در حالی رسانههای ایران از عدم حضور دو پارادوچرخهسوار ایرانی در مسابقات جهانی به دلیل صادر نشدن ویزا از سوی سفارت بلژیک خبر دادند، اما سفارت بلژیک در تهران در پاسخ به ایران اینترنشنال علت این موضوع را «اقدام دیر موقع» طرف ایرانی برای دریافت ویزا عنوان کرده است.
در یادداشت رسمی سفارت بلژیک برای ایران اینترنشنال آمده است که این دو ورزشکار تنها «۴ روز مانده» به آغاز مسابقات درخواست ویزا دادهاند: «صدور ویزا تنها در مدت ۴ روز امکانپذیر نیست؛ فقط روند مشاوره با کشورهای شریک به ۱۰ روز زمان نیاز دارد. تمامی مسافران باید برای اطمینان خاطر، چند هفته زودتر درخواست ویزا بدهند.»
از هک بانک سپه چه میدانیم؟
گروه هکری «گنجشک درنده» ۲۷ خرداد ۱۴۰۴ در چهارمین روز از جنگ ۱۲ روزه میان ایران و اسرائیل، با انتشار بیانیهای مسئولیت یک حمله سایبری گسترده به بانک سپه، یکی از قدیمیترین و مهمترین بانکهای دولتی ایران، را بر عهده گرفت و گفت: «هدف، تضعیف زیرساختهای مالی و نظامی است.»
خبرگزاری فارس، وابسته به سپاه پاسداران، حمله را تایید کرد و هشدار داد که به دلیل پشتیبانی بانک سپه از جایگاههای سوخت، ممکن است اختلالاتی در پمپبنزینها ایجاد شود.
«گنجشک درنده» از سال ۲۰۲۱ (۱۴۰۰) فعال است و خود را گروهی از هکرهای ایرانی مخالف رژیم معرفی میکند. رسانههای اسرائیلی و غربی آن را به دولت یا ارتش اسرائیل مرتبط میدانند اما اسرائیل این گزارشها را تایید نکرده است.
در این میان، گروه هکری «عدالت علی» ۳۱ خرداد با انتشار پستی در شبکه اجتماعی ایکس اعلام کرد که تمام دادههای بانک سپه، از جمله اطلاعات سپردهها و وامها، در جریان یک حمله سایبری حذف شده و مشتریان میتوانند ادعا کنند تراکنشهایشان ثبت نشده، چرا که بانک دیگر سندی برای اثبات آن ندارد.
این خبر موجی از نگرانی در میان مشتریان این بانک به همراه داشت و با توجه به ادامه اختلال در برخی سرویسهای بانکی هنوز هستند گروههایی از شهروندان که نسبت به سرنوشت داراییهای خود در این بانک با تردیدهای جدی مواجه شدهاند.
چرا بانک سپه؟
گروه هکری «گنجشک درنده» در بیانیه خود بانک سپه را به «دور زدن تحریمهای بینالمللی، تامین مالی تروریسم، حمایت از نیروهای نیابتی، برنامههای موشکی و پروژه هستهای نظامی رژیم» متهم کرد و نوشت: «این سرنوشت موسسهای است که وقف حفظ خیالپردازیهای تروریستی دیکتاتور میشود.»
بانک سپه پیش از این به دلیل «نقش کلیدی در تامین مالی پروژههای دفاعی و موشکی ایران» در فهرست تحریمهای آمریکا، اتحادیه اروپا و سازمان ملل قرار گرفته است.
بانکهای انصار، قوامین، حکمت ایرانیان، مهر اقتصاد و موسسه اعتباری کوثر که همگی به نهادهای نظامی ایران وابسته بودند در تاریخ ۱۱ اسفند ۱۳۹۷، در بانک سپه ادغام شدند.
حمله به بانک سپه چه خساراتی در پی داشت؟
هکرها اعلام کردند که در یک عملیات سایبری، تمام دادههای بانک سپه، شامل اطلاعات سپردهها، وامها، تراکنشها و سوابق مشتریان را نابود کردهاند.
بررسیهای ایراناینترنشنال از گزارشهای منتشر شده در شبکههای اجتماعی از زمان حمله سایبری به بانک سپه تاکنون نشان میدهد از ساعتی پس از این حمله سایبری، اپلیکیشنهای بانکی، درگاههای پرداخت الکترونیک، و دستگاههای خودپرداز بانک سپه از کار افتادهاند.
همچنین کارتهای بانکی وابسته به سپه مانند کارتهای بانکهای انصار و کوثر نیز غیرفعال شدند و موجودی حسابها، صفر نمایش داده میشد.
این بررسیهای نشان میدهد در همان روزهای ابتدایی پس از هک، بسیاری از مشتریان این بانک حسابهایشان مسدود شده یا مبالغی به صورت غیرمجاز از حسابهایشان کسر شده است.
برای مثال، کاربری شش تیر گزارش داد که بانک سپه مبالغی مانند ۴۰۰ هزار تومان از حسابهایی با موجودی محدود (مثلاً ۷۰۰ هزار تومان) برداشت کرده و مدعی شده این مبالغ به حساب دیگری منتقل شده، در حالی که چنین حسابی وجود نداشته است.
کاربر دیگری نوشت که شش میلیون تومان به صورت غیرقانونی از حسابش برداشت شده است.
یک کاربر هم نوشت: «بانک سپه پیام داده که ۱۳۸ هزار تومان از حسابت کم شد چون چند روز پیش برای رفاه حالت به حساب دیگه تو انتقال داده بودیم.»
یکی از شهروندان نوشته بود: «از بانک سپه پیامک واریز پول اومده موجودی هم زده +۲۰ میلیون. بعد من اصلا حساب سپه ندارم.»
مشکلات دسترسی به سپردهها نیز یکی دیگر از شکایات اصلی مشتریان بود. کاربری دوم تیر نوشت: «حساب بانک سپه من الان ۱۵ روزه مسدوده. شما حسابهای هک شده رو نمیتونین برگردونید، اونوقت میخواین بجنگین؟».
چه بلایی بر سر دادههای بانک سپه آمد
اقتصاد آنلاین یک روز پس از این حمله در گزارشی نوشت: «مهاجمان با بهرهگیری از ضعف امنیتی در پورتهای مدیریتی ILO سرورهای HP وارد شبکههای حیاتی بانک سپه شدهاند. این پورتها که بهطور پیشفرض نباید به اینترنت متصل باشند، به دلیل سهلانگاری یا دسترسی تعمدی داخلی به بیرون باز بودهاند.»
بر اساس این گزارش مهاجمان توانستند کنترل کامل زیرساخت بانک را به دست گیرند، حتی پس از تلاش برای ریستور کردن نسخه پشتیبان، سیستمها مجددا آلوده شدند و در نهایت، تصمیم گرفته شد که تمام سیستمها و سرورها (حدود ۳۰۰ تا ۴۰۰ سرور )از صفر مجددا نصب و پیکربندی شوند.
وبسایت زومیت ۲۸ تیر با اشاره به یادداشتی از حمیدرضا آموزگار، معاون توسعه محصول داتین که مسئولیت امنیت سایبری بانک سپه را تا پیش از این حمله برعهده داشت ابعاد حمله را این گونه شرح داد: «نه فقط سرورها بلکه سایت پشتیبان آنها هم در دسترس نبود. وقتی میگویند استوریج نیست شبیه به این است که دستگاه خانگی شما هارد دیسک و حتی سیستم عامل هم ندارد.»
به گفته آموزگار پس از این حمله، همه چیز شبیه «خلا» بود و از بین رفتن دادههای سرورها باعث شد تا بانک مجبور به استفاده از بکاپهای سرد (Cold Backup) شود؛ دادههایی که خارج از سایت نگهداری شده و چند روز عقبتر از زمان جاری بودند.
مراجعه به بکاپهای سرد، برای بانکی که به گفته مدیران آن «ماهانه حدود ١ میلیارد گردش مالی در آن رخ میدهد»، به معنی «گم شدن ۳۰ میلیون گردش به ازای هر روز» است.
زومیت ۱۴ مرداد به نقل از یک کارمند بانک سپه در گزارشی نوشت: «۴۸ روز پس از این حمله، کاربران بانک سپه میگویند بسیاری از خدمات این بانک به روال قبل انجام میشود اما بعضی از آنها هنوز با اختلال روبهروست. برای مثال، روز گذشته گزینه پرداخت تسهیلات ازدواج به اپلیکیشن جدید بانک سپه برگشت.»
زومیت در ادامه گزارش خود نوشت: «شنیدهها حاکی از این است که بانک سپه تا اواخر شهریور ماه فعالیتهای عادی خود را از سر خواهد گرفت.»
بر اساس این گزارش بانک سپه در برهه جنگ «بابت مغایرتگیری» مبالغی را از برخی حسابها کسر کرده بود و حالا وعده بازگشت آنها را داده است.
سابقه هک بانک سپه
حمله سایبری ۲۷ خرداد به بانک سپه آنچنان گسترده و سهمگین بود که بسیاری فراموش کردند این بانک در فروردین ۱۴۰۴ نیز هدف یک حمله دیگر واقع شده بود.
گروه هکری «کدبریکرز» شش فروردین اعلام کرد به اطلاعات مالی بیش از ۴۲ میلیون کاربر، شامل بیش از ۱۲ ترابایت دادههای محرمانه بانک سپه، از جمله اطلاعات حسابهای بانکی، رمزهای عبور، سوابق تراکنشها، آدرسها و دادههای پرسنل نظامی دست یافته است.
بانک سپه ابتدا خبرها در این زمینه را رد کرد و با غیر قابل نفوذ خواندن سیستمهای بانکداری خود به افراد و رسانهها نسبت به بازنشر اطلاعات مربوط به این بانک هشدار داد.
این گروه در بیانیهای نوشت که در ازای عدم افشای اطلاعات، ۴۲ میلیون دلار بیتکوین درخواست کرده اما بانک از پرداخت آن خودداری کرده است.
محمدامین آقامیری، دبیر شورای عالی فضای مجازی ۲۸ فروردین با حضور در یک برنامه خبری در صداوسیمای ملی با اعلام اینکه بانک سپه هک نشده است گفت: «چند روز پس از اعلام خبر حمله، مشخص شد که اتفاق اخیر هک نبوده، بلکه سرقت داده بوده است.»
مقامات جمهوری اسلامی تا این لحظه توضیحی در مورد نحوه وقوع این سرقت ارائه ندادهاند.
پس از این انکار، گروه هکری بخشی از دادهها را منتشر کرد. در میان اطلاعات منتشر شده، حسابهای بانکی مقامات نظامی و غیرنظامی با مبالغ میلیاردی وجود داشت.
نامهایی مانند حسن پلارک، فرمانده سابق نیروی قدس، با حسابی به ارزش ۶۳۴ میلیارد تومان و عباس گلمحمدی، مقام پیشین در حوزه زمینشناسی، با حساب ۷۶۸ میلیارد تومانی در این لیست دیده میشوند. همچنین اطلاعات بانکی علیرضا آرش، عضو هیئتمدیره شرکت هنکل پاکوش، با دارایی ۴۰۸ میلیارد تومان و دیگر افراد برجسته نیز منتشر شده است.
چرا هک بانک سپه مهم شد؟
پس از افشای ۱۲ ترابایت دادههای محرمانه بانک سپه از سوی گروه هکری «کدبریکرز» جمعه ۲۲ فروردین ۱۴۰۰ گروه هکری «شدوبیتس» (ShadowBits) از هک سامانههای همراه اول خبر داد و گفت اطلاعات ۳۰ میلیون از مشترکان این اپراتور (از مجموع حدود ۶۰ میلیون سیمکارت فعال) را به سرقت برده است.
با آغاز جنگ و کشته شدن جمع گستردهای از کلیدیترین فرماندهان سپاه و شخصیتهای نظامی و امنیتی کشور و هک بانک سپه، این سناریو که اسرائیل از دادههای هکهای بانکی و شبکه موبایل برای ردیابی شخصیتهای نظامی استفاده کرده قوت بیشتری گرفت.
محمدجواد آذری جهرمی، وزیر ارتباطات دولت روحانی ۲۴ تیر اعلام کرد: «سازمانی مثل هدفمندی یارانهها اطلاعات جزئی تمام مردم را در این سازمان جمع کرده، سرداران نظامی ما که شهید شدند در بانک حساب داشتند و برای گرفتن حقوق ماهیانه باید با یک کد پستی و تلفن همراه به نام خودشان ثبت نام میکردند، خوب مشخص است نفوذ و لو رفتن اطلاعات چقدر ساده انجام شده است، خوب معلوم است با دسترسی دشمن به اطلاعات این سازمان نفوذ گسترده اتفاق میافتد.»
۲۸ خرداد، در حالی که جنگ ۱۲ روزه اسرائیل و جمهوریاسلامی در جریان بود، گروه «گنجشک درنده» که به اسرائیل منسوب است، از هک صرافی «نوبیتکس» خبر داد.
پیش از آن، برخی مشتریان این صرافی گزارش کرده بودند پیامهایی در پیامرسانهایی مانند اپلیکیشنهای معاملات و تلگرام دریافت کردند که در آن، به آنها هشدار داده شده بود دارایی خود را از صرافی نوبیتکس خارج کنند.
این حمله یک روز پس از هک بانک سپه رخ داد؛ بانک عامل نیروهای مسلح جمهوری اسلامی که پشتیبانی مالی سپاه پاسداران انقلاب اسلامی و سایر نیروهای مسلح را انجام میدهد.
گروه گنجشک درنده اعلام کرد پلتفرم نوبیتکس «نقش موثری در دور زدن تحریمها و تامین مالی فعالیتهای تروریستی جمهوری اسلامی از طریق ارز دیجیتال» ایفا کرده است.
برخی از مبالغ نابود شده، به کیف پولی واریز شدند که عنوان آن حاوی عبارتی اعتراضی علیه سپاه پاسداران انقلاب اسلامی بود.
نوبیتکس توسط چه کسانی اداره میشود؟
در وبسایت رسمی، این صرافی دیجیتال، خود را این طور معرفی کرده است: «نوبیتکس با هدف رفع نیاز کاربران ایرانی برای مبادله دارایی های دیجیتال در تابستان ۱۳۹۶ شکل گرفت…. هسته اولیه تیم در باشگاه کارآفرینی تیوان استقرار یافت. به تدریج و با افزوده شدن نفراتی با تخصصهای مختلف، تیم بزرگتر شد.»
با اینحال، بررسی اسناد رسمی نشان میدهد نوبیتکس متعلق به شرکت «راهکار فناوری نویان» است که در تیر ۱۳۹۷ تاسیس شده است.
از مرداد ۱۳۹۸، محمدباقر نحوی به عنوان رئیس هیات مدیره شرکت «راهکار فناوری نویان»، وارد آن شده است. نحوی از زمان تاسیس شرکت «خدمات فرودگاهی سفیران» در سال ۱۳۷۲ تا آذر ۱۴۰۱، به عنوان شخص حقیقی یا حقوقی، در هیات مدیره این شرکت حضور داشته است.
ایالات متحده آمریکا این شرکت را در شهریور ۱۴۰۱ تحریم کرد. بعد از آن در آذر ۱۴۰۱ دولت کانادا و در اردیبهشت ۱۴۰۲، دولت نیوزلند، نوبیتکس به دلیل همکاری تسلیحاتی با روسیه و انتقال پهپاد به این کشور در جریان جنگ اوکراین، تحریم کردند.
کیفپولهای سرد و گرم، هر دو نابود شدند
مدیران نوبیتکس اعلام کردند حدود ۹۰ میلیون دلار رمزارز نابود شده، تنها مربوط به کیفهای پول گرم بودند. با اینحال یک منبع آگاه به ایرانانترنشنال خبر داد کیفپولهای گرم و سرد هر دو نابود شدند.
کیف پول گرم (Hot Wallet) به کیف پولهای دیجیتالی متصل به اینترنت گفته میشود که برای معاملات سریع و دسترسی آسان مناسباند، اما به دلیل آنلاین بودن، در معرض هک و حملات سایبری هستند.
کیف پول سرد (Cold Wallet) مانند سختافزار یا کاغذ آفلاین است و امنیت بالاتری دارد، ولی استفاده از آن برای معاملات روزمره کندتر و پیچیدهتر است.
سحر تحویلی، پژوهشگر در حوزه فناوری اطلاعات و هوش مصنوعی در گفتوگو با ایران اینترنشنال گفت به باور او هدف حمله، کیفپولهای گرم این صرافی بوده است.
مهدی صارمیفر، روزنامهنگار علمو تکنولوژی هم درگفتوگو با ایراناینترنشنال با بیان اینکه، تشخیص اینکه داراییهای نابود شده متعلق به کیفهای سرد بوده یا گرم، از روی الگوهای تراکنش و دادههای عمومی بلاکچین که آدرس آنها را شرکتهای تحلیل بلاکچین برچسبگذاری میکنند، مشخص میشود، گفت: «در جریان هک نوبیتکس، خروج داراییها دقیقا از آدرسهای پرتواتر که عموما مربوط به کیفهای گرم است، رخ داد و به آدرسهای سوخته منتقل شد.»
بازاری به بزرگی ۱۱ میلیارد دلار برای تامین مالی گروههای نیابتی
بزرگی بازار رمز ارز ایران، بین ۵ تا ۱۲ میلیارد دلار تخمین زده میشود. سحر تحویلی معتقد است علت توجه شهروندان ایرانی به بازار رمز ارز را کاهش پیدرپی ریال میداند.
حدود ۸۷ درصد از گردش مالی بازار رمز ارز در ایران را نوبیتکس انجام میدهد. صارمیفر در خصوص اهمیت این بازار برای جمهوریاسلامی گفت: در دوره مسئولیت محسن رضایی که از آذر ۱۴۰۰ نماینده دولت رئیسی در حوزه رمز ارز ها بود، دولت مقرراتی تدوین کرد که هدف آن «استفاده از رمزارز برای دور زدن تحریمها و تامین مالی گروههای نیابتی بود.»
صارمیفر کاهش ۱۰ درصدی هشریت بیتکوین در جریان جنگ ۱۲ روزه پس از قطع اینترنت در ایران را نشانه دیگری از ورود سازمان یافته نهادهای قدرت به این بازار، میداند.
هدف: وفاداری نیروهای امنیتی جمهوریاسلامی
به اعتقاد سحر تحویلی، سورسکد و مستندات داخلی نوبیتکس که گروه گنجشک درنده افشا کرده است، نشان میدهند این صرافی با ساختاری پیچیده طراحی شده تا در شرایط تحریم بهخوبی کار کند و احتمالا در کمک به دور زدن تحریمها نقش داشته است.
والاستریت ژورنال، ۲۹ تیر در گزارشی از هک نوبیتکس در ایران، تایید کرد هدف «گنجشکهای درنده» شناسایی داراییهایی بوده که سپاه پاسداران از آنها برای عملیات روزانهاش استفاده میکرد. در این گزارش آمده است این حملهها با قطع دسترسی نیروهای امنیتی به پولهایشان، «مشروعیت جمهوریاسلامی نزد نیروهای وفادارش» را هدف گرفت.
مایکل دوران، تحلیلگر برجسته سیاست خارجی آمریکا و زینب ریبوا، پژوهشگر و همکار دوران در مرکز صلح و امنیت خاورمیانه در گفتوگو با والاستریت ژورنال این نفوذ را حاوی یک پیام روشن میدانند: «زیرساخت مالی جمهوری اسلامی تنها تا زمانی پابرجاست که دولت اسرائیل اجازه دهد.»
سحر تحویلی هم با اشاره به اسنادی که هکرها از ساختار نوبیتکس افشا کردند، گفت: «آنها توانستند بین داراییهای نهادهای حکومتی از مردم عادی تمایز قائل شوند، اما هویت فردی اشخاص لزوما شناسایی نشده است.»
حمله CNA به سرورهای نوبیتکس
با وجود اعلام رسمی نوبیتکس مبنی به بازگرداندن اطلاعات مشتریان، بسیاری از مشتریان نوبیتکس از اشتباه در بازگرداندن اطلاعاتشان در شبکههای اجتماعی نوشتند.
یک منبع آگاه در گفتوگو با ایراناینترنشنال گفت این موضوع به این دلیل رخ داده که علاوه بر نابودی رمزارزها، مشابه حمله به بانک سپه، یک حمله CNA نیز به سرورهای شرکت انجام شده است که باعث از کار افتادن آنها و حذف اطلاعات حیاتی صرافی شد، از جمله پایگاهدادههای مربوط به داراییهای مشتریان.
صارمیفر با اشاره یه اینکه شرکتهای امنیتی دسترسی هکرها به سرورها و اطلاعات فنی سطح بالا را در جریان حمله به نوبیتکس تائید کردهاند گفت: «اما چیزی تحت عنوان CNA کامل یعنی نابودی یا تغییر دادهها، بهطور مستقل تایید نشده است.»
سحر تحویلی با بیان اینکه نمیتواند حمله CNA را تایید یا رد کند، گفت: «اگر چنین ادعایی واقعی باشد و نوبیتکس بکآپ اطلاعات را در دست نداشته باشد، اطلاعات مشتریان قابل بازگشت نخواهد بود.»
صارمیفر هم معتقد است در صورت واقعیت داشتن حمله CNA، علاوه بر سرقت دارایی، دادههای داخلی شرکت هم تخریب یا دستکاری شدهاند اما در هر حال اطلاعات کاربران از دست نخواهد رفت، چراکه کلیدهای خصوصی و داراییها در بلاکچین ذخیره شدند.
با این حال، به گفته او، در صورت واقعیت داشتن این حمله، دادههای جانبی چون تاریخچه معاملات، گزارشها یا حتی مدارک هویتی ممکن است از بین بروند.
