فیشینگ با استفاده از اطلاعات سرقت شده مشتریان بانک ها

بیش از یک هفته است که مشتریان نظام بانکی هر روز با پیامک‌های هشدار از سوی بانک‌ها مواجه می‌شوند که در این پیامکها هشدار داده شده به هیچ عنوان اطلاعات کارت بانکی خود اعم از شماره کارت، CVV۲، رمزهای دوم و رمز ورود به همراه بانک را در اختیار هیچ فردی قرار ندهند.

ارسال این پیامک‌ها که بطور همزمان تقریباً از سوی تمام بانک‌ها انجام شده، بسیاری از مشتریان نظام بانکی را نگران کرده است؛ به خصوص اینکه اندکی قبل‌تر خبر رسانه‌ای شده بود.

متأسفانه چنین درز اطلاعاتی که پیشتر نیز اتفاق افتاده بود، با سکوت نظام بانکی بخصوص بانک مرکزی همراه شد و بانک ملت یا سایر بانک‌هایی که پیشتر مورد دستبرد اطلاعاتی قرار گرفته بودند ترجیح دادند بدون ارائه پاسخی قانع کننده در برابر قصور خود برای حفظ اطلاعات مشتریان، از کنار موضوع عبور کنند. البته بانک ملت در مورد اخیر، با صدور اطلاعیه ای کوتاه اعلام کرد که روند دسترسی به این اطلاعات و گستردگی آن در دست بررسی است.

اما به هر حال ربوده شدن اطلاعات افراد هر چند که اطلاعات هویتی باشد هم، نشان از ضعف نظام بانکی و معاونت فناوری بانک مرکزی در مدیریت سامانه‌های بسیار حساس این بانک دارد.

اطلاعات هویتی ربوده شده از بانک‌ها سر از کجا درآورد؟

در سرقتی که اخیراً درباره اطلاعات مشتریان بانک ملت اتفاق افتاد، مسئولان بانک در اظهار نظرهای غیررسمی تلاش کردند با این استدلال که این سرقت صرفاً بر روی «اطلاعات هویتی» مشتریان اتفاق افتاده و «اطلاعات حساب بانکی» مشتریان محفوظ مانده است، از اهمیت این رخداد بکاهند و به مشتریان خود اطمینان دهند که با سرقت اطلاعات هویتی، مشکلی برای آنها پیش نخواهد آمد. اما کلاهبرداری که ظرف روزهای گذشته کلید خورده نشان می‌دهد که همین اطلاعات هویتی بخوبی توانسته از سوی کلاهبرداران به گونه‌ای مورد سواستفاده قرار بگیرد که موجب جلب اعتماد مردم شده و دسترسی کلاهبرداران به اطلاعات اصلی کارت بانکی مشتریان بانکی را فراهم کند.

جزئیات کلاهبرداری تازه از مشتریان نظام بانکی / ‏‬شیوه جلب اعتماد

اکنون مدتی است چهره جدیدی از فیشینگ در نظام بانکی رونمایی شده و مردمی که از سوی کلاهبرداران با آنها تماس گرفته شده، می‌گویند که ترفندهای این افراد بسیار هوشمندانه و اتفاقاً بر پایه اطلاعات هویتی افراد است.

یکی از خبرنگاران که طعمه کلاهبرداران قرار گرفته، می‌گوید: با یک خط واتس آپی به شماره … با بنده تماس گرفتند. لگوی صدا و سیمای جمهوری اسلامی ایران در پروفایل این فرد بود؛ فرد تماس گیرنده که در یک محیط بسیار شلوغ با بنده مکالمه می‌کرد، خود را به عنوان نماینده سازمان صدا و سیما معرفی کرد و با اعلام اسم و فامیل بنده، مدعی شد که در قرعه‌کشی همراه اول که به دلیل خوش‌حسابی برگزار شده، برنده شده‌ام و قرار است که ده میلیون تومان به حساب بنده واریز شود.

وی ادامه داد: فرد تماس گیرنده برای اینکه اعتماد بنده را جلب کند، ۴ شماره آخر کد ملی‌ام را که در اختیار داشت، خواند.

گفت: ترفند این فرد جالب بود؛ چون وقتی ۴ رقم اخر کد ملی ام را خواند، از من خواست که کدملی‌ام را بصورت کامل به وی اعلام کنم. وقتی از این کار امتناع کردم، خودش کدملی ام را بصورت کامل خواند و نشان داد که کل اطلاعات هویتی بنده را در اختیار دارد و از این طریق کوشید تا اعتماد من بطور کامل جلب شود.

وی افزود: در واقع اینجا یک مرحله اطمینان بخشی به بنده داده شد و در مرحله بعد، به من اعلام کرد که در چه بانک‌هایی حساب داشته و کارت عابربانک دارم.

مکالمه توسط صداوسیما در حال ضبط است!!

که طعمه این کلاهبرداران قرار گرفته گفت: جالب اینکه فرد تماس گیرنده مدام تکرار می‌کرد که این مکالمه از سوی صدا و سیما در حال ضبط است و حراست سازمان صداوسیما هم به دلیل مسائل امنیتی ناشی از عدم سواستفاده از اطلاعات بانکی محرمانه فرد، نظارت لازم را بر این مکالمه دارد.

وی ادامه داد: فرد تماس گیرنده در ادامه مکالمه، از بنده درخواست کرد دو کارت عابربانک خود را انتخاب کنم تا طبق ادعای واهی وی، در قالب دو مرحله ۵ میلیون تومانی، جمعاً ۱۰ میلیون تومان وجه جایزه به حساب بنده واریز گردد؛ وی از من خواست که دو کارتی که می‌خواهم مبلغ جایزه به آنها واریز شود را دم دست خودم قرار دهم؛ بنده البته بخاطر اینکه به این تماس از ابتدا شک کرده بودم، دو کارت بانکی که فاقد موجودی بودند را انتخاب کردم و گفتم فلان بانک و فلان بانک. فرد تماس گیرنده وقتی اسامی دو بانکم رو به او اعلام کردم، دو رقم آخر کارت عابربانکم را برایم خواند که کاملاً درست بود و نشان داد که اطلاعات این دو کارت را در اختیار دارد. فرد تماس گیرنده، در ادامه از من خواست تا چهار رقم آخر دو کارت عابربانک خودم را به او اعلام کنم.

ادامه داد: وی همزمان که وانمود می‌کرد در حال احراز هویت من است، با تکیه بر این اقدامات تلاش داشت تا اعتماد مرا بطور کامل جلب کند تا در نهایت بتواند با دریافت اطلاعات کلیدی دو کارت بانکی ام، موجودی این دو کارت را تخلیه کند.

وی ادامه داد: در این مرحله نیز تماس گیرنده این اطمینان را به مشتری می‌دهد که تا زمانی که او دو رقم آخر کارت را اعلام نکرده است، باید از اعلام ۴ رقم خودداری شود؛ چراکه حراست سازمان صدا و سیما! این موضوع را مورد پیگیری قرار می‌دهد و برای فرد تماس گیرنده دردسرساز خواهد بود؛ در حالیکه تمام این ها ترفندهایی برای جذب و اقناع طعمه است.

وی گفت: در ادامه، تماس گیرنده به بنده گفت یک کد برایم پیامک شده است و باید این کد را برای او قرائت کنم. وقتی به پیامک دقت کردم متوجه شدم این پیامک از سرشماره ۹۸۹۸۸۹۲۰۱۱ برایم ارسال شده است؛ ولی طبیعتاً خیلی از مردم به این موضوع دقت کافی ندارند. بنده متوجه شدم که سرشماره پیامک، کاملاً شخصی است اما وانمود کردم که با فرد تماس گیرنده و کلاهبردار همراه هستم؛ فرد کلاهبردار اعلام کرد که در یک مرحله، سه میلیون تومان و در یک مرحله، دو میلیون تومان به حساب بنده واریز خواهد شد و باید کد تائید ارسالی از طریق پیامک را در اختیار کلاهبردار قرار دهم؛ در حالیکه وقتی به محتوای پیامک دقت کردم، در واقع رمز دوم یکبار مصرف برایم پیامک شده بود و اگر این رمز را در اختیار فرد کلاهبردار قرار می‌دادم (با فرض اینکه کارت بانکی دارای موجودی بود)، فرد کلاهبردار براحتی کارت بانکی ام را مورد دستبرد قرار می‌داد.

افزود: فرد تماس گیرنده که مشخص بود در کنار افراد دیگری، بطور همزمان و گروهی در حال تماس با مشتریان نظام بانکی است، چنان مراحل جلب اعتماد را پیش برد که قطعاً می‌تواند منجر به فریب خوردن مردم شود.

قصور بانک‌ها در حفظ اطلاعات مشتریان

برخی منابع مطلع می‌گویند بانک‌ها آنگونه که باید برای حفظ اطلاعات مشتریان خود حساسیت و دقت ندارند و بعضاً شاهد هستیم افرادی نامرتبط و فاقد تخصص در سمت مدیریت فناوری اطلاعات برخی بانک‌ها مشغول فعالیت هستند و از زمان شروع فعالیت این افراد، دستبرد به اطلاعات مشتریان نظام بانکی تشدید شده است. این منابع مطلع حتی این گمانه را مطرح می‌کنند که درز اطلاعات مشتریان نظام بانکی، با همکاری افرادی در داخل بدنه بانک‌ها اتفاق افتاده است.

یک مقام اگاه نیز در گفتگو با گفت: قبلاً بارها درباره لزوم کنترل نیروی انسانی فعال در بخش فناوری اطلاعات بانک‌ها بحث و گفتگو صورت گرفته بود و حتی نرم افزاری طراحی شده بود تا از طریق این نرم افزار بتوان ادمین اصلی در هر بانک که اطلاعات را در اختیار دارد، تحت رصد و کنترل قرار داد اما این نرم افزار هیچگاه در نظام بانکی پیاده سازی نشد.

وی افزود: با توجه به نوع کلاهبرداری که اخیراً اتفاق افتاده و بنظر می‌رسد کلاهبرداران به مشخصات هویتی و تمام کارتهای بانکی افراد دسترسی پیدا کرده اند، بنابراین لو رفتن اطلاعات فراتر از یک بانک بوده است.

با این وجود، بانک‌ها صرفاً به ارسال پسامک هشدار بسنده کرده اند.

جای خالی معاونت فناوری بانک مرکزی!

نکته حائز اهمیت این است که معاونت فناوری بانک مرکزی باید اعلام نماید الگوی حفاظت از اطلاعات مشتریان نظام بانکی چیست و چرا فیشینگ‌های گسترده در نظام بانکی به این راحتی صورت می‌گیرد و کسی در قبال آن پاسخگو نیست.

منبع: مهر

70