نشت اطلاعات دیجیشهر؛ چه دادههایی از کاربران در معرض خطر قرار گرفت؟
بررسی ابعاد دسترسی غیرمجاز به زیرساختهای دیجیشهر، کاستیهای اطلاعرسانی این پلتفرم و مسئولیت آن در قبال حفاظت از دادههای کاربران بر اساس استانداردهای بینالمللی.
نقص در فرایندهای کنترلی، راه نفوذ به دیجیشهر را باز کرد
بر اساس اطلاعیه رسمی دیجیشهر، به دلیل اعمال تغییراتی در بخشی از زیرساختهای مرتبط با نگهداری و پشتیبانی از دادههای این پلتفرم، یک نقص در فرایندهای کنترلی منجر به دسترسی غیرمجاز و محدود به بخشی از این زیرساختها شده است. همچنین، طبق اعلام دیجیشهر، این دسترسی در جریان کنترلها و حسابرسیهای دورهای امنیتی شناسایی و مسیر دسترسی ایجادشده در کوتاهترین زمان ممکن مسدود شد. علاوه بر این، دیجیشهر بر محدود بودن دامنه اطلاعات تحت تأثیر این رخداد تأکید و اعلام کرده است که ادعای انتشار کامل اطلاعات کاربران دیجیشهر با یافتههای فعلی بررسیهای داخلی مطابقت ندارد. اطلاعات تحت تأثیر مربوط به بخشی از کاربران و شامل بخشی از اطلاعات مرتبط با حساب کاربری آنان بوده است.
جدای از صحتوسقم آنچه در جریان دسترسی غیرمجاز به دادههای دیجیشهر گذشته است، بر اساس استانداردهای معتبر بینالمللی مدیریت رخداد و الزامات حفاظت از داده، اطلاعیه دیجیشهر از نظر اقدامات فنی و امنیتی پس از کشف نفوذ و مسئولیت اطلاعرسانی به کاربران و نهادهای ذیصلاح، کاستیهایی دارد. استاندارد ISO/IEC 27035-1:2023 و قانون GDPR دو معیار جهانی برای ارزیابی مدیریت رخدادهای امنیت اطلاعات و نحوه برخورد سازمانها با نشت اطلاعات شخصی هستند. طبق استاندارد بینالمللی ISO/IEC، سازمانها پس از شناسایی دسترسی غیرمجاز باید نهتنها دسترسی مهاجم را از بین ببرند، بلکه ابعاد رخداد را ارزیابی و اقدامات اصلاحی و پیشگیرانه را نیز انجام دهند.
از مهار نفوذ تا ارزیابی خسارت؛ مسئولیت دیجیشهر چیست؟
ارزیابی بیانیه دیجیشهر با معیارهای ISO/IEC نشان میدهد که این بیانیه با اصول مذکور همراستاست؛ به این معنی که دیجیشهر ضمن شناسایی رخداد، درباره مهار رخداد، بررسی و تحلیل ابعاد آن و اجرای اقدامات اصلاحی و ترمیمی نیز صحبت کرده است.
با این حال، توضیحات این پلتفرم درباره تعداد و نوع اطلاعات کاربرانِ تحت تأثیر کافی نیست. دیجیشهر در بیانیه خود صرفاً به بیان اینکه «اطلاعات همه کاربران افشا نشده» اکتفا کرده است. این در حالی است که تفاوت بسیار بزرگی وجود دارد بین اینکه مهاجم صرفاً به نام و اطلاعات عمومی حساب دسترسی پیدا کرده باشد یا به اطلاعات مالی و احراز هویت.
نوع و تعداد اطلاعات افشاشده از این جهت اهمیت دارد که سطح ریسک هر یک از اطلاعات متفاوت است. همچنین، تعیین اینکه آیا کاربران باید مستقیماً مطلع شوند یا نه، به ماهیت داده، تعداد افراد تحت تأثیر و احتمال سوءاستفاده از دادهها بستگی دارد. بر اساس اصول قانون GDPR نیز، اطلاعرسانی به کاربران درباره نشت اطلاعات زمانی الزامی میشود که رخداد احتمالاً ریسک بالایی برای حقوق و آزادیهای آنها ایجاد کند.
از سوی دیگر، دیجیشهر جزئیاتی درباره نوع و تعداد اطلاعات افشاشده منتشر نکرده است. این در حالی است که بر اساس ادعای کانال تلگرامی لیکفا، اطلاعات بیش از ۵ میلیون کاربر دیجیشهر در فهرست فروشندگان بانکهای اطلاعاتی غیرمجاز مشاهده شده است؛ مجموعهای که برخلاف بسیاری از نشتهای اطلاعاتی، تنها شامل مشخصات هویتی یا شماره تلفن کاربران نیست و بخشهایی از اطلاعات مالی، اعتباری و حتی مشخصات فنی دستگاههای کاربران را نیز دربرمیگیرد.
اقداماتی که دیجیشهر باید انجام میداد
با وجود کاستیهای بیانیه دیجیشهر در اطلاعرسانی شفاف به کاربران، بر اساس رویههای بینالمللی، این پلتفرم باید پس از رخداد اخیر مجموعهای از اقدامات مشخص را انجام دهد. این اقدامات شامل مهار رخداد، تعیین دقیق دامنه آن، تحلیل شواهد و تعیین نوع دادههای در معرض خطر، حذف عامل نفوذ و اصلاح آسیبپذیری، ارزیابی ریسک برای کاربران، اطلاعرسانی متناسب و شفاف، ارائه توصیههای عملی به کاربران و در نهایت مستندسازی رخداد و استخراج درسآموختههاست.
به عبارت دیگر، پس از شناسایی یک رخداد امنیتی، سازمان باید ابتدا مسیر دسترسی غیرمجاز را مسدود و از ادامه دسترسی مهاجم جلوگیری کند. سپس، با بررسی دقیق مشخص کند کدام سامانهها، دادهها و حسابها و در چه بازه زمانی تحت تأثیر قرار گرفتهاند.
در ادامه، باید شواهد موجود را تحلیل کند تا مشخص شود چه دادههایی صرفاً در معرض دسترسی قرار گرفتهاند و آیا اطلاعاتی مشاهده، کپی یا استخراج شده است. همچنین، بستن مسیر نفوذ بهتنهایی کافی نیست و سازمان باید عامل نفوذ و آسیبپذیری یا نقصی را که امکان دسترسی را فراهم کرده، شناسایی و برطرف کند.
در مرحله بعد، باید ریسک این رخداد برای کاربران، از جمله احتمال فیشینگ، جعل هویت، مهندسی اجتماعی یا تصاحب حساب، ارزیابی شود و در صورت وجود خطر، اطلاعرسانی شفاف و متناسب با سطح ریسک به کاربران آسیبدیده انجام گیرد.
ارائه توصیههای عملی برای کاهش خطر، مانند مراقبت از پیامها و تماسهای مشکوک یا تغییر اطلاعات امنیتی در صورت لزوم، بخش دیگری از مسئولیت سازمان است. در نهایت نیز باید جزئیات رخداد، علت وقوع و اقدامات انجامشده مستندسازی و از آن درسآموختههایی برای تقویت کنترلهای امنیتی و جلوگیری از تکرار رخداد استخراج شود.
«اطلاعات همه کاربران افشا نشده»؛ اما چه اطلاعاتی؟
بخش عمده کاستیهای اطلاعرسانی دیجیشهر درباره نشت اطلاعات کاربران را میتوان به نبود قوانین الزامآور در کشورمان نسبت داد. در حالی که در دنیا استانداردها و قوانین مشخصی همچون GDPR درباره مسئولیت سازمانها در قبال نشت اطلاعات کاربران وجود دارد، در کشورمان قوانین مشخصی در این خصوص وجود ندارد.
البته، در فصل حمایت از دادههای شخصی قانون تجارت الکترونیکی، محدودیتهایی برای جمعآوری و پردازش «دادهپیامهای شخصی» تعیین شده و بر استفاده از داده در چارچوب هدف مشخص و رعایت حقوق صاحب داده تأکید شده است. با این حال، قانون تجارت الکترونیکی، سازمانهای خصوصی و دولتی در ایران را به اعلام عمومی نقض دادهها حداکثر ظرف ۷۲ ساعت به مراجع نظارتی ملزم نکرده است.
این در حالی است که طبق قانون GDPR، سازمانها باید در صورت نشت داده، حداکثر ظرف ۷۲ ساعت پس از اطلاع از رخداد، به مرجع نظارتی ذیصلاح اطلاع دهند. همچنین، کانال تلگرامی لیکفا پنج روز پیش، در بیستوششم مردادماه، نشت اطلاعات کاربران دیجیشهر را اعلام کرد و این پلتفرم با تأخیر پنجروزه، وقوع دسترسی غیرمجاز را تأیید کرد، اما وقوع نشت دادهها را تأیید نکرد.
در مجموع، هرچند شرکت دیجیشهر با تأیید دسترسی غیرمجاز اعلام کرده مسیر نفوذ را مسدود و بررسی دامنه رخداد را آغاز کرده است، اما هنوز جزئیات دقیقی درباره نوع دادههای در معرض دسترسی، تعداد کاربران تحت تأثیر و اینکه آیا دادهها صرفاً مشاهده شده یا استخراج نیز شدهاند، ارائه نکرده است.
