شیرموز نصف شب آقای دکتر
با هک اسنپ‌فود چه اطلاعاتی از ما لو رفت و چه خطری تهدیدمان می‌کند؟
روزنامه هفت صبح، نگین باقری| در ساعت 2:13 بامداد شب جمعه 20 مهرماه آقای دکتر کاظمی هوس شیرموز پسته کرد. این اطلاعاتی که من و شما می‌دانیم بخشی از دیتایی است که هکرها از اسنپ‌فود منتشر کرده‌اند. نه فقط اطلاعات خورد و خوراک آقای دکتر بلکه نام و آدرس و سفارش و شماره کارت میلیون‌ها کاربر دیگر هم در معرض فروش قرار گرفته. ماجرا چیست؟
ساعت 12 نیمه شب شنبه همان گروهی که تابستان امسال تپسی و بعد چند شرکت بیمه‌ای را هک کرده بود اعلام کرد اطلاعات اسنپ‌فود را هم هک کرده. آیا این اطلاعات واقعی بود؟ همانطور که تپسی بیانیه داد و گفت این اطلاعات واقعی است، 10ساعت بعد از رویداد اسنپ‌فود هم این خبر را تایید کرد.
این ماجرا چقدر برای ما می‌تواند خطر ناک باشد؟ اگر فقط نمونه دیتایی که این گروه منتشر کرده دانلود کنید می‌بینید که در این 19 فایل، شماره تلفن، آدرس، رستورانی که از آن غذا سفارش داده شده، ایمیل و پیشنهادهایی که کاربران برای غذای خود می‌نویسند منتشر شده.
میزان کمیسیون رستوران، تعداد رستوران‌هایی که تعطیل شده‌اند، تعداد سفارش‌هایی که با مشکل روبه‌رو شده از دیگر دیتاهای این بانک اطلاعاتی نشت‌شده هستند. رمزگشایی یکی از این فایل‌ها به ما نشان می‌دهد که اگر از هجدهم تا نوزدهم آذرماه غذایی از این اپلیکیشن سفارش داده باشید، احتمالا اطلاعات شما هم لو رفته ولی گروه هکری می‌گویند اطلاعاتشان بیشتر از این حرف‌هاست. حالا اصلا نشت این داده‌ها چه خطری برای ما دارد و چرا باید نگران آن باشیم؟
خطری ما را تهدید می‌کند؟
جواب به این سوال بستگی دارد به کسی که اطلاعات را می‌خرد بخواهد با آنها چه کند: این نشت اطلاعات می‌تواند به دست هکرهای دیگری بیفتد. گرووه IRLeaks که همین هکر موردنظر ماست، نام، تاریخ تولد، آدرس و شماره تلفن شما را در دست دارد که البته اسنپ‌فود بخشی از آن را تایید نکرده و گفته اطلاعات بانکی در امنیت کامل است.
اما اگر اینطور که هکرها می‌گویند باشد آنها با تجمیع همه این دیتا می‌توانند دست به کلاهبرداری‌های دیگری بزنند که اس ام اس گروهی و ارسال لینک جعلی فقط یک نمونه از آنهاست. حتی نوع گوشی اندروید یا آیفون، شماره حساب بانکی، شماره کارت، اینکه چه روزهایی چه غذایی می‌خورید هم در دست هکرهاست که از هرکدام می‌توانند به عنوان راهی برای خالی کردن حسابتان استفاده کنند.
مثلا با چک کردن آدرس محل کار و ساعت‌هایی که کاربر در خانه نیست احتمال دستبرد به خانه شما افزایش می‌یابد. در واقع اگر هکرها این اطلاعات را بگذارند روی اطلاعاتی که تا امروز از هکرهای دیگر در بیمه و بانک نشت یافته، می‌توانند طوری به شما آسیب بزنند که تخیل آن هم ممکن نباشد. اما حالت بی‌خطر دیگری هم وجود دارد.
استفاده دیگر، استفاده تبلیغاتی است. کاری که همین الان هم کمپانی‌های مختلف با خریدن اطلاعات ثبت‌شده شما از آن برای تبلیغ رستوران، لباس، خیریه و ... انجام می‌دهند. اتفاق آخر از همه بدتر است. شما ممکن است جایی به صورت ناشناس نظری بگذارید.
یا اکانت توئیتری ناشناسی داشته باشید؛ نه فقط اسم و آدرس و شماره شما بلکه اطلاعات گوگل آی دی شما هم درز یافته. اینطور که میلاد نوری، یک متخصص آی تی نوشته: « با تطابق این شناسه‌ها در سرویس‌های مختلف، مشخص می‌شود شمایی که در فلان اپلیکیشن خبری، خبر ۱ و ۳ رو خوندی، همون کاربری هستی که در فلان اپلیکیشن فلان عکس رو آپلود کردی و همین کاربری هستی که در تپسی فلان سفرها رو رفتی و...»
تفاوت هک اسنپ‌فود با تپسی و درس‌هایی برای ما
این ماجرا چند شباهت و چند تفاوت با هک اطلاعات تپسی داشت. گروه هکر داده‌های تپسی را قصد داشت 30 هزار دلار بفروشد و اسنپ‌فود را 35 هزار دلار به حراج گذاشته (یک میلیارد و پانصد میلیون تومان). به نظر می‌رسد که برای خود هکرها احتمالا دیتای تپسی ارزش بیشتری داشت حالا ممکن است این به ارزش اطلاعات هک شده برگردد یا به اینکه با تکرار هک، قیمت فروش را کاهش داده.
اسنپ دسترسی این هکرها به اطلاعات شخصی بیش از ۲۰میلیون کاربر خود و در کنار آن اطلاعات 880 میلیون سفارش را تایید کرده اطلاعاتی که به‌جز این موارد شامل 51میلیون آدرس، 180میلیون مدل موبایل و 360میلیون سفارش، 160میلیون آی پی، شماره تلفن، نام و نام خانوادگی، آدرس مبدا و مقصد، تاریخ، ایمیل، کد ملی، شهر و شماره کارت 600 هزار پرداخت و اطلاعات محصول می‌شود.
اما در درز اطلاعات تپسی ما شاهد درز نام و نام خانوادگی، شماره همراه، شهر و بعضا ایمیل 27 میلیون کاربر و 6 میلیون راننده بودیم. همچنین اطلاعات آدرس کامل مبدا و مقصد بیش از ۱۳۶میلیون سفر به همراه نوع دستگاه همراه مسافر و راننده هم درز یافته بود.
تفاوت سوم اینکه هکرها قبلا اول مذاکراتی با تپسی داشتند و بعد از به نتیجه نرسیدن، آن را علنی کردند. این دفعه به خاطر تجربه قبل آنها دیگر مذاکره را به بعد از نشت اطلاعات انداختند. در بیانیه اسنپ‌فود گفته شده که در حال تلاش است تا با این مذاکرات جلوی آنها را بگیرد. نکته آخر اینکه وزیر ارتباطات سابق، علت عمده این نشت اطلاعاتی را خطای نیروی انسانی عنوان کرده. از پستی که او در تلگرام گذاشته اینطور به نظر می‌رسد که این داده‌ها سهوا به خاطر نارضایتی نیروی انسانی از محیط کار از دست رفته است.
رستوران یا فست‌فود؟
از دیتاهای فقط دو روز که روزنامه هفت صبح موفق به رمزگشایی آنها شد به نظر می‌رسد که رستوران طرفدار بیشتری داشته. طوری که دو هزار و 82 سفارش این دو شب رستوران، 639سفارش فست‌فود، 39 مورد کافه، 19 مورد شیرینی، 82 مورد کیترینگ و 20 مورد نانوایی ثبت شده.
کامنت‌های پر سروصدای اسنپ‌فود
بخشی از داده‌های اسنپ‌فود دارای چند کامنت جالب بوده. مثل همان مورد آقای دکتر و شیرموز که در بخش توضیحات آن تاکید کرده بود در شیرموزپسته او شکر ریخته نشود و بعد هم در پایان به پزشک بودن خود اشاره کرده بود.
دو کامنت از کاربران مختلف ثبت شده که تقاضا کردند ساندویچ پرملات برایشان ارسال شود. در یکی از آنها تاکید شده بود که آنها سرباز هستند و به ملات بیشتری در ساندویچشان نیاز دارند. کاربر دیگری هم که همه دیتای آن موجود است، درخواست کرده دسته گلی با 30 شاخه نرگس برای مادرش ارسال کنند و نوشته که باید این دسته گل قبل از ظهر به آدرس خانه مادر برسد. در این دیتا هکر موردنظر شماره و آدرس مادر را دارد ضمن اینکه می‌داند او ظهرها خانه را ترک می‌کند.
در یک‌سال گذشته چند هک داشته‌ایم؟
اول بهمن: هک دانشگاه امام صادق، گروه بلک ریوارد
17 اردیبهشت: هک 210 سامانه و سایت وزارت
امور خارجه.
8 خرداد: هک 120 سرور نهاد ریاست جمهوری
19 خرداد: اطلاعات 19 شرکت بیمه‌ای
22 مرداد: هک دو میلیون کاربر سایت قاصدک24 (سامانه خرید بلیت)
8 شهریور: هک سیستم تشخیص چهره به نما
9 شهریور: هک نوتیفیکیشن اپلیکیشن 780
11 شهریور: هک شرکت تپسی (33 میلیون نفر)
28 شهریور: هک ثبت احوال (130 میلیون رکورد)
28 آبان: هک سرورهای نمایندگی رهبری
