شبکه بانکی و پرداخت کشور در اواخر خرداد و ابتدای تیر 1405 با یکی از مخرب ترین و گسترده ترین اختلالات سیستمی در تاریخ خود مواجه شد. این اختلالات که ناشی از یک حمله سایبری هماهنگ و چندمرحله ای به زیرساخت های حیاتی کشور بود، علاوه بر فلج کردن موقت تراکنش های خرد و کلان میلیون ها شهروند، زنگ خطر جدی را در خصوص میزان تاب آوری ساختاری کشور به صدا درآورد.

این بحران بانکی در قالب دو موج عملیاتی اصلی و پیاپی رخ داد که هسته خدماتی و پلتفرم های پرداخت کارت محور کشور را هدف گرفت.

در روز شنبه 23 خرداد 1405، گزارش های متعددی از سوی شهروندان مبنی بر قطع ناگهانی و کامل دسترسی به خدمات بانکی صادر شد. این اختلال گسترده، پلتفرم های همراه بانک، اینترنت بانک، خودپردازها (ATM) و پایانه های فروشگاهی (کارت خوان ها) را در چهار بانک بزرگ شامل بانک ملی، بانک صادرات، بانک تجارت و بانک توسعه صادرات به طور کامل از مدار خارج کرد.

در پاسخ به این وضعیت اضطراری، شرکت خدمات انفورماتیک به عنوان هاب فنی و ارائه دهنده زیرساخت مشترک پرداخت به این بانک ها، تصمیم گرفت به منظور مهار دامنه نفوذ، جلوگیری از دسترسی های غیرمجاز و صیانت از اطلاعات حساس مالی مشتریان، ارائه خدمات پایه مبتنی بر کارت را در سراسر کشور به صورت موقت معلق کند. اگرچه در روزهای بعد بخشی از خدمات کارتی به صورت ناپایدار احیا شد، اما ریشه های نفوذ همچنان فعال باقی ماند.

در حالی که تیم های تخصصی پدافند سایبری در حال تلاش برای بازگرداندن پایداری به شبکه بودند، موج دوم و شدیدتری از حملات در تاریخ 2 تیر 1405 سیستم های هسته بانکی را نشانه رفت. این حمله بار دیگر خدمات کارت محور و تراکنش های آنلاین بانک های ملی و صادرات را به طور کامل متوقف کرد.

فرماندهی سایبری کشور با صدور بیانیه ای رسمی، وقوع حمله سایبری هدفمند با هدف اختلال سازمان یافته در خدمات عمومی را تایید کرد و هشدار داد که رفع کامل آثار تخریبی این حملات و بازگردانی پایدار سامانه ها ممکن است تا دو هفته به طول انجامد.

زمان بندی این حملات پیوند عمیقی با تحولات دیپلماتیک در سطح کلان داشت. حملات سایبری دقیقاً در گرماگرم مذاکرات دیپلماتیک میان تهران و واشینگتن در سوییس رخ داد. روزنامه تلگراف در گزارشی مستند فاش کرد که کارشناسان سایبری، گروه هکری خوش نام گنجشک درنده (Predatory Sparrow) را که به عنوان جبهه عملیاتی واحد 8200 ارتش اسراییل و موساد شناخته می شود، عامل اصلی این حمله معرفی کرده اند. این عملیات سایبری مشترک با هدف مسدودسازی مسیرهای نقل وانتقال پول، به تعویق انداختن توان مالی ایران و ضربه مستقیم به تفاهم نامه صلح سوییس طراحی و اجرا شد.

امروز بانک مرکزی در اطلاعیه ای اعلام کرد از نخستین ساعات بروز اختلال، بررسی پیامدهای آن بر امور جاری مردم و فعالان اقتصادی را آغاز کرده و موضوعاتی مانند سررسید و وصول چک ها، تأخیر در بازپرداخت اقساط، جریمه دیرکرد تسهیلات، رتبه اعتباری مشتریان و وقفه در ارائه خدمات بانکی را با رویکرد حمایتی در دست بررسی قرار داده است.

این نهاد تأکید کرد هیأت عامل بانک مرکزی تمهیدات لازم را برای کاهش آثار این اختلالات بر مردم و فعالان اقتصادی اتخاذ خواهد کرد تا هیچ یک از مشتریان شبکه بانکی به دلیل شرایط خارج از اراده خود متضرر نشوند. با این حال، انتشار این اطلاعیه نشان می دهد که علی رغم تلاش های هم زمان برای مهار بحران و بازگردانی سامانه ها، اختلالات و پیامدهای ناشی از حمله سایبری همچنان ادامه داشته و آثار آن بر خدمات بانکی و فعالیت های اقتصادی به طور کامل برطرف نشده بود.

گفتنی است که از ساعاتی پیش، بخشی از خدمات دو بانک ملی و صادرات بار دیگر با اختلال روبه رو شده است.

با وجود آغاز هم زمان اقدامات فنی برای بازگرداندن خدمات، آثار این حملات برای روزها در شبکه بانکی ادامه یافت. بانک مرکزی در اطلاعیه ای اعلام کرد از نخستین ساعات بروز اختلال، بررسی پیامدهای آن بر امور جاری مردم و فعالان اقتصادی را آغاز کرده و موضوعاتی مانند سررسید و وصول چک ها، تأخیر در بازپرداخت اقساط، جریمه دیرکرد تسهیلات، رتبه اعتباری مشتریان و وقفه در ارائه خدمات بانکی را با رویکرد حمایتی در دست بررسی قرار داده است.

این نهاد تأکید کرد هیأت عامل بانک مرکزی تمهیدات لازم را برای کاهش آثار این اختلالات بر مردم و فعالان اقتصادی اتخاذ خواهد کرد تا هیچ یک از مشتریان شبکه بانکی به دلیل شرایط خارج از اراده خود متضرر نشوند. با این حال، انتشار این اطلاعیه نشان می دهد که علی رغم تلاش های هم زمان برای مهار بحران و بازگردانی سامانه ها، اختلالات و پیامدهای ناشی از حمله سایبری همچنان ادامه داشته و آثار آن بر خدمات بانکی و فعالیت های اقتصادی به طور کامل برطرف نشده بود.

بر خلاف تصورات سنتی پدافند غیرعامل که فیلترینگ و انزوای شبکه را سدی دفاعی در برابر حملات سایبری قلمداد می کنند، شواهد فنی و مستندات امنیتی سال 1405 نشان می دهند که فیلترینگ خود به یکی از بزرگ ترین پیشران های تخریب زیرساخت و تسهیل حملات سایبری تبدیل شده است.

فیلترینگ باعث شده بخش قابل توجهی از کاربران و حتی کارشناسان فنی برای دسترسی به سرویس های ضروری، به استفاده دائمی از فیلترشکن ها و پروکسی های ناشناس وابسته شوند؛ ابزارهایی که بسیاری از آن ها از منابع نامعتبر توزیع شده و دسترسی گسترده ای به ترافیک اینترنت کاربران دارند. این وابستگی، سطح حمله (Attack Surface) را به طور قابل توجهی افزایش داده و امکان سرقت اطلاعات، رهگیری ارتباطات، تزریق بدافزار و اجرای حملات را برای مهاجمان فراهم می کند.

از سوی دیگر، ترافیک رمزگذاری شده و عبور داده ها از زنجیره ای از سرورهای واسط، فرآیند پایش، تشخیص و واکنش سریع تیم های امنیتی را نیز دشوارتر می کند. در چنین شرایطی، فیلترینگ نه تنها مانعی در برابر مهاجمان ایجاد نمی کند، بلکه با گسترش استفاده از ابزارهای غیرقابل اعتماد، به عاملی برای افزایش ریسک نفوذ و کاهش دید عملیاتی مدافعان سایبری تبدیل می شود.

تجهیزات بازرسی عمیق بسته ها (DPI) که توسط شرکت ارتباطات زیرساخت درگاه های اینترنت کشور را پایش می کنند، توانایی پردازش همزمان و بازرسی ترافیک مبتنی بر پروتکل نسل ششم (IPv6) را به دلیل ساختار رمزنگاری و آدرس دهی پیچیده آن ندارند. در نتیجه، متولیان فیلترینگ با حذف سازمان یافته این پروتکل، فضای آدرس دهی کشور را به محدوده منسوخ IPv4 زنجیر کردند.

این اقدام به اشباع جداول شبکه و بروز پدیده پردازش فرساینده در تجهیزات لبه شبکه منجر شده است. پردازنده های روترها تحت بار ترافیکی سنگین ناشی از فیلترشکن ها داغ شده و تاخیری نمایی را به کل بسته های داده تحمیل می کنند. در این بستر ناپایدار، پایگاه های داده بانک ها هنگام تبادل تراکنش ها با سامانه های مرکزی نظیر شتاب و شاپرک، مدام با خطای (Timeout) مواجه می شوند. مهاجمان سایبری با آگاهی کامل از این خستگی سخت افزاری، حملات خود را در ساعات اوج پردازش وارد کرده و به راحتی لایه دسترسی بانک ها را منهدم می کنند.

به دلیل محدودیت های دوطرفه فیلترینگ داخلی و تحریم های خارجی، مهندسان نرم افزار در بانک ها، شرکت های تابعه خدمات انفورماتیک، دسترسی مستقیمی به مراجع اصلی پکیج های برنامه نویسی ندارند. برنامه نویسان برای دور زدن این بن بست، ناگزیر به استفاده از نمونه های داخلی غیررسمی یا اتصال از طریق پروکسی های واسطه ناشناس هستند.

مهاجمان با استفاده از تکنیک های پیچیده، کتابخانه های نرم افزاری مخرب با نام هایی بسیار مشابه به پکیج های اصلی را در این نمونه های ناامن تزریق می کنند. از آنجا که پکیج های دانلودشده فاقد امضاهای دیجیتال معتبر و مراجع راستی آزمایی جهانی هستند، کدهای مخرب حاوی (Backdoors) مستقیماً به کدهای منبع پلتفرم های بانکی و همراه بانک ها راه می یابند. این نفوذها بدون جلب توجه سیستم های دفاعی، ماه ها در لایه های عمیق سیستم فعال می مانند تا در زمان مقرر، به عنوان مسیر ورود مهاجمان برای تخریب هسته پردازش بانکی مورد استفاده قرار گیرند.

یکی از نگران کننده ترین پیامدهای فضای انسداد دیجیتال، مهاجرت گسترده نیروهای خبره امنیت سایبری از کشور است. به اعتقاد کارشناسان برجسته و اعتراف صریح مدیران ارشد شرکت ارتباطات زیرساخت، فیلترینگ بی ضابطه و شرایط نامساعد اقتصادی، انگیزه کار و بقای متخصصان را نابود کرده و کشور را از سرمایه انسانی تهی ساخته است.

در غیاب نیروهای خبره ای که قادر به تحلیل رفتارهای پیچیده مهاجمان و مدیریت بحران در زمان حملات روز صفر باشند، سامانه های دفاعی بانک ها به صورت دستی و با خطاهای فاحش اداره می شوند که ثمره آن تداوم دوهفته ای آثار تخریبی یک حمله سایبری است.

بحران سایبری خرداد و تیر 1405 خط بطلانی بر فرضیه پایداری سیستم ها در بستر انزوای شبکه کشید. سیاست های فیلترینگ نه تنها مانعی در برابر نفوذ هکرها ایجاد نکرد، بلکه با فرسوده کردن سخت افزارها، آلوده کردن کلاینت های داخلی و مسموم کردن زنجیره تامین نرم افزار، مقاومت شبکه بانکی را از درون متلاشی کرد.

باید برای ارتقای پایداری ملی و جلوگیری از فجایع آینده، بازنگری در سیاست های فیلترینگ و بازسازی زیرساخت ارتباطی صورت گیرد و مداخلات پردازشی سنگین در لبه شبکه متوقف شود و استاندارد آدرس دهی IPv6 برای کاهش تراکم جداول مسیریابی و ایجاد پایداری در تراکنش ها باید احیا شود.

تداوم اصرار بر دکترین های منسوخ فیلترینگ و انزوا، شبکه مالی کشور را در جنگ های سایبری آینده بیش از پیش بی دفاع کرده و بستر مناسبی را برای فروپاشی های سیستمی مخرب تر فراهم خواهد ساخت.