بزرگترین نفوذهای تاریخ به صنعت به پرداخت در سال ۲۰۱۱ اتفاق افتاد

به گزارش پایگاه خبری بانکداری الکترونیک در عصر تکنولوژی، کلاهبرداران و هکرهای کامپیوتری به راحتی می‌توانند به اطلاعات شخصی دارندگان کارت مانند اطلاعات کارت اعتباری دست یابند. گزارش‌های متعددی از سراسر جهان در زمینه کلاهبرداری در فضای مجازی منتشر می‌شود و این امر به هیچ عنوان مختص کشورهای پیشرفته نیست بلکه در سطوح ساده‌تر و پایین‌تر در کشورهای کمتر توسعه‌یافته از نظر پرداخت الکترونیک نیز به کرات رخ داده است. کشور ایران نیز از این قبیل حملات بی‌نصیب نبوده و شاید پرسروصداترین مورد قابل اشاره، انتشار اطلاعات کارت بانکی سه میلیون مشتری در آغاز سال جاری باشد.

بنابر آمار ارایه‌شده توسط دیوان دادگستری ایالات متحده، تنها 23/7 درصد از افرادی که قربانی نوعی دزدی هویت بوده‌اند، خسارت مستقیم مالی ندیده‌اند. متوسط خسارت مالی این قربانیان 1640 دلار است که نیمی از آن‌ها حدود 200 دلار یا کمتر پول از دست‌ می‌دهند با این وجود، ضربه روانی دزدی هویت بسیار دردناک‌تر از سرقت پول است بنابراین هم مصرف‌کنندگان و هم قانون‌گذاران می‌بایست در زمینه محافظت و پشتیبانی از کارت‌های اعتباری و دیگر اطلاعات حساس شخصی کوشا باشند.

 بازی را امن کنید

با توجه به چالش‌های موجود در مقابل اقتصاد شکننده جهانی در سال جاری و روند افزایشی کلاهبرداری، اطلاع‌رسانی در مورد نفوذ هکرها یکی از مهمترین موضوعات سال 2012 است. این سال با نفوذهای گسترده برای کسب اطلاعات شخصی آغاز شد که موجب واکنش دولت آمریکا شده و کنگره این کشور را بر آن داشت تا با تصویب طرح  Data Act  SAFE ، قوانین مربوط به نفوذ را در 47 ایالت اجرا کند.

براساس این طرح، ثبت و اطلاع‌رسانی اطلاعات مشتریانی که اطلاعاتشان به‌خطر افتاده است، ظرف 48 ساعت بعد از نفوذ الزامی است مگر این‌که نفوذ رخ داده غیرعمدی بوده و تهدیدی جدی محسوب نشود. این قانون از شرکت‌ها و سایر نهادها می‌خواهد تا اطلاعات حساس دارندگان کارت را دسته‌بندی کرده، سیاست‌های مناسب امنیتی را اتخاذ و برای ممانعت از دسترسی غیرقانونی به اطلاعات از آن‌ها نگهداری کنند.

با وجود پیشرفت‌های حاصله در زمینه تدوین استانداردهای لازم جهت اطلاع‌رسانی، به ‌نظر می‌رسد که این قانون هنوز مبهم است برای مثال تفسیر نفوذ غیرعمدی خود دارای ابهام است. اگر اطلاعات در معرض خطر تنها محدود به آدرس ای‌میل‌ها باشد، خود می‌تواند بخشی از اطلاعات حساس باشد. هنگامی‌که کلاهبردار نمی‌تواند کارت اعتباری یا اطلاعات حساس‌تر شخصی را به طور مستقیم به‌دست آورد، بهترین راه بعدی، نفوذ در آدرس ای‌میل خواهد بود.

با استفاده از آدرس ای‌میل، کلاهبردار می‌تواند پروسه فیشینگ (که یک راهکار برای بدست آوردن اطلاعات حساس‌تر همانند نام ‌کاربری، رمز عبور و جزییات کارت اعتباری با تظاهر به نمایندگی از طرف نهادهای قابل اعتماد است)، را شروع کند. حال اگر ای‌میل در معرض خطر باشد، آیا موضوع در رده‌بندی نفوذهای غیرعمدی و فاقد تهدید محسوب می‌شود؟

سال پررونق کلاهبرداران

در سال 2011 صنعت پرداخت و اطلاعات شاهد شماری از بزرگترین نفوذهای تاریخ بود که به نمونه‌هایی از آن‌ها در زیر اشاره می‌شود:

– طی یک نفوذ به سرور شبکه بین‌المللی شرکت Sony از تاریخ 17 تا 19 آوریل 2011، بیش از 100 میلیون شماره کارت در معرض خطر قرار گرفتند. شرکت Sony در اثر این نفوذ، 23 روز شبکه خود را خاموش کرد که طبق برآوردها 100 میلیون دلار متضرر شد. Sony در تاریخ 19 آوریل متوجه این نفوذ شد اما تا تاریخ 26 آوریل اطلاعاتی پیرامون آن منتشر نکرد.

– نفوذ به شرکت Stores  Michael در تاریخ 2 می 2011 با اطلاع‌رسانی به شرکت در مورد کلاهبرداری احتمالی از کارت‌های نقدی در فروشگاه‌هایش در منطقه Chicago کشف شد. با در معرض خطر واقع شدن pad PINها، اطلاعات تعدادی از کارت‌ها بین 8 فوریه تا 6 می جعل شدند. پس از آن این شرکت هفت هزار و 200 pad PIN جدید در 964 فروشگاه خود در ایالات متحده نصب کرد.

– یک حمله بسیار پیچیده سایبری در اوایل 2011 در Solutions Security RSA، بخش امنیتی شرکت مشاوره و فناوری اطلاعات EMC و در رابطه با تکنولوژی SecureID این شرکت رخ داد. این تکنولوژی سازمان‌ها را قادر می‌سازد با اکتفا نکردن به رمز عبور، از سیستم احراز هویت دو فاکتوری برای محافظت از اطلاعات حساس و شبکه‌های خود استفاده کنند. در سیستم‌های دو فاکتوری، کسی که به شبکه دسترسی پیدا می‌کند علاوه بر ارایه رمز عبور یا PIN، ملزم به تایید هویت خود از طرق دیگر مانند سخت‌افزارهای کدگذار و کدگشای الکترونیکی یا نرم‌افزاری روی تلفن‌همراه هستند. اگرچه میزان گستردگی این نفوذ هنوز اعلام نشده است، پیامد آن می‌تواند بسیار بزرگ باشد. تکنولوژی SecureID بر روی حدود 40 میلیون سخت‌افزار و 250 میلیون اپلیکیشن روی دستگاه‌های موبایل فعال است. شرکت Lockheed Martin، تولیدکننده بزرگ تسلیحات در ایالات متحده، همانند صدها شرکت دیگر تحت‌ تاثیر نفوذ به RSA قرار گرفت. این شرکت به منظور مقابله با این نفوذ، 90هزار دستگاه مورد استفاده خود را به هزینه RSA جایگزین کرد و کارمندان خود را نیز ملزم کرد تمامی رمزهای عبور قبلی را تغییر دهند.

با پیشرفت روزانه تکنولوژی، شیوه‌های کلاهبرداری نیز پیچیده‌تر و سازمان‌یافته‌تر می‌شوند. بنابراین سازمان‌های فعال در زمینه اطلاعات می‌بایست بطور مداوم شیوه‌های دفاعی خود را به منظور جلوتر بودن از متقلبان، بروزرسانی و تقویت کنند. همگان باید بدانند که تقلب هنوز یک پروسه دو مرحله‌ای است. قدم اول و مهم‌تر دزدیدن اطلاعات است و استفاده از اطلاعات در مرحله دوم اتفاق می‌افتد.

بدیهی است وقتی با وجود سطح بسیار بالای امنیت در شرکت‌های فوق و پیاده‌سازی استانداردهای بین‌المللی و PSS PCI در آنها، این اتفاقات روی می‌دهد، شرایط در کشور ما که هیچ یک از استانداردها پیاده‌سازی نشده و هر سازمان بدون هیچگونه نظارت، تفسیر خاص خود را از استانداردهای امنیتی پیاده‌ می‌کند؛ می‌تواند بغرنج‌تر باشد.

پنج شیوه اصلی تقلب در سال 2012

1. حمله تروژان‌ها

تروژان یا malware که مخفف کلمه نرم‌افزار مخرب (Malicious Software) است، برای آسیب رساندن یا نفوذ به کامپیوتر بدون اطلاع کاربر طراحی شده است. در سال 2009، وقوع این نوع حمله 10 برابر بیشتر از سال 2008 بوده است. امروزه بیشتر تروژان‌ها برای اهداف مالی طراحی می‌شوند. تروژان در حالی‌که اطلاعات حساس از جمله اطلاعات حساب بانکی قربانی، رمز عبور و جزییات کارت را جمع‌آوری کرده و انتقال می‌دهد، به راحتی قابل تشخیص نیست.

هکرها و متقلبان هر روزه تروژان‌های جدید خلق می‌کنند و قبل از اینکه شناسایی و محدود شوند، از نقاط ضعف سیستم‌ها بهره‌برداری می‌کنند. از آنجا که این حملات معمولا زمانی رخ می‌دهد که آنتی‌ویروس قدیمی باشد، بروز نگه‌ داشتن این پایگاه داده‌ای از اهمیت و کارآیی بالایی جهت محافظت در برابر تروژان‌ها برخوردار است.

2. شیوه‌های پیشرفته فیشینگ، کلاهبرداری تلفنی، کلاهبرداری پیامکی² و whaling

کلاهبرداران وانمود می‌کنند که نهادهای قابل اعتمادی مانند بانک‌ها یا شرکت‌های کارت اعتباری هستند و با ارسال ای‌میل و پیام‌های فوری، کاربران را به فرستادن اطلاعات حساس و تایید اینکه آن‌ها صاحبان آن حساب هستند ترغیب می‌کنند.

امروزه کلاهبرداران پیام‌های متنی نیز ارسال می‌کنند (کلاهبرداری پیامکی). کلاهبرداران تلفنی، طی یک ای‌میل‌ از دریافت‌کنندگان تقاضای تماس تلفنی با شماره‌های ساختگی را کرده و در آنجا از ایشان اطلاعات کارت اعتباری اخذ می‌شود. whaling شیوه دیگری است که افراد ثروتمند را در شبکه‌های مجازی‌ اجتماعی مانند LinkedIn هدف قرار می‌دهد. متقلبان نمایه‌ها را برای یافتن افرادی همچون معاونان، مدیران اجرایی و مدیران مالی جهت نفوذ و کسب اطلاعات حساس شخصی جستجو می‌کنند.

3. دستکاری دستگاه‌های خودپرداز

در این نوع کلاهبرداری، با نصب دستگاه‌های مخصوص روی شکاف خودپرداز که محل کشیدن کارت است، اطلاعات دارنده کارت از طریق نوار مغناطیسی دزدیده می‌شود. این دستگاه‌ها چنان کوچکند که سازمان‌های امنیتی به سختی قادر به یافتنشان هستند. این شیوه کلاهبرداری از اوایل دهه 1990 شایع شد.

4. تزریق به پایگاه‌ داده‌ یک برنامه (SQL injection)

در این نوع حمله، هکرها کدهای مخرب را به شکل فضای ثبت اطلاعات ورود به شبکه یا مرورگر آدرس‌ها، در سرور شرکت‌ها و سازمان‌ها تزریق می‌کنند تا به پایگاه‌ داده‌های آن‌ها دسترسی یابند و در آن دستکاری کنند. این حملات می‌تواند دستیابی کلاهبرداران به اطلاعات پنهانی مانند جزییات کارت اعتباری و شماره‌های رمز (PIN) را میسر کند و به‌خاطر انطباق‌پذیر بودن با محیط‌ها و شبکه‌های مختلف، به یک روش معمول حمله کلاهبردارانه تبدیل شده است.

5. جعل کارت در کشورهای فاقد استاندارد EMV

بسیاری کشورها به استثنای ایالات متحده، خود را با استاندارد کارت EMV مطابقت داده‌اند. امنیت بالاتر EMV منجر به کاهش چشمگیر میزان کلاهبرداری در صنعت پرداخت کشورهای اروپایی و بریتانیا در سال‌های اخیر شده است. این شیوه امنیت پرداخت در ایالات متحده نیز در حال ‌ظهور است. با این‌حال، این گذار به دلیل نیاز به تغییرات سخت‌افزاری در زیرساخت‌های کاری پذیرندگانی که خواهان به‌کارگیری آن هستند، آهسته خواهد بود بنابراین تا زمانی‌که کشورهای فاقد این تکنولوژی به آن گذار نکرده‌اند، شاهد حملات کلاهبرداران به پایگاه ‌داده‌های کارت‌ها و تکثیر کارت‌های اعتباری جعلی خواهیم بود.

موارد فوق از جمله روش‌های پیشرفته کلاهبرداری برای صنایع پیشرفته پرداخت الکترونیک است درحالیکه در بسیاری کشورها، به دلیل سطح بسیار پایین امنیت و اجرانشدن استانداردهای لازم، کلاهبرداران بدون نیاز به نبوغ فوق‌العاده و صرفا با ساده‌ترین ابزارها می‌توانند دست به سرقت اطلاعات زده و منشا بی‌اعتمادی شدید مشتریان به پرداخت الکترونیک شوند.

تهیه و تنظیم از محدثه وحیدی‌مهر کارشناس گروه مطالعات راهبردی ایران‌کیش

منبع:تارنمای ایران کیش

منبع انگلیسی:

Cucci, Nicholas. "Fraud trends 2012: Like 2011, only more so". The Green Sheet. December 2011 Web