اگر قربانی بعدی نشت داده‌ها تو باشی چه؟

«داده کاربران دو پلتفرم ایرانی نشت پیدا کرد»، «داده‌های نیم میلیون کاربر ایرانی لو رفت»، «حمله هکرها به سامانه‌های دولتی». بارها با این تیترهای خبری مواجه شده‌ایم و از آن گذر کرده‌ایم. در سال‌های اخیر افشای داده‌های شرکت‌هایی مانند تپسی، علی‌بابا، رایتل، گردشگری قاصدک ۲۴ و برخی مجموعه‌های دولتی از قبیل سازمان ثبت احوال و وزارت بهداشت خبر ساز شد که برخی تکذیب و برخی تأیید شدند. هر چند تکرار خبرهای مرتبط با افشای غیرمجاز داده‌ها دیگر آنقدرها بین مردم حساسیت‌آفرین نیست، پیامدهای مرتبط با آن قابل توجه است. تصور کنید عصر یک روز جمعه برای رفتن به سینما درخواست تاکسی اینترنتی می‌دهید. در راه بلیط سینمای خود را آنلاین خریداری می‌کنید و مبلغی را که هفته پیش از خواهرتان قرض گرفته بودید آنلاین برایش کارت به کارت می‌کنید. شب که به خانه برمی‌گردید، ایمیل‌های خود را چک می‌کنید. از طرف بانک برایتان ایمیلی ارسال شده که رمز عبور همراه بانک خود را تغییر دهید. رمز عبور را تغییر می‌دهید و در عرض چند دقیقه موجودی حساب بانکی شما صفر می‌شود. شوکه می‌شوید و نمی‌دانید چه اتفاقی افتاده است. چند روز بعد خبری در رابطه با هک شدن تعدادی از پلتفرم‌های ایرانی منتشر می‌شود که پلتفرم‌های مورد استفاده شما هم در لیست این پلتفرم‌ها هستند. می‌دانید که قربانی حمله مجرمان سایبری بوده‌اید، اما مجرمان سایبری چطور به حساب بانکی شما دست پیدا کرده‌اند؟
برای درک بهتر در قدم اول نگاهی به تعریف افشای داده بیندازیم. در تیترهای خبری دیده‌ایم که از دو اصطلاح «نشت» و «نقض داده» استفاده می‌شود. اما نشت و نقض داده به چه معناست؟
نقض و نشت داده در تعریف کلی به معنای دسترسی و افشای دادۀ اشخاص به روش‌های غیرقانونی و اغلب مجرمانه است، به شکلی که داده‌ها در اختیار اشخاصی قرار می‌گیرند که مجاز به دریافت داده‌ها نیستند. خوب است به این نکته اشاره کنیم که تفاوت نقض و نشت داده در این است که نشت داده اغلب از درون سازمان به بیرون اتفاق می‌افتد، مثلا کارمندی ناخواسته داده‌هایی را از سازمان خارج می‌کند و یا در اثر نقص امنیت سیستم‌های یک سازمان بخشی از داده‌ها در اختیار عموم قرار می‌گیرد، بنابراین اکثر نشت داده‌ها ناخواسته اتفاق می‌افتند و در نتیجه اقدام خرابکارانه نیستند در حالی که نقض داده عموماً در نتیجۀ حملۀ سایبری از بیرون اتفاق می‌افتد.
تدابیر امنیتی ناکافی یا به روز نشده‌ای که شرکت‌ها در راستای حفاظت از داده‌ها دربرابر حملات سایبری خارجی و داخلی اتخاذ می‌کنند، خلا قانونی و عدم رسیدگی قضایی مناسب نسبت به نشت و نقض داده‌ها، سطح پایین اطلاعات مردم در رابطه با روش‌های حفاظت از داده، سرقت عمدی و یا سهل‌انگاری‌ کارکنان که منجر به نشت اطلاعات می‌شوند هر یک زمینه مساعدی برای فعالیت‌های مخرب کلاه‌برداران و هکرها ایجاد می‌کند که در نتیجۀ آن داده‌های میلیون‌ها کاربر منتشر می‌شوند. گاهی ممکن است داده‌های افشا شده به تنهایی حائز اهمیت نباشند و گمان کنیم که در دسترس بودن این داده‌ها خطری به دنبال ندارد، اما با تجمیع داده‌هایی که از پایگاه‌های دادۀ مختلف افشا شده است می‌توان به جزئیات بسیاری در رابطه با کاربر رسید، از اطلاعات هویتی و مالی گرفته تا سلامت و سلایق کاربر و با استفاده از مجموع همین داده‌های به دست آمده می‌توان خسارات مالی و هویتی و… بسیاری به کاربر وارد کرد. درست مانند مثالی که پیش‌تر، از خالی شدن حساب بانکی زده بودیم. بیایید بررسی کنیم که در این مثال نقض‌ داده‌های دو پلتفرم غیر مرتبط با حساب بانکی ما چطور منجر به خالی شدن موجودی حساب ما شده است.
۱٫ پلتفرم تاکسی اینترنتی و فروشگاه آنلاین اطلاعاتی را از شما گردآوری کرده است از قبیل نام و نام خانوادگی، کد ملی، آدرس، شماره تماس و… . چنان چه شما تراکنشی انجام داده باشید ممکن است اطلاعات پرداخت شما را نیز ذخیره نموده باشند، اطلاعاتی مانند جزئیات کارت بانکی یا کیف پول متصل به پلتفرم.
۲٫ مجرمان سایبری با حمله به این دو پلتفرم به اطلاعات هویتی و مالی از شما دست یافته‌اند که با استفاده از این اطلاعات به دست آمده، ایمیلی متقاعدکننده برایتان ارسال کرده‌اند و به وسیله آن شما را فریب داده باشند تا رمز عبور خود را افشا کنید.
۳٫ با دسترسی به حساب بانکی شما، مجرمان سایبری توانسته‌اند سایر تمهیدات امنیتی از قبیل رمز یک بار مصرف را دور بزنند و انتقالاتی را از حساب بانکی شما انجام دهند.
با زندگی در عصر دیجیتال، ما ناچار به وارد کردن برخی داده‌های خود در فضای مجازی هستیم. امنیت داده‌ها از جدی‌ترین معضلات دنیای امروز است. بخشی از امنیت داده به حفاظت سازمان‌ها و تمهیدات ایشان در قبال افشای غیرمجاز دادۀ کاربران بر می‌گردد و بخشی دیگر به آگاهی عمومی مردم از نحوۀ امن نگه داشتن داده‌های خود. مسیری که لازمه آن اطلاع از اهمیت داده‌ها و تنظیم‌گری این حوزه است. چشم پوشیدن از خبرهای افشای غیرمجاز داده و اهمیت ندادن به آمار روزافزون نشت و نقض داده‌ها و مطالبه‌گر نبودن در این حوزه منجر به عدم رسیدگی به شرایط کنونی خواهد شد و حوادث ناگواری را در پی خواهد داشت که گریبان شرکت‌ها، حاکمیت و عموم مردم را خواهد گرفت. یادمان نرود، ممکن است همین فردا ما قربانی افشای غیرمجاز داده‌ها باشیم.

نویسنده یادداشت: سعیده قاسمیان