آیا اطلاعات ۶۳ میلیون مشتری بانک صادرات فاش شده است؟ 

گروه اقتصادی: ادعای درز اطلاعات ۶۳ میلیون مشتری بانک صادرات ایران برای نخستین‌بار روز ۸ آوریل (۲۰ فروردین ۱۳۹۹) در شبکه‌های اجتماعی و از طریق اکانت توییتری «بانک سکوریتی»‌ پخش شد. این اکانت اعلام کرد، یک کاربر در حال فروش اطلاعات مشتریان این بانک و کارت‌های اعتباری آنهاست. این اطلاعات واکنش‌های زیادی در فضای مجازی و در میان کارشناسان امنیت سایبری داشت؛ از هویت این هکر تا چگونگی دسترسی او به این اطلاعات. با وجود این‌که چند روز از این ماجرا گذشته، هنوز می‌توان ردپای گفت‌وگوهایی در این باره را پیدا کرد.

اولین‌بار چه کسی ادعای درز اطلاعات ۶۳ میلیون مشتری بانک را مطرح کرد؟
چنین ادعایی را صاحب یک اکانت توییتری اولین بار مطرح کرد. اکانت «بانک سکوریتی» با انتشار یک پست اسکرین‌شاتی منتشر مدعی شد اطلاعات ۶۳ میلیون مشتری بانک صادرات ایران در حال فروش است. او در گفت‌وگو با یورونیوز خودش را این‌طور معرفی می‌کند: «من حدود هشت سال است که در زمینه حفاظت سایبری فعالیت دارم. در حال حاضر در یک بانک اروپایی به عنوان آنالیزگر اطلاعات سایبری مشغول به کار هستم. حدود شش سالی است که با جرایم الکترونیکی و حوزه اطلاعات الکترونیکی سروکار دارم. اکانت «بانک سکوریتی» در توییتر را چند سال پیش باز کردم تا اطلاعات مربوط به خرابکاری‌های آنلاین که به بانک‌های سراسر جهان مربوط می‌شود را منتشر کنم.» او تاکید می‌کند که به خاطر نوع کارش ترجیح می‌دهد ناشناس باقی بماند.

اکانت «بانک سکوریتی» این اطلاعات را کجا دیده بود؟
صاحب اکانت «بانک سکوریتی» ادعا می‌کند که اطلاعات را روز هفتم آوریل ۲۰۲۰ در یک انجمن آنلاین هکری به نام «رادیو فروم» دیده است. می‌گوید: «در انجمن با کاربری مواجه شدم در یک پست مدعی شده بود اطلاعات مربوط به ۶۳ میلیون مشتری بانک صادرات ایران را به همراه شماره کارت‌ بانکی‌شان در اختیار دارد. او برای اثبات درستی ادعایش، یک نمونه از اطلاعات را نیز قرار داده بود که اکنون توسط خود او حذف شده و دیگر در دسترس نیست. در اولین پستی که توسط کاربر در انجمن قرار داده شده بود و الان از دسترس خارج شده،‌ قیمت این اطلاعات یک بیت‌کوین اعلام شده است.»

آیا ادعای درز اطلاعات درست است؟
درباره صحت این اطلاعات گمانه‌زنی‌هایی مطرح شده است. از جمله برخی، درستی ادعای هکر را زیر سوال می‌برند. بانک سکوریتی می‌گوید: «معمولا در بازارهای فروش اطلاعات هکری، فرد برای جلب اعتماد تعدادی از داده‌هایی که در اختیار دارد را به نمایش می‌گذارد تا اعتماد مشتری جلب شود. بسیاری از اعضای انجمن آنلاین از هکر خواسته بودند اعتمادشان را جلب کرده و یک مدرک ارایه کند. او هم اسکرین‌شاتی را منتشر کرد که چند نمونه اطلاعات را می‌شد در آن دید. برای صحت‌سنجی این مدعا من تلاش کردم با بانک صادرات ایران به طور مستقیم تماس بگیرم اما نتوانستم واکنشی از آنها به دست بیاورم.»

با بالا گرفتن بحث‌ها در شبکه‌های اجتماعی، هکر دوباره در روز ۱۱ آوریل ۲۰۲۰ پست دیگری را منتشر کرد که ۱۰۰ داده دیگر نیز در آن دیده می‌شد. اکانت بانک سکوریتی می‌گوید: «در حال حاضر من تمام دیتابیس را در اختیار ندارم و نمی‌توانم بگویم تعداد داده‌ها چقدر است. اما آن‌طور که خود هکر ادعا کرده،‌ بانک اطلاعاتی‌اش ۶۳ میلیون داده دارد. این ادعا می‌تواند درست یا غلط باشد. بهرحال تا وقتی کل داده‌ها را نداشته باشید، نمی‌توانید دراین‌باره چیزی بگویید.»

درباره هکر ‌چه می‌دانیم؟
این طور که صاحب اکانت «بانک سکوریتی» به یورونیوز می‌گوید، اطلاعات چندانی درباره هکر مدعی وجود ندارد: «این کاربر با نام کاربری na0e45r در انجمن آنلاین تازه‌وارد است و پیش از این، هیچ رکوردی از خودش به جا نگذاشته است. سخت است که بگوییم او اهل کجاست. به گمانم صرفا وارد انجمن شده که دیتابیس را بفروشد و کار دیگری ندارد. »

مشکوک است
یک روز بعد از پخش خبر درز اطلاعات، ماهنامه پیوست واکنش روابط‌عمومی بانک صادرات ایران در این باره را منتشر کرد که می‌گوید: بررسی‌های اولیه اطلاعات منتشر شده نشان می‌دهد این خبر از صحت چندانی برخوردار نیست و در حال بررسی‌ دقیق‌تر آن هستیم. در واکنشی دیگر،‌ محمد جرجندی، کارشناس امنیت سایبری که اخبار مربوط به درز اطلاعات را پیگیری می‌کند، درباره این‌که اطلاعات صحیح در این دیتابیس وجود داشته باشند، ‌تردید کرده بود. او دراین‌باره گفت: نمونه‌ای که گذاشته بودند،‌اطلاعات درستی داشت. اما چند ایراد فنی در داده‌های نمونه وجود داشت. یکی این‌ که داده‌ها فقط مربوط به شهر قم بود و فراگیری نداشت. دوم این‌که داده‌ها با این حجم میلیونی معمولا در جدول دیگری طبقه‌بندی و نمایش داده می‌شوند. به جز این، من از او خواسته بودم تا اطلاعات جزیی‌تر و خاصی را در اختیارم بگذارد اما جوابی نداد. آن‌چه مهم است این‌که خبر لو رفتن اطلاعات پیش‌تر هم بازگو شده است. اما درباره این‌که داده‌ها در اختیار این فرد باشد، باید شک کرد.» اشاره محمد جرجندی به خبری است که در نوامبر سال گذشته میلادی (آذر ۹۸)‌،‌ رسانه‌ها در ایران منتشر کردند. در این خبر، محمد جواد آذری جهرمی، وزیر ارتباطات ایران در واکنش به خبر درز اطلاعات بانکی گفته بود، یکی از پیمانکاران از اطلاعات مشتریان نسخه پشتیبان تهیه کرده بوده و اکنون با این اطلاعات در حال «تهدید و باج‌گیری» است.