ازکارافتادن کارت بانکی و سرویس های اینترنتی برخی بانک ها حداقل از دو سال گذشته به یک روتین طبیعی برای شهروندان تبدیل شده است. هکر یا گروهی از هکرها که آخر هم مشخص نمی شود از کجا آمده اند، سیستم بانکی کشور را هدف حملات سایبری قرار می دهند و مسئولان بانکی و رگولاتور بازار هم فقط از مردم می خواهند صبوری کرده و اخبار را از مراجع رسمی دنبال کنند. در نهایت هم بعد از چند روز و حتی چند هفته، بدون توضیح روشن درباره علت حادثه، میزان خسارت، نقاط آسیب پذیر و حتی یک عذرخواهی رسمی بابت نقض حقوق مشتریان مشکل برطرف می شود.

به گزارش شرق، از خرداد 1404 که حمله سایبری به بانک سپه و سپس پاسارگاد بخشی از خدمات بانکی کشور را مختل کرد تا خرداد 1405 که بانک های ملی، صادرات، تجارت و توسعه صادرات بار دیگر هدف حملات سایبری قرار گرفتند، یک پرسش بی پاسخ مانده است؛ چرا شبکه بانکی ایران هر چند ماه یک بار از کار می افتد اما هیچ گاه گزارشی شفاف درباره علت حمله، میزان خسارت و مسئولیت نهادهای متولی منتشر نمی شود؟ در این میان تنها چیزی که تکرار می شود صف مقابل شعب بانک ها، کارت های بانکی از کار افتاده و درخواست همیشگی مسئولان از مردم برای صبوری است.

اختلال و حملات سایبری به سیستم بانکی کشور اتفاق جدیدی نیست، اما آنچه در هفته های اخیر رخ داده از منظر نوع اتفاق و اطلاع رسانی از موارد عجیب است. هنوز مشخص نیست این حملات از داخل است یا خارج از کشور، هیچ گروه هکری مسئولیت انجام این حملات را نپذیرفته و هنوز مشخص نیست چرا در حالی که مقامات دولتی و بانک ها خبر از حل مشکل می دهند، اما هفته هاست که مردم برای خرید نان مشکل دارند، نمی توانند کرایه تاکسی شان را پرداخت کنند و انتقال یا دریافت وجه نیز همچنان با مشکل مواجه است.

اواسط خرداد 1405 بود که خبر آمد شبکه بانکی کشور مورد حمله قرار گرفته و همین امر باعث شده زیرساخت های بانک های ملی، صادرات، توسعه صادرات و تجارت از کار بیفتد. خودپردازها، اینترنت بانک، موبایل بانک و بخشی از تراکنش های بانکی برای ساعت ها و در برخی موارد روزها از دسترس خارج شدند. شورای هماهنگی بانک ها و شرکت خدمات انفورماتیک که زیرساخت این بانک ها را تأمین می کند وقوع حملات سایبری را تأیید کردند اما مانند دفعات قبل تأکید داشتند که اطلاعات مشتریان در امنیت کامل قرار دارد.

هنوز خدمات این چهار بانک به چرخه عادی ارائه خدمات باز نگشته بود که دوم تیر و پیش از شروع تعطیلات، خبر رسید که اختلالی گسترده در سطح شبکه بانکی کشور رخ داده و خدمات مبتنی بر کارت با مشکل جدی مواجه شده است. در این اتفاق هم بانک های ملی، صادرات و تجارت بیشتر از همه با اختلال روبه رو شدند.

همان زمان شرکت ملی خدمات انفورماتیک در اطلاعیه ای در کنار درخواست صبوری از مردم توضیح داد: این اختلال ها با هدف جلوگیری از دسترسی غیرمجاز و حفاظت از امنیت اطلاعات و دارایی های مشتریان، توسط شرکت خدمات انفورماتیک اعمال شده بود . در گام بعدی هم فرماندهی سایبری کشور اعلام کرد اختلال در خدمات کارت محور بانک های ملی، صادرات و تجارت در پی یک حمله سایبری هدفمند رخ داده است.

ساعت هاست که شرکت خدمات انفورماتیک اعلام کرده مشکل برطرف شده و خدمات این بانک ها برگشته اند اما بسیاری از کاربران در شبکه های اجتماعی اعلام می کنند که در هنگام خرید یا انتقال وجه با مشکل مواجه هستند. این نخستین بار نیست که شبکه بانکی ایران در برابر حملات سایبری آسیب پذیر نشان می داد. یک سال قبل و در میانه جنگ 12 روزه ایران و اسراییل، بانک سپه هدف حمله ای قرار گرفت که اختلال گسترده ای در خدمات غیرحضوری آن ایجاد کرد.

ساعاتی بعد گروه هکری گنجشک درنده مسئولیت حمله را بر عهده گرفت و مدعی شد بخشی از زیرساخت های بانک را از بین برده است. تنها یک روز بعد نام بانک پاسارگاد نیز به فهرست قربانیان اضافه شد. دولت وقوع حمله به هر دو بانک را تأیید کرد و گفت آسیبی به اطلاعات مردم وارد نشده است؛ هرچند بازگشت کامل خدمات در برخی بخش ها روزها و حتی هفته ها زمان برد.

اما اگر فقط رخدادهای دو سال اخیر در حوزه بانکی را کنار هم قرار دهیم، تصویری نگران کننده شکل می گیرد؛ تصویری از زیرساختی که هر بار با نامی تازه و روایتی متفاوت دچار اختلال می شود اما هیچ گاه گزارش فنی شفافی درباره علت اختلال و ازکارافتادن سرویس های بانکی منتشر نمی شود. نه مشخص است مهاجمان از چه مسیرهایی وارد شده اند، نه معلوم می شود چه آسیب هایی به سامانه ها وارد شده و نه نهادی مسئولیت مستقیم خسارت های واردشده به مشتریان را بر عهده می گیرد.

در بسیاری از کشورهای جهان، پس از وقوع حمله سایبری به زیرساخت های مالی، بانک ها موظف اند جزییاتی از حادثه، دامنه نفوذ، مدت اختلال، تعداد کاربران آسیب دیده و اقدامات اصلاحی را منتشر کنند. اما در ایران اغلب اطلاع رسانی ها به چند جمله کوتاه محدود می شود؛ جملاتی که معمولا با این عبارت آغاز می شوند: خدمات هدفمند سایبری به زیرساخت ها صورت گرفته و اقدامات لازم در حال انجام است یا انجام شده است .

به باور کارشناسان همین فقدان شفافیت باعث شده است هر حمله سایبری، علاوه بر خسارت عملیاتی، هزینه ای پنهان نیز به همراه داشته باشد: فرسایش اعتماد عمومی. اعتمادی که مهم ترین سرمایه هر نظام بانکی است و ازدست رفتن آن می تواند بسیار پرهزینه تر از چند ساعت یا چند روز اختلال در سرویس ها باشد.

نیما امیرشکاری، فعال حوزه بانکداری الکترونیکی و کارشناس اقتصاد دیجیتال، در گفت وگویی اعلام می کند که مسئله اصلی از نگاه او نه این حمله های اخیر، بلکه ریشه های تکرار چنین حملاتی است. او می گوید اگر بخواهد علت تکرار مدام حملات سایبری به زیرساخت های بانکی کشور را در یک عبارت خلاصه کند، ضعف ارتباط با دنیا است.

امیرشکاری معتقد است سیستم های زیرساختی برخی از بانک های کشور بسیار قدیمی و در مواردی ازکارافتاده شده اند: بخش قابل توجهی از زیرساخت های بانکی ایران به حدود سه دهه قبل بازمی گردد. سامانه هایی که نه تنها در داخل کشور توسعه داده نشده اند، بلکه سال ها پیش از شرکت های خارجی خریداری شده و در طول زمان عمدتا فقط ظرفیت سخت افزاری آن ها افزایش یافته است. تعداد پردازنده ها بیشتر شده، فضای ذخیره سازی افزایش یافته و تجهیزات جدیدی به آن ها اضافه شده است، اما مغز نرم افزاری این سامانه ها همان چیزی است که سال ها قبل طراحی شده بود .

به باور او سامانه ای که سال ها به روزرسانی نشود، وصله های امنیتی را دریافت نکند و تغییرات لازم روی آن اعمال نشود، به مرور به هدفی قابل پیش بینی برای مهاجمان سایبری تبدیل می شود: زمانی که مهاجم بداند یک سامانه سال هاست تغییر نکرده، احتمال موفقیت حمله افزایش پیدا می کند .

او با اشاره به تفاوت نوع کار بانک های ایرانی با بانک های خارجی می گوید: تفاوت اصلی میان بانک های ایرانی و بانک های فعال در شبکه مالی جهانی دقیقا همین جاست. بانک های دنیا به طور مستمر مجبور به تطبیق با استانداردهای جدید هستند؛ از شیوه های اعتبارسنجی تا مدل های اعطای تسهیلات، امنیت اطلاعات و الزامات فنی. اگر بانکی خود را با این استانداردها هماهنگ نکند، به تدریج از رقابت حذف می شود. اما در ایران چنین فشاری وجود ندارد. بانک ها عمدتا در یک محیط بسته فعالیت می کنند و تنها الزام جدی آن ها بخش نامه های داخلی ناکارآمد است. نتیجه نیز روشن است؛ نوسازی به یک انتخاب تبدیل می شود، نه یک ضرورت .

امیرشکاری تأکید می کند که مشکل آسیب پذیری زیرساخت های بانکی کشور فقط نبود زیرساخت های به روز نیست: مشکل فقط تجهیزات نیست. حتی بهترین تجهیزات دنیا نیز بدون پیکربندی صحیح و دانش فنی کافی امنیت لازم را نخواهند داشت. یکی از چالش های جدی ما این است که در بسیاری از موارد، تجهیزات خریداری می شوند اما دانش لازم برای تنظیمات پیشرفته امنیتی، سازگاری با محیط عملیاتی و مقاوم سازی آن ها به اندازه کافی وجود ندارد .

او ادامه می دهد: این کمبود دانش زمانی بیشتر خود را نشان می دهد که حادثه ای رخ می دهد. در روزهای ابتدایی حمله اخیر، پیشنهاد استفاده از مشاوران خارجی برای کمک به عارضه یابی و رفع مشکل مطرح شد. اما در عمل موانع متعددی وجود داشت؛ از محدودیت های سفر و شرایط جنگی تا حساسیت های امنیتی درباره حضور متخصصان خارجی یا حتی ارائه دسترسی از راه دور برای بررسی سامانه ها. نتیجه این می شود که بسیاری از ظرفیت هایی که می توانند به حل سریع تر بحران کمک کنند، عملا قابل استفاده نیستند .

امیرشکاری اعلام می کند که شاید مهم ترین مسئله، فراتر از فناوری و تجهیزات، به شیوه حکمرانی بازگردد. آن طور که او می گوید، در سال های اخیر توازن میان نگاه نظارتی و توسعه به تدریج به هم خورده است: در هر کشوری میان این دو مفهوم نوعی تعادل برقرار می شود. نه توسعه بدون امنیت امکان پذیر است و نه امنیت بدون توسعه پایدار می ماند. اما زمانی که کفه امنیت بیش از حد سنگین شود، تصمیم گیری های تخصصی نیز تحت تأثیر قرار می گیرند. امروز بسیاری از مدیران ترجیح می دهند به سامانه ای که در حال کار است، دست نزنند. نه به این دلیل که تغییر لازم نیست، بلکه به این دلیل که هزینه تصمیم گیری و ریسک تغییر بیش از حد بالا رفته است. مدیری که بخواهد یک تحول جدی ایجاد کند، ممکن است با انواع تفسیرها، سوءظن ها و فشارها مواجه شود. بنابراین راه کم هزینه تر این است که هیچ تغییری انجام نشود .

در حالی که روایت رسمی درباره اختلال اخیر بانک ها همچنان در ابهام قرار دارد، یک نکته بیش از هر چیز خودنمایی می کند؛ اینکه نظام بانکی ایران با وجود تجربه مکرر حملات سایبری، هنوز نتوانسته میان سرمایه گذاری روی تجهیزات، توسعه دانش تخصصی و پاسخ گویی عمومی تعادل برقرار کند.

سعید سوزنگر، کارشناس امنیت، معتقد است ریشه بخش مهمی از این آسیب پذیری نه در کمبود فناوری، بلکه در ضعف امنیتی، بی توجهی به سرمایه انسانی و نبود سازوکارهای الزام آور برای پاسخ گویی نهفته است. سوزنگر در پاسخ به این پرسش که چرا سیستم بانکی کشور تا این اندازه مورد حمله قرار می گیرد، می گوید که در این زمینه چند دلیل عمده وجود دارد: نخست اینکه به دلیل تحریم ها، امکان استفاده از بسیاری از ابزارهای به روز و استانداردهای جهانی امنیت سایبری را نداریم. دوم اینکه محدودیت های اینترنتی و فیلترینگ باعث شده بخشی از پروتکل ها و سازوکارهای امنیتی به شکل مطلوب مورد استفاده قرار نگیرند. عامل سوم نیز به ساختار اداری کشور بازمی گردد؛ ساختاری که در آن شرایط لازم برای استفاده حداکثری از دانش متخصصان امنیت در سازمان ها و بانک ها فراهم نشده است .

او ادامه می دهد: مشکل دقیقا از همین نقطه آغاز می شود. بسیاری از سازمان ها حاضرند هزینه های سنگین برای خرید تجهیزات و سخت افزارهای گران قیمت پرداخت کنند، اما حاضر نیستند همان میزان سرمایه گذاری را برای نیروی انسانی انجام دهند. نتیجه چنین رویکردی کاملا مشخص است؛ تجهیزات پیشرفته در اختیار داریم، اما دانش استفاده حداکثری از آن ها یا دانش بهره برداری صحیح از ظرفیت هایشان را نداریم. حتی در مواردی که این دانش وجود دارد نیز انگیزه کافی برای استفاده از آن فراهم نشده است .

به باور او در چنین شرایطی طبیعی است که متخصصان به همان سطح حداقلی از بهره برداری بسنده کنند. سوزنگر یکی دیگر از مشکلات در این زمینه را ضعف در اطلاع رسانی عمومی می دانند و اینکه نه نهاد ناظر بانکی و نه بانک خود را ملزم به پاسخ گویی در زمان اختلالات به دلیل حمله سایبری نمی دانند. او با اشاره به نبود اسناد بالادستی مؤثر برای صیانت از حقوق کاربران، می گوید: در شرایط فعلی، بانک ها و کسب وکارها در بسیاری از موارد الزام جدی برای پاسخ گویی عمومی ندارند. همین مسئله باعث شده حملات سایبری به تدریج به پدیده ای عادی تبدیل شوند. البته در همه جای دنیا هک اتفاق می افتد، اما تفاوت در نحوه مواجهه با آن است. در بسیاری از کشورها، زمانی که یک سازمان دچار حادثه امنیتی می شود، موظف است به صورت مستمر و شفاف ذی نفعان و مشتریان خود را در جریان قرار دهد .

این کارشناس امنیتی معتقد است تجربه حملات سایبری اخیر به بانک ها نشان می دهد اساسا در سیستم بانکی کشور، مدیران نیازی به پاسخ گویی نمی بینند و تمایلی به پذیرش مسئولیت یا اطلاع رسانی شفاف ندارند.

او توضیح می دهد: این در حالی است که وقتی سازمانی بابت نشت اطلاعات یا ضعف امنیتی با جریمه، مسئولیت حقوقی یا هزینه های مشخص مواجه نشود، انگیزه چندانی برای سرمایه گذاری بیشتر در حوزه امنیت نخواهد داشت. وقتی هزینه بی توجهی به امنیت پایین باشد، طبیعی است که اصلاح سیاست ها، افزایش بودجه امنیتی یا به روزرسانی فرایندهای آموزشی نیز در اولویت قرار نگیرد .

با وجود اعلام بانک مرکزی و شرکت خدمات انفورماتیک مبنی بر حل مشکل ارائه خدمات به دنبال حمله یا حملات سایبری، اما طبق بررسی های میدانی و گزارش کاربران، این اختلال ها همچنان پابرجاست. پیگیری از بانک مرکزی و شرکت خدمات انفورماتیک برای دریافت توضیحاتی در مورد این حمله تا لحظه انتشار این گزارش به نتیجه ای نرسیده است. این دو نهاد اعلام می کنند همچنان کارشناسان امنیتی و پلیس فتا در حال بررسی ابعاد موضوع هستند. در این بین، برخی با سرزنش اتصال اینترنت، اعلام می کنند که اگر اینترنت وصل نشده بود، این اتفاق نمی افتاد.

برای نمونه امیر سیاح، معاون اقتصادی و تنظیم مقررات مرکز ملی فضای مجازی، در توییتی انتقادی در شبکه ایکس (توییتر سابق) نوشت: یک ماه پیش، متخصصان امنیت سایبری هشدار می دادند زیر حملات شدید هستیم اینترنت بین الملل را باز نکنید، با روش های بی خطری می توان نیاز عموم به اینترنت بین الملل را تأمین کرد. وزیر ارتباطات به جای توجه، به نصیحت کننده ها توهین کرد. حالا که مردم گرفتار شده اند، کجاست بیاید جواب مردم را بدهد؟ .

در مقابل این نظر از سوی یک مقام فعال در حوزه فناوری، بهزاد اکبری، معاون وزیر ارتباطات و مدیرعامل شرکت ارتباطات زیرساخت، در توییتی این موضوع را فاقد پشتوانه فنی و غیرکارشناسی دانست. اکبری در توییت خود تأکید کرده بود: سامانه های Core Banking این بانک ها و شرکت ارائه کننده خدمات به آن ها اصلا به اینترنت عمومی متصل نیستند و سایر سامانه هایشان نیز ایران اکسس هستند .

اما شاید سؤال اصلی این باشد که آیا قطع اینترنت می تواند به افزایش حملات سایبری و کاهش امنیت سیستم ها کمک کند؟ سعید سوزنگر در پاسخ به این پرسش نظر نسبتا مثبتی دارد. او توضیح می دهد: پاسخ این پرسش هم بله است و هم خیر. از یک سو، محدودیت های اینترنتی می تواند فرصت به روزرسانی بسیاری از سامانه ها را از بین ببرد و همین مسئله یکی از عوامل افزایش آسیب پذیری باشد. از سوی دیگر، برخی سناریوهای فنی دیگر نیز ممکن است مطرح باشند که بدون اطلاعات دقیق نمی توان درباره آن ها با قطعیت اظهارنظر کرد .

به باور او، اینکه صرف اتصال به اینترنت عامل اصلی حادثه بوده، از منظر فنی توضیح قابل قبولی نیست و نمی توان علت اصلی چنین حملاتی را بدون بررسی دقیق توضیح داد. او تأکید می کند که امنیت سایبری تنها با خرید تجهیزات حاصل نمی شود: امنیت محصول ترکیبی از دانش، آموزش، نیروی انسانی متخصص، شفافیت، پاسخ گویی و سرمایه گذاری مستمر است. تا زمانی که این اجزا در کنار هم قرار نگیرند، تکرار چنین حوادثی چندان دور از انتظار نخواهد بود .

بانکداری دیجیتال در سال های اخیر از یک ابزار کمکی، به ستون فقرات اقتصاد روزمره مردم تبدیل شده است؛ از خریدهای خرد تا جابه جایی های کلان، از دریافت حقوق تا پرداخت قبوض، همه چیز به زیرساخت هایی گره خورده که انتظار می رود در شرایط عادی و بحران، حداقل سطحی از پایداری را حفظ کنند. بااین حال، هر بار که شبکه بانکی از دسترس خارج می شود، مسئله فقط توقف چند سرویس نیست، بلکه زیرساختی حیاتی از کار می افتد که عملا روی زندگی روزمره میلیون ها نفر سایه انداخته است.

مسئله زمانی پیچیده تر می شود که این اختلال ها نه به عنوان رخدادهای استثنایی، بلکه به عنوان اتفاقاتی تکرارشونده دیده می شوند؛ بدون گزارش های فنی شفاف، بدون اعلام دقیق دامنه آسیب و بدون پاسخ روشن درباره اینکه چه چیزی دقیقا از کار افتاده است و چرا؟ در چنین شرایطی، هر بحران جدیدی تنها ادامه همان چرخه قدیمی است: قطع سرویس ها، سردرگمی کاربران، اطلاعیه های کوتاه و کلی و بازگشت تدریجی خدمات بدون توضیحی درباره آنچه واقعا رخ داده است.

به باور کارشناسان، تا زمانی که سازوکار شفاف گزارش دهی حین بحران و پس از بحران شکل نگیرد، مسئولیت ها دقیق تعریف نشود و پاسخ گویی جایگزین روایت های کلی و تکراری نشود، احتمال تکرار این اتفاق ها همچنان بالاست؛ اتفاق هایی آشنا که در آن کارت ها کار نمی کنند، کاربران نمی توانند از خدمات استفاده کنند و در نهایت تنها جمله ای که باقی می ماند همان عبارت تکراری است: مشکل در حال پیگیری است، صبور باشید .