جنگ سایبری به شبکه بانکی رسید؛ از اختلال در بانک سپه تا حمله به چهار بانک بزرگ
جنگ سایبری برخلاف نبردهای متعارف، با شلیک نخستین موشک آغاز نمیشود و با امضای توافق آتش بس نیز لزوما پایان نمییابد. مهاجم میتواند ماهها پیش از آشکارشدن بحران وارد یک شبکه شود، مسیرهای دسترسی را شناسایی کند، سطح دسترسی خود را افزایش دهد و در لحظهای که بیشترین اثر اقتصادی یا سیاسی ایجاد میشود، عملیات را فعال کند. همین ویژگی باعث شده است حمله به زیرساختهای مالی، دیگر صرفا موضوعی برای کارشناسان فناوری اطلاعات نباشد. اختلال در بانک، مستقیما به گردش پول، سرمایه در گردش بنگاهها، پرداخت حقوق، تسویه بدهیها، خرید کالا و اعتماد عمومی گره میخورد.
در ۲۷ خرداد، همزمان با جنگ دوازده روزه، خدمات بانک سپه و بانک پاسارگاد با اختلال جدی مواجه شد. همراه بانک، اینترنت بانک، خودپردازها و بخشی از خدمات پرداخت برای گروهی از مشتریان از دسترس خارج شد و بانک سپه به دلیل نقش گسترده خود در پرداختهای دولتی، حقوقی و سازمانی، بیش از سایر بانکها در مرکز توجه قرار گرفت. گروه موسوم به گنجشک درنده مسئولیت حمله به بانک سپه را پذیرفت و مدعی شد بخشی از دادهها و زیرساختهای این بانک را از بین برده است، اما میزان واقعی خسارت و وابستگی سازمانی این گروه به یک دولت خارجی به صورت مستقل و رسمی تأیید نشد.
شرکت داتین که در آن مقطع بخشی از زیرساختهای بانکداری بانک سپه و بانک پاسارگاد را پشتیبانی میکرد، در اطلاعیه رسمی خود اعلام کرد زیرساخت سخت افزاری دو بانک با حملهای بزرگ و پیچیده روبهرو شده و تجهیزات ذخیره سازی به شدت آسیب دیدهاند. داتین در عین حال تأکید کرد که سامانههای نرم افزاری این شرکت مستقیما هک نشدهاند. این تفکیک اهمیت زیادی دارد، زیرا آسیب به تجهیزات ذخیره سازی، قطع سرویس، نفوذ به نرم افزار، حذف داده و دستکاری دفتر کل بانکی، از نظر فنی و اقتصادی یکسان نیستند.
پیش از این حمله نیز گروهی با نام کدبریکرز ادعا کرده بود بیش از ۱۲ ترابایت داده مرتبط با ۴۲ میلیون نفر را از بانک سپه استخراج کرده است. بانک سپه این ادعا را رد کرد و گزارش مستقلی که اصالت، حجم و محتوای دادههای ادعایی را تأیید کند، منتشر نشد. به همین دلیل عدد ۴۲ میلیون را نمیتوان به عنوان تعداد قطعی قربانیان یا تعداد مشتریان بانکهای ملی، تجارت و صادرات به کار برد. این عدد در برخی روایتهای رسانهای با تعداد مشتریان چند بانک دیگر خلط شده است، در حالی که گزارشهای عمومی بانک ملی از بیش از ۵۵ میلیون مشتری و گزارشهای بانک صادرات از حدود ۳۶ میلیون و ۷۰۰ هزار مشتری سخن گفتهاند. افزون بر این، یک فرد میتواند در چند بانک حساب داشته باشد و تعریف مشتری، حساب، کارت و مشتری فعال در گزارشهای بانکی یکسان نیست.
موج تازه حملات و اختلال در زیرساخت مشترک بانکها
حدود یک سال پس از حمله به بانک سپه و بانک پاسارگاد، در ۲۳ و ۲۴ خرداد، خدمات چهار بانک ملی ایران، تجارت، صادرات ایران و توسعه صادرات ایران دچار اختلال شد. شورای هماهنگی بانکها اعلام کرد منشأ اختلال، یک «حمله سایبری محدود» به زیرساخت ارتباطی مشترک این بانکها بوده است. در همان اطلاعیه تأکید شد که دادهای از مشتریان حذف نشده و دسترسی غیرمجاز به اطلاعات حسابها مشاهده نشده است.
این روایت رسمی چند روز بعد با اطلاعات دقیقتری درباره ابعاد عملیاتی بحران تکمیل شد. در ۲۹ خرداد، بانک مرکزی اعلام کرد خدمات پایه مبتنی بر کارت از طریق راهکارهای جایگزین در دسترس مشتریان قرار گرفته است و سامانههای سراسری شتاب و شاپرک با ظرفیت کامل فعالیت میکنند. این توضیح نشان میداد که حمله مستقیما تمام شبکه پرداخت کشور را از کار نینداخته، اما برخی بانکها برای حفظ حداقل خدمات ناچار شدهاند از مسیرها و زیرساختهای جایگزین استفاده کنند.
در ۲ تیر، شرکت خدمات انفورماتیک از موج دیگری از حملات به خدمات کارت محور بانکهای ملی، صادرات و تجارت خبر داد. خودپردازها، پایانههای فروش، برنامههای موبایلی و بخشی از خدمات متصل به سامانه کارت تحت تأثیر قرار گرفتند و برخی عملیات برای جلوگیری از گسترش حادثه به صورت موقت متوقف شدند. در ۶ تیر نیز پس از اعلام رفع بخشی از مشکلات، اختلال در بعضی خدمات بانک ملی و بانک صادرات دوباره بازگشت. شرکت خدمات انفورماتیک این وضعیت را بخشی از فرایند بازگردانی، بررسی یکپارچگی و پایدارسازی سامانهها معرفی کرد.
سید علی مدنی زاده، وزیر امور اقتصادی و دارایی، در توضیح اقدامات دولت گفت تجربه حملات قبلی موجب شده است در رخدادهای تازه «هیچ گونه نشت یا از دست رفتن اطلاعات» رخ ندهد. او همچنین از تشکیل کمیتهای ذیل شورای عالی امنیت ملی برای بازگرداندن خدمات و تقویت پدافند سایبری خبر داد. تشکیل چنین کمیتهای نشان میدهد که دولت، حمله به شبکه بانکی را صرفا یک نقص فنی در سطح چند بانک تلقی نکرده و آن را در سطح امنیت اقتصادی و زیرساختهای حیاتی بررسی کرده است.
در ۱۳ تیر، شرکت خدمات انفورماتیک اعلام کرد بانک ملی به زیرساخت اصلی خود بازگشته است، در حالی که بانکهای صادرات و تجارت هنوز بخشی از خدمات را روی زیرساخت پشتیبان ارائه میکردند. بانک تجارت نیز از بازگشت خدمات کارت، چک، چکاوک، خدمات شعب و بخشی از سرویسهای ارزی و بورسی خبر داد، اما برای بازیابی کامل بعضی خدمات، دوره زمانی طولانیتری در نظر گرفته شد. همین فاصله میان وعده بازگشت سریع و ادامه برخی نارساییها نشان داد که بحران از سطح یک قطعی کوتاه مدت فراتر رفته است.
محمدسعید طباطبایی، مدیرعامل شرکت خدمات انفورماتیک، توضیح داد که تیمهای فنی برای بازگرداندن بانکهای ملی و صادرات حدود ۷۲ ساعت بدون وقفه کار کردهاند. به گفته او، دادههای حسابها و تراکنشها در چند موقعیت جغرافیایی نگهداری میشدند و قابل بازیابی بودند. او همچنین گفت پس از بازگشت موقت خدمات به ماشینهای اصلی، رخدادی مشابه دوباره اتفاق افتاد. این توضیحات نشان میدهد عبارت اولیه «حمله محدود به زیرساخت ارتباطی» نمیتواند همه ابعاد عملیاتی حادثه را توصیف کند، هرچند از طولانی شدن بازیابی نیز نمیتوان به صورت خودکار نتیجه گرفت که مانده حسابها یا دفتر کل بانکها نابود شده است.
جنگ سایبری ایران و اسرائیل یا حاصل سهل انگاری داخلی؟
نیما نامداری، فعال اکوسیستم فناوری و اقتصاد دیجیتال، معتقد است حملات اخیر را نباید در حد فعالیت یک گروه هکری مستقل تحلیل کرد. به ارزیابی او، سطح پیچیدگی، انتخاب اهداف و گستردگی اختلال نشان میدهد که عملیات احتمالا از حمایت یک دولت یا نهاد حاکمیتی برخوردار بوده است. نامداری این رخداد را در چهارچوب جنگ سایبری ایران و اسرائیل قرار میدهد و حتی احتمال مشارکت ایالات متحده را مطرح میکند. او حمله به بانکها را از نظر راهبردی با استاکس نت مقایسه کرده است، زیرا هر دو عملیات زیرساختی حیاتی را هدف گرفتهاند و انتساب رسمی و حقوقی آنها با دشواری روبهرو بوده است.
در مقابل، محمدرضا عارف، معاون اول رئیس جمهور، یکی از صریحترین مواضع داخلی را مطرح کرد و گفت آنچه در بانکها رخ داده، «نتیجه سهل انگاری در امنیت سایبری است». این موضع، وزن بیشتری به ضعفهای داخلی، بی توجهی به هشدارهای تخصصی و ناکافی بودن اقدامات پیشگیرانه میدهد. تفاوت میان ارزیابی عارف و تحلیل نامداری، دو توضیح متفاوت را در برابر افکار عمومی قرار میدهد. یک روایت بر توان دولت خارجی و جنگ سایبری متمرکز است و روایت دیگر، مسئولیت مدیریتی و ناکارآمدی کنترلهای داخلی را برجسته میکند.
تاکنون مرکز افتا، بانک مرکزی یا شرکت خدمات انفورماتیک گزارشی منتشر نکردهاند که مسیر اولیه نفوذ، نوع بدافزار، حساب کاربری مورد سوء استفاده، آسیب پذیری فنی یا هویت مهاجم را به صورت قطعی مشخص کند. طباطبایی نیز گفته است تیمهای فنی تا نیمه تیر به جمع بندی قطعی و قابل اتکایی درباره علت حادثه نرسیدهاند و تنها نکته مسلم، گستردگی و پیچیدگی بالای رخداد است. بنابراین انتساب حمله به اسرائیل یا آمریکا در حال حاضر یک تحلیل ژئوپولیتیک است، نه یافتهای که در یک گزارش رسمی جرم شناسی دیجیتال اثبات شده باشد.
در ۲۳ تا ۲۸ تیر، سازمان بازرسی کل کشور، بانک مرکزی، سازمان افتا، شرکت خدمات انفورماتیک و مدیران بانکهای درگیر جلساتی برای بررسی آثار حادثه برگزار کردند. اصغر جهانگیر، سخنگوی قوه قضاییه، اعلام کرد سازمان بازرسی، دادستانی کل کشور و دادستانی تهران موضوع را بررسی میکنند و «در صورت احراز هرگونه قصور یا تقصیر» با مسئولان یا عوامل مربوط برخورد خواهد شد. ورود نهاد قضایی، مسئله حمله سایبری را از محدوده امنیت فنی به حوزه مسئولیت حقوقی، جبران خسارت مشتریان و پاسخگویی مدیران منتقل کرده است.
چرا یک حمله میتواند چند بانک بزرگ را همزمان گرفتار کند؟
پرسش «چرا بانکهای ایرانی به آسانی هک میشوند؟» از نظر رسانهای جذاب است، اما از نظر فنی همه واقعیت را بیان نمیکند. گستردگی اختلال الزاما به معنای آسان بودن نفوذ نیست. ممکن است مهاجم از ابزارهای پیشرفته، دسترسی طولانی مدت و آسیب پذیری ناشناخته استفاده کرده باشد، یا ممکن است کنترلهای پایه، تفکیک شبکه و مدیریت دسترسی به درستی اجرا نشده باشند. تا زمانی که گزارش فنی مستقلی منتشر نشود، داوری قطعی میان این سناریوها ممکن نیست. آنچه با اطمینان بیشتری میتوان گفت، ضعف محسوس در تاب آوری عملیاتی و وجود نقاط تمرکز در زیرساخت بانکی است.
چهار بانک ملی، تجارت، صادرات و توسعه صادرات به بخشی از زیرساختهای ارتباطی و پردازشی مشترک وابسته بودند. سه بانک بزرگ ملی، صادرات و تجارت نیز برای قسمتهایی از خدمات خود از امکانات شرکت خدمات انفورماتیک استفاده میکردند. وقتی چند مؤسسه مالی بزرگ به یک ارائه دهنده، مرکز پردازش، شبکه ارتباطی یا معماری مشترک وابسته باشند، حمله به یک نقطه میتواند دامنه بحران را از یک بانک به بخش بزرگی از شبکه مالی گسترش دهد.
در ادبیات نظارت بانکی، این وضعیت با عنوان ریسک تمرکز فناوری و ریسک طرف ثالث شناخته میشود. تمرکز به خودی خود همیشه نامطلوب نیست. استفاده مشترک از زیرساخت میتواند هزینهها را کاهش دهد، استانداردسازی ایجاد کند و صرفه مقیاس به همراه داشته باشد. مشکل زمانی آغاز میشود که ارائه دهنده مشترک، به نقطه شکست کل شبکه تبدیل شود و بانکها مسیر جایگزین مستقل، آزموده شده و آماده بهره برداری نداشته باشند.
میثم ظهوریان، عضو کمیسیون اقتصادی مجلس، گفته است حمله به «زیرساخت و هسته خدماتی مشترک» چهار بانک صورت گرفته است. او وابستگی بخشی از زیرساخت بانکی به مین فریمهای شرکت آی بی ام را دارای ریسک قابل توجه توصیف کرده و گفته است تغییر سخت افزار نیز بلافاصله همه مشکلات را رفع نکرد. این سخنان نشان میدهد مسئله فقط فرسودگی یک دستگاه نیست، بلکه مجموعهای از وابستگیهای سخت افزاری، نرم افزاری، دادهای و عملیاتی است که جابه جایی آن در زمان بحران به سادگی انجام نمیشود.
مین فریمهای قدیمی، تحریم و هزینه انزوای فناورانه
سامانه کربنکینگ، هسته عملیاتی بانک است. مانده حسابها، واریز، برداشت، انتقال وجه، سود، تسهیلات، چک و ثبتهای مالی باید به صورت پیوسته و سازگار در این سامانه پردازش شوند. برخلاف یک وب سایت معمولی، خاموش کردن، جابه جایی یا به روزرسانی این سامانه با چند ساعت توقف امکان پذیر نیست. هر تغییر باید با کنترل دقیق صحت دادهها، ترتیب تراکنشها، مانده حسابها و دفتر کل همراه باشد. یک خطای کوچک میتواند اختلاف حساب گسترده، ثبت تراکنش تکراری یا گم شدن ارتباط میان حساب و سند مالی را به دنبال داشته باشد.
طباطبایی، مدیرعامل شرکت خدمات انفورماتیک، گفته است بخش مهمی از بانکها از مین فریمهای آی بی ام استفاده میکنند و به دلیل شرایط تحریمی، امکان دریافت مستقیم پشتیبانی از شرکت سازنده وجود ندارد. به گفته او، بازیابی و انتقال حجم بالای اطلاعات زمان بر بوده، در حالی که زیرساخت کارت روی این مین فریم قرار نداشته و به همین دلیل سریعتر به مدار بازگشته است. این توضیح به خوبی تفاوت میان خدمات کارت محور و خدمات حساب محور را روشن میکند. ممکن است مشتری بتواند با کارت خرید کند، اما همچنان در انتقال وجه حسابی، چک، مشاهده برخی سوابق یا خدمات شعب با مشکل روبهرو باشد.
تحریم لزوما مسیر مستقیم ورود مهاجم را توضیح نمیدهد. هیچ مدرک عمومی وجود ندارد که نشان دهد حمله از یک قطعه دست دوم یا وصله دریافت نشده آغاز شده است. با این حال، تحریم هزینه مدیریت ریسک را افزایش میدهد. خرید تجهیزات از واسطه، نبود قرارداد رسمی پشتیبانی، دشواری دریافت وصله امنیتی، نبود دسترسی مستقیم به مستندات و محدودیت در اعزام متخصص سازنده، زمان بازیابی را افزایش میدهد و کیفیت نگهداری را کاهش میدهد.
انزوای فناورانه فقط به خرید سخت افزار محدود نیست. شرکتهای ایرانی حضور محدودی در بازارهای جهانی دارند، در پروژههای بزرگ بین المللی مشارکت نمیکنند و ارتباط مستمر آنها با اکوسیستمهای پیشرو امنیت سایبری ضعیف است. در چنین فضایی، انتقال تجربه، دریافت هشدارهای فنی، مشارکت در شبکههای پاسخ به رخداد و مقایسه عملکرد با استانداردهای جهانی دشوارتر میشود. بومی سازی در صورتی میتواند امنیت ایجاد کند که با رقابت، حسابرسی مستقل، انتشار گزارش فنی، آزمون نفوذ مستمر و مسئولیت پذیری مدیریتی همراه باشد. محصولی که صرفا به دلیل داخلی بودن از ارزیابی مستقل مصون بماند، لزوما امنتر نیست.
ساختار مالکیتی شبکه بانکی نیز بر انگیزه سرمایه گذاری اثر میگذارد. بخش بزرگی از بانکها دولتی، عمومی یا خصولتی هستند و رقابت واقعی میان آنها محدود است. در بازار رقابتی، اختلال طولانی میتواند موجب خروج مشتری و کاهش سهم بازار شود، اما در ساختاری که مشتریان سازمانی، حسابهای حقوق و روابط دولتی به سادگی قابل جابه جایی نیستند، فشار اقتصادی برای نوسازی زیرساخت کمتر میشود. هزینه فرسودگی ممکن است سالها در حسابها دیده نشود و تنها هنگام وقوع بحران آشکار شود.
این مسئله را نباید به ضعف نیروی انسانی تقلیل داد. بانکها و شرکتهای فناوری ایران متخصصان توانمندی در اختیار دارند، اما سرمایه انسانی بدون دسترسی به ابزار مناسب، بودجه پایدار، اختیار مدیریتی، همکاری بین المللی و امکان خرید رسمی تجهیزات نمیتواند به تنهایی در برابر عملیات پیچیده دولتی مقاومت کند. از سوی دیگر، وجود دشمن قدرتمند نیز نمیتواند بهانهای برای نادیده گرفتن کنترلهای پایه، آزمون بازیابی و پاسخگویی مدیران باشد.
فاصله میان امنیت اطلاعات و تاب آوری عملیاتی
مدیرعامل شرکت ارتباطات زیرساخت اعلام کرده است روزانه به طور متوسط حدود ۳۵۰ هزار رخداد امنیتی با منشأ شبکه داخلی و حدود ۲۵۰ هزار رخداد با منشأ اینترنت بین الملل ثبت میشود. این ارقام بزرگی میدان تهدید را نشان میدهد، اما رخداد امنیتی معادل حمله موفق نیست. اسکن خودکار، تلاش ناموفق برای ورود، رفتار مشکوک، آلودگی محدود و هشدار سامانه دفاعی، همگی ممکن است در آمار رخداد ثبت شوند.
همچنین منشأ شبکه داخلی به معنای ایرانی بودن مهاجم نیست. مهاجم خارجی میتواند ابتدا یک رایانه، حساب کاربری یا پیمانکار داخلی را آلوده کند و سپس از آن به عنوان نقطه پرش استفاده کند. مدیرعامل شرکت ارتباطات زیرساخت گفته است کربنکینگ بانکهای درگیر مستقیما به اینترنت عمومی متصل نبوده و بسیاری از سامانهها دسترسی داخلی داشتهاند. این موضوع، احتمال نفوذ از مسیر زنجیره تأمین، دسترسی پیمانکار، حساب ممتاز، سامانه آلوده داخلی یا ارتباط میان شبکهها را منتفی نمیکند.
بانک مرکزی اروپا در یک آزمون گسترده، توان پاسخ و بازیابی ۱۰۹ بانک را در برابر حمله سایبری شدید بررسی کرد و ۲۸ بانک را تحت ارزیابی عمیقتر قرار داد. تمرکز این آزمون فقط بر وجود دیوار آتش یا آنتی ویروس نبود. پرسش اصلی این بود که بانک پس از موفقیت مهاجم، چگونه خدمات حیاتی را حفظ میکند، با مشتریان ارتباط میگیرد، نسخه پشتیبان را بازیابی میکند و از سرایت بحران جلوگیری میکند. نتیجه ارزیابی نشان داد حتی بانکهایی که چهارچوب امنیتی دارند، ممکن است در تداوم کسب و کار، ارتباطات بحران و بازیابی عملیاتی ضعف داشته باشند.
بانک تسویههای بین المللی نیز تأکید کرده است آزمون تنش سایبری نباید به یک ارزیابی ساده قبول یا رد تبدیل شود. هدف آزمون باید شناسایی وابستگیها، نقاط شکست، سرعت بازیابی و مسیر سرایت اختلال میان مؤسسات باشد. کمیته بال نیز بانکها را ملزم میداند فهرست دقیقی از ارائه دهندگان فناوری، پیمانکاران فرعی، وابستگیهای دادهای و نقاط تمرکز داشته باشند.
هیئت ثبات مالی، اختلال در ارائه دهندگان مشترک فناوری را یک ریسک سیستمی میداند. توصیههای این نهاد شامل الزام شرکتهای خدماتی به گزارش فوری حادثه، حق حسابرسی بانک، آزمون دورهای بازیابی، شناسایی زنجیره پیمانکاران و بررسی نقاط تمرکز در سطح کل نظام مالی است. بانک جهانی نیز تفکیک شبکه، احراز هویت چندمرحلهای، پایش لحظهای، مدیریت دسترسیهای ممتاز، نسخه پشتیبان امن و هماهنگی بانک مرکزی با بانکها و شرکتهای پرداخت را از عناصر اصلی تاب آوری معرفی کرده است.
نبود گزارش فنی عمومی پس از حمله بانک سپه، خود به یک ریسک نهادی تبدیل شد. نامداری معتقد است اگر جزئیات فنی حمله قبلی به صورت شفاف منتشر میشد، امکان داشت بخشی از اقدامات پیشگیرانه برای حملات بعدی انجام شود. انتشار گزارش پس از حادثه به معنای افشای اسرار امنیتی نیست. میتوان بدون معرفی جزئیات قابل سوء استفاده، نوع ضعف، دامنه خسارت، زمان بازیابی، کنترلهای شکست خورده و اصلاحات الزامی را منتشر کرد. محرمانه نگه داشتن همه اطلاعات، ممکن است از اعتبار یک سازمان در کوتاه مدت محافظت کند، اما یادگیری جمعی شبکه بانکی را کاهش میدهد.
صورت حساب اقتصادی حمله سایبری؛ از سرمایه در گردش تا اعتماد عمومی
بانک در اقتصاد امروز فقط محل نگهداری سپرده نیست. بخش بزرگی از مبادلات، تسویهها، خریدهای روزمره، پرداخت حقوق، مالیات، بیمه، قبوض، چک و تأمین مالی کوتاه مدت از طریق سامانههای بانکی انجام میشود. به همین دلیل اختلال در یک بانک بزرگ میتواند بدون سرقت حتی یک ریال، هزینه اقتصادی قابل توجهی ایجاد کند. مشتری ممکن است موجودی کافی داشته باشد، اما نتواند در زمان مقرر به آن دسترسی پیدا کند. از نگاه اقتصادی، پولی که قابل استفاده نیست، برای مدتی کارکرد نقدشوندگی خود را از دست میدهد.
گزارش سالانه شاپرک نشان میدهد شبکه پرداخت الکترونیکی کشور در دوره مالی اخیر حدود ۵۳ میلیارد و ۱۰۲ میلیون تراکنش به ارزش اسمی ۲۲ هزار و ۷۲۲ و نیم همت پردازش کرده است. تعداد تراکنشها حدود ۳ و ۳۲ صدم درصد و ارزش اسمی آنها نزدیک به ۴۸ و ۳ دهم درصد افزایش داشته است. بیش از ۹۱ درصد تعداد تراکنشها از طریق کارت خوانهای فروشگاهی انجام شده و حدود ۹۰ و ۵۵ صدم درصد تعداد و ۹۸ و ۷۶ صدم درصد ارزش تراکنشها به خرید کالا و خدمات اختصاص داشته است.
میانگین ساده این ارقام برابر با حدود ۱۴۵ میلیون و ۵۰۰ هزار تراکنش و ۶۲ و ۳ دهم همت گردش مالی در هر روز تقویمی است. این محاسبه برآورد خسارت حمله نیست، اما ابعاد شریانی را نشان میدهد که اقتصاد روزانه به آن وابسته است. در خرداد نیز شبکه شاپرک حدود ۴ میلیارد و ۶۸۸ میلیون تراکنش به ارزش تقریبی ۳ هزار و ۳۶۷ همت پردازش کرده است، یعنی به طور متوسط نزدیک به ۱۵۱ میلیون تراکنش در روز.
- بانک ملی حدود ۲۰ و ۳ صدم درصد از تعداد و ۱۸ و ۹۱ صدم درصد از ارزش تراکنشهای صادرکنندگی را در اختیار داشته است.
- بانک صادرات حدود ۹ و ۸۱ صدم درصد از تعداد و ۹ و ۳۲ صدم درصد از ارزش تراکنشهای صادرکنندگی را به خود اختصاص داده است.
- سهم مشترک بانک ملی و صادرات از تعداد تراکنشهای صادرکنندگی به حدود ۲۹ و ۸۴ صدم درصد میرسد.
- بانک ملی اعلام کرده است بیش از ۱۹ میلیارد و ۷۳ میلیون تراکنش شتابی را در یک دوره سالانه میزبانی کرده که نسبت به دوره قبل سه درصد افزایش داشته است.
اعمال مکانیکی سهم بانک ملی و صادرات بر میانگین روزانه شبکه، دامنهای در حدود ۴۳ میلیون تراکنش در روز را نشان میدهد. این عدد شامل بانک تجارت نیست و به معنای ناموفق بودن همه تراکنشها یا ایجاد خسارت قطعی در این ابعاد نیز محسوب نمیشود. بخشی از تراکنشها ممکن است از مسیرهای جایگزین پردازش شده باشند. ارزش این محاسبه در نمایش بزرگی حوزه مواجهه است، نه تعیین مبلغ زیان.
وقتی اختلال بانکی به کمبود نقدینگی بنگاه تبدیل میشود
برای خانوار، اختلال بانکی ممکن است با ناتوانی در خرید، پرداخت قسط یا انتقال وجه آغاز شود. برای بنگاه، مسئله پیچیدهتر است. یک شرکت باید حقوق بپردازد، از مشتری پول دریافت کند، مواد اولیه بخرد، مالیات و بیمه پرداخت کند، چکهای سررسید شده را پوشش دهد و با فروشندگان تسویه کند. اگر حساب عملیاتی اصلی شرکت در بانک آسیب دیده باشد، اختلال فناوری به کمبود نقدینگی عملیاتی تبدیل میشود، حتی زمانی که شرکت از نظر حسابداری منابع کافی دارد.
بنگاههای کوچک بیش از شرکتهای بزرگ آسیب میبینند، زیرا معمولا حسابهای عملیاتی محدودتری دارند، ذخیره نقدی آنها کمتر است و قدرت چانه زنی پایینتری در برابر فروشنده، بانک و نهادهای مالیاتی دارند. شرکت بزرگ میتواند پرداخت را به بانک دیگری منتقل کند یا از خط اعتباری استفاده کند، اما یک فروشگاه یا کارگاه کوچک ممکن است برای پرداخت چند روزه حقوق نیز به ورودی روزانه حساب وابسته باشد.
اختلال طولانی هزینه مبادله را افزایش میدهد. مراجعه حضوری به شعبه، افتتاح حساب جایگزین، اصلاح شماره حساب قراردادها، دریافت و پرداخت نقدی، تجدید چک، پیگیری تراکنش معلق و هماهنگی دوباره با مشتری و فروشنده، همگی زمان و پول مصرف میکنند. این هزینهها در حساب مالی بانک به عنوان خسارت حمله ثبت نمیشوند، اما در سطح اقتصاد پراکنده میشوند و بهره وری را کاهش میدهند.
گزارشهای مشتریان از جریمه دیرکرد، برگشت چک، تأخیر در پرداخت اقساط، بلوکه شدن وجه و حتی لغو برخی معاملات مسکن و خودرو حکایت داشته است. تا زمان انتشار اطلاعات موجود، آمار رسمی و تجمیعی درباره تعداد تراکنشهای ناموفق، مبلغ وجوه معلق، ارزش چکهای برگشتی و زیان واردشده به بنگاهها منتشر نشده است. نبود این اطلاعات، اندازه گیری هزینه واقعی حادثه را دشوار میکند.
اصغر جهانگیر، سخنگوی قوه قضاییه، از بررسی قصور یا تقصیر احتمالی سخن گفته، اما سازوکار عمومی و شفافی برای ثبت و جبران خسارت مشتریان اعلام نشده است. اگر مشتری به دلیل اختلال بانکی مشمول جریمه دیرکرد یا سابقه منفی چک شود، پرسش حقوقی این است که مسئولیت بر عهده بانک، شرکت فناوری، نهاد ناظر یا عامل حمله خواهد بود. بدون دستورالعمل روشن، هزینه میان مشتری، بانک و طرف قرارداد دست به دست میشود.
کاهش اعتماد نیز هزینهای کم دیده شده است. حتی اگر سپردهها محفوظ بمانند، مشتری که برای چند روز یا چند هفته به پول خود دسترسی پایدار ندارد، ممکن است حسابهایش را میان چند بانک توزیع کند، پول نقد بیشتری نگه دارد یا از ابزارهای غیررسمی استفاده کند. این رفتار برای هر فرد منطقی به نظر میرسد، اما در سطح کلان هزینه نگهداری نقدینگی را بالا میبرد و کارایی نظام پرداخت را کاهش میدهد.
صندوق بین المللی پول گزارش داده است تعداد حملات سایبری در مقایسه با دوره پیش از همه گیری بیش از دو برابر شده و نزدیک به یک پنجم حملات گزارش شده، بخش مالی را تحت تأثیر قرار دادهاند. بانکها در میان مؤسسات مالی بیشترین مواجهه را دارند و زیان هر رخداد بسیار شدید از سالهای اخیر بیش از چهار برابر شده و به حدود ۲ و نیم میلیارد دلار رسیده است. این نهاد تأکید میکند خسارتهای غیرمستقیم، از جمله کاهش اعتبار، هزینه بازیابی، ارتقای امنیت و خروج مشتری، ممکن است بسیار بیشتر از زیان مستقیم باشند.
هزینههای پنهان برای دولت، بانکها و ثبات مالی
پژوهش تازه صندوق بین المللی پول با بررسی ۱۴ هزار و ۵۵ رخداد سایبری در ۱۶۲ کشور و ۲۰ بخش اقتصادی نشان داده است که ۱۲۴۶ رخداد، معادل حدود ۹ درصد کل، مربوط به بخش مالی بودهاند. سهم بخش مالی از کل رخدادها از حدود ۶ درصد به ۱۳ درصد افزایش یافته و واسطه گری اعتباری و بانکداری نزدیک به ۴۶ درصد رخدادهای مالی را تشکیل دادهاند. در این بررسی، ۵۴ درصد رخدادها ماهیت بهره بردارانه و ۴۶ درصد ماهیت اخلال گرانه داشتهاند. شمار رخدادهای مالی طی یک دهه حدود ده برابر و تقلب سایبری نزدیک به سه برابر شده است.
صندوق بین المللی پول همچنین اعلام کرده است تنها حدود نیمی از کشورهای بررسی شده، راهبرد ملی ویژه امنیت سایبری بخش مالی یا مقررات اختصاصی در این حوزه داشتهاند. این خلأ نظارتی زمانی خطرناکتر میشود که چند بانک به یک ارائه دهنده مشترک وابسته باشند. حمله به یک بانک ممکن است مشکل همان مؤسسه باقی بماند، اما حمله به یک شرکت خدماتی مشترک میتواند همزمان چند بانک، شبکه پرداخت و میلیونها مشتری را تحت تأثیر قرار دهد.
برای بانکهای دولتی و خصولتی، هزینه بازیابی ممکن است در قالب خرید اضطراری تجهیزات، مهاجرت سامانه، اضافه کاری نیروها، ایجاد مراکز داده جدید و جبران بخشی از زیان مشتریان ظاهر شود. اگر منابع داخلی بانک کافی نباشد، بخشی از هزینه به صورت مستقیم یا غیرمستقیم به منابع عمومی، سرمایه بانک یا اعتبار بانک مرکزی منتقل میشود. در این حالت، حمله سایبری به هزینه شبه بودجهای تبدیل میشود، بدون آنکه ردیف مستقلی در بودجه عمومی داشته باشد.
تمرکز مالکیت دولتی میتواند مسئله پاسخگویی را پیچیدهتر کند. در بانک خصوصی، سهامدار و مشتری ممکن است مدیران را به دلیل ضعف امنیتی تحت فشار قرار دهند. در بانک دولتی، مسئولیت میان هیئت مدیره، وزارت اقتصاد، بانک مرکزی، شرکت خدماتی و نهاد امنیتی تقسیم میشود. هرچه تعداد نهادهای مسئول بیشتر باشد، احتمال مبهم شدن مسئولیت نیز افزایش مییابد. ورود سازمان بازرسی و قوه قضاییه نشان میدهد این ابهام به سطح نظارتی رسیده است.
مقایسه حملات بانکی با استاکس نت از نظر سیاسی قابل فهم است، اما از نظر فنی محدودیت دارد. استاکس نت برای دستکاری تجهیزات صنعتی و ایجاد آسیب فیزیکی طراحی شده بود. حمله بانکی، دسترسی به خدمات مالی، حسابها و جریان مبادلات را مختل کرده است. بدون اطلاع از بدافزار، مسیر نفوذ، هدف مهاجم و میزان خسارت، نمیتوان یکی را شدیدتر از دیگری دانست. وجه مشترک آنها بیشتر در دشواری انتساب، امکان حمایت دولتی و انتخاب زیرساخت حیاتی به عنوان هدف نهفته است.
ادعای نامداری درباره جنگ سایبری ایران و اسرائیل، به دلیل زمان بندی حملات، انتخاب اهداف و سابقه عملیاتهای منتسب به اسرائیل قابل بررسی است. همزمان، سخنان معاون اول رئیس جمهور درباره سهل انگاری داخلی را نیز نمیتوان کنار گذاشت. وجود مهاجم قدرتمند، ضعف مدیریتی را منتفی نمیکند و ضعف داخلی نیز لزوما به معنای نبود بازیگر دولتی خارجی نیست. هر دو عامل میتوانند همزمان وجود داشته باشند.
پرسشهای اصلی همچنان بی پاسخ ماندهاند: زمان دقیق آغاز نفوذ چه بوده است، مهاجم از چه مسیری وارد شده، چند تراکنش ناموفق یا معلق ثبت شده، ارزش ریالی اختلال چقدر بوده، آخرین نسخه سالم پشتیبان به چه زمانی تعلق داشته، هدف زمانی بازیابی چه بوده و آخرین آزمون واقعی بحران چه زمانی انجام شده است. همچنین روشن نیست بانکها چه میزان برای امنیت سایبری هزینه میکنند، آیا بیمه سایبری دارند و مشتریان از چه طریقی میتوانند خسارت مستقیم خود را ثبت کنند.
در اقتصاد دیجیتال، محفوظ ماندن داده فقط یکی از معیارهای امنیت است. معیار دیگر، امکان دسترسی به موقع و پایدار به همان داده است. بانکی که اطلاعات حساب مشتری را حفظ کرده اما برای مدتی طولانی قادر به ارائه انتقال وجه، چک، قسط، تسویه و خدمات حساب نیست، با بحران تاب آوری عملیاتی روبهرو شده است. این بحران ممکن است بدون سرقت پول، جریان پول را متوقف کند و هزینه آن را میان خانوارها، کسب و کارها، بانکها و منابع عمومی توزیع کند.
