فیشینگ با استفاده از اطلاعات سرقت شده مشتریان بانک‌ها

اخبار بازار ایران – بیش از یک هفته است که مشتریان نظام بانکی هر روز با پیامک‌های هشدار از سوی بانک‌ها مواجه می‌شوند که در این پیامک‌ها هشدار داده شده به هیچ عنوان اطلاعات کارت بانکی خود اعم از شماره کارت، CVV۲، رمزهای دوم و رمز ورود به همراه بانک را در اختیار هیچ فردی قرار ندهند.

ارسال این پیامک‌ها که به طور همزمان تقریباً از سوی تمام بانک‌ها انجام شده، بسیاری از مشتریان نظام بانکی را نگران کرده است؛ به خصوص اینکه اندکی قبل‌تر خبر سرقت اطلاعات مشتریان بانک ملت رسانه‌ای شده بود.

متأسفانه چنین درز اطلاعاتی که پیشتر نیز اتفاق افتاده بود، با سکوت نظام بانکی بخصوص بانک مرکزی همراه شد و بانک ملت یا سایر بانک‌هایی که پیشتر مورد دستبرد اطلاعاتی قرار گرفته بودند ترجیح دادند بدون ارائه پاسخی قانع کننده در برابر قصور خود برای حفظ اطلاعات مشتریان، از کنار موضوع عبور کنند. البته بانک ملت در مورد اخیر، با صدور اطلاعیه‌ای کوتاه اعلام کرد که روند دسترسی به این اطلاعات و گستردگی آن در دست بررسی است.

اما به هر حال ربوده شدن اطلاعات افراد هر چند که اطلاعات هویتی باشد هم، نشان از ضعف نظام بانکی و معاونت فناوری بانک مرکزی در مدیریت سامانه‌های بسیار حساس این بانک دارد.

اطلاعات هویتی ربوده شده از بانک‌ها سر از کجا درآورد؟

در سرقتی که اخیراً درباره اطلاعات مشتریان بانک ملت اتفاق افتاد، مسئولان بانک در اظهار نظرهای غیررسمی تلاش کردند با این استدلال که این سرقت صرفاً بر روی «اطلاعات هویتی» مشتریان اتفاق افتاده و «اطلاعات حساب بانکی» مشتریان محفوظ مانده است، از اهمیت این رخداد بکاهند و به مشتریان خود اطمینان دهند که با سرقت اطلاعات هویتی، مشکلی برای آنها پیش نخواهد آمد. اما کلاهبرداری که ظرف روزهای گذشته کلید خورده نشان می‌دهد که همین اطلاعات هویتی بخوبی توانسته از سوی کلاهبرداران به گونه‌ای مورد سوءاستفاده قرار بگیرد که موجب جلب اعتماد مردم شده و دسترسی کلاهبرداران به اطلاعات اصلی کارت بانکی مشتریان بانکی را فراهم کند.

جزئیات کلاهبرداری تازه از مشتریان نظام بانکی / ‏‬شیوه جلب اعتماد

اکنون مدتی است چهره جدیدی از فیشینگ در نظام بانکی رونمایی شده و مردمی که از سوی کلاهبرداران با آنها تماس گرفته شده، می‌گویند که ترفندهای این افراد بسیار هوشمندانه و اتفاقاً بر پایه اطلاعات هویتی افراد است.

یکی از خبرنگاران خبرگزاری مهر که طعمه کلاهبرداران قرار گرفته، می‌گوید: با یک خط واتس آپی به شماره … با بنده تماس گرفتند. لگوی صدا و سیمای جمهوری اسلامی ایران در پروفایل این فرد بود؛ فرد تماس گیرنده که در یک محیط بسیار شلوغ با بنده مکالمه می‌کرد، خود را به عنوان نماینده سازمان صدا و سیما معرفی کرد و با اعلام اسم و فامیل بنده، مدعی شد که در قرعه‌کشی همراه اول که به دلیل خوش‌حسابی برگزار شده، برنده شده‌ام و قرار است که ده میلیون تومان به حساب بنده واریز شود.

وی ادامه داد: فرد تماس گیرنده برای اینکه اعتماد بنده را جلب کند، ۴ شماره آخر کد ملی‌ام را که در اختیار داشت، خواند.

خبرنگار مهر گفت: ترفند این فرد جالب بود؛ چون وقتی ۴ رقم آخر کد ملی ام را خواند، از من خواست که کد ملی‌ام را به صورت کامل به وی اعلام کنم. وقتی از این کار امتناع کردم، خودش کدملی ام را به صورت کامل خواند و نشان داد که کل اطلاعات هویتی بنده را در اختیار دارد و از این طریق کوشید تا اعتماد من به طور کامل جلب شود.

وی افزود: در واقع اینجا یک مرحله اطمینان بخشی به بنده داده شد و در مرحله بعد، به من اعلام کرد که در چه بانک‌هایی حساب داشته و کارت عابربانک دارم.

مکالمه توسط صداوسیما در حال ضبط است!!

خبرنگار مهر که طعمه این کلاهبرداران قرار گرفته گفت: جالب اینکه فرد تماس گیرنده مدام تکرار می‌کرد که این مکالمه از سوی صدا و سیما در حال ضبط است و حراست سازمان صداوسیما هم به دلیل مسائل امنیتی ناشی از عدم سوءاستفاده از اطلاعات بانکی محرمانه فرد، نظارت لازم را بر این مکالمه دارد.

وی ادامه داد: فرد تماس گیرنده در ادامه مکالمه، از بنده درخواست کرد دو کارت عابربانک خود را انتخاب کنم تا طبق ادعای واهی وی، در قالب دو مرحله ۵ میلیون تومانی، جمعاً ۱۰ میلیون تومان وجه جایزه به حساب بنده واریز گردد؛ وی از من خواست که دو کارتی که می‌خواهم مبلغ جایزه به آنها واریز شود را دم دست خودم قرار دهم؛ بنده البته بخاطر اینکه به این تماس از ابتدا شک کرده بودم، دو کارت بانکی که فاقد موجودی بودند را انتخاب کردم و گفتم فلان بانک و فلان بانک. فرد تماس گیرنده وقتی اسامی دو بانکم را به او اعلام کردم، دو رقم آخر کارت عابر بانکم را برایم خواند که کاملاً درست بود و نشان داد که اطلاعات این دو کارت را در اختیار دارد. فرد تماس گیرنده، در ادامه از من خواست تا چهار رقم آخر دو کارت عابربانک خودم را به او اعلام کنم.

خبرنگار مهر ادامه داد: وی همزمان که وانمود می‌کرد در حال احراز هویت من است، با تکیه بر این اقدامات تلاش داشت تا اعتماد من را به طور کامل جلب کند تا در نهایت بتواند با دریافت اطلاعات کلیدی دو کارت بانکی ام، موجودی این دو کارت را تخلیه کند.

وی ادامه داد: در این مرحله نیز تماس گیرنده این اطمینان را به مشتری می‌دهد که تا زمانی که او دو رقم آخر کارت را اعلام نکرده است، باید از اعلام ۴ رقم خودداری شود؛ چراکه حراست سازمان صدا و سیما! این موضوع را مورد پیگیری قرار می‌دهد و برای فرد تماس گیرنده دردسرساز خواهد بود؛ در حالی که تمام اینها ترفندهایی برای جذب و اقناع طعمه است.

وی گفت: در ادامه، تماس گیرنده به بنده گفت یک کد برایم پیامک شده است و باید این کد را برای او قرائت کنم. وقتی به پیامک دقت کردم متوجه شدم این پیامک از سرشماره ۹۸۹۸۸۹۲۰۱۱ برایم ارسال شده است؛ ولی طبیعتاً خیلی از مردم به این موضوع دقت کافی ندارند. بنده متوجه شدم که سرشماره پیامک، کاملاً شخصی است اما وانمود کردم که با فرد تماس گیرنده و کلاهبردار همراه هستم؛ فرد کلاهبردار اعلام کرد که در یک مرحله، سه میلیون تومان و در یک مرحله، دو میلیون تومان به حساب بنده واریز خواهد شد و باید کد تائید ارسالی از طریق پیامک را در اختیار کلاهبردار قرار دهم؛ در حالی که وقتی به محتوای پیامک دقت کردم، در واقع رمز دوم یک بار مصرف برایم پیامک شده بود و اگر این رمز را در اختیار فرد کلاهبردار قرار می‌دادم (با فرض اینکه کارت بانکی دارای موجودی بود)، فرد کلاهبردار به راحتی کارت بانکی ام را مورد دستبرد قرار می‌داد.

خبرنگار مهر افزود: فرد تماس گیرنده که مشخص بود در کنار افراد دیگری، به طور همزمان و گروهی در حال تماس با مشتریان نظام بانکی است، چنان مراحل جلب اعتماد را پیش برد که قطعاً می‌تواند منجر به فریب خوردن مردم شود.

قصور بانک‌ها در حفظ اطلاعات مشتریان

برخی منابع مطلع می‌گویند بانک‌ها آنگونه که باید برای حفظ اطلاعات مشتریان خود حساسیت و دقت ندارند و بعضاً شاهد هستیم افرادی نامرتبط و فاقد تخصص در سمت مدیریت فناوری اطلاعات برخی بانک‌ها مشغول فعالیت هستند و از زمان شروع فعالیت این افراد، دستبرد به اطلاعات مشتریان نظام بانکی تشدید شده است. این منابع مطلع حتی این گمانه را مطرح می‌کنند که درز اطلاعات مشتریان نظام بانکی، با همکاری افرادی در داخل بدنه بانک‌ها اتفاق افتاده است.

یک مقام آگاه نیز در گفتگو با خبرنگار مهر گفت: قبلاً بارها درباره لزوم کنترل نیروی انسانی فعال در بخش فناوری اطلاعات بانک‌ها بحث و گفتگو صورت گرفته بود و حتی نرم افزاری طراحی شده بود تا از طریق این نرم افزار بتوان آدمین اصلی در هر بانک که اطلاعات را در اختیار دارد، تحت رصد و کنترل قرار داد اما این نرم افزار هیچگاه در نظام بانکی پیاده سازی نشد.

وی افزود: با توجه به نوع کلاهبرداری که اخیراً اتفاق افتاده و به نظر می‌رسد کلاهبرداران به مشخصات هویتی و تمام کارت‌های بانکی افراد دسترسی پیدا کرده‌اند، بنابراین لو رفتن اطلاعات فراتر از یک بانک بوده است.

با این وجود، بانک‌ها صرفاً به ارسال پیامک هشدار بسنده کرده‌اند.

جای خالی معاونت فناوری بانک مرکزی!

نکته حائز اهمیت این است که معاونت فناوری بانک مرکزی باید اعلام نماید الگوی حفاظت از اطلاعات مشتریان نظام بانکی چیست و چرا فیشینگ‌های گسترده در نظام بانکی به این راحتی صورت می‌گیرد و کسی در قبال آن پاسخگو نیست.

 منبع: مهر