از تایید تا تکذیب‌؛ آیا اطلاعات مشتریان بانک سپه هک شده است؟‌

خبر کوتاه بود: «اطلاعات مشتریان بانک سپه هک شد.» و پاسخ آن هم مانند همیشه تکراری: «بانک سپه هک اطلاعات کاربرانش را تکذیب کرد.» هک اطلاعات بانکی کاربران ایرانی اتفاق تازه‌ای نیست. در چند سال گذشته بارها اطلاعات مشتریان بانک‌های مختلف کشور هک شده و اطلاعات آن در اینترنت خرید و فروش شده، اما بانک‌های درگیر در این اتفاق آن را تکذیب کرده‌اند و بانک مرکزی هم همیشه در این زمینه سکوت اختیار کره است. هک اطلاعات تنها محدود به بانک‌ها نمی‌شود و حداقل در پنج سال گذشته خبرهای مختلفی در مورد هک اطلاعات کاربران سازمان‌ها و شرکت‌های گوناگون منتشر شده، اما در نهایت آنها با یک تکذیب ساده درز اطلاعات کاربرانشان را منطفی اعلام کردهاند، این درحالی است که در حال حاضر با یک جستجو ساده در اینترنت می‌توان اطلاعات عمومی اکثر کاربر ایرانی را پیدا کرد.  درز اطلاعات کاربران ایرانی آن‌ هم کف اینترنت حالا به یک امر عادی تبدیل شده است. در این گزارش نگاهی به برخی از مهمترین خبرهای هک اطلاعات مشتریان بانک‌های ایرانی انداخته‌ایم.

هک بانک سپه؛ ادعا یا واقعیت؟

چهارشنبه ۶ فروردین گروه هکری Codebreakers با انتشار اطلاعات و تصاویری ادعا کرد که اطلاعات مشتریان بانک سپه که به عنوان یک بانک نظامی هم شناخته می‌شود را هک کرده است. این گروه اعلام کرد که بیش از ۱۲ ترابایت داده از اطلاعات ۴۲ میلیون مشتری بانک سپه بین سال‌های ۱۳۰۴ تا ۱۴۰۴ را در اختیار دارد. هکرها ۷۲ ساعت به بانک سپه فرصت داده بودند که برای جلوگیری از فروش اطلاعات وارد مذاکره شوند.

آنها نمونه حساب‌ها، تسهیلات، اینترنت بانک، موبایل بانک و… را از طریق لینکی در کانال تلگرامی خود منتشر کردند. این گروه هکری اعلام کرد که این کارشان فقط بازی، شوخی یا تست امنیتی نیست و خبر داد که اطلاعات مهم مشتریان بانک سپه مانند نام و نام خانوادگی، کد ملی، نام پدر، تاریخ تولد، محل تولد، شماره شناسنامه، تلفن همراه ، تلفن منزل و ... شماره حساب، مانده و گردش حساب‌های ارزی، دلاری، یورویی و ... مشتریان از 3 سال گذشته تا کنون، شماره کارت، تاریخ انقضا کارت ، CVV2، گزارش ساتنا و پایا‌های انجام شده روی حساب، نام بانک مقصد، نام گیرنده، شماره شبای گیرنده، کد ملی گیرنده، زمان ارسال و دریافت ، وضعیت موفق و ناموفق و… را در اختیار دارد. همچنین تاکید کرد که به اطلاعات کامل مالی، تسهیلات، هویت و سکونت اشخاص و سازمان‌های نظامی ایران مانند:

 پرسنل ستاد کل نیروهای مسلح و نهادها و شرکت‌های وابسته

پرسنل سپاه پاسداران انقلاب اسلامی و نهادها و شرکت‌های وابسته

پرسنل فرماندهی انتظامی جمهوری اسلامی و نهادها و شرکت‌های وابسته

پرسنل وزارت دفاع و پشتیبانی و نهادها و شرکت‌های وابسته

پرسنل ارتش جمهوری اسلامی و نهادها و شرکت‌های وابسته

پرسنل نیروی مقاومت بسیج  و نهادها و شرکت‌های وابسته

پرسنل صندوق بازنشستگی نیروهای مسلح

پرسنل سازمان هوا و فضا

پرسنل سازمان انرژی اتمی

دسترسی پیدا کرده است. با پایان فرصت داده شده، این گروه هکری در پستی دیگر در کانال تلگرامی خود اعلام کردند: «مدیران این بانک برای مشتریان خود ارزشی قائل نشده و حاضر به پرداخت حتی ۱ دلار برای حفظ اطلاعات هر مشتری نبودند.» این گروه هکری اعلام کرد با توجه به عدم پاسخگویی مسئولان بانک و مهم نبودن امنیت مشتریان برای بانک به زودی در کانال تلگرامی خود اطلاعات کامل 20 هزار مشتری حقیقی و حقوقی دیگر این بانک منتشر خواهد شد.

در نهایت هم در حالی که کاربران بانک سپه نگران درز اطلاعات خود بودند، روابط عمومی بانک سپه، ادعای این گروه هکری را رد کرد.

رضا همدانچی، رئیس اداره کل روابط‌عمومی بانک سپه، در گفت‌وگو با «فارس» در این مورد گفت: «این ادعا از اساس کذب است و سیستم‌های بانک سپه غیرقابل هک و نفوذ هستند.»

اما این پایان کار نبود، چرا که این گروه هکری در یک پست دیگر در کانال تلگرامی خود ادعا کردند اطلاعات رئیس روابط عمومی بانک سپه را نیز در اختیار دارند. آنها با انتشار عکسی اعلام کردند:‌ «به دلیل اظهار نظر نادرست مدیر روابط عمومی صرفا بخش کوچکی از اطلاعات ایشان منتشر شد.»

بعد از این اتفاق نیز تا لحظه انتشار این گزارش، بانک سپه هیچ پاسخ رسمی دیگری نداده است. در قدم بعد باز هم هکرها به بانک سپه فرصت دادن تا ۴۸ ساعت دیگر وارد مذاکره شوند در غیر این صورت به جای اطلاعات ۲۰ هزار مشتری، اطلاعات ۸۰ هزار مشتری را منتشر خواهند کرد. با پایان این زمان هم این گروه هکری خبر داد اطلاعات نیم میلیون مشتری دیگر بانک سپه روز شنبه (۹ فروردین) منتشر خواهد شد. آنها در اطلاعیه شماره ۱ خود که چند لحظه پیش منتشر شد هم اعلام کرده‌اند که بانک سپه مسئول مستقیم عواقبی خواهد بود که نشت این اطلاعات برای مشتریانش به دنبال دارد.

در چند روز گذشته یک گروه تلگرامی هم شکل گرفته که به بررسی نمونه اطلاعاتی که این گروه هکری ادعا می‌کند مربوط به ۴۲ میلیون مشتری بانک سپه است پرداخته. برخی در این گروه ادعا کرده‌اند که با جستجو در فایل‌های نمونه منتشر شده توانسته‌اند اطلاعات خود یا نزدیکانشان را پیدا کنند و به جزییات فعالیت بانکی‌ آنها دسترسی داشته باشند.

روتینی به نام هک اطلاعات بانکی

خبر هک اطلاعات بانک‌ها، سازمان‌ها و شرکت‌های مختلف آن هم در ابتدای سال به یک اتفاق طبیعی تبدیل شده است. حداقل از سال ۱۳۹۹ خبرهای مختلفی از هک اطلاعات کاربران بانک‌ها و شرکت‌های مختلف شنیده شده است. برای نمونه سال ۹۹ در حالی آغاز شد که تا پایان تعطیلات نوروزی آن خبرهایی مانند هک رایتل، هک سیب‌اپ و درز اطلاعات شخصی ۵ میلیون کاربر، لو رفتن اطلاعات ۴۲ میلیون کاربر ایرانی تلگرام، نشت داده‌های بیش از ۲۶۷ میلیون حساب کاربری رایچت، حمله سایبری به سازمان بنادر و کشتیرانی و …. جنجال زیادی به پا کرد. چیز که در تمام این اتفاق‌ها مشترک بود، به فراموشی سپرده شدن این اتفاق‌ها و بی‌توجی به خساراتی بود که درز این اطلاعات به کاربران ایرانی زد.

در حالی که برخی شرکت‌های خصوصی حداقل پاسخ یا واکنش شفاف به هک اطلاعات کاربران خود می‌دهند و در ادامه وعده می‌دهند که دیگر چنین اتفاقی رخ نخواهد داد، اما در سیستم بانکی کشور درز اطلاعات کاربران با کمترین واکنش همراه است.

برای نمونه نیمه مرداد سال گذشته گروه هکری ادعا کرد اطلاعات کاربران نیمی از بانک‌های کشور هک شده است و حتی نسبت به این اتفاق رسانه‌ها هم سکوت کردند و تنها واکنش رسمی به این اتفاق تکذیب از سوی بانک مرکزی بود. این هکرها تهدید کرده بودند اگر ۱۰ میلیون دلار رمزارز دریافت نکنند داده‌ها، شامل اطلاعات حساب و کارت اعتباری میلیون‌ها ایرانی را در وب تاریک (dark web) به فروش می‌گذارند. در حالی که بانک مرکزی نسبت به این ادعا سکوت کرده بود، نشریه آمریکایی «پولیتیکو» جزئیات تازه‌‌ای از این هک را منتشر کرد. نشریه پولیتیکو مدعی شد مقامات بانکی ایران برای جلوگیری از افشای اطلاعات ۲۰ بانک داخلی حداقل ۳ میلیون دلار باج پرداخت کرده‌اند. خبری که باز هم از سوی مقامات رسمی ایران نه تایید و نه تکذیب شد. پس از یک روز انتشار این خبر هم متن ایمیل‌های رد و بدل شده برای باج‌خواهی منتشر شد.

طبق اطلاعات گزارش پولیتیکو این گروه هکری از طریق شرکتی تحت عنوان «توسن» که به بخش مالی ایران خدمات دیجیتال ارایه می‌کند، وارد سرورهای بانک‌ها شدند. در این گزارش آمده بود: «آنها (گروه هکری)‌ توسن را به عنوان اسب تراوا (Trojan horse) استفاده کردند و اطلاعات بانک‌های خصوصی و دولتی را استخراج کردند. از ۲۹ موسسه مالی فعال، ۲۰ بانک هدف حمله قرار گرفتند. در بین این بانک‌ها نام بانک توسعه و معادن، بانک مهر، پست‌بانک ایران، بانک ایران زمین، بانک سرمایه، بانک ایران ونزوئلا، بانک دی، بانک شهر، اقتصاد نوین، بانک سامان و شعبه‌هایی در ایتالیا و آلمان به چشم می‌خورد.» پولتیکو می‌نویسد، در نهایت دولت ایران شرکت توسن را مجبور کرد باج این گروه هکری را بپردازد. پولیتیکو در گزارش خود مدعی شده بود «دولت ایران شرکت توسن را مجبور کرد باج این گروه هکری را بپردازد.»

هک اطلاعات قدیم‌ترین بانک ایران

یکی دیگر از پر سروصداترین خبرهای هک اطلاعات مشتریان بانکی، مربوط به بانک ملی بود که در پاییز سال ۱۴۰۱ رسانه‌ای شد. گروه هکری آنانیموس ۲۶ سپتامبر آن سال مدعی شد که بانک ملی را هکر کرده و اسکرین‌شاتی از صفحه دسترسی به  administrator بانک ملی را در توییتر منتشر کرد. این گروه مدعی شده بود تاکنون علاوه بر بانک ملی، وب‌سایت پزشکی قانونی را هک کرده که درز ۱۰۰ مگابایت داده را به همراه داشته است. این گروه همچنین مدعی شده بود بانک آینده را نیز هک کرده است. انانیموس در صفحه توییتر خود خبر داده بود وب‌سایت بانک آینده را به صورت کامل در اختیار گرفته است. همان زمان مرکز ملی فضای مجازی در اطلاعیه‌ای هک شدن سایت‌های مختلف و مراکز دولتی را تکذیب کرد.

از هک شهرداری تا هک بانک شهر

یکی دیگر از بانک‌هایی که در سال‌های اخیر در مظان هک قرار گرفته، بانک شهر بود.  شهریور ۱۴۰۱ اختلال‌های سخت‌افزاری که در زیرساخت‌های بانک شهر اتفاق افتاد گمان زنی در مورد هک و نفوذ به اطلاعات مشتریان این بانک را پررنگ کرد. همان زمان هکرها با ایجاد یک صفحه جعلی از سامانه پرداخت اینترنتی بانک شهر موفق شده بودند برخی از کاربران این بانک را فریب دهند و به رمز اینترنتی و حساب بانکی آنها دسترسی پیدا کنند، هرچند این بانک به سرعت قدام به شناسایی صفحه جعلی کرده بود،  اما به صورت رسمی هیچ‌گاه آن را اعلام نکرد، تنها معاون فناوری اطلاعات این بانک در گفت‌وگو با روابط عمومی‌اش از کاربران‌شان خواست هنگام خرید اینترنتی از صحت صفحه بانک مطمئن شوند. همزمانی این اتفاق با نفوذ به سامانه شهرداری باعث شده بود بسیاری از کاربران اطلاعیه‌های بانک شهر در مورد مشکل زیرساختی را نپذیرند. در آن زمان رفع نشدن اختلال در دسترسی به سامانه‌های بانک شهر آن هم در شرایطی که روابط عمومی این بانک خبر از رفع اختلال می‌داد به تصور نفوذ به سامانه‌های بانک شهر دامن زده بود.

هک‌های زنجیره‌ای 

پاییز سال ۱۳۹۸ هک چندین بانک به صورت همزمان باز هم توجه‌ها را به زیرساخت‌های ضعیف امنیت بانکی کشور جلب کرد. در این زمان خبرهایی در مورد هک اطلاعات مشتریان پنج بانک سپه، ملت، تجارت، سرمایه و قوامین منتشر شد و اطلاعات مشتریان این بانک‌ها در شبکه‌های اجتماعی دست به دست می‌شد. در مقابل این اتفاق هم مقامات این پنج بانک این اتفاق را دروغ و بی‌اساس دانسته و اعلام کردند که اطلاعات مشتریان‌شان همچنان دارای امنیت کافی است.

در ادامه این اتفاق نیز محمدجواد آذری جهرمی، که در آن زمان وزیر ارتباطات بود در توییتر خود اعلام کرد: «بانک‌ها هک نشده بودند بلکه پیمانکار فنی سابق یک مجموعه از اطلاعاتی که به آن‌ها دسترسی داشت نسخه پشتیبان گرفته بود و اکنون با دسترسی به این نسخه در حال تهدید و باج‌گیری است.» او در ادامه نوشته بود:‌ «اگر برای آن سازمان مدیریت سطوح امنیتی مهم بود فکر می‌کنید اجازه می‌داد که مدیر فنی نسخه‌ای از اطلاعات را در اختیار داشته باشد. این مجموعه‌ها به مدیریت سطوح امنیتی دسترسی اطلاعات اهمیت نمی‌دهند بعد که دچار مشکل می‌شوند انتظار دارند که مرکز ماهر تمام مشکلاتشان را حل کند.»