حملات سایبری بیش از پیش زیرساخت‌های حیاتی، از فروشگاه‌ها تا شبکه برلین را هدف می‌گیرند. یک هکر اخلاقی به یورونیوز می‌گوید چگونه ضعف‌های امنیتی را می‌یابد و چرا انسان بزرگ‌ترین خطر است.
بعد از یخچال‌های موجود در سوپرمارکت‌ها، این بار خدمات اهدای خون نیز هدف حمله هکرهای ناشناس قرار گرفته است. به دلیل وقفه در سیستم‌های سرمایش، برخی از اهدای خون غیرقابل استفاده شده است. یک هکر اخلاقی در گفت‌وگو با یورونیوز توضیح می‌دهد که آن‌ها چگونه تلاش می‌کنند حفره‌های امنیتی را پیش از آن که مجرمان بتوانند با استفاده از آن‌ها خسارت وارد کنند، پیدا کنند.
آگهی
آگهی
مارکو دی فیلیپو، کارشناس امنیت سایبری در شرکت وایت‌لیست‌هکرز، گفت: «در دو هفته گذشته، با تجمعی استثنایی از پرونده‌های چشمگیر روبه‌رو بودیم، به شکلی که پیش از این حتی در طول یک سال کامل هم چنین چیزی را تجربه نکرده بودیم.» او آنچه اصطلاحا هکر اخلاقی نامیده می‌شود، است و از سوی شرکت‌ها مأمور می‌شود تا امنیت فناوری اطلاعات آن‌ها را بررسی کند. در زبان آلمانی به او «ethischer Hacker» می‌گویند.
در هفته‌های اخیر موارد متعددی او را مشغول کرده است؛ از اف‌دی-لیکس تا کشف حفره‌های امنیتی در شرکت مالی رولوت و در زبان اسکریپت‌نویسی PHP که تعداد زیادی از وب‌سایت‌ها با آن نوشته شده‌اند، تا حملات به سردخانه‌ها. بر اساس «گزارش وضعیت جرایم سایبری ۲۰۲۵» پلیس جنایی فدرال آلمان، در سال ۲۰۲۵ میلادی زیانی اقتصادی به ارزش ۲۰۲.۴ میلیارد یورو وارد شده است.
یک کلیک درِ شبکه ایالتی برلین را به روی هکرها باز کرد
مارکو دی فیلیپو درباره حمله سایبری به شبکه ایالتی برلین در اوت ۲۰۲۶ گفت که این مورد به‌ویژه پرونده‌ای مشکل‌زا بوده و می‌شد از آن جلوگیری کرد. عاملان، در برابر بازگشت داده‌ها، درخواست باج به مبلغ ۳۰ بیت‌کوین کردند که حدود ۲ میلیون یورو برآورد شده است، اما سنای برلین قاطعانه این درخواست را رد کرد. در نهایت ۱.۴ میلیون پرونده محرمانه در دارک‌نت منتشر شد.
به گفته او، دلیل این حادثه وجود یک نقطه‌ضعف در سامانه دیجیتال بود. گروه باج‌افزاری «Rhysida» که پشت این حمله قرار داشت، از ناآگاهی یک انسان سوءاستفاده کرد. دی فیلیپو توضیح داد: «قربانی به یک وب‌سایت کشانده شد و در آنجا از او خواسته شد تأیید کند که انسان است. این روش حمله را ClickFix می‌نامند. خیلی‌ها آن را می‌شناسند: باید عددی را وارد کنید، تصاویری را کنار هم بگذارید یا یک مسئله ریاضی را حل کنید تا ثابت شود ربات نیستید.»
به گفته او، در آن وب‌سایت از قربانی خواسته شد ترکیب خاصی از کلیدها را بزند، فرمانی را در آنجا کپی کند و کلید اینتر را بزند. دی فیلیپو گفت: «با این کار، قربانی عملا خودش در را به روی مهاجمان باز کرد.» او این وضعیت را چنین توصیف کرد که انگار ایمیلی با این متن بنویسید: «می‌خواهم یک بانک را سرقت کنم و امشب ساعت ۱۰ شب می‌آیم. لطفا در را نیمه‌باز بگذارید تا مستقیما بتوانم سراغ خزانه بروم.»
دی فیلیپو از این پرونده دو نکته نتیجه‌گیری می‌کند: از یک سو، نبودِ توجه کافی است. او گفت: «اول این که کاربری وجود داشت که این فرمان را اجرا کرد، یعنی عامل انسانی.» از سوی دیگر، این کاربر اصولا نباید مجوزهای لازم را برای انجام چنین حمله‌ای در اختیار می‌داشت. دی فیلیپو ارزیابی کرد: «ما هر روز با چنین مواردی روبه‌رو می‌شویم که در برخی از آن‌ها فقط می‌توان سر تکان داد.»
انسان، حلقه ضعیف امنیت فناوری اطلاعات
به گفته کارشناس امنیت سایبری، احتمال این که هر فردی هدف یک حمله هکری قرار بگیرد، یک به دو است. اما مارکو دی فیلیپو از شرکت وایت‌لیست‌هکرز معتقد است هنوز هم این خطر به اندازه کافی جدی گرفته نمی‌شود. به گفته او، انسان بیشتر از هک شدن، از دزدی از خانه یا رعد و برق می‌ترسد. دی فیلیپو گفت: «در حالی که احتمال این که من را صاعقه بزند، تنها یک در ۲۰۰ هزار است.»
این کارشناس امنیت سایبری ابراز تأسف کرد که امنیت امروزه در اولویت قرار ندارد. او توضیح داد: «محصولات بسیاری فروخته می‌شود که در آن‌ها تمرکز اصلی بر سهولت استفاده و کاربرپسند بودن است.» به گفته او، برای نمونه خانه‌های هوشمند وجود دارد که در آن‌ها می‌توان نور و گرمایش را از هر جایی کنترل کرد. یخچال‌های سوپرمارکت‌ها نیز برای مدیریت متمرکز، به اینترنت متصل هستند. به گفته او، هرچند همه چیز آسان‌تر شده، اما نه لزوما امن‌تر.
دی فیلیپو گفت: «دقیقا در همین‌جا است که امروز در تربیت‌مان کمبود داریم. منظورم از "ما"، همه کسانی است که هرگز یاد نگرفته‌اند خطرها را هم تشخیص دهند.» به باور او باید از آموزش و پرورش آغاز کرد. کسی که هرگز در معرض خطر یک حمله هکری قرار نگرفته، معمولا خود را هدف بالقوه نمی‌داند. در حالی که فرصت‌هایی برای مثال برای ورود به دستگاه‌های دیگران مرتب در حال افزایش است.
چرا امنیت سایبری از آگاه‌سازی آغاز می‌شود
در برخی موارد، تنها کلیک کردن روی لینکی در یک پیامک یا پیام واتس‌اپ، و سپس تأیید هویت، کافی است تا ناخواسته به مهاجمان اجازه دسترسی به پیام‌های خصوصی داده شود. در چنین حالتی، مهاجمان دستگاه را به خود متصل می‌کنند و به این ترتیب به پیام‌ها، رسانه‌ها و فهرست مخاطبان دسترسی می‌یابند. اداره فدرال امنیت در فناوری اطلاعات آلمان (BSI) در ابتدای امسال نسبت به این روش که با نام «Ghost Pairing» شناخته می‌شود، هشدار داد. به گفته این اداره، برای جلوگیری از این که افراد غریبه پیام‌ها را بخوانند، باید پیام‌های ورودی «با نگاه انتقادی بررسی» شوند و سازوکارهایی مانند احراز هویت دو مرحله‌ای فعال شود.
به گفته دی فیلیپو، کشورهایی مانند هند در کنار توسعه فناوری، کار آگاه‌سازی گسترده‌ای انجام می‌دهند. او گفت: «وقتی در هند با مترو سفر می‌کنم، همه جا پوسترهایی می‌بینم درباره مجرمان سایبری یا خسارت‌های سایبری، همراه با شماره تلفنی که می‌توانم با آن تماس بگیرم.» به گفته او، در آلمان در مقابل، گاهی در پلیس به شهروندان پاسخ داده نمی‌شود و آن‌ها باید خودشان جست‌وجو کنند که کدام نهاد مسئول است.
دی فیلیپو با هشدار نسبت به سرعت توسعه این نوع تهدیدها گفت: «هر روز نقاط شروع و ایده‌های تازه‌ای برای حملات به وجود می‌آید.» او درباره حملات اخیر به یخچال‌ها توضیح داد: «هکرها یک‌بار این حفره امنیتی را در یخچال‌ها کشف کرده‌اند و حالا فقط باید ببینند چه کسانی چنین مدلی را در حال استفاده دارند. بر این اساس، حملات گسترش پیدا می‌کند.» به گفته او، پیدا کردن یک حفره امنیتی می‌تواند اثری شبیه به گلوله برفی داشته باشد.
به گفته دی فیلیپو، در حدود ۸۰ تا ۹۵ درصد حملات، همیشه انسان هم در سوءاستفاده از یک حفره نقش دارد؛ مانند حمله به شبکه‌های ایالتی برلین. او گفت: «بنابراین باید توجه بسیار زیادی به آموزش و آگاهی‌رسانی داشته باشیم تا در نهایت در برابر حملات سایبری مقاوم شویم. در این مسیر باید عامل انسانی هم در نظر گرفته شود، با تکیه بر فناوری به‌تنهایی موفق نخواهیم شد.»
هک کردن برای متوقف کردن هکرها
او درباره کار خود توضیح داد که هدف این است که خود را به جای هکرهای مجرم بگذارند. دی فیلیپو گفت: «در نهایت ما تلاش می‌کنیم به زیرساخت‌ها حمله کنیم یا خطاها را در زیرساخت‌ها، در نرم‌افزارها یا در دستگاه‌های مبتنی بر فناوری اطلاعات پیدا کنیم، با استفاده از ابزارهایی که مجرمان سایبری واقعی نیز از آن‌ها استفاده می‌کنند.» او افزود: «با این تفاوت که هدف ما این است که این خطاها را پیش از آن که مهاجمان واقعی به آن‌ها دست پیدا کنند و از این حفره‌ها سوءاستفاده کنند، شناسایی کنیم.»
به گفته او، تفاوت مهم در این است که هکرهای اخلاقی از سوی مشتریان، مثلا شرکت‌های بزرگ، مأمور می‌شوند و هدف‌شان این نیست که به زیرساخت مشتریان آسیبی وارد کنند. دی فیلیپو با تأکید گفت که در شرکت او هرگز کسی سابقه فعالیت مجرمانه نداشته است. هکرهای اخلاقی باید با ارائه گواهی عدم سوءپیشینه پلیس، گذشته خود را آشکار کنند و آن را به اثبات برسانند.
او در گفت‌وگو با یورونیوز درباره کار خود گفت: «ما همیشه یک حفره امنیتی پیدا می‌کنیم.» تیم او در پایان، گزارشی حداکثر ۴۰۰ صفحه‌ای در اختیار شرکت‌ها قرار می‌دهد که در آن توضیح داده می‌شود شکاف‌های موجود در زیرساخت دیجیتال کجا بوده و چگونه کشف شده است.
پس از کشف حفره، سازندگان دستگاه‌ها یا سامانه‌ها در جریان قرار می‌گیرند و می‌توانند همراه با شرکت مربوط، برای برطرف کردن آن اقدام کنند. در برخی موارد، این حفره‌های امنیتی مثلا در گوشی آیفون، ارزشی برابر با چندین میلیون یورو دارند. دی فیلیپو افزود: «ما منتظر می‌مانیم تا حفره بسته شود. سپس هر حفره امنیتی از طریق آنچه به آن CVE می‌گویند منتشر می‌شود.»
عبارت CVE مخفف Common Vulnerabilities and Exposures است، که به آلمانی به معنای «نقاط ضعف و تهدیدهای مشترک» است. این یک فهرست از حفره‌های امنیتی است که به‌طور عمومی در دسترس است. خود اداره فدرال امنیت در فناوری اطلاعات آلمان نیز درباره نقاط ضعف اطلاع‌رسانی می‌کند و برای مجموعه‌ای گسترده‌تر، به پایگاه داده بین‌المللی «National Vulnerability Database (NVD)» ارجاع می‌دهد.
وقتی نبودِ رمزنگاری می‌تواند میلیاردها هزینه داشته باشد
داستان‌هایی که دی فیلیپو می‌تواند تعریف کند، شبیه فیلمنامه یک سریال در نتفلیکس است. برای مثال، حدود یک دهه پیش پرونده‌ای وجود داشت که در آن مجرمان سایبری توانستند به‌نسبت ساده ۱.۲ میلیارد یورو از یک بانک سرقت کنند. به گفته این کارشناس امنیت سایبری، «علت این بود که بانک در آن زمان برای اتصال بین شعب خود هیچ‌گونه تدابیر امنیتی در نظر نگرفته بود.»
به گفته او، این بانک یک شعبه در یک سوی خیابان و یک دفتر وابسته درست در سمت مقابل داشت. او توضیح داد: «آن‌ها این دو محل را با یک لینک رادیویی نقطه به نقطه به هم متصل کرده بودند و این اتصال رادیویی رمزنگاری نشده بود. در نتیجه، مهاجمان بدون برخورداری از مهارت‌های خاص هک توانستند به‌راحتی به این لینک متصل شوند، عملا در فضای دیجیتال در بانک آزادانه حرکت کنند و بی‌سروصدا این پول را بیرون بکشند.»
او افزود که در مورد یخچال‌های سوپرمارکت‌ها نیز در برخی موارد، در نهایت حفاظت از طریق رمزنگاری وجود نداشته است. کارشناسان دست‌کم استفاده از شبکه خصوصی مجازی یا همان وی‌پی‌اِن و همچنین فایروال را توصیه می‌کنند. برای بانک‌ها اکنون استانداردهای امنیتی بالاتری اعمال می‌شود. حدود یک سال پیش، دولت فدرال آلمان همچنین دستورالعمل NIS-2 را تصویب کرد. این دستورالعمل تعداد بسیار بیشتری از شرکت‌ها و بخش‌ها را نسبت به گذشته ملزم به رعایت اقدامات الزام‌آور در حوزه امنیت سایبری می‌کند، به‌ویژه در زمینه اقدامات پیشگیرانه.
شرکت وایت‌لیست‌هکرز علاوه بر این بر سواد رسانه‌ای تکیه می‌کند و به همین دلیل مسابقه‌ای با عنوان «بهترین هکر آلمان» را راه‌اندازی کرده است. هدف، یافتن استعدادها و استفاده از کمک هکرهای اخلاقی برای امن‌تر کردن دنیای دیجیتال است. برنده می‌تواند در رویدادهای بین‌المللی موسوم به «هکاتون» که در آن هک کردن به‌شکل ماراتن برگزار می‌شود، شرکت کند.
هک کردن به‌عنوان یک خدمت، در هر دو سو رونق گرفته است. در دارک‌نت، «Cybercrime-as-a-Service (CaaS)» یا همان «جرایم سایبری به‌عنوان خدمت سفارشی» اکنون میان مجرمان به‌طور گسترده رواج دارد، اما بازار قانونی خدمات امنیتی نیز در حال رشد است. شرکت وایت‌لیست‌هکرز هر ساله سفارش‌های حدود ۲۵۰ مشتری را بررسی می‌کند. پس از برخی پرونده‌های پر سر و صدای جهانی، اکنون شرکت‌های بیشتری علاقه‌مند شده‌اند که زیرساخت‌های امنیتی خود را بهبود دهند.