قطار هک‌های سریالی پلتفرم شرکت‌هایی که منبع اطلاعات هویتی کاربران هستند، این‌بار در ایستگاه «اتاقک» توقف کرد؛ توقفی که کوتاه بود و طبق ادعای تیم هکری، مذاکره با اتاقک به نتیجه رسید و جلوی فروش دیتا توسط هکر گرفته شد.
تداوم هک پلتفرم‌ها
گروه هکری IRLeaks در سال گذشته طی حمله‌های سایبری، پلتفرم‌هایی مانند اسنپ‌فود، تپسی، سازمان حج و زیارت و… را هک و از این طریق به اطلاعات هویتی کاربران این سایت‌ها دسترسی پیدا کرده بود.
این گروه پس از انجام هک سایت مورد نظر، در یک کانال تلگرامی سرفصل اطلاعاتی که به آن دسترسی پیدا کرده را افشا می‌کند و خطاب به صاحبان شرکت‌های مذکور اعلام می‌کند که اگر با این گروه وارد مذاکره نشوند، اطلاعات کاربران را افشا خواهد کرد.
طبق ادعای گروه IRLeaks برخلاف تپسی و سازمان حج و زیارت، اسنپ‌فود با این گروه وارد مذاکره شده و از انتشار اطلاعات هویتی کاربران جلوگیری کرده بود.
اتاقک، هدف جدید هکرها
اتاقک، هدف جدید گروه هکری IRLeaks بود که هک آن ۱۹ تیر رخ داد؛ درواقع گروه هکری مذکور در کانال تلگرامی خود اعلام کرد که پلتفرم اتاقک را هک و به اطلاعات کاربران این پلتفرم دسترسی پیدا کرده است. این گروه هکری این بار هم مانند سایر موارد، ضرب‌العجلی برای اتاقک تعیین و اعلام کرد: «به اتاقک ۲۴ ساعت فرصت می‌دهیم تا جهت جلوگیری از فروش اطلاعات، باما وارد مذاکره شوند و مانند سازمان حج و تپسی تکرار اشتباه نکنند! ۲۴ ساعت شما از همین لحظه شروع شد!»
اولین واکنش؛ اطلاعات بانکی در امنیت کامل است
روابط عمومی اتاقک، پس از اتفاق مذکور بیانیه‌ای صادر و بر این نکته تاکید کرد که با همکاری پلیس فتا درحال رفع منبع آلودگی است. در این بیانیه به مذاکره اتاقک با تیم هکری اشاره شده و به کاربران اطمینان داده شده بود که اطلاعات بانکی آنها در امنیت کامل قرار دارد.
متن بیانیه شماره ۱ اتاقک به شرح زیر بود:
پیرو ادعای هک‌شدن بخشی از اطلاعات کاربران اتاقک به اطلاع می‌رسانیم که شرکت اتاقک در گام نخست با همکاری پلیس فتا، در حال شناسایی و رفع منبع آلودگی ناشی از اقدام این گروه هکری است.
اتاقک در حال راستی‌آزمایی ادعای این گروه هکری بوده و در صورت تائید نفوذ،مسئولیت این اتفاق را می‌پذیرد.
از لحظات آغازین این ادعای نفوذ، اتاقک در حال مذاکره با تیم هکری است و حداکثر تلاش خود را جهت جلوگیری از انتشار داده‌های کاربران از این طریق انجام خواهد داد.
لازم به ذکر است که کلیه‌ی اطلاعات پرداخت بانکی کاربران، اعم از اطلاعات مربوط به کد امنیتی کارت (CVV2)، رمز عبور و تاریخ انقضا، در امنیت کامل قرار دارد و این اطلاعات مطابق مقررات بانک مرکزی در هیچ یک از پلتفرم‌ها ذخیره نمیشود.
متعاقبا اطلاعات تکمیلی در این مورد را منتشر خواهیم کرد.
روابط‌عمومی اتاقک – تیر ۱۴۰۳
بیانیۀ شماره ۲؛ هک شدیم!
روابط عمومی تیم اتاقک، ساعت ۱۸ روز گذشته، دومین بیانیه خود را منتشر کرد. در این بیانیه ضمن اینکه ادعای تیم هکری مورد تایید اتاقک قرار گرفت، مجددا بر امنیت اطلاعات کاربران تاکید شد. همچنین این تیم از کاربران خود عذرخواهی و تعهد خود برای تلاش همه‌جانبه جهت حفظ اطلاعات کاربران اعلام کرد.
متن بیانیه شماره ۲ اتاقک به شرح زیر بود:
همراهان گرامی
موظفیم به اطلاع برسانیم که روز ۱۹ تیرماه ساعت ۱۲:۳۰ ظهر یک گروه هکری در کانال تلگرام خود مدعی دسترسی به داده های پلتفرم اتاقک شد و برای عدم فروش این اطلاعات خواستار مذاکره و پرداخت مبلغ گردید.
با توجه به حساسیت موضوع، ما در تیم اتاقک بلافاصله به بررسی موضوع پرداخته و در ارتباط اولیه با تیم هکری و دریافت نمونه‌ی اطلاعات، سعی در راستی آزمایی موضوع و سپس ابعاد و حجم این دسترسی داشته‌ایم.
پس از بررسی این اطلاعات تا ساعت ۱۸ این روز، به قطعیت رسیدیم که استخراج بخشی از اطلاعات پلتفرم اتاقک توسط این گروه واقعیت دارد و بلافاصله اقدامات مرحله‌ی بعد که شامل اقداماتی جهت بررسی دسترسی های غیر مجاز بود، آغاز شد.
علیرغم شبهات مطرح‌شده در برخی رسانه‌ها، همانطور که در بیانیه شماره یک نیز اعلام شد، اطلاعات استخراج شده شامل اطلاعات حساب بانکی کاربران از جمله رمز کارت بانکی و سایر اطلاعات مرتبط نیست. این اطلاعات مطابق مقررات بانک مرکزی در هیچ یک از پلتفرم ها ذخیره نمیشود و از این رو امکان دسترسی به آنها وجود نداشته است.
ضمن عذرخواهی از تمامی ذی‌نفعان پلتفرم اتاقک و دغدغه‌مندان حفظ امنیت داده‌ها در کشور و با پذیرش مسئولیت این مسأله، تیم اتاقک خود را متعهد به تلاش همه‌جانبه برای حفظ اطلاعات کاربران می‌داند و تلاش خود را برای جلوگیری از افشای این اطلاعات ادامه خواهد داد.
پس از گذر از این مرحله و اقدامات فوری، ضمن ارزیابی ریشه‌ای دلایل این اتفاق، خود را موظف به انتشار گزارشی تفصیلی در مورد علل و عوامل این دسترسی غیر مجاز و اقدامات انجام شده پس از آن می‌دانیم.
گفتنی است اطلاعات و به روزرسانی‌های بعدی صرفا از کانال‌های رسمی اتاقک صورت می‌گیرد.
ساعت ۱۸ روز ۲۰ تیرماه – روابط عمومی تیم اتاقک
بیانیۀ سوم؛ توافق با تیم هکری
در نهایت، نزدیک به نیمه شب چهارشنبه بود که گروه هکری مذکور، در کانال تلگرامی خود نوشت: «پیرو مذاکراتی که با تیم اتاقک داشتیم، دیتای این مجموعه به هیچکس فروخته نشده و نخواهد شد. اتاقک تصمیم گرفت مانند اسنپ‌فود برای کاربران خود ارزش قائل شده و جلوی فروش دیتا را بگیرد. بنابراین پست ما در فروم‌های exploit.in و onniforums به No longer available for sale ویرایش شد.»
اتاقک هم در بیانیه‌ای اعلام کرد:
همراهان گرامی
پس از دسترسی یک گروه هکری به بخشی از اطلاعات اتاقک در روز ۱۸ تیرماه، در دو بیانیه‌ی جداگانه به تشریح آنچه در این دو روز رخ داده است پرداختیم و ضمن پذیرش مسئولیت و عذرخواهی از ذی‌نفعان و افکار عمومی، در تلاش برای ارتباط با این تیم به منظور جلوگیری از افشا یا فروش اطلاعات بودیم.
به اطلاع می‌رسانیم که تلاش تیم اتاقک برای جلوگیری از فروش این اطلاعات در نهایت به نتیجه رسید و این اطمینان حاصل شده که این اطلاعات به هیچ عنوان فروخته نشده و نخواهد شد و از آن هیچگونه سوء استفاده‌ای نمیشود.
ما در تیم اتاقک همواره خود را متعهد به حفاظت از اطلاعات کاربران می‌دانیم و در ۳۵ ساعت گذشته از هیچ تلاشی برای جلوگیری از افشای اطلاعات کاربران دریغ نکرده‌ایم.
ما به زودی ضمن ارزیابی ریشه‌ای دلایل این اتفاق، خود را موظف به اطلاع رسانی دقیق تر موارد پیش آمده‌ی فنی و جزئیات بیشتر می‌دانیم.
ضمن تشکر از تمامی دوستان و همراهان اکوسیستم فناوری کشور و دغدغه‌مندان حریم خصوصی و رسانه‌ها، اطلاعات بیشتر در بیانیه‌های آینده به اطلاع عموم خواهد رسید.
ساعت ۲۳ روز ۲۰ تیرماه – روابط عمومی تیم اتاقک
تاکنون جزئیات بیشتری از سوی تیم اتاقک و تیم هکری منتشر نشده است و مشخص نیست تیم هکری در ازای دریافت چه مبلغی حاضر شده اطلاعات ثبت شده در پلتفرم اتاقک را به فروش نرساند و بر اساس چه تضمینی این اطلاعات فروخته یا منتشر نخواهند شد.
خطر هک‌شدن و دسترسی به اطلاعات کاربران در این سال‌ها بر سر پلتفرم‌ها سایه انداخته و خلا بالا بردن امنیت سایت‌ها و حفظ اطلاعات محرمانه کاربران کاملا حس می‌شود.
با این اوصاف، پاسخ به این پرسش اهمیت ویژه‌ای دارد که آیا پلتفرم‌ها، توان لازم برای تامین امنیت سامانه‌های خود را دارند؟!
