راننده‌ها و مافران تاکسی‌های اینترنتی این شرکت خبر داد. طبق ادعای یک کانال تلگرامی، این اطلاعات شامل مشخصات بیش از ۲۷ میلیون مسافر، ۶ میلیون راننده و ۱۳۶ میلیون سفر از جمله آدرس کامل مبدا و مقصد، سورس‌کدها و اطلاعات دستگاه‌های همراه مسافران و راننده‌ها است. «میلاد منشی‌پور»، مدیر عامل تپسی اعلام کرد که این گروه هکری، پیش از افشای عمومی اطلاعات قصد اخاذی داشته که باتوجه به عدم وجود تضمین، این شکرت حاضر به پرداخت مبلغ نشده است.

پنهان‌کاری، پشت پنهان‌کاری...

در مورد شرکت‌های بیمه اما، در تمام مدت دو هفته‌ای که از حمله سایبری گذشته بود، نه تنها شرکت‌های بیمه حاضر به اطلاع‌رسانی نشدند، بلکه به هرترتیبی که شده، به پنهان‌کاری‌ها نیز دامن زدند. اطلاع رسانی به موقع، در گام نخست می‌توانست بر جدیت نهادهای نظارتی بیفزاید و در گام بعدی، زنگ خطر را برای شرکت‌ها و سکوهای دیگر در کشور به صدا در می‌آورد.

در پایان باید گفت که هیچ شبکه‌ای از هجوم گروه‌های سایبری در امان نبوده‌ و نخواهد بود. هک اطلاعات در سراسر جهان، پدیده‌ای تکرارپذیر و گاه طبیعی است اما طبیعی‌تر، پذیرش مسوولیت کوتاهی و سوءمدیریت در حفاظت از اطلاعات خصوصی کاربران است که به طور گسترده توسط مقامات مربوطه در ایران، دریغ شده است.