ITanalyze

امنیت اطلاعات با گسترش روند دیجیتال شدن کاسته شده و هر روز حجم بیشتری از اطلاعات کاربران فاش می شود. این روند در سال های اخیر نگران کننده تر شده است.

خبرگزاری مهر - شیوا سعیدی: چند هفته پیش تیتر این خبر همه را شگفت زده کرد: «اطلاعات ۵۰ میلیون کاربر فیس بوک افشا شد». هرچند این نخستین باری نیست که اطلاعات خصوصی افراد فاش می شود، اما حجم آن نگران کننده است. پیش از این نیز اخبار مربوط به فاش شدن اطلاعات کاربران خبرساز شده بود. به عنوان مثال در اوایل سال جاری رسوایی کمبریج آنالایتیکا در صدر اخبار قرار گرفت. این شرکت به وسیله اطلاعات کاربران فیس بوک استراتژی تبلیغاتی دونالد ترامپ را طراحی کرده بود.

به هرحال همزمان با پیشرفت فناوری و دیجیتالیزه شدن سیستم های ذخیره اطلاعات و گسترش استفاده از اینترنت در گجت های مختلف هر روز اخبار بیشتری درباره فاش شدن اطلاعات محرمانه کاربران منتشر می شود. افشای اطلاعات کاربران در سال های اخیر وارد مرحله جدیدی شده است و دلایل مختلفی دارد.

دلایلی که منجر به افشای اطلاعات کاربران می شود

افشای اطلاعات در لغت به معنای انتشار عمدی یا غیرعمدی اطلاعات خصوصی و عمومی در محیطی غیر ایمن است. دلایل مختلفی به افشای اطلاعات منجر می شوند مانند هک اطلاعات توسط هکرهای زیرزمینی و افشای اطلاعات توسط فعالان سیاسی یا دولت های محلی یا حتی استفاده از تجهیزات رایانشی یا شبکه های ذخیره اطلاعات. در این میان نباید نقش باگ های داخلی و بدافزارها را نیز نادیده گرفت.

روزانه حجم عظیمی از داده های تولیدی توسط شرکتهای ارائه دهنده شبکه‌های اجتماعی و پیام‌رسان، مدیریت و تحلیل می شود و نتایج حاصل از تحلیل روی این داده های کلان (بیگ دیتا)، متقاضی بسیاری داشته و از بنگاههای تجاری (که برای بهره مندی در تبلیغات هوشمند به این اطلاعات نیاز دارند) تا سازمانهای امنیتی و حاکمیتی (برای رصد وضعیت ملتها در نقاط مختلف دنیا)، متقاضی این داده ها هستند. حتی در این بین شرکتهای تحلیلی بسیاری، کلان‌داده‌ها را منبع اصلی درآمد خود قرار داده و با ارائه گزارشهای هدفمند، می‌توانند نتیجه انتخابات مختلف را تغییر دهند. در این میان نباید از سوء استفاده شرکتهای تبلیغاتی و بازاریابی غافل ماند.

فضای مجازی روز به روز ناامن‌تر

با روند رو به رشد ناامنی در فضای مجازی، در سال جاری میلادی انبوهی از اخبار مربوط به افشای اطلاعات کاربران منتشر شد.

با روند رو به رشد ناامنی در فضای مجازی، در سال جاری میلادی انبوهی از اخبار مربوط به افشای اطلاعات کاربران منتشر شدپس از فاش شدن خبر مربوط به افشای اطلاعات ۵۰ میلیون کاربر فیس بوک، گزارش های دیگر نشان داد احتمالا حساب کاربری اینستاگرام این افراد نیز هک شده است. همچنین اگر یکی از این افراد از طریق اطلاعات حساب کاربری فیس بوک خود وارد اینستاگرام یا هر وب سایت دیگری شده بود، احتمالا هکرها به اطلاعات حساب او دسترسی پیدا کرده بودند.

در آخرین نمونه این اخبار مشخص شد، هکرها پیام های خصوصی ۸۱ هزار کاربر فیس بوک را منتشر کرده اند. آنها در یک آگهی تبلیغاتی اعلام کردند دسترسی به حساب های کاربری را با قیمت ۱۰ سنت می فروشند.

همچنین وب سایتی به نام Krebs on Security اعلام کرد، نرم افزار جاسوسی mSpy اطلاعات میلیون ها کاربر خود را فاش کرده است. جالب آنکه اطلاعات کاربران این نرم افزار به راحتی قابل دسترسی است و حجم وسیعی را شامل می شود از جمله نام، آدرس ایمیل، پیام های فیس بوک و واتس اپ.

 اما این ها تنها موارد نیستند. چندی پیش، محققان دانشگاه آکسفورد نیز هشدار دادند جمع آوری و اشتراک گذاری اطلاعات کاربران به وسیله اپلیکیشن های موبایل از کنترل خارج شده است. آنها متوجه شدند ۹۰ درصد اپلیکیشن های رایگان در پلی استور اطلاعات کاربران را با آلفابت (شرکت مادر گوگل) به اشتراک می گذارد. بیش از ۴۰ درصد این اپلیکیشن ها اطلاعات کاربران را به کسب و کارهای متعلق به فیس بوک منتقل می کنند.

همچنین گزارشی دیگر نشان داده اپلیکیشن هایی مانند Dr.Unarchiver و Dr.Cleaner که  توسط شرکت Trens Micro عرضه شده اند، تاریخچه مرورگر کاربر را جمع آوری و آپلود می کنند. این برنامه ها همچنین اطلاعات اپلیکیشن های دیگر نصب شده در دستگاه را جمع آوری می کنند.

افشای اطلاعات با اهداف مختل تا به آنجا پیش رفته که یک شرکت هواپیمایی هنگ کنگی به نام Cathay Pasific نیز اعلام کرد اطلاعات ۹.۴ میلیون نفر از مشتریانش فاش شده است. در این نشت اطلاعات اسامی، ملیت، تاریخ تولد، شماره تلفن، ایمیل، آدرس، شماره پاسپورت، شماره کارت شناسایی و تاریخچه سفر مشتریان فاش شده بود.

شاید یکی از تکان دهنده ترین اخبار نیز مربوط به وجود اطلاعات ۳۵ میلیون رای دهنده آمریکایی در وب تاریک بود. این اطلاعات یک ماه قبل از شروع انتخابات مجلس نمایندگان برای فروش در یک فروم آنلاین عرضه شده بود. البته کارشناسان ادعا می کنند عرضه اطلاعات به معنای افشای اطلاعات نیست. این سوابق احتمالا از شرکت هایی سرقت شده که از اطلاعات رای دهندگان برای استفاده در برنامه های انتخاباتی ایالت ها استفاده می کنند.

هشدار محققان نسبت به شکافهای امنیتی اپلیکیشن ها

این درحالی است که شبکه های اجتماعی نیز پلتفرم امنی برای اطلاعات به حساب نمی آیند. محققان امنیتی به دفعات شکاف های امنیتی را در این زمینه کشف کرده اند. یکی از آن موارد مربوط به سوءاستفاده از ویس میل واتس اپ است. هکرها با استفاده از شماره تلفن کاربر سعی می کنند اپلیکیشن استاندارد واتس اپ را در موبایل خود نصب کنند. در مرحله بعد واتس اپ با ارسال یک پیامک حاوی کد تائید ۶ رقمی به موبایل کاربر عملیات را احراز هویت می کند. به همین دلیل هکرها سعی می کنند زمانی که کاربر موبایل خود را رصد نمی کنند( شب هنگام) این عملیات را انجام دهند. درمرحله بعد واتس اپ به کاربر اجازه می دهد بین ارسال دوباره  کد۶ رقمی و تماس صوتی خودکار یکی را انتخاب کند. از آنجا که کاربر موبایل خود را رصد نمی کند، پیام به ویس میل او ارسال می شود. در این مرحله هکرها با استفاده از شکاف امنیتی در شبکه شرکت های مخابراتی این ویس میل ها را دریافت می کنند. 

تلگرام هم در امان نیست

حتی تلگرام نیز از این روند مستثنی نیست. یک محقق امنیتی کشف کرده نسخه های قبلی اپلیکیشن دسکتاپ تلگرام هنگام حین برقراری تماس صوتی،  IP آدرس های عمومی و خصوصی (نشانی پروتکل اینترنت) را فاش کرده است. دلیل این امر چارچوب کاری همتا به همتای تلگرام بوده است.

لو رفتن موقعیت مکان در آیفون

یکی دیگر از نمونه های جالب اطلاعات مربوط به اپل است. بررسی های امنیتی نشان می دهد تعدادی از برنامه های محبوب آیفون بی سروصدا اطلاعات موقعیت مکانی ده ها میلیون کاربر این گوشی را به اشتراک می گذارند. بسیاری از این برنامه ها علاوه بر شناسایی موقعیت دقیق مکانی کاربران خود اطلاعات حساس دیگری را نیز جمع آوری می کنند که دسترسی به آنها توسط شرکت هاس ثالث می تواند امنیت افراد را به خطر بیندازد.

از سوی دیگر صاحب خدمات ایمیل یاهو نیز اعلام کرده ایمیل های تجاری مشتریان خود را بررسی می کند و در اختیار شرکت های تبلیغاتی قرار می دهد. یاهو بیش از یک دهه قبل رصد ایمیلی کاربران خود را آغاز کرده است. این شرکت از الگوریتم های مختلف برای بررسی ایمیل های تجاری در این باکس کاربر استفاده می کند.

 مشکلات تقلبی رایانه راهی برای دسترسی به اطلاعات کاربران

این درحالی است که شیوه های سرقت اطلاعات کاربران در سال های اخیر بسیار متنوع شده است. یکی از روش های کلاهبرداری از کاربران مشکلات تقلبی رایانه ها است. طبق گزارش Action Fraud ،(سازمان گزارش دهی جرائم سایبری در انگلیس) کلاهبرداران انگلیسی با ارائه خدمات مربوط به حل مشکلات تقلبی رایانه، بیش از ۲۱ میلیون پوند از ۲۲ هزار نفر کلاهبرداری کرده اند.

این نوع کلاهبرداری با یک تماس تلفنی، ایمیل یا یک پیام پاپ  آپ در رایانه فرد  آغاز می شود. این پیام به کاربر هشدار می دهد اختلالی در رایانه یا ارتباط اینترنتی او وجود دارد که باید حل شود. در مرحله بعد کلاهبرداران از کاربر تقاضای مبلغی می کنند تا مشکل را حل کنند. در موارد دیگر آنها قربانیانشان را فریب می دهند تا نرم افزاری روی دستگاهشان نصب کنند. با این وسیله کلاهبرداران به اطلاعات شخصی و مالی کاربر دسترسی می یابند در همین راستا این سازمان برنامه ای برای آموزش مردم درباره «کلاهبرداری خدمات نرم افزار رایانه ای» را ارائه می کند.

مروری بر تاریخچه سرقت اطلاعات

اما افشای اطلاعات از چه زمانی اوج گرفت؟ واقعیت آن است که افشای اطلاعات لزوما فقط به شکل دیجیتالی نیست اما به طور حتم اوج گیری عصر دیجیتال، سبب افزایش رویدادهای مربوط به افشای اطلاعات شده است. کارشناسان و وب سایت های مختلف در این باره نظرات متفاوتی دارند اما با توجه به رویدادهای مهم می توان گفت افشای اطلاعات در فضای دیجیتال از ۲۰۰۵ میلادی آغاز شد. درهمین راستا یک سازمان غیرانتفاعی در آمریکا به نام Privacy Rights Clearinghouse آماری از میزان اطلاعات فاش شده و تعداد رویدادهای افشای اطلاعات اعلام کرد.

طبق اطلاعات وب سایت این سازمان از ۲۰۰۵ میلادی تاکنون ۱۱ میلیارد و ۲۳۷ میلیون و ۵۳۵ هزار و ۵۴۱ داده فاش شده است. همچنین در این بازه زمانی ۸۸۵۳ رویداد مربوط به افشای اطلاعات به طور عمومی اعلام شده اند.

یکی از بزرگترین نمونه های افشای اطلاعات در تاریخ، به شرکتExperianتعلق دارد. اکسپرین یکی از ۳ سازمان اصلی گزارش دهی اعتباری در آمریکا است که در سال ۲۰۱۲ میلادی شرکتی به نام Court Ventures را خرید. این شرکت اطلاعات مربوط به سوابق عمومی را جمع آوری می کرد. از سوی دیگر در زمان ادغام  Court Ventures نیز قراردادی با شرکتی به نام US Info Search داشت تا اطلاعات را در اختیار این شرکت قرار دهد. Court Ventures اطلاعات را به شرکت های طرف سوم از جمله یک موسسه خدمات کلاهبرداری ویتنامی می فروخت و به آنها اجازه می داد تا اطلاعات خصوصی مشتریان آمریکایی از جمله آمار مالی و شماره های تامین اجتماعی را بررسی کنند. در بسیاری از موارد از این اطلاعات برای سرقت هویت استفاده می شد.

بزرگترین رخدادهای افشای اطلاعات کاربران

کاهش ارزش سهام و محبوبیت

چنین رویدادهایی ریسک برای دزدی هویت یا پیامدهای وخیم تر همراه دارند. پس از اعلام این رویدادها کاربران مجبور می شوند تمام اطلاعات و پسوردهای خود را تغییر دهند.

از سوی دیگر چنین رویدادهایی پس از علنی شدن هیاهوی زیادی ایجاد می کند و به طور معمول شرکت سعی می کند از خسارات بیشتر جلوگیری کند. به عنوان مثال، افشای اطلاعات مشتریان خرده فروشی تارگت در ۲۰۱۳ میلادی به کاهش سودآوری شرکت منجر شد. در پایان ۲۰۱۵ میلادی تارگت با انتشار گزارشی اعلام کرد هزینه های مرتبط با افشای اطلاعات مشتریان آن بالغ بر ۲۹۰ میلیون دلار بوده است.

به نوشته رویترز افشای اطلاعات ۳میلیارد کاربر یاهو که در ۲۰۱۳ میلادی اتفاق افتاد اما در ۲۰۱۶ میلادی فاش شد، نیز یکی از پرهزینه ترین رویدادهای این چنینی در تاریخ بوده است. این رویداد سبب شد شرکت وریزون قیمت پیشنهادی برای خرید یاهو را یک میلیارد دلار کاهش دهد.

البته به سختی می توان خسارت های مالی مستقیم و غیر مستقیم مربوط به افشای اطلاعات کاربران را به دست آورد. یکی از راه های معمول در این زمینه ارزیابی واکنش بازار به چنین رویدادی است.

در نمونه افشای اطلاعات کاربران فیس بوک از طریق شرکت کمبریج آنالایتیکا، این امر نه تنها به سقوط ارزش سهام شرکت و ورشکستگی آن منجر شد، در ایالات متحده آمریکا از میزان محبوبیت دونالد ترامپ نیز کاسته شد. از سوی دیگر مارک زاکربرگ مجبور شد برای شهادت دراین باره در برابر کنگره ظاهر شود. تمام این رویدادها به کاهش محبوبیت و تعداد کاربران فیس بوک منجر شده است.

 قوانینی که حفاظت از اطلاعات را اجباری می کنند

به نوشته دیجیتال ورلد، با افزایش تعداد رویدادهای افشای اطلاعات، کشورها و مناطق مختلف قوانین متفاوتی را برای حفاظت از اطلاعات ارائه کرده اند. قوانینی مانند HIPAA (استانداردهای امنیتی برای حفاظت از سوابق بهداشتی افراد) یا استاندارد امنیت اطلاعات PCI در آمریکا ابداع شده اند تا راهنمایی برای شرکت ها و سازمان ها برای کنترل انواع خاصی از اطلاعات حساس مشتریان ابداع کنند. این قوانین چارچوبی برای امنیت، ذخیره سازی و روش های استفاده از اطلاعات حساس را فراهم می کنند. اما این قوانین در تمام صنایع وجود ندارند و لزوما از افشای اطلاعات جلوگیری نمی کنند.

طبق قانونGDPR شرکتها در صورت افشای اطلاعات کاربران۲۰ میلیون یورو جریمه می شوند از سوی دیگر اتحادیه اروپا نیز چندی پیش قانونGDPR را در راستای حفاظت از اطلاعات کاربران وضع کرد. به موجب این قانون شرکت هایی که اطلاعات کاربران را فاش کنند، مشمول جریمه ای  معادل ۲۰ میلیون یورو یا ۴ درصد از گردش مالی سالانه جهانی خود می شوند.

همچنین ایالت کالیفرنیا در آمریکا نیز با وضع قانونی جدید، انتخاب پسوردهای ضعیف برای دستگاه های الکترونیکی مانند رایانه و موبایل توسط شرکت تولید کننده ممنوع است. در انگلیس نیز قانونگذاران در پی تصویب دستورالعملی برای شرکت های تولید کننده گجت های اینترنت اشیا هستند تا از انتخاب پسوردهای ضعیف برای آنها جلوگیری شود.

مخترع وب هم دست به کار شد

از سوی دیگر دست اندرکاران صنعت فناوری نیز راهکارهای مختلفی ارائه می کنند. اکنون پس از  گذشت ۲۸ سال از تولد وب و گسترش اینترنت، «برنرز لی»، مخترع وب، طرح متن باز جدیدی به نام سولید را راه اندازی کرده که هدف از پیگیری آن جلوگیری از جمع آوری انبوهی از اطلاعات خصوصی کاربران و انتقال این اطلاعات به شرکت های ثالث است.

او درباره این طرح می گوید: وب به موتوری برای نابرابری و تقسیم هم مبدل شده و نیروهای قدرتمند از آن برای پیشبرد دستور کار خود بهره می گیرند. ما امروز به نقطه حساسی رسیده ایم و تغییرات جدی ضروری است.

به گفته وی با اجرای طرح سولید مدل فعلی انتقال داده های خصوصی کاربران به شرکت های بزرگ فناوری تغییر می کند تا منافع آنها تامین شود و اشخاص بتوانند بر روی داده های خود کماکان کنترل کنند. در قالب این طرح برخی تغییرات فنی به صورت ماژولار و چند بخشی بر روی فناوری های پرکاربرد وب مانند HTTP, REST, HTML اعمال می شود که استفاده از وب به صورت فعلی را مختل نمی کنند، اما کنترل داده های فردی و حفظ حریم شخصی را تسهیل می کنند.

آینده دزدی های اینترنتی

یکی از دلایل فراگیرشدن افشای اطلاعات در سال های پس از ۲۰۰۵ میلادی افزایش حجم اطلاعات است که به مجرمان سایبری فرصت های بیشتری می دهد تا حجم بیشتری از اطلاعات را در یک حمله سرقت کنند.

درهمین راستا وب سایت ها و شرکت های مختلف آمارهای مختلفی از آینده روند افشای اطلاعات منتشر می کنند. طبق گزارش CSC که در ۲۰۱۲ میلادی منتشر شده، تا ۲۰۲۰ میلادی بیش از یک سوم اطلاعات در خدمت ابر نگهداری می شود. 

از سوی دیگر وب سایت Statistica نیز در تحقیقی وضعیت واقعی امنیت اطلاعات در سراسر جهان از ۲۰۱۰ تا ۲۰۱۵ میلادی را نشان می دهد. از ۲۰۱۵ میلادی تاکنون ۲۵ درصد اطلاعات جهان نیازمند اقدامات امنیتی بیشتری هستند اما همچنان به طور غیر ایمن نگهداری می شوند. طبق تحقیق این وب سایت آماری پیش بینی می شود، این شاخص در ۲۰۲۵ میلادی به ۴۵ درصد می رسد.

این در حالی است که هم اکنون با گسترش اینترنت اشیا و هوش مصنوعی، اطلاعات کاربران نه تنها در وب سایت ها و مخازن اطلاعاتی شرکت ها، بلکه در گجت های ساده خانگی نیز ذخیره می شود. از آنجا که در بسیاری از این گجت ها اقدامات امنیتی در نظر گرفته نشده، کارشناسان متعددی درباره سرقت از آنها هشدار داده اند.

تمام این روندها حاکی از آن است که حریم خصوصی برای افراد در حال از بین رفتن است و در صورتی که اقدامات امنیتی بیشتری انجام نشود، هر روز شاهد رویدادهای بیشتر افشای اطلاعات کاربران خواهیم بود