هک و فروش اطلاعات ۱۸ شرکت بیمه‌ای / چطور این اتفاق افتاده است؟

این گروه هکری در آگهی فروش اطلاعات در دست خود، عنوان کرده بود که ۱۱۵ میلیون رکورد اطلاعاتی شامل: نام، نام‌خانوادگی، تاریخ تولد، نام پدر، شماره تلفن/موبایل، شماره شناسنامه، کد ملی، کد ملی شرکت و ... را در اختیار دارد. بانک اطلاعات و دیتای لو رفته از دو شرکت ابتدایی این لیست روی هم ۳۵ میلیون رکورد است.

چطور این اتفاق افتاده است؟

شرکت‌های بیمه برای ایجاد ساختار بانک اطلاعاتی و دیتاسنتر خود نیاز به پشتیبان فنی دارند. از این رو، گفته می‌شود شرکتی با رنگ و لعاب استارت‌آپی مسوولیت این کار را به عهده گرفته است. این شرکت خود را «بزرگ‌ترین ارایه‌دهنده راهکار‌های نرم افزاری جامع و یکپارچه بیمه‌گری (core insurance) به صنعت بیمه کشور» معرفی کرده است. لوگو ۲۴ شرکت بیمه‌ای نیز در وب‌سایت این شرکت موجود است که به عنوان «مشتریان» آن نام برده شده‌اند. حالا گفته می‌شود که هک اطلاعات از طریق همین شرکت صورت گرفته است. گویا این شرکت، پیمانکار برخی شرکت‌های بیمه بوده و مورد تایید بیمه مرکزی هم نبوده است.

وب‌سایتی به نام «خرد و کلان» به نقل از یک مقام آگاه که نامی از وی نبرده عنوان کرده که «شرکتی که اطلاعات آن هک شده است، ارتباطی با بیمه مرکزی نداشته و اتفاقا مرکز فناوری و حراست بیمه مرکزی، بار‌ها تذکرات لازم در خصوص عدم امنیت این شرکت را به صورت کتبی و شفاهی اعلام کرده بود.» با توجه به اینکه تاریخ افشای این اطلاعات سه هفته پیش بوده، مشخص نیست چرا بیمه مرکزی به عنوان نهاد ناظر بر صنعت بیمه تاکنون در این باره سکوت کرده بود؟ آیا اگر آن‌گونه که عنوان می‌شود پدافند غیرعامل در این سازمان به درستی عمل کرده بود و هشدار‌های لازم برای ارتقای سطح ارتباط امن داده می‌شد، موضوع هک شدن اپلیکیشن تپسی نیز پیش می‌آمد؟ و نکته بعدی اینکه وقتی برای موضوعی به نام «پوشش کارکنان» در استارت‌آپ‌ها، به سرعت کمیته تعیین وضعیت تشکیل شده و تصمیم هم گرفته می‌شود؛ چرا برای چنین موضوع مهمی هیچ کمیته‌ای تشکیل یا اطلاع‌رسانی نشده است؟

خبرنگار «اعتماد» کسب اطلاع کرده که برخی مدیران مرتبط با امنیت شبکه در بیمه مرکزی همزمان با وقوع یکی از بحران‌های امنیتی در هک و افشای اطلاعات کاربران بیمه، در خارج از کشور به سر می‌برند.

واکنش بیمه مرکزی

هیچ یک از شرکت‌ها در خصوص لو رفتن اطلاعات کاربران خود موضع‌گیری رسمی نداشته‌اند. اما بیمه مرکزی به عنوان بخش رگولاتوری این ماجرا، هک شدن شرکت‌های بیمه‌ای را «شبهه‌افکنی برخی کانال‌های خبری و رسانه‌ها» به «دلایل غیرتخصصی» خوانده و عنوان کرده که «صنعت بیمه همچنان امانتدار مردم خواهد بود.» بیمه مرکزی در بیانیه خود اضافه کرده که «شرکت‌های بیمه‌ای کشور در عقد قرارداد با شرکت‌های پیمانکاری مرتبط با حوزه اطلاعات و آمار از استقلال نسبی برخوردارند و دسترسی به برخی اطلاعات عمومی بیمه‌گذاران در سطوح مختلف امکان‌پذیر است.»

بیمه مرکزی به عنوان نهاد ناظر صنعت بیمه همچنین هرگونه «هک شدن» یا «افشای» اطلاعات را نیز رد و اضافه کرده که «آنچه به شکل سهو یا عمد به اختلال در سامانه‌های بیمه مرکزی تعبیر شده به هیچ عنوان صحت ندارد و بر اساس آمار موجود مجموعه‌های پدافند غیرعامل و مرکز فاوای بیمه مرکزی با قدرت هر چه تمام‌تر و امنیت بالا از اطلاعات بیمه‌گذاران محافظت می‌کند. با این وجود هر گونه ایجاد خدشه در اعتماد عمومی برای نهاد ناظر صنعت بیمه پذیرفتنی نیست و موضوع مطرح شده از مدت‌ها قبل توسط کارشناسان امنیت بیمه مرکزی و مراجع ذی‌صلاح دیگر رصد شده و با دقت و حساسیت در حال پیگیری است.»

هر چند در بخشی از این «بیانیه» بیمه مرکزی تلاش کرده تا از خود نیز سلب مسوولیت کند و نوشته است: «هشدار‌های لازم امنیتی که از مدت‌ها قبل به برخی شرکت‌های بیمه در انتخاب پیمانکار و استاندارد‌های امنیتی که باید داشته باشد، داده شده بود.» همچنین «به شرکت مرتبط هم به‌رغم تذکرات قبلی اعلام شده که با اقدامات فنی پیشگیرانه حتی از دیتای تاریخ مصرف گذشته و فرعی خود نیز مراقبت بیشتری کنند.» بیمه مرکزی اضافه کرده که «تا برقراری کامل استاندارد‌های مورد نظر تخت رصد قرار دارد تا افکارعمومی بیش از این دستخوش ابهام و آسیب نشود.» روز گذشته مجید مشعلچی‌فیروزآبادی، قائم‌مقام بیمه مرکزی نیز اطمینان داد که «اطلاعات به سرقت رفته از بیمه‌گزاران، نمی‌تواند مورد سوءاستفاده قرار بگیرد.»، چون از نظر او «این ماجرا به یک ماه پیش مربوط بود و اکنون تمام شده است.»

در واکنش به این اتفاقات، مدیر ارشد فناوری در یک هلدینگ دانش‌بنیان حوزه فناوری اطلاعات در رشته توییتی نوشته است: «حدودا دو ماه از اطلاع‌رسانی تلگرامی همین گروه [هکرها]در خصوص نفوذ و فروش اطلاعات شرکت‌های مختلف بیمه‌ای گذشته و هیچ واکنش عمومی از بیمه مرکزی یا نهاد‌های مختلف امنیت اطلاعات در این خصوص منتشر نشده است. این موضوع باعث می‌شود که بقیه سازمان‌ها و شرکت‌ها درس آموخته‌ای کسب نکنند، تا زمانی که برای آن‌ها هم همین موضوع پیش بیاید. چه بسا روش نفوذ به تپسی مشابه با بیمه بوده و اگر اطلاعات فنی آن نفوذ منتشر می‌شد الان به تپسی نفوذ نشده بود. پنهانکاری و تکذیب‌های مداوم هیچ کمکی به بهبود امنیت اطلاعات نخواهد کرد.»

برکناری رییس کل بیمه مرکزی

مجموعه اتفاقات در حوزه هک اطلاعات کاربران شرکت‌های بیمه‌ای، منجر به تصمیم‌گیری جدید در حوزه نهاد ناظر بیمه شده و در جلسه‌ای فوری رییس جدید بیمه مرکزی معرفی شد.

رییس جدید علی استاد هاشمی، دارای مدرک تحصیلی دکترای مدیریت مالی دانشگاه شهید بهشتی و عضو هیات علمی دانشگاه پیام نور است. حضور او در پست معاون نظارتی بدون سابقه کار مشخص در این حوزه، پیش از این موجب انتقاد‌های بسیاری توسط فعالان بیمه‌ای شده بود.

این در حالی است که حضور این چهره نزدیک به وزیر امور اقتصادی و دارایی در بیمه مرکزی، به دلیل «دوشغله بودن» توسط دیوان محاسبات غیرقانونی اعلام شده است.

آثار منفی فیلترینگ

البته که بخش بزرگی از حملات سایبری جدید را نیز باید در حوزه اختلال‌های اینترنتی جست‌وجو کرد. بر اساس گزارشی که به تازگی کمیسیون صنایع و معادن مجلس از وضعیت اینترنت در ایران منتشر کرده، سهم پهنای باند ناشناس در شبکه (ترافیکی که سیستم فیلترینگ قادر به تشخیص پروتکل آن نیست) از کمتر از ۵ درصد بین‌الملل در سال گذشته به حدود ۲۵ درصد در حال حاضر رسیده است. این بدان معناست که بخش بزرگی از کاربران اینترنت در ایران برای اتصال به آنچه «اینترنت بین‌الملل» خوانده می‌شود، از فیلترشکن استفاده می‌کنند.

محمدجواد آذری‌جهرمی، وزیر پیشین ارتباطات در این باره می‌گوید: «این یعنی ناکارآمدی و شکست برای فیلترینگ. این یعنی ناآگاهی حکمرانی از حتی نوع بخش بزرگی از ارتباطات بین‌الملل و افزایش تهدیدات سایبری علیه منافع ملی.» کمیسیون صنایع و معادن مجلس در این گزارش آثار منفی دیگری در استفاده از فیلترشکن‌ها در شبکه اینترنت ایران عنوان کرده است. باز شدن نشت فعال، پایین آمدن پهنای باند، مخاطرات امنیتی برای مردم و شبکه ارتباطی و قرار گرفتن اطلاعات کاربر در معرض دسترسی هکر‌ها از آثاری است که موج استفاده از فیلترشکن‌ها در اینترنت ایران بر‌جای گذاشته است.