خبر هک اسنپ‌فود درحالی منتشر شده که مدتی پیش همین گروه هکری به سرورهای تپسی نفوذ کرده بود.

به گزارش همشهری آنلاین، همچنین اگرچه به‌نظر می‌رسد، داده‌های کاربران اعم از مشتریان، فروشندگان و پیک‌های اسنپ‌فود ۲۰روز پیش استخراج شده، اما خبر آن طی یکی، دو روز پیش منتشر شده است. این کسب‌وکار اینترنتی درحالی از «حداکثر تلاش خود برای جلوگیری از انتشار داده‌های کاربران از طریق مذاکره با این گروه هکری» سخن گفته که رسانه‌ها به نقل از این گروه اعلام کرده‌اند که «پس از ماجرای تپسی تصمیم گرفتیم با هیچ شرکتی در آینده مذاکره نکنیم!»

هک اسنپ‌فود و تپسی طی یک فاصله زمانی کوتاه نشان می‌دهد که این ۲بازیگر اصلی کسب‌وکارهای اینترنتی اهمیت چندانی برای امنیت داده‌های کاربران خود قائل نیستند. با این حال، اسنپ‌فود اعلام کرده که اطلاعات کارت بانکی کاربران به سرقت نرفته، پس کاربران نگران نباشند.

دیتای سرقت شده
نفوذ به سرورهای اسنپ‌فود باعث نشت داده‌های ۲۰ میلیون کاربر شامل نام کاربری، رمز عبور، ایمیل، نام و نام خانوادگی، شماره موبایل و تاریخ تولد شده است. اطلاعات بیش از ۵۱میلیون آدرس کاربر شامل موقعیت GPS، آدرس‌کامل و شماره تلفن، اطلاعات بیش از ۱۸۰میلیون دستگاه همراه شامل نوع و مدل دستگاه، پلتفرم، توکن، فروشگاه نصب برنامه، اطلاعات بیش از ۳۶۰ میلیون سفارش شامل آی‌پی سفارش دهنده، آدرس دریافتی، تلفن دریافتی، شهر، مدت زمان دریافت، نام و نام خانوادگی، مشخصات فروشگاه یا رستوران، قیمت و محصول، اطلاعات بیش از ۳۵هزار پیک شامل نام و نام خانوادگی، شماره تماس، کد ملی و شهر بخشی دیگر از اطلاعات استخراج شده است. این موارد تنها بخشی از اطلاعات استخراج شده است.

اطلاعات کارت بانکی
اسنپ‌فود اعلام کرده «کلیه اطلاعات پرداخت بانکی کاربران، اعم از اطلاعات مربوط به کد امنیتی کارت(CCV)، رمز عبور و تاریخ انقضا در امنیت کامل قرار دارد و این اطلاعات مطابق مقررات بانک مرکزی در هیچ‌یک از پلتفرم‌ها ذخیره نمی‌شود.» گروه هکری هم اعلام کرده اطلاعات بیش از ۶۰۰هزار پرداخت سفارش شامل نام کامل صاحب کارت، نام کامل مشتری، شماره تماس، شماره کارت بانکی و نام کارت را استخراج کرده است.

در دنیا کسب‌وکارهای مختلفی ممکن است مورد حمله مهاجمان سایبری قرار بگیرند. تعداد این حمله‌ها هم کم نیست، اما بسیاری از شرکت‌ها برای مواجهه با هجوم و مذاکره با هکر، استراتژی مشخصی دارند. درواقع با ارزیابی‌های مختلف تلاش می‌کنند که کمترین آسیب به دیتای کاربران وارد شود و نه منافع مالی شرکت. «باگ بانتی» هم یکی از رویدادهای رایج در دنیاست که هکرهای کلاه سفید به شرکت‌ها کمک می‌کنند تا حفره‌های امنیتی خود را برطرف کنند.

باگ‌ بانتی که در قالب مسابقات کشف آسیب‌پذیری برگزار می‌شود، برنامه‌ای است که یک وب‌سایت یا اپلیکیشن و حتی سخت‌افزار، سازمان یا توسعه‌دهنده برای کشف باگ‌های سرویس خود به‌خصوص رخنه‌ها و باگ‌های امنیتی، به کارشناسان امنیت سایبری پاداش و جایزه می‌دهد. هدف از این برنامه، کشف آسیب‌پذیری‌های امنیتی قبل از انتشار عمومی آنها است.

ماجرای مذاکره
آنطور که به‌نظر می‌رسد، گروهی که اسنپ‌فود را هک کرده، داده‌های استخراج‌شده را فروخته است. این اتفاق درحالی رخ داده که گروه هکری اعلام کرده به‌خاطر تجربه مذاکره با تپسی تصمیم گرفته که با اسنپ فود مذاکره نکند. زمانی که به سرورهای تپسی نفوذ شد، هکرها ۳۵هزار دلار مطالبه کردند تا داده‌ها را منتشر نکنند. اما مدیرعامل تپسی گفت: «مطابق ایمیل‌هایی که از گروه مهاجم دریافت کرده‌ایم، قصد آنها از این کار اخاذی بوده و برای عدم‌نشر اطلاعات، درخواست پول کرده‌اند.

چوب حراج به اطلاعات کاربران | چطور دست کلاه سیاه‌ها را ببندیم؟

ما تصمیم گرفتیم که به این اخاذی تن ندهیم، چرا که در مذاکره با آنها متوجه شدیم که نه‌تنها ضمانتی برای عدم‌نشر اطلاعات و سوءاستفاده‌های آتی وجود ندارد بلکه تشویقی برای ادامه این اقدام در مورد سایر شرکت‌ها هم خواهد بود.» مدیرعامل این شرکت اگرچه از کاربران عذرخواهی کرد و مسئولیت این اتفاق را پذیرفت، اما نظر او «در مورد سایر شرکت‌ها» درست از آب درنیامد.

گزارش: عمادالدین قاسمی پناه – همشهری