سرهنگ خالقی، معاون پلیس فتا، امروز چهارشنبه ۲۸ مرداد ۱۴۰۵ در همایش تخصصی پلتفرمهای آنلاین طلا «زرآتی؛ از خاک تا طلا» با اشاره به وضعیت جرایم در این حوزه اظهار کرد: طی ۳ سال گذشته، از زمان آغاز فعالیت عمومی نخستین پلتفرم طلای آنلاین تاکنون، ۵۰۸ پرونده در حوزه جرایم کلاهبرداری تشکیل شده است.
وی افزود: آیا ۵۰۸ پرونده در بازه زمانی ۳ ساله عدد زیادی است؟ قاعدتاً خیر و این موضوع نشان میدهد تنظیمگری این حوزه در مسیر درستی قرار دارد، اما بخش زیادی از این پروندهها قابل پیشگیری است.
معاون پلیس فتا ادامه داد: به اعتقاد من حدود ۶۰ درصد این پروندهها را میتوان با داشتن یک سیستم احراز هویت درست و سامانه تشخیص تقلب که بتواند پیش از وقوع جرم آن را شناسایی کند، پیشگیری کرد. حمله از کارت آلوده تا کیف پول طلای آنلاین
خالقی با تشریح شیوه وقوع بخش قابل توجهی از جرایم گفت: در قالب بسیاری از این جرایم، یک کارت یا دستگاه آلوده میشود که غالباً از طریق لینک آلوده اتفاق میافتد؛ سپس از آن دستگاه به اینترنتبانک دسترسی پیدا میکنند و از طریق اینترنتبانک، کیف پولی را در یکی از پلتفرمهایی که نقدشوندگی بالایی دارد، شارژ و پس از آن اقدام به برداشت میکنند.
خالقی راهکار مقابله با این مسئله را استفاده از «لایوچک» عنوان کرد و گفت: اجرای این روش هزینه دارد و ممکن است فرایند ورود کاربران را زمانبر کند، اما در حال حاضر یکی از راهکارهای مقابله با حسابهای اجارهای است. ۸ حمله سایبری به حدود ۳۰ پلتفرم طلا
وی در ادامه با اشاره به حملات سایبری به پلتفرمهای آنلاین طلا گفت: در بازه زمانی ۳ ساله، ۸ حمله سایبری به حدود ۳۰ پلتفرم داشتهایم که ۶ مورد از این حملات از بدیهیاتی بوده که میتوانستیم رعایت کنیم اما رعایت نشده بود.
معاون پلیس فتا افزود: این حملات از مواردی مانند استفاده از رمز عبور ضعیف، ذخیره کردن رمز عبور روی مرورگر، پیکربندیهای نامناسب، در معرض اینترنت قرار گرفتن سرویسهای حساس، نداشتن احراز هویت چندمرحلهای روی سرویسهای حیاتی و بهروزرسانی نکردن سرویسهای دارای آسیبپذیری ناشی شده است.
خالقی با بیان اینکه این ۶ حمله خوشبختانه اثرگذاری شدیدی نداشته و مهار شده است، گفت: با این حال نباید چنین اتفاقاتی رخ میداد.
وی اظهار کرد: پیش از این برای پیشگیری از چنین اتفاقاتی، ۲۰۹ کنترل امنیت سایبری در قالب دفترچه الزامات خدمات سایبری به پلتفرمها ارائه شده است.
معاون پلیس فتا افزود: این کنترلها بر اساس استانداردهای جهانی از جمله استانداردهای CIS و همچنین تجربیات پلیس فتا تدوین شده و همکاران ما نیز به صورت دورهای کسبوکارها را بررسی و بر اساس میزان رعایت الزامات به آنها امتیاز میدهند.
خالقی گفت: در مرکز ملی فضای مجازی تصمیم جدیدی گرفته شده که رنگ نمره امنیت سایتها به صورت عمومی منتشر شود. این موضوع میتواند به کاربران کمک کند بدانند با چه پلتفرمی کار میکنند و آن پلتفرم تا چه میزان از امنیت و حفاظت برخوردار است. توصیههای امنیتی پلیس فتا به پلتفرمهای طلای آنلاین
وی با تأکید بر اهمیت پشتیبانگیری از اطلاعات کاربران گفت: نخستین موضوعی که در استانداردهای جهانی نیز مورد تأکید قرار دارد، تهیه نسخه پشتیبان است. پلتفرمها باید در روزهای عادی و بهویژه در شرایط حساس و جنگی، متناسب با میزان تراکنشها از اطلاعات کاربران نسخه پشتیبان تهیه کنند. خالقی تأکید کرد: نسخه پشتیبان نباید به اینترنت متصل باشد و باید در محلی امن و خارج از مرکز داده نگهداری شود.
معاون پلیس فتا با اشاره به تجربه آسیب دیدن مراکز داده در جریان جنگ اخیر گفت: در دوره جنگ، مرکز دادهای داشتیم که ۳ موشک به آن اصابت کرد و سیستم باید دوباره بازیابی میشد. در چنین شرایطی طبیعی است کاربران پلتفرم نگران سرمایههای خود باشند؛ بنابراین داشتن نسخه پشتیبان میتواند تا حد زیادی خیال کسبوکار و کاربران را راحت کند.
وی همچنین بر ضرورت ایجاد زیرساخت بازیابی اطلاعات در محلی متفاوت از مرکز داده اصلی تأکید کرد و گفت: پلتفرمها باید علاوه بر سیستم اصلی، یک محیط بازیابی در مرکز دادهای متفاوت و ترجیحاً در یک منطقه جغرافیایی دیگر داشته باشند تا در صورت وقوع حادثه بتوانند تداوم کسبوکار خود را حفظ کنند.
خالقی یکی دیگر از الزامات امنیتی را ثبت و نگهداری لاگها عنوان کرد و گفت: باید مشخص باشد که برای رسیدگی به یک حادثه، اطلاعات را از کجا میتوان پیدا کرد و لاگها در سطوح مختلف زیرساخت، فایروال، اپلیکیشن و فعالیت کاربران نگهداری شود.
وی افزود: نگهداری لاگ یک الزام قانونی است و پلتفرمها باید برای مدت مشخصشده در قانون این اطلاعات را نگهداری کنند. بسیاری از حملاتی که ما بررسی میکنیم نهایتاً در مدت یک ماه مورد رسیدگی قرار میگیرند و بدون لاگ مناسب، فرایند بررسی با مشکل مواجه میشود. اطلاعات ۴۰ میلیون کاربر باید رمزنگاری شود
معاون پلیس فتا با اشاره به حجم اطلاعات کاربران پلتفرمهای آنلاین طلا گفت: طبق آخرین آماری که دارم، مجموعاً اطلاعات نزدیک به ۴۰ میلیون کاربر در این پلتفرمها نگهداری میشود و این اطلاعات نباید به شکل عادی در پایگاه داده ذخیره شود.
خالقی بر ضرورت رمزنگاری اطلاعات پایگاه داده تأکید کرد و گفت: اگر این اطلاعات در اثر یک رخداد امنیتی منتشر شود، میتواند منشأ حملات فیشینگ و پیامکهای کلاهبرداری باشد؛ همان پیامکهایی که در آنها مجرمان اطلاعاتی مانند نام، آدرس یا شماره تلفن افراد را در اختیار دارند.
وی افزود: در استانداردهای CIS نیز قوانین سختگیرانهای برای حفاظت از اطلاعات کاربران در نظر گرفته شده است و میدانم اجرای این الزامات بار سنگینی برای پلتفرمها دارد، اما باید به آن توجه شود.
وی افزود: این کار میتواند از بسیاری از خطاهای معمول، پیکربندیهای نادرست و حملات ساده جلوگیری کند و باعث شود در صورت وقوع یک حمله پیچیده، زیرساخت از قبل در برابر آسیبپذیریهای ابتدایی مقاوم شده باشد.
معاون پلیس فتا در بخش دیگری از سخنان خود با اشاره به موضوع خالیفروشی در پلتفرمهای آنلاین طلا گفت: در این بازه زمانی، یک پلتفرم به دلیل خالیفروشی جمعآوری شد و حدود ۲۰۰ هزار مورد خالیفروشی در آن وجود داشت.
وی ادامه داد: موضوع خالیفروشی ارتباطی با کاربر نداشت و این پلتفرم علاوه بر فعالیت در حوزه طلا، در حوزه بیتکوین نیز فعالیت میکرد و به دلیل اتفاقات رخداده نتوانست تعهدات مالی خود را ایفا کند و در نهایت جمع شد.
وی خطاب به پلتفرمهای آنلاین طلا تأکید کرد: خالیفروشی نکنید. تاکنون پلیس فتا در کنار پلتفرمها ایستاده و حتی در مواردی فراتر از وظایف خود برای راهاندازی و رونق کسبوکار کمک کرده است، اما اکنون این موضوع به بانک مرکزی واگذار شده و امیدواریم با سازوکار جدید، جلوی خالیفروشی گرفته شود.
معاون پلیس فتا در پایان گفت: نباید شاهد این باشیم که یک پلتفرم با وجود هزینههای فراوان مجبور به جمعآوری شود، زیرا نتوانسته است کسبوکار خود را به درستی مدیریت کند.
