خلاصه‌ای از بزرگ‌ترین رخنه‌های اطلاعاتی سال ۲۰۱۷

سال ۲۰۱۷ و وقایع مختلف آن از جمله افشای اطلاعات حدود ۲۰۰ میلیون رأی‌دهنده، توسط پیمانکار کمیته ملی جمهوری‌خواهان در آمریکا یا رخنه اطلاعاتی که توسط شرکت Equifax افشا شد و بیش از ۱۴۳ میلیون فرد را تحت تأثیر قرار داد، باعث شد توجه همه افراد نسبت به نشت اطلاعات و نیاز به هوشیاری در این زمینه جلب شود. بر اساس تحقیقی که در ابتدای امسال منتشر شد، میزان اطلاعات به سرقت رفته یا از بین رفته در نیمه اول سال ۲۰۱۷ (۱.۹ میلیارد رکورد) نسبت به حجم کل رخنه اطلاعاتی در سال ۲۰۱۶ (۱.۳۷ میلیارد رکورد) بیشتر بوده است.

اکثر رخنه‌های اطلاعاتی سال ۲۰۱۷ توسط مجرمین سایبری انجام گرفتند که از وجود مشکلات امنیتی در سیستم‌های ذخیره‌سازی اطلاعات، تنظیمات امنیتی اشتباه و یا عدم استفاده از راهکارهای امنیتی برای محافظت از داده‌ها به نفع خودشان استفاده کردند. این اطلاعات نشان می‌دهند که نیازی نیست مهاجمین برای سرقت اطلاعات به دنبال راهکارهایی پیچیده یا مرموز باشند چون اغلب اوقات هیچ محافظتی از داده‌ها انجام نمی‌شود.

بعلاوه بر اساس گزارشِ اعلام شده در خصوص هزینه‌های نشت داده توسط شرکت Ponemon در سال ۲۰۱۷، هزینه نشت داده در سال جاری ۱۰ درصد افت کرده؛ اما با این وجود، میانگین هزینه نشت داده هنوز حدود ۳.۶۲ میلیون دلار معادل ۱۸۱,۹۵۲,۰۶۰,۰۰۰ ریال است که مبلغ قابل‌توجهی است. امیدواریم این آمار و ارقام همراه با آگاهی ایجاد شده به واسطه نشت اطلاعاتی در سال ۲۰۱۷ باعث افزایش آگاهی سازمان‌ها شود؛ به صورتیکه سازمان‌ها یک گام به جلو برداشته و اقدامات لازم برای محافظت از داده‌ها را انجام دهند.

با توجه به این که سال ۲۰۱۸ سال پیاده‌سازی مقررات حفاظت از اطلاعات عمومی ‌(GDPR) است، محافظت از داده‌ها در این سال شکل رسمی‌تری به خود می‌گیرد. اما در حال حاضر برای افزایش آگاهی در این زمینه، بهتراست خلاصه‌ای از بزرگ‌ترین و بدترین موارد نشت اطلاعات در سال ۲۰۱۷ را مرور کنیم.

۱.اکوئیفاکس (Equifax)

مورد اول رخنه اطلاعاتی شرکت اکوئیفاکس بود که سروصدا و جنجال‌های زیادی را به دنبال داشت. در ماه سپتامبر یعنی شهریورماه ۱۳۹۶ “شرکت اعتبارسنجی کارت‌های اعتباری آمریکایی (اکوئیفاکس)” یک رخنه اطلاعاتی بسیار عظیم را فاش کرد که بیش از ۱۴۳ میلیون نفر از مشتریان این شرکت را تحت تأثیر قرار می‌داد. گفته می‌شود که این نشت اطلاعاتی به دلیل آسیب‌پذیری موجود در یک نرم افزار اوپن سورس که شرکت اکوئیفاکس از آن استفاده می‌کرد، انجام شد. همین نقطه‌ضعف به مهاجمین، امکان دسترسی به فایل‌های حساس را داد.

اطلاعاتی که درز کردند شامل نام کامل افراد، تاریخ تولد، شماره تأمین اجتماعی (Social Security number)، آدرس و غیره بود. بعلاوه اطلاعات به سرقت رفته شامل شماره بیش از ۲۰۰ هزار کارت اعتباری و حدود ۲۰۰ هزار سند دیگر بود که حاوی اطلاعات شناسایی و اطلاعات شخصی افراد بودند.

با افشای این رخنه اطلاعاتی، مدیرعامل وقت شرکت اکوئیفاکس، ریچارد اسمیت یک ویدیوی عذرخواهی منتشر کرد (که بعداً در لیست بدترین عذرخواهی‌های سال ۲۰۱۷ رتبه شماره ۱ را دریافت کرد). در مجموع انتقادهای زیادی بر نحوه مقابله با این نشت اطلاعاتی مطرح شد و این نشت اطلاعاتی نیاز به ایجاد رویه‌هایی متناسب‌تر برای اخطار درباره نشت اطلاعات را نشان داد.

۲.ورایزن (Verizon)

در ماه جولای یعنی تیرماه ۱۳۹۶ اطلاعات شخصی بیش از ۱۴ میلیون مشتری شرکت ورایزن افشا شد. این اطلاعات از روی یک سرور ذخیره‌سازی اطلاعات (S3) متعلق به شرکت آمازون به سرقت رفت که تحت کنترل شرکت ارائه‌دهنده خدمات نرم‌افزاری و تکنولوژی Nice Systems بود. این اطلاعات حاوی نام، PIN و شماره تلفن افراد بودند؛ اطلاعاتی که می‌توان از آن‌ها جهت دسترسی به حساب کاربری ورایزن افراد استفاده کرد.

در گزارش ZDNet اشاره‌ای نشد که آیا یک مجرم سایبری به این اطلاعات دسترسی پیدا کرده و یا آن‌ها را به سرقت برده یا خیر، این اطلاعات در معرض خطر قرار داشتند و دسترسی به آن‌ها به سادگی حدس زدن یک URL بود. درسی که این رخنه اطلاعاتی به همه داد، این بود که بررسی درست بودن پیکربندی و تنظیم درایوها اهمیت فوق‌العاده زیادی دارد. یکی دیگر از نکاتی که از این رخنه اطلاعاتی آموختیم این بود که محافظت از داده‌ها در سیستم‌های ذخیره‌سازی مبتنی بر فناوری ابر اهمیت فوق‌العاده‌ای دارد.

۳.اوبر (Uber)

سال ۲۰۱۷ برای شرکت اوبر سال خوبی نبود. در ماه نوامبر یعنی آبان‌ماه ۱۳۹۶، شرکت اوبر اعلام کرد که در یک رخنه اطلاعاتی بزرگ که در ماه اکتبر سال ۲۰۱۶ (مهرماه ۱۳۹۵) اتفاق افتاده، هکرها اطلاعات شخصی حدود ۵۷ میلیون راننده و مسافر را به سرقت برده‌اند. هنگامی که این رخنه اطلاعاتی در سال ۲۰۱۶ اتفاق افتاد، شرکت اوبر به مجرمین ۱۰۰ میلیون دلار پرداخت کرد تا این موضوع را فاش نکنند و امنیت داده‌ها را به خطر نیندازند.

اطلاعات به سرقت رفته شامل آدرس ایمیل، شماره تلفن و نام راننده‌ها و مسافران بود. همچنین شماره گواهینامه بعضی از راننده‌ها هم جزء اطلاعات به سرقت رفته بود. طبق اعلام مدیرعامل جدید شرکت اوبر، “دارا خسروشاهی”، معامله اوبر با سارقین، توسط مدیرعامل و مدیر امنیت قبلی شرکت انجام شده بود.

۴.پیمانکار RNC

در ماه ژوئن یعنی خردادماه ۱۳۹۶ اطلاعات آراء حدود ۲۰۰ میلیون نفر طی یک نشت اطلاعاتی بزرگ در سرور وب‌سرویس شرکت آمازون افشاء شد. خود این اطلاعات متعلق به یک شرکت بازاریابی به نام Deep Root Analytics بود که با کنوانسیون ملی جمهوری خواهان (Republican National Convention یا به اختصار RNC) قرار داد داشت. این نشت اطلاعاتی به دلیل تنظیمات نامناسب یک دیتابیس صورت گرفت که روی یک سرور ابر، ذخیره‌سازی شده بود که سرویس Simple Storage Service (S3) شرکت AWS آن را میزبانی می‌کرد و دسترسی به آن برای عموم آزاد بود.

این رخنه اطلاعاتی تمام رأی‌دهندگان آمریکایی را تحت تأثیر قرار داد و داده‌های به سرقت رفته شامل نام کامل، تاریخ تولد، آدرس، شماره تلفن و جزئیات ثبت‌نام رأی‌دهندگان بود. طبق گزارش شرکت UpGuard در رابطه با این نشت اطلاعاتی، هر کسی که به اینترنت دسترسی داشت به این اطلاعات دسترسی داشت و می‌توانست آن‌ها را دانلود کند.

۵.دیلویت (Deloitte)

طبق گزارشی از سوی روزنامه The Guardian، سرور ایمیل جهانی شرکت دیلویت هک شد و مهاجمین ‌توانستند به اطلاعات بعضی از مشتریان مهم شرکت دیلویت و ایمیل‌های داخلی ارسال شده و دریافت شده توسط کارمندان بعضی شرکت‌ها دسترسی پیدا کنند.

بعلاوه، مهاجمین به اطلاعاتی مثل نام کاربری، رمز عبور و آدرس ‌آی پی کاربران دسترسی پیدا کردند. همچنین در این گزارش اعلام شد که شرکت دیلویت در ماه مارس متوجه این هک شده، در صورتیکه هکرها از اواخر سال ۲۰۱۶ (سفندماه ۱۳۹۵) به سیستم این شرکت نفوذ کرده بودند.

سرور ایمیل این شرکت روی سرویس ابر Azure میزبانی می‌شد و شرکت دیلویت اعلام کرد که در این سرویس از احراز هویت دومرحله‌ای استفاده نشده بود. در واقع دسترسی به یک اکانت ادمین، باعث به خطر افتادن این سرور شده بود.

۶.شرکت Dun & Bradstreet

در ماه مارس یعنی اوایل اسفندماه ۱۳۹۵، در خبرها اعلام شد که یک نشت اطلاعاتی عظیم رخ داده و در آن یک دیتابیس ۵۲ گیگابایتی حاوی ۳۳.۷ میلیون آدرس ایمیل و اطلاعات تماس افراد افشاء شده است. این اطلاعات متعلق به شرکت Dun & Bradstreet بود، کمپانی که برای کسب‌وکارهای مختلف، خدماتی مثل داده‌های تجاری و تحلیل و بررسی این داده‌ها را فراهم می‌کرد.

نام، عنوان شغلی، آدرس ایمیل کاری، شماره تلفن کارمندان و همچنین اطلاعات شرکت‌هایی مثل AT&T، Dell، IBM، WalMart و خیلی از شرکت‌ها و سازمان‌های بزرگ، جزء اطلاعات به سرقت رفته بودند. طبق گزارشات، ۱۰۰ هزار عدد از رکوردهای به سرقت رفته متعلق به کارمندان وزارت دفاع امریکا بودند. اما هیچ‌وقت مشخص نشد که این اطلاعات چطور نشت کردند.