هک و فروش اطلاعات 18 شرکت بیمه‌ای

چطور این اتفاق افتاده است؟

شركت‌های بیمه برای ایجاد ساختار بانك اطلاعاتی و دیتاسنتر خود نیاز به پشتیبان فنی دارند. از این رو، گفته می‌شود شركتی با رنگ و لعاب استارت‌آپی مسئولیت این كار را به عهده گرفته است. این شركت خود را «بزرگ‌ترین ارایه‌دهنده راهكارهای نرم‌‌افزاری جامع و یكپارچه بیمه‌گری (core insurance) به صنعت بیمه كشور» معرفی كرده است. لوگو 24 شركت بیمه‌ای نیز در وب‌سایت این شركت موجود است كه به عنوان «مشتریان» آن نام برده شده‌اند. حالا گفته می‌شود كه هك اطلاعات از طریق همین شركت صورت گرفته است. گویا این شركت، پیمانكار برخی شركت‌های بیمه بوده و مورد تایید بیمه مركزی هم نبوده است.

وب‌سایتی به نام «خرد و كلان» به نقل از یك مقام آگاه كه نامی از وی نبرده عنوان كرده كه «شركتی كه اطلاعات آن هك شده است، ارتباطی با بیمه مركزی نداشته و اتفاقا مركز فناوری و حراست بیمه مركزی، بارها تذكرات لازم در خصوص عدم امنیت این شركت را به صورت كتبی و شفاهی اعلام كرده بود.»

با توجه به اینكه تاریخ افشای این اطلاعات سه هفته پیش بوده، مشخص نیست چرا بیمه مركزی به عنوان نهاد ناظر بر صنعت بیمه تاكنون در این باره سكوت كرده بود؟ آیا اگر آن‌گونه كه عنوان می‌شود پدافند غیرعامل در این سازمان به درستی عمل كرده بود و هشدارهای لازم برای ارتقای سطح ارتباط امن داده می‌شد، موضوع هك شدن اپلیكیشن تپسی نیز پیش می‌آمد؟ و نكته بعدی اینكه وقتی برای موضوعی به نام «پوشش كاركنان» در استارت‌آپ‌ها، به سرعت كمیته تعیین وضعیت تشكیل شده و تصمیم هم گرفته می‌شود؛ چرا برای چنین موضوع مهمی هیچ كمیته‌ای تشكیل یا اطلاع‌رسانی نشده است؟

خبرنگار «اعتماد» كسب اطلاع كرده كه برخی مدیران مرتبط با امنیت شبكه در بیمه مركزی همزمان با وقوع یكی از بحران‌های امنیتی در هك و افشای اطلاعات كاربران بیمه، در خارج از كشور به سر می‌برند.

 

واكنش بیمه مركزی

هیچ یك از شركت‌ها در خصوص لو رفتن اطلاعات كاربران خود موضع‌گیری رسمی نداشته‌اند. اما بیمه مركزی به عنوان بخش رگولاتوری این ماجرا، هك شدن شركت‌های بیمه‌ای را «شبهه‌افكنی برخی كانال‌های خبری و رسانه‌ها» به «دلایل غیرتخصصی» خوانده و عنوان كرده كه «صنعت بیمه همچنان امانتدار مردم خواهد بود.» بیمه مركزی در بیانیه خود اضافه كرده كه «شركت‌های بیمه‌ای كشور در عقد قرارداد با شركت‌های پیمانكاری مرتبط با حوزه اطلاعات و آمار از استقلال نسبی برخوردارند و دسترسی به برخی اطلاعات عمومی بیمه‌گذاران در سطوح مختلف امكان‌پذیر است.»

بیمه مركزی به عنوان نهاد ناظر صنعت بیمه همچنین هرگونه «هك شدن» یا «افشای» اطلاعات را نیز رد و اضافه كرده كه « آنچه به شكل سهو یا عمد به اختلال در سامانه‌های بیمه مركزی تعبیر شده به هیچ عنوان صحت ندارد و بر اساس آمار موجود مجموعه‌های پدافند غیرعامل و مركز فاوای بیمه مركزی با قدرت هر چه تمام‌تر و امنیت بالا از اطلاعات بیمه‌گذاران محافظت می‌كند. با این وجود هر گونه ایجاد خدشه در اعتماد عمومی برای نهاد ناظر صنعت بیمه پذیرفتنی نیست و موضوع مطرح شده از مدت‌ها قبل توسط كارشناسان امنیت بیمه مركزی و مراجع ذی‌صلاح دیگر رصد شده و با دقت و حساسیت در حال پیگیری است.»

هر چند در بخشی از این «بیانیه» بیمه مركزی تلاش كرده تا از خود نیز سلب مسوولیت كند و نوشته است: «هشدارهای لازم امنیتی كه از مدت‌ها قبل به برخی شركت‌های بیمه در انتخاب پیمانكار و استانداردهای امنیتی كه باید داشته باشد، داده شده بود.» همچنین «به شركت مرتبط هم به‌رغم تذكرات قبلی اعلام شده كه با اقدامات فنی پیشگیرانه حتی از دیتای تاریخ مصرف گذشته و فرعی خود نیز مراقبت بیشتری كنند.» بیمه مركزی اضافه كرده كه «تا برقراری كامل استاندارد‌های مورد نظر تخت رصد قرار دارد تا افكارعمومی بیش از این دستخوش ابهام و آسیب نشود.» روز گذشته مجید مشعلچی‌فیروزآبادی، قائم‌مقام بیمه مركزی نیز اطمینان داد كه «اطلاعات به سرقت رفته از بیمه‌گزاران، نمی‌تواند مورد سوءاستفاده قرار بگیرد.» چون از نظر او «این ماجرا به یك ماه پیش مربوط بود و اكنون تمام شده است.»

در واكنش به این اتفاقات، مدیر ارشد فناوری در یك هلدینگ دانش‌بنیان حوزه فناوری اطلاعات در رشته توییتی نوشته است: «حدودا دو ماه از اطلاع‌رسانی تلگرامی همین گروه [هكرها] در خصوص نفوذ و فروش اطلاعات شركت‌های مختلف بیمه‌ای گذشته و هیچ واكنش عمومی از بیمه مركزی یا نهادهای مختلف امنیت اطلاعات در این خصوص منتشر نشده است. این موضوع باعث می‌شود كه بقیه سازمان‌ها و شركت‌ها درس آموخته‌ای كسب نكنند، تا زمانی كه برای آنها هم همین موضوع پیش بیاید. چه بسا روش نفوذ به تپسی مشابه با بیمه بوده و اگر اطلاعات فنی آن نفوذ منتشر می‌شد الان به تپسی نفوذ نشده بود. پنهانكاری و تكذیب‌های مداوم هیچ كمكی به بهبود امنیت اطلاعات نخواهد كرد.»

بركناری رییس كل بیمه مركزی

مجموعه اتفاقات در حوزه هك اطلاعات كاربران شركت‌های بیمه‌ای، منجر به تصمیم‌گیری جدید در حوزه نهاد ناظر بیمه شده و در جلسه‌ای فوری رییس جدید بیمه مركزی معرفی شد.

رییس جدید علی استاد هاشمی، دارای مدرك تحصیلی دكترای مدیریت مالی دانشگاه شهید بهشتی و عضو هیات علمی دانشگاه پیام نور است. حضور او در پست معاون نظارتی بدون سابقه كار مشخص در این حوزه، پیش از این موجب انتقادهای بسیاری توسط فعالان بیمه‌ای شده بود.

این در حالی است كه حضور این چهره نزدیك به وزیر امور اقتصادی و دارایی در بیمه مركزی، به دلیل «دوشغله بودن» توسط دیوان محاسبات غیرقانونی اعلام شده است.

آثار منفی فیلترینگ

البته كه بخش بزرگی از حملات سایبری جدید را نیز باید در حوزه اختلال‌های اینترنتی جست‌وجو كرد. بر اساس گزارشی كه به تازگی كمیسیون صنایع و معادن مجلس از وضعیت اینترنت در ایران منتشر كرده، سهم پهنای باند ناشناس در شبكه (ترافیكی كه سیستم فیلترینگ قادر به تشخیص پروتكل آن نیست) از كمتر از 5درصد بین‌الملل در سال گذشته به حدود 25درصد در حال حاضر رسیده است. این بدان معناست كه بخش بزرگی از كاربران اینترنت در ایران برای اتصال به آنچه «اینترنت بین‌الملل» خوانده می‌شود، از فیلترشكن استفاده می‌كنند. محمدجواد آذری‌جهرمی، ‌وزیر پیشین ارتباطات در این باره می‌گوید: «این یعنی ناكارآمدی و شكست برای فیلترینگ. این یعنی ناآگاهی حكمرانی از حتی نوع بخش بزرگی از ارتباطات بین‌الملل و افزایش تهدیدات سایبری علیه منافع ملی.» كمیسیون صنایع و معادن مجلس در این گزارش آثار منفی دیگری در استفاده از فیلترشكن‌ها در شبكه اینترنت ایران عنوان كرده است. باز شدن نشت فعال، پایین آمدن پهنای باند، مخاطرات امنیتی برای مردم و شبكه ارتباطی و قرار گرفتن اطلاعات كاربر در معرض دسترسی هكرها از آثاری است كه موج استفاده از فیلترشكن‌ها در اینترنت ایران بر‌جای گذاشته است.(اعتماد)