در گفت و گو با بختیاری و نعمتی؛ هک اسنپ فود، ریسک نوظهور بود

تنها در چهار ماه گذشته، ۳ مورد بزرگ از «نفوذ به سیستم های یارانه ای» یا «هک» در کشور ما به ثبت رسیده است؛ شهریور ماه اطلاعات بیمه گزاران هک شد، اواخر آذر ماه پمپ بنزین ها و نیمه دی ماه، اپلیکیشن «اسنپ فود»، اما در جریان این وقایع، چه کسی خسارت های ناشی از حمله و یا انتشار اطلاعات کاربران نهایی را بر عهده می گیرد؟

به گزارش خبرنگار پایگاه خبری خرد و کلان، شاید در نگاه اول، اهمیت هک و فروش اطلاعات کاربران نهایی سامانه های آنلاین چندان به چشم نیاید، اما با اندکی دقت مشخص می شود که در دنیای داده ها، این اطلاعات تا چه اندازه می تواند مهم باشد. به گفته هکرها، اطلاعات موجود شامل مشخصات فردی، نشانی محل سکونت، کد ملی و … است و در ادامه مشخصات خودروی افرادی که بیمه نامه خریده اند تا مشخصات غذاهایی که سفارش داده اند، در این ماجرا به دست هکرها افتاده است.

در نمونه اخیر، هکرها مدعی شده اند که اطلاعات بیش از ۵۱ میلیون کاربر اسنپ فود به همراه اطلاعات بیش از ۱۸۰ میلیون دستگاه همراه شامل پلتفرم، توکن و … را در اختیار دارند. جدای از این که داشتن چنین اطلاعاتی، چگونه می تواند مورد سوء استفاده قرار بگیرد، مشخص نیست در صورت سوء استفاده از این داده ها، آسیب های ناشی از آن چگونه قرار است جبران شود. همان طور که نشت اطلاعات ممکن است با سهل انگاری رخ داده باشد، استفاده از اطلاعات هم می تواند به دردسرهایی منجر شود.

از سوی دیگر، نحوه مواجهه مسئولان با این موارد هم محل تامل است. به عنوان مثال در گزارش تفصیلی سازمان پدافند غیرعامل از حمله سایبری به سامانه توزیع سوخت، به صورت رسمی اعلام شده که «سازمان پدافند غیرعامل کشور در جایگاه ستادی و ناظر اجرای دستورالعمل‌های پدافند غیرعامل است و این تصور که این سازمان مسئولیت پاسخ به حوادث در همه زیرساخت‌ها و دستگاه‌ها را بر عهده دارد، از اساس ناصحیح است.» حال می توان تصور کرد در حالی که نهاد فراگیری مانند سازمان پدافند غیرعامل از برعهده گرفتن مسئولیت حمله به سامانه گسترده ای مانند پمپ بنزین ها سر باز می زند، مسئولیت رخداد اخیر برای اسنپ فود را نیز هیچ کس گردن نخواهد گرفت.

اسنپ فود البته در بیانیه خود اعلام کرده است که «مسئولیت این اتفاق را می‌پذیرد و حتماً بررسی دقیقی در مورد دلایل وقوع آن انجام خواهد داد»، اما مشخص نیست نحوه جبران خسارت های احتمالی از این حمله سایبری چگونه است.

در این رخداد، به مثابه یک «ریسک»، جای خالی بیمه گران به شدت احساس می شود. هک یا نفوذ به سیستم های رایانه ای، یک رخداد محتمل است و به خوبی در جایگاه یک ریسک قابل بیمه شدن قرار می گیرد، اما گویا تا کنون بیمه گران تلاش قابل توجهی برای پوشش این ریسک انجام نداده اند. خبرنگار ما این موضوع را با چند نفر از صاحب نظران صنعت بیمه مطرح و علت ماجرا را جویا شد.

«ازکی» که خود یک سامانه فروش آنلاین بیمه است و مانند بسیاری از سامانه های دیگر، بدون شک در معرض حملات سایبری است، به این سوال که «آیا در حال حاضر بیمه نامه ای به منظور پوشش ریسک های فضای سایبری در صنعت بیمه کشور وجود دارد؟» پاسخ منفی داد و گفت که «در حال حاضر، بیمه ای بابت جبران خسارت این موارد، اعلام نشده است.»

«مجید بختیاری» که خود در حوزه امنیت اطلاعات سایبری صاحب نظر است، نیز با بیان این که «می توان این مقوله را در زمره ریسک های نوظهور طبقه بندی کرد»، به خبرنگار ما گفت: بدون شک چون این ریسک و مخاطره می تواند عدم اطمینان های جدی را برای مدیران و صاحبان کسب و کارها ایجاد کند، بنابراین حتما باید صنعت بیمه برای آن پوشش بیمه ای مناسب طراحی و عملیاتی کند.

رئیس کمیسیون تحول دیجیتال و فناوری اطلاعات سندیکای بیمه گران ایران افزود: تا آنجا که اطلاع دارم، به صورت پراکنده مطالعات و تقلاهایی در این زمینه انجام شد، اما مطمئن نیستم نتیجه ای ملموس حاصل شده باشد.

بختیاری با بیان این که «باور دارم طراحی این بیمه نامه عمیقا تابع مسائل فنی مهندسی در حوزه‌های مرتبط اعم از نرم‌افزار، سخت افزار، شبکه و دیگر مولفه های حوزه تحول دیجیتال است»، ادامه داد: بنابراین تمام فرایندهای صدور، تعیین خسارت و … باید مبتنی بر فهم و تخصص مربوطه انجام شود و بهترین راه برای حل این مساله، استفاده از تجربیات موفق کشورهای پیشرو است؛ شاید لازم باشد پژوهشکده بیمه در این زمینه یک مطالعه عمیق را تنظیم و ساماندهی کند.

«قاسم نعمتی» که پیش از این مدیر کل فناوری اطلاعات و ارتباطات بیمه مرکزی بود نیز در این باره به خبرنگار ما گفت: حدود دو سال پیش، شورای عالی فضای مجازی به منظور استفاده از ظرفیت صنعت بیمه در این مقوله وارد مذاکره و نشست هایی با بیمه مرکزی برگزار شد. یکی دو شرکت هم در این مورد اقداماتی انجام داده بودند و یک شرکت بیمه حتی فرمتی برای بیمه نامه طراحی کرده بود، اما موضوع نهایی نشد و کماکان با سرعت کم ادامه داشت.

وی با بیان این که شرایط بیمه گزار و ریسک در حوزه بیمه سایبری می تواند تفاوت هایی در ماجرا ایجاد کند، اظهار کرد: برای تعیین حق بیمه چنین بیمه نامه ای، حداقل سابقه ۵ ساله اطلاعات لازم است، در حالی که چنین داده هایی در دسترس نیست. ضمن این که ابعاد خسارت در ریسک های سایبری گاه بسیار گسترده است و در نتیجه ارزیابی آن شاید غیر ممکن باشد، بنابراین چنین خطری شاید قابل بیمه شدن نباشد. در چنین وضعیتی، باید دید بعد از محدود شدن موضوع بیمه و یا خسارت های احتمالی، آیا طراحی چنین بیمه نامه ای برای بیمه گزار، جذابیت دارد یا خیر؟

نگاهی به جدول بیمه نامه های جدید طراحی شده در شرکت های بیمه نیز نشان می دهد که آنها به بسیاری از ریسک هایی که شاید عمومیت چندانی ندارند، ورود کرده اند، اما عجیب است که خطرات حوزه سایبری برای آنها جذابیت نداشته است. بیمه زالوی طبی و صنعتی، بیمه استرداد وجه بلیط رویداد یا بیمه نامه عمر اسب، از جمله بیمه نامه هایی است که هر کدام بنا به ضرورتی توسط شرکت های بیمه طراحی شده است!

حالا پس از حمله های فراوان رخ داده که اخبار آن منتشر شده و حتما در بسیاری از موارد، خبری هم از آن منتشر نشده است، باید منتظر بمانیم و ببینیم هکرها از اطلاعات به دست آمده چه استفاده هایی خواهند کرد، در حالی که احتمالا، هزینه چنین سوء استفاده هایی را هم، کاربران نهایی خواهند پرداخت.

ورود نهادهای امنیتی و انتظامی به ماجرای نشت اطلاعات بیمه گزاران

 

پیگیری ماجرای سرقت اطلاعات بیمه گزاران، بی نتیجه مانده است

 

شرکتی که اطلاعات بیمه ای آن هک شد، بارها تذکر گرفته بود

کد خبر: 18626