عاطفه خیابانچیان، مدیرعامل آراد / برای مشتری بانک، ماجرا پیچیده نیست. کارت کار نمیکند، همراهبانک بالا نمیآید، انتقال وجه در میانه راه متوقف میشود و شعبه نیز پاسخ روشنی ندارد. او نمیداند سامانه بانک را چه شرکتی نوشته، چه کسی آن را نگهداری میکند یا کدام بخش از زیرساخت میان چند بانک مشترک است. فقط میبیند که دسترسیاش به پول خودش قطع شده است.
اما برای صنعت بانکی، رخدادهای اخیر نباید صرفاً یک «حمله سایبری» دیگر تلقی شود. در ۲۳ خرداد ۱۴۰۵، خدمات چهار بانک کشور بهطور همزمان مختل شد. بعدتر، از حمله به یک زیرساخت و هسته خدماتی مشترک سخن گفته شد. همین واژه «مشترک» از نام مهاجم و حتی روش نفوذ مهمتر است؛ زیرا نشان میدهد خرابی یک نقطه توانسته دامنهای چندبانکی پیدا کند.
در مهندسی، به چنین وضعیتی «شکست همعلت» میگویند؛ وضعیتی که در آن چند سامانه ظاهراً مستقل، به دلیل یک وابستگی مشترک، همزمان از کار میافتند. این وابستگی میتواند کربنکینگ، سوئیچ کارت، شبکه ارتباطی، سامانه مدیریت هویت، مخزن نسخههای نرمافزار، حسابهای مدیریتی یا تیم پشتیبانی باشد. بانکها ممکن است نام و هیئتمدیره جداگانهای داشته باشند، اما اگر لایههای اصلی آنها به یک مرکز فرمان یا چند مدیر فنی محدود متصل باشد، استقلالشان در روز بحران بیشتر شبیه استقلالی روی کاغذ است.
ما امنیت بانکی را بیش از حد به «نشت نکردن اطلاعات» تقلیل دادهایم. اینکه اطلاعات مشتریان منتشر نشده باشد، مهم است؛ اما امنیت فقط به محرمانه ماندن داده محدود نمیشود. درست ماندن اطلاعات و در دسترس بودن خدمت نیز بخشهایی از امنیتاند. حسابی که موجودی آن محفوظ است، اما صاحبش برای روزها نمیتواند به آن دسترسی پیدا کند، از نگاه مردم یک خدمت امن، قابل اتکا و سالم نیست.
اشتباه دیگر این است که داشتن مرکز داده دوم، نسخه پشتیبان و چند دیوار آتش را به معنای آمادگی کامل بدانیم. پرسش اصلی این نیست که نسخه پشتیبان وجود دارد یا نه؛ پرسش این است که آیا نسخهای سالم، جدا و قابل بازگرداندن وجود دارد؟ آیا مهاجم از همان مسیری که وارد محیط اصلی شده، میتواند نسخههای پشتیبان را نیز حذف یا آلوده کند؟ آیا مرکز اصلی و مرکز جایگزین از یک سامانه هویت، یک خط انتشار نرمافزار و همان حسابهای پرقدرت استفاده میکنند؟ اگر پاسخ مثبت باشد، مرکز دوم پشتیبان واقعی نیست؛ فقط نسخه دیگری از همان نقطه آسیبپذیر است.
تمرکز دسترسی نیز کمتر از تمرکز نرمافزار خطرناک نیست. وقتی یک تأمینکننده برای چند بانک، همزمان توسعه، نگهداری، انتشار نسخه و رفع خرابی را انجام میدهد، دسترسیهای او دیگر موضوعی صرفاً میان بانک و پیمانکار نیست. یک حساب مدیریتی، یک لپتاپ آلوده یا یک سرور واسط میتواند خرابی را از یک بانک به چند بانک دیگر منتقل کند. در این نقطه، شرکت فناوری عملاً بخشی از زیرساخت پولی کشور است؛ حتی اگر در قراردادها فقط «ارائهدهنده خدمات» نامیده شود.
بخشی از مسئولیت متوجه خود بانکهاست. بانکی که نقشه دقیق سامانهها و دسترسیهایش را در اختیار ندارد، بدون حضور پیمانکار قادر به راهاندازی دوباره خدمات نیست و هیچگاه قطع کامل ارتباط با تأمینکننده را آزمایش نکرده، مالک کامل فناوری خود محسوب نمیشود. ممکن است تجهیزات به نام بانک باشد، اما دانش، رمزها، اختیار عملیاتی و توان بازیابی واقعی در جای دیگری قرار گرفته باشد.
بانک مرکزی نیز نمیتواند امنیت را فقط بانکبهبانک بررسی کند. ممکن است هر بانک بهصورت جداگانه دهها فرم امنیتی را پاس کند، اما هیچکس نپرسد خرابی یک هسته مشترک میتواند چند بانک و چند میلیون مشتری را همزمان متوقف کند. ناظر باید نقشه وابستگیهای صنعت را در اختیار داشته باشد: چه سامانههایی مشترکاند؟ چه شرکتهایی دسترسی پرقدرت به چند بانک دارند؟ کدام مراکز جایگزین واقعاً از محیط اصلی جدا هستند؟ و اگر یک تأمینکننده از مدار خارج شود، هر بانک چند روز میتواند بدون او به فعالیت ادامه دهد؟
هنوز گزارش فنی کاملی از حادثه منتشر نشده و حتی در روایتهای بعدی نیز علت ریشهای رخداد روشن نشده است. نمیدانیم نقطه ورود چه بوده، دامنه دسترسی مهاجم تا کجا رسیده، کدام بخشها عمداً خاموش شدهاند، بازگشت خدمات از نسخهای سالم انجام شده یا با استفاده از مسیرهای موقت و چه تغییری قرار است مانع تکرار حادثه شود. پنهان کردن جزئیات حساس درست است؛ اما پنهان کردن علتهای اصلی، فقط راه را برای تکرار همان خطا باز میگذارد.
راهحل، حذف شرکتهای بزرگ یا چندپاره کردن کورکورانه سامانهها نیست. راهحل این است که هیچ شرکت، هسته، حساب مدیریتی یا تیم عملیاتی نتواند بهتنهایی چند بانک را زمینگیر کند. دسترسیها باید از یکدیگر جدا شوند، نسخههای پشتیبان از محیط اصلی قابل حذف نباشند، مرکز جایگزین با همان کلیدها و مسیرهای مدیریتی اداره نشود و هر بانک بتواند در غیاب پیمانکار، خدمات حیاتی خود را دوباره راهاندازی کند.
حمله شاید از بیرون آمده باشد، اما اندازه خسارت را معماری داخل تعیین کرده است. مهاجم فقط یک نقطه را پیدا میکند؛ این ما هستیم که تصمیم گرفتهایم چند بانک را پشت همان نقطه قرار دهیم. تا زمانی که این وابستگیهای مشترک شکسته نشوند، ممکن است بانکهای زیادی داشته باشیم، اما در لحظه بحران، فقط با یک سیستم بزرگ و یک شکست مشترک روبهرو خواهیم شد.
