چرا بانک‌های ایران هدف اصلی حمله ی سایبری شده­ اند، نقش هاردنینگ چیست؟

در فاصله‌ی کمتر از یک سال، شبکه‌ی بانکی ایران دو بار با اختلال گسترده‌ای دست‌وپنجه نرم کرد که ریشه در حمله‌ی سایبری داشت. نخستین‌بار در خرداد ۱۴۰۴، بانک‌های سپه و پاسارگاد هدف قرار گرفتند و بار دوم، در خرداد و تیر ۱۴۰۵، این‌بار بانک‌های ملی، صادرات، تجارت و توسعه صادرات با یکی از گسترده‌ترین اختلالات تاریخ شبکه‌ی بانکی کشور مواجه شدند؛ اتفاقی که شعب، خودپردازها، اینترنت‌بانک و همراه‌بانک را برای ساعت‌ها و در برخی موارد روزها از دسترس خارج کرد. این تکرار الگو یک سؤال جدی را پیش کشیده: چرا زیرساخت بانکی ایران به‌طور خاص و مکرر هدف حمله قرار می‌گیرد؟

زیرساخت مشترک، آسیب‌پذیری مشترک

یکی از نکات فنی مهمی که در تحلیل حادثه‌ی اخیر مطرح شده، نقش شرکت های خدمات انفورماتیک به‌عنوان متولی زیرساخت نرم‌افزاری چند بانک بزرگ کشور همزمان است. وقتی چند بانک بزرگ روی یک بستر مشترک فنی تکیه می‌کنند، یک نفوذ موفق در آن بستر می‌تواند به‌جای آسیب به یک نهاد، همزمان چند بانک را از کار بیندازد. این معماری متمرکز، اگرچه از نظر هزینه و مدیریت برای بانک‌ها صرفه‌جویی ایجاد می‌کند، اما از منظر امنیتی یک نقطه‌ی شکست واحدSingle Point of Failure با دامنه‌ی تأثیر بسیار گسترده به وجود می‌آورد.

وقتی سیاست‌های امنیتی خودشان به مسیر نفوذ تبدیل می‌شوند

نکته‌ی قابل‌تأملی که در بررسی‌های فنی این حادثه مطرح شده، این است که بخشی از آسیب‌پذیری شبکه‌ی بانکی نه از ضعف مستقیم مهاجمان، بلکه از سیاست‌هایی نشأت گرفته که قرار بود امنیت را افزایش دهند اما در عمل مسیر نفوذ را هموارتر کردند. کارشناسان حوزه‌ی امنیت شبکه به این نکته اشاره کرده‌اند که محدودیت‌های اینترنتی و فیلترینگ می‌تواند به‌طور غیرمستقیم فرصت به‌روزرسانی به‌موقع سامانه‌ها را از بین ببرد و همین موضوع یکی از عوامل افزایش سطح آسیب‌پذیری باشد؛ هرچند تأکید شده که صرف اتصال یا قطع اتصال به اینترنت، به‌تنهایی توضیح فنی کافی برای وقوع چنین حوادثی نیست. این تحلیل، دقیقاً همان الگویی است که در بخش‌های قبلی این سلسله‌مقالات به آن اشاره کردیم: تصمیمات امنیتی کلان، اگر بدون در نظر گرفتن پیامدهای جانبی روی چرخه‌ی نگهداری و پچ‌گذاری سیستم‌ها اتخاذ شوند، می‌توانند نتیجه‌ای معکوس داشته باشند.

نفوذ یا نشت؟ تفاوتی که در ارزیابی ریسک اهمیت دارد

یکی از نکات آموزنده‌ی این حادثه، تمایزی است که میان «هک» و «نشت اطلاعات» مطرح شد. در حالی که بانک سپه ابتدا هرگونه نفوذ به سامانه‌های خود را رد کرد و اعلام کرد سامانه‌هایش به اینترنت متصل نیستند، مسئولان مرکز ملی فضای مجازی بعداً نشت داده از این بانک را تأیید کردند؛ اما با این توضیح که این اتفاق نه از طریق نفوذ خارجی، بلکه احتمالاً از مسیرهایی مانند افشای داخلی یا خطای انسانی رخ داده است. این تمایز از نظر فنی اهمیت زیادی دارد: نفوذ به معنای شکسته‌شدن دیوار دفاعی شبکه است، در حالی که نشت داده می‌تواند حتی در نبود هرگونه ارتباط مستقیم به اینترنت هم رخ دهد؛ چیزی که نشان می‌دهد امنیت انسانی و کنترل دسترسی داخلی، به همان اندازه‌ی امنیت شبکه اهمیت دارد.

بیشتر بخوانید: مفهوم Hardening یا هاردنینگ چیست؟ بررسی مزایا و بهترین راهکارها برای هاردنینگ

چرا بانک‌ها هدف جذابی هستند؟

چند عامل ساختاری و ژئوپلیتیکی باعث می‌شود شبکه‌ی بانکی نسبت به بسیاری از بخش‌های دیگر زیرساخت کشور، هدف جذاب‌تری برای مهاجمان باشد:

• اثرگذاری فوری و ملموس بر زندگی روزمره. اختلال در دسترسی به کارت بانکی یا خودپرداز، برخلاف بسیاری از حملات فنی دیگر، بلافاصله و به‌طور مستقیم روی زندگی میلیون‌ها شهروند اثر می‌گذارد و بازتاب رسانه‌ای و اجتماعی گسترده‌ای ایجاد می‌کند.
• ارزش نمادین و روانی. حمله به نماد اقتصادی یک کشور، فارغ از میزان خسارت مالی واقعی، پیامی سیاسی و روانی قدرتمند حمل می‌کند؛ به همین دلیل برخی گزارش‌های رسانه‌ای بین‌المللی، از جمله گزارشی که به نقل از منابع امنیتی مطرح شد، این نوع حملات را بیشتر در راستای ایجاد فشار و اخلال در روندهای سیاسی و دیپلماتیک ارزیابی کرده‌اند تا صرفاً غارت مالی.
• پیچیدگی زنجیره‌ی تأمین فناوری. وابستگی بانک‌ها به شرکت‌های واسط برای زیرساخت نرم‌افزاری، هرچند از نظر عملیاتی ضروری است، اما دامنه‌ی حمله را از یک بانک به چند بانک همزمان گسترش می‌دهد.

خلأ پاسخ‌گویی: مسئله‌ای فراتر از فناوری

فارغ از جنبه‌های فنی، یکی از انتقادهای مکرر کارشناسان امنیت سایبری به الگوی تکرارشونده‌ی این حوادث، نبود شفافیت در اطلاع‌رسانی است. معمولاً پس از هر حادثه، مشکل بدون توضیح روشن درباره‌ی علت دقیق، میزان خسارت واقعی، و نقاط آسیب‌پذیر شناسایی‌شده برطرف می‌شود، بدون آنکه سازوکار الزام‌آوری برای پاسخ‌گویی نهادهای متولی وجود داشته باشد. این خلأ، ریسک تکرار حوادث مشابه را در بلندمدت افزایش می‌دهد؛ چون بدون گزارش شفاف و درس‌گیری مستند، هر بانک باید احتمالاً همان اشتباهات را از نو تجربه کند.

چه باید کرد؟

با توجه به این الگو، چند راهکار برای کاهش ریسک حملات آینده به شبکه‌ی بانکی قابل طرح است:

• تنوع‌بخشی به زیرساخت فنی به‌جای تکیه‌ی کامل چند بانک بزرگ بر یک ارائه‌دهنده‌ی خدمات مشترک، تا دامنه‌ی تأثیر یک نفوذ احتمالی محدودتر بماند.
• جداسازی و رمزنگاری داده‌های حساس کاربران، مستقل از اتصال یا عدم اتصال سامانه‌ها به اینترنت عمومی، برای کاهش ریسک نشت داخلی.
• تدوین پروتکل شفاف اطلاع‌رسانی پس از حادثه، شامل انتشار گزارش فنی علت‌یابی برای نهادهای نظارتی، حتی اگر جزئیات کامل آن برای عموم منتشر نشود.
• آموزش مستمر نیروی انسانی به‌عنوان لایه‌ی دفاعی مکمل، با توجه به اینکه بخشی از حوادث اخیر به خطای انسانی یا افشای داخلی مرتبط بوده، نه صرفاً نفوذ فنی پیشرفته.

هاردنینگ یا مقاوم سازی زیرساخت­های بانکی به عنوان راهکاری پیشرفته

راهکارهای کلانی مثل «تنوع‌بخشی به زیرساخت» یا «آموزش نیروی انسانی» بدون یک لایه‌ی فنی مشخص برای سخت‌سازی سامانه‌ها ناقص باقی می‌مانند. هاردنینگ یعنی کاهش سطح حمله یک سیستم از طریق حذف پیکربندی‌های پیش‌فرض ناامن، محدودسازی دسترسی‌ها، و بستن هر مسیری که برای عملکرد سیستم ضروری نیست. در مورد زیرساخت بانکی، این رویکرد باید حداقل در چند لایه اعمال شود:

۱. هاردنینگ سرورها و سامانه‌های Core Banking
سامانه‌های هسته‌ای بانکی باید بر اساس اصل «حداقل امتیاز لازم» پیکربندی شوند: هر سرویس فقط به منابعی دسترسی داشته باشد که برای انجام وظیفه‌اش ضروری است. سرویس‌ها و پورت‌های غیرضروری باید غیرفعال شوند، و هرگونه دسترسی مدیریتی باید از طریق شبکه‌ی جداگانه و با احراز هویت چندمرحله‌ای MFA صورت گیرد، نه از طریق همان بستری که تراکنش‌های عمومی روی آن جریان دارد.

۲. هاردنینگ لایه‌ی شبکه
تفکیک شبکه‌ی سامانه‌های حیاتی (Core Banking، پایگاه‌داده کاربران) از شبکه‌ی عمومی و اینترنت‌بانک، از طریق فایروال‌های داخلی و DMZ منطقه‌ی غیرنظامی شبکه)، یکی از مؤثرترین اقدامات هاردنینگ در سطح شبکه است. این تفکیک باعث می‌شود حتی اگر لایه‌ی بیرونی (مثل وب‌سایت یا اپلیکیشن موبایل) هدف حمله قرار گیرد، مهاجم نتواند مستقیماً به هسته‌ی داده‌های حساس دسترسی پیدا کند.

۳. مدیریت پچ‌ها یا Patch Managementبه‌عنوان فرآیند مستمر، نه واکنشی
همان‌طور که در بخش «سیاست‌های امنیتی» اشاره شد، محدودیت‌های اینترنتی می‌تواند فرصت به‌روزرسانی به‌موقع را از بین ببرد. راهکار هاردنینگ در این‌جا، داشتن یک چرخه‌ی مدون و زمان‌بندی‌شده برای اعمال پچ‌های امنیتی است که حتی در شرایط محدودیت شبکه هم از طریق کانال‌های آفلاین یا مسیرهای پشتیبان قابل اجرا باشد؛ نه اینکه صرفاً به اتصال دائمی اینترنت وابسته بماند.

۴. سخت‌سازی احراز هویت و مدیریت Session‌ها
سیاست‌های رمز عبور قوی، انقضای دوره‌ای Session‌ها یا Session Timeout، قفل خودکار حساب پس از تلاش‌های ناموفق مکرر، و حذف فوری دسترسی کارکنانی که دیگر نیازی به آن ندارند از جمله اقداماتی هستند که مستقیماً ریسک ناشی از خطای انسانی و افشای داخلی، که در حادثه‌ی بانک سپه مطرح شد، را کاهش می‌دهند.

۵. سخت‌سازی زنجیره‌ی تأمین فناوری
از آنجا که بخشی از ریسک اخیر به وابستگی چند بانک به یک ارائه‌دهنده‌ی خدمات مشترک بازمی‌گشت، هاردنینگ در این سطح یعنی ارزیابی امنیتی دوره‌ای از شرکای فناوری Third-Party Risk Assessment و الزام آن‌ها به رعایت همان استانداردهای امنیتی که خود بانک‌ها ملزم به رعایتش هستند.

الگوی تکرارشونده‌ی حملات به شبکه‌ی بانکی ایران نشان می‌دهد که این حوادث نه اتفاقی موردی، بلکه بازتاب یک ضعف ساختاری در معماری متمرکز، فرآیندهای پاسخ‌گویی و سرمایه‌گذاری روی امنیت انسانی هستند. تا زمانی که این سه محور به‌طور هم‌زمان تقویت نشوند، احتمال تکرار چنین حوادثی، صرف‌نظر از پیشرفته‌بودن ابزارهای دفاعی فنی، همچنان بالا باقی خواهد ماند.

با توجه به پیچیدگی فنی این فرآیند، اجرای صحیح هاردنینگ معمولاً نیازمند تجربه و تخصصی است که خارج از توان تیم‌های داخلی بسیاری از سازمان‌هاست. شرکت امن پایه‌ریزان کارن با تمرکز بر خدمات هاردنینگ زیرساخت، این فرآیند را از ارزیابی اولیه‌ی سطح حمله تا پیاده‌سازی و پایش مستمر برای سازمان‌های مالی و بانکی انجام می‌دهد؛ رویکردی که می‌تواند فاصله‌ی میان تحلیل تئوریک این مقاله و اجرای عملی آن در زیرساخت واقعی یک سازمان را پر کند.