خلاصه مدیریتی

بیان/ شرح مسئله

در عصر دیجیتال کنونی، امنیت سایبری یکی از مهم‌ترین الزام‌های حفظ ثبات اقتصادی، اجتماعی و سیاسی جوامع است. این اهمیت به‌ویژه در کشورهایی مانند ایران که زیرساخت‌های فناوری اطلاعات آن‌ها به‌سرعت در حال گسترش است، دوچندان می‌شود. طی سال‌های اخیر، حمله‌های سایبری متعدد به شرکت‌ها، نهادهای دولتی و زیرساخت‌های حیاتی ایران، به نشت داده‌های حساس میلیون‌ها شهروند و کاربر منجر شده است. ازجمله این حمله‌ها هک سامانه‌های بانکی، شرکت‌های بیمه، ثبت ‌احوال، پلتفرم‌های تاکسی اینترنتی و خدمات سفارش غذاست.

این حمله‌ها نه‌‌تنها اطلاعات شخصی کاربران، بلکه امنیت اقتصادی و ملی را نیز تحت تأثیر قرار داده است. برای مثال، در هک یکی از سکوهای خدمات، اطلاعات بیش از ۲۰ میلیون کاربر شامل جزئیات سفارش‌ها و شماره تماس افراد درز پیدا کرد. در حمله به شبکه بانکی و صرافی‌های رمزارز طی جنگ 12 روزه رژیم صهیونیستی بر علیه ایران، اطلاعات مالی میلیون‌ها مشتری تهدید شد و پیش از این نیز شرکت‌های بیمه با افشای داده‌های حساس مربوط به بیمه‌گذاران مواجه شدند. چنین حوادثی باعث کاهش اعتماد عمومی به سیستم‌های دیجیتالی، تضعیف اعتبار سازمان‌ها و حتی آسیب به زیرساخت‌های اقتصادی کشور می‌شود.

بر این اساس، بسیاری از سازمان‌ها و شرکت‌ها در ایران، زیرساخت‌ها و سیاست‌های مناسبی برای مقابله با حمله‌های سایبری ندارند. ضعف نظارت قانونی، نبود قوانین جامع حفاظت از داده‌ها، کمبود نیروی انسانی متخصص در حوزه امنیت سایبری و نبود شفافیت در اطلاع‌رسانی نقض‌های داده از دلایل اصلی گسترش این معضل هستند. در بسیاری از موارد، سازمان‌ها حتی پس از وقوع حمله، اقدام‌های لازم برای تقویت امنیت سایبری خود را انجام نمی‌دهند.

نقطه‌نظرات/ یافته‌های کلیدی

در این گزارش، چندین نمونه از حمله‌های سایبری گسترده در ایران و جهان بررسی شده که نتایج زیر را به‌عنوان یافته‌های کلیدی ارائه می‌دهد:

•   وسعت و پیامد حمله‌های سایبری: حمله‌های اخیر در ایران دامنه گسترده‌ای داشته و باعث آسیب سازمان‌های دولتی و خصوصی متعددی شده است. حمله به سامانه ثبت احوال و هک سامانه‌های بانکی که اطلاعات هویتی و داده‌های حساس میلیون‌ها نفر را در معرض خطر قرار داد، نشان‌دهنده آسیب‌پذیری شدید زیرساخت‌های امنیتی در کشور است. در مواردی مانند حمله به شرکت‌های بیمه، حتی اطلاعات پزشکی و بیمه‌ای افراد نیز درز پیدا کرده است.
•   ضعف در اطلاع‌رسانی و پاسخگویی: بسیاری از سازمان‌ها پس از حمله‌های سایبری، اطلاع‌رسانی شفافی درباره جزئیات نقض داده‌ها و اقدام‌های انجام ‌شده ندارند. در موارد متعددی، کاربران نهایی حتی از وقوع حمله آگاه نشده و نمی‌توانند اقدام‌های لازم را برای حفاظت از اطلاعات خود انجام دهند.
•   نبود قوانین جامع و نهادهای نظارتی مستقل: یکی از دلایل اصلی گسترش این مشکلات، فقدان قوانین جامع حفاظت از داده‌ها در ایران است. در بسیاری از کشورها، قوانینی مانند GDPR در اتحادیه اروپا یا CCPA در ایالات متحده، شرکت‌ها را ملزم به رعایت استانداردهای سخت‌گیرانه امنیت داده‌ها می‌کنند و در صورت نقض، جریمه‌های سنگینی در نظر می‌گیرند. در ایران، چنین قوانین جامعی وجود ندارد و نهادهای نظارتی نیز قدرت و اختیار کافی برای مقابله با تخلف‌ها را ندارند.
•   کمبود نیروی انسانی متخصص: امنیت سایبری به نیروی انسانی متخصص و آموزش‌دیده نیاز دارد. در ایران، کمبود چنین افرادی باعث شده که بسیاری از سازمان‌ها نتوانند به‌درستی با تهدیدهای سایبری مقابله کنند. این مشکل به‌ویژه در سازمان‌های دولتی و شرکت‌های کوچک و متوسط به‌وضوح دیده می‌شود.
•   عدم مسئولیت‌پذیری سازمان‌ها: بسیاری از شرکت‌ها و سازمان‌ها پس از حمله‌های سایبری، هیچ‌گونه اقدام مؤثری برای جبران خسارت کاربران انجام نمی‌دهند. در کشورهای دیگر، شرکت‌ها موظف به پرداخت خسارت یا ارائه خدمات اضافی به کاربران آسیب‌دیده هستند، اما در ایران، این مسئولیت‌پذیری وجود ندارد.

پیشنهاد راهکارهای تقنینی، نظارتی یا سیاستی

برای مقابله با مشکل‌های امنیت سایبری و بهبود وضعیت حفاظت از داده‌ها در ایران، مجموعه‌ای از راهکارهای تقنینی، نظارتی و سیاستی پیشنهاد می‌شود:

            1. ایجاد قانون جامع حفاظت از داده‌ها: با تصویب یک قانون جامع و شفاف در خصوص کاربران، شرکت‌ها و نهادهای نظارتی حقوق و مسئولیت‌های تمامی ذی‌نفعان مشخص می‌شود. این قانون باید شامل الزام‌هایی برای حفاظت از داده‌ها، جریمه‌های سنگین برای تخلف‌ها و استانداردهای سخت‌گیرانه برای ذخیره و پردازش داده‌ها باشد.

            2. ایجاد نهاد مستقل حفاظت از داده‌ها: تأسیس یک نهاد مستقل برای نظارت بر حفاظت از داده‌ها و تحقیق درباره نقض‌های امنیتی، بسیار ضروری است. این نهاد باید قدرت اجرایی کافی برای تحقیق، جریمه و تعقیب قانونی متخلفان داشته باشد.

            3. افزایش شفافیت در اطلاع‌رسانی: الزام سازمان‌ها در اطلاع‌رسانی سریع و شفاف به کاربران و نهادهای نظارتی در صورت وقوع نقض داده‌ها، یکی از اقدام‌های ضروری است. این اطلاع‌رسانی باید شامل جزئیات نوع داده‌های فاش‌شده، اقدام‌های انجام‌شده و توصیه‌های حفاظتی برای کاربران باشد.

            4. الزام به ممیزی‌های امنیتی: سازمان‌ها باید به انجام ممیزی‌های منظم امنیت سایبری توسط شرکت‌های شخص ثالث معتبر ملزم شوند. این ممیزی‌ها باید شامل ارزیابی زیرساخت‌های امنیتی، پروتکل‌های مدیریت داده و استانداردهای رمزنگاری باشد.

            5. ترویج بیمه امنیت سایبری: شرکت‌ها باید ملزم به خرید بیمه امنیت سایبری شوند تا در صورت وقوع حمله‌ها، بتوانند خسارت‌های مالی و حقوقی کاربران را جبران کنند. همچنین ارائه تخفیف‌های بیمه برای شرکت‌هایی که اقدام‌های امنیتی پیشرفته‌تری را اجرا می‌کنند، می‌تواند مشوقی برای بهبود امنیت سایبری باشد.

            6. آموزش و توسعه نیروی انسانی: سرمایه‌گذاری در آموزش و تربیت نیروی کار متخصص در حوزه امنیت سایبری ضروری است. دولت باید با همکاری دانشگاه‌ها و بخش خصوصی، برنامه‌های آموزشی جامع و مشوق‌های مالیاتی برای شرکت‌ها ارائه دهد.

            7. مشوق‌های مالی برای شرکت‌ها: ارائه کمک‌های مالی، وام‌های کم‌بهره و معافیت‌های مالیاتی برای شرکت‌هایی که در ارتقای زیرساخت‌های امنیتی خود سرمایه‌گذاری می‌کنند، نقش مهمی در بهبود امنیت سایبری دارند.

            8. تقویت همکاری‌های بین‌المللی: همکاری با سازمان‌ها و نهادهای بین‌المللی در حوزه امنیت سایبری می‌تواند به اشتراک‌گذاری دانش، تجربه‌ها و فناوری‌های پیشرفته کمک کند. این همکاری‌ها باید بر رفع موانع ناشی از تحریم‌ها و فیلترینگ تمرکز داشته باشد.

            9. استفاده از فناوری‌های پیشرفته: الزام سازمان‌ها به استفاده از فناوری‌هایی مانند هوش مصنوعی برای شناسایی و پاسخگویی سریع به تهدیدهای سایبری، می‌تواند به بهبود امنیت دیجیتالی کمک کند.

            10. ایجاد برنامه‌های واکنش به حوادث: طراحی و پیاده‌سازی برنامه‌های جامع واکنش به حوادث سایبری و برگزاری تمرین‌ها و رزمایش‌های دوره‌ای برای آمادگی در برابر حمله‌های احتمالی ضروری است.

۱. مقدمه

پس از هک داده‌های یکی از سکوهای ارائه خدمات برخط در حوزه سفارش غذا و دزدیده‌شدن اطلاعات بیش از 20 میلیون کاربر و حدود 880 میلیون سفارش[1]، باید توجه کرد که اطلاعات هر یک از افراد و سازمان‌ها مانند نام، شماره تلفن، نشانی، سابقه تراکنش‌های مالی، پیام‌های شخصی، تاریخچه پزشکی، خریدهای اینترنتی، سفرها، فهرست مشتریان و اسرار شرکت در پایگاه‌های داده گوناگون ذخیره شده است. تهدیدهای سایبری برای دسترسی به این داده‌ها با اهداف گوناگون مالی، جاسوسی، سیاسی، ایجاد اختلال و... بیش از گذشته این حجم داده را تهدید می‌کند. امروزه میلیاردها رکورد از اطلاعات گوناگون در معرض خطر و در دسترس عموم قرار گرفته است که هرکدام می‌توانند تهدیدی بالقوه باشند. تأمین امنیت و محافظت از داده‌ها به یکی از اقدام‌های مهم و ضروری برای اشخاص، سازمان‌ها و دولت‌ها تبدیل شده است.

نقض داده و نشت داده از مهم‌ترین تهدیدهای امنیتی هستند که می‌توانند نتیجه حمله‌های مخرب مجرمان سایبری، تهدیدها و افشای اطلاعات کارمندان یا حتی خطاهای ساده انسانی باشند. درنتیجه بر اثر آن‌ها فرد، افراد یا سازمان‌های غیرمجاز به داده‌های حساس، محافظت‌شده یا محرمانه دسترسی پیدا می‌کنند و در معرض مشاهده، کپی، انتقال، حذف یا انتشار قرار می‌گیرند.

پیامدهای نقض و نشت داده دارای ابعاد متفاوتی است. برای افراد، می‌تواند به سرقت هویت، ضرر مالی، تهدید، اخاذی و تجاوز به حریم شخصی منجر شود؛ در سازمان‌ها می‌تواند با کاهش ارزش سهام و اعتبار همراه باشد و برای دولت‌ها نیز خطرهای زیرساختی و امنیتی در پی خواهد داشت. جبران این خسارت‌ها و غرامت‌های نظارتی و بازیابی دوباره اعتبار و اعتماد مشتریان و کاربران (تا حدی که امکانش وجود دارد) می‌تواند هزینه‌های هنگفتی در پی داشته باشد و نیازمند سال‌ها زمان بوده که گاهی از توان برخی سازمان‌ها خارج است و منجر به کوچک ‌شدن سهم آن‌ها از بازار یا فروش اجباری به رقبا منجر می‌شود.

هر مورد نقض و نشت داده میلیون‌ها نفر را تحت تأثیر قرار می‌دهد و امنیت یا اعتماد به نهادها و دولت‌ها را تضعیف می‌کند و پایه و اساس یک جامعه دیجیتالی را که برمبنای اعتماد و امنیت ساخته شده، از بین می‌برد. بنابراین، توجه به افشای داده، پیشگیری و جبران آن اهمیت دارد که باید در دستور کار سیاستگذاران و تنظیم‌گران، نه‌ فقط به‌صورت واکنشی و پسینی، بلکه به‌صورت پیش‌دستانه و پیشینی باشد زیرا برای تأمین امنیت کشور، نهادها و شهروندان ضروری است.

در این گزارش، با مرور برخی از بزرگ‌ترین نمونه‌های نقض و نشت داده در دنیا و ایران، به دلایل، تأثیرات، شیوه‌های مواجهه با آن‌ها و اقدام‌های قانونی صورت گرفته پرداخته می‌شود تا با مقایسه این رخدادها در ایران و دیگر کشورها، درس‌هایی برای محافظت از داده و حریم خصوصی کاربران، سازمان‌ها و امنیت زیرساخت‌های ملی حاصل شود.

2. نقض و نشت داده، بررسی تفاوت‌های فنی و حقوقی

برخلاف اینکه اصطلاح‌ نقض داده (Data Breach) و نشت داده (Data Leak) در کشور ما اغلب به یک معنا و به‌جای یکدیگر استفاده می‌شوند، این دو مورد پدیده‌های متمایزی هستند که هر دو به فاش‌شدن اطلاعات حساس منجر می‌شوند و از لحاظ فنی و حقوقی تفاوت‌های مهمی دارند و علل و پیامدهای آن‌ها متفاوت است. درک این تفاوت‌ها برای پیاده‌سازی اقدام‌های امنیتی و همچنین مواجهه با این رخدادها حیاتی است.

نقض داده یک نفوذ عمدی و ناشی از حمله سایبری است و زمانی رخ می‌دهد که افراد غیرمجاز از راه هک، فیشینگ یا دیگر فعالیت‌های مخرب به سیستم‌های کامپیوتری، شبکه‌ها یا پایگاه‌های داده نفوذ کرده و به اطلاعات محرمانه و محافظت‌شده دسترسی پیدا می‌کنند. تمرکز اصلی در نقض داده، دسترسی غیرمجاز به داده است.

در نشت داده، معمولاً داده‌ها به‌طور غیرعمدی یا تصادفی فاش می‌شوند و در دسترس افراد غیرمجاز قرار می‌گیرند. در اینجا، خطای انسانی، تنظیمات و پیکربندی اشتباه سیستم‌ها و پایگاه‌های داده یا حتی گم‌شدن دستگاه حاوی اطلاعات یا رمزهای عبور می‌تواند از دلایل نشت باشد. مثلاً ممکن است ایمیل حاوی اطلاعات حساس به نشانی اشتباه ارسال شود، یا یک سند حساس در یک سرور ابری عمومی در دسترس قرار گیرد. عواقب نشت داده می‌تواند به اندازه نقض داده مضر باشد و به سرقت هویت، خسارت‌های مالی و آسیب به اعتبار منجر شود.

در این گزارش با بررسی چندین مورد از بزرگ‌ترین نمونه‌های نقض و نشت داده، به بررسی دلایل، پیامدها، شیوه‌های مواجهه با آن‌ها و اقدام‌های قانونی در قبال آن‌ها می‌پردازیم.

چند مورد از بزرگ‌ترین نمونه‌های نقض و نشت داده عبارتند از:

1. یاهو (اکتبر 2017): یاهو پس از چهار سال اعلام کرد که یک نقض داده در اوت 2013 توسط گروهی از هکرها انجام شده و 3 میلیارد حساب را تهدید کرده است. این رخداد یکی از بزرگ‌ترین نقض‌های داده در تاریخ بود که اعتماد کاربران به این سرویس را به‌شدت خدشه‌دار کرد.

2. نقض داده ادهار هند (مارس 2018): جزئیات اطلاعات شخصی بیش از یک میلیارد شهروند هندی که در بزرگ‌ترین پایگاه داده بیومتریک جهان ذخیره شده بود، به‌صورت آنلاین در معرض فروش قرار گرفت.

3. ادوارد اسنودن (2013):  افشای اطلاعات محرمانه آژانس امنیت ملی آمریکا (NSA) توسط کارمند سابق، ادوارد اسنودن، یکی از گسترده‌ترین نشت‌های اطلاعات طبقه‌بندی‌شده در تاریخ بود. این افشاگری بحث‌های گسترده‌ای را درباره حقوق حریم خصوصی و نظارت دولتی برانگیخت.

4. فیس‌بوک (2019):  در این نقض، اطلاعات شخصی حدود 540 میلیون کاربر فیس‌بوک مانند نام، شماره تلفن و نشانی افشا شد. این رخداد به تحقیقات گسترده، جریمه‌های سنگین و انتقادهای شدید از این رسانه اجتماعی بزرگ منجر شد.

5. ا‌کوئیفکس (2017):  نقض اطلاعات اعتباری شرکت ا‌کوئیفکس تقریباً 147 میلیون آمریکایی را تحت تأثیر قرار داد و شامل شماره‌های تأمین اجتماعی، تاریخ تولد و نشانی بود. این رخداد پیامدهای مالی عظیمی برای افراد داشت و باعث نگرانی‌های جدی در مورد امنیت داده‌های مالی شد.

6. ماریوت اینترنشنال (2018):  در این نقض، اطلاعات شخصی بیش از 339 میلیون مهمان از هتل‌های زنجیره‌ای ماریوت مانند نام، نشانی، شماره پاسپورت و اطلاعات کارت اعتباری به سرقت رفت. این رخداد نشان‌دهنده آسیب‌پذیری سیستم‌های رزرواسیون هتل‌ها در برابر حمله‌های سایبری بود.

7. کپیتال وان(Capital One) (2019): در این نقض، اطلاعات شخصی بیش از 100 میلیون نفر از مشتریان این شرکت خدمات مالی مانند شماره‌های تأمین اجتماعی و اطلاعات حساب بانکی به خطر افتاد. این رخداد نگرانی‌ها در مورد ایمنی سیستم‌های مالی آنلاین را افزایش داد.

8. کم4 (مارس 2020):  این وب‌سایت مخصوص پخش ویدیوی جنسی بزرگسالان بود که نه به‌دلیل حمله سایبری بلکه بر اثر یک اشتباه در پیکربندی سرور خود، نزدیک به 11 میلیارد رکورد از اطلاعات آن فاش شد و باعث رسوایی‌های فراوان و بزرگی شد و اطلاعات حساسی مانند نام کامل، نشانی ایمیل، تمایل‌های جنسی، سابقه چت و گزارش پرداخت افراد منتشر شد.

9. ترلو (ژانویه 2024):  داده‌های 15 میلیون کاربر از پلتفرم مدیریت پروژه ترلو در دارک‌وب منتشر شد.

10. مایکروسافت پاور اپز (2021):  یک اشتباه در پیکربندی این نرم‌افزار، به دسترسی غیرمجاز به منابع حساس منجر شد و حجم زیادی از داده‌ها را فاش کرد.

11. پاناما پیپرز (2016):  نشت بیش از 11 میلیون سند از یک شرکت حقوقی پانامایی، فعالیت‌های مالی برون‌مرزی افراد ثروتمند و قدرتمند در سراسر جهان را به نمایش گذاشت. این اسناد به افزایش فساد و نظارت بر پناهگاه‌های مالیاتی چندین کشور منجر شد.

12. پارادایز پیپرز (2017):  با نشت 13.4 میلیون سند از دو شرکت خدمات مالی، جزئیات سرمایه‌گذاری‌های برون‌مرزی بسیاری از شخصیت‌های مشهور، سیاستمداران و شرکت‌های چندملیتی فاش شد. این نشت نشان داد که چگونه افراد و سازمان‌های ثروتمند می‌توانند از قوانین مالی برای کاهش مالیات و پنهان‌کردن دارایی‌هایشان استفاده کنند.

13. فیس‌بوک کمبریج آنالیتیکا (2018): نشت اطلاعات شخصی میلیون‌ها کاربر فیس‌بوک به شرکت مشاوره سیاسی کمبریج آنالیتیکا، نگرانی‌هایی را در مورد استفاده از داده‌های شخصی برای مقاصد سیاسی و دستکاری انتخابات ایجاد کرد.

14. ویکی‌لیکس (2010 تاکنون): وب‌سایت افشاگر ویکی‌لیکس طی سال‌های گذشته اسناد و اطلاعات محرمانه دولتی و سازمانی متعددی را منتشر کرده که به افزایش آگاهی عمومی از فعالیت‌های دولت‌ها و شرکت‌ها شده است. با این‌ حال، منتقدان ویکی‌لیکس استدلال می‌کنند که انتشار این اطلاعات می‌تواند به امنیت ملی و منافع عمومی کشور آسیب برساند.

3. بررسی نمونه‌های خارجی

3-1. گزارش موردی: فیس‌بوک

فیس‌بوک در درجه اول به‌عنوان یک پلتفرم رسانه اجتماعی شناخته می‌شد. در 3 آوریل 2021، گزارشی مبنی‌بر انتشار اطلاعات شخصی کاربران فیس‌بوک در یک فروم هک سطح پایین اعلام شد. این نشت داده مربوط به سال 2019 بوده و داده‌های افشاشده شامل اطلاعات شخصی بیش از 533 میلیون کاربر فیس‌بوک از 106 کشور جهان است که شامل بیش از 32 میلیون کاربر در ایالات متحده، 11 میلیون کاربر در بریتانیا و 6 میلیون کاربر در هند است. این داده‌ها شامل شماره تلفن، شناسه فیس‌بوک، نام کامل، مکان، تاریخ تولد، و در برخی موارد آدرس ایمیل آن‌هاست.

یکی از سخن‌گویان فیس‌بوک اعلام کرده بود که داده‌ها به‌دلیل یک آسیب‌پذیری که این شرکت در سال ۲۰۱۹ اصلاح کرده بود، استخراج شده است[2]. به گفته آلون گال ، مدیر ارشد فناوری شرکت اطلاعات جرائم سایبری هادسون راک که اطلاعات فاش شده را کشف کرد[3]، با اینکه چند سال از عمر داده‌های لو رفته می‌گذشت، هکرها می‌توانستند از داده‌ها برای جعل هویت افراد و ارتکاب کلاهبرداری استفاده کنند. تا اکتبر 2023 این آخرین نشت داده برای این شرکت بود[4]. هرچند که پیش از آن بارها دچار نقض حریم خصوصی کاربران و نشت داده شده بود.

3-1-1. اعلامیه‌های رسمی[5]

سه ‌روز بعد از گزارش رسانه اینسایدر، فیس‌بوک طی اطلاعیه‌ای تأیید کرد که اطلاعات بیش از 530 میلیون کاربر افشا شده است. فیس‌بوک تصریح کرد که داده‌ها از طریق هک سیستم به دست نیامده‌اند، بلکه قبل از سپتامبر 2019 از این پلتفرم استخراج شده‌اند.

استخراج داده تاکتیکی است که طی آن سیستم خودکار، اطلاعات موجود در یک پلتفرم را برمی‌دارد. این آسیب‌پذیری در سال 2019 کشف و گزارش شد[6]. فیس‌بوک در همان سال تغییرهایی اعمال کرد و سپس اطمینان داد که در نتیجه اقدامی که انجام داده این آسیب دیگر وجود ندارد.

در ادامه اطلاعیه، این شرکت به شرح اتفاق، منبع آسیب‌پذیری (سرویس واردکننده مخاطب که کمک می‌کرد افراد دوستان خود را با استفاده از فهرست مخاطبین خود پیدا کنند)، اقدام‌های خود در قبال این اتفاق، نوع اطلاعات فاش‌شده (که فاقد اطلاعات مالی یا رمز عبور بوده)، توصیه‌هایی برای ایمن نگه داشتن حساب کاربری (به‌روزکردن تنظیمات حریم خصوصی، احراز هویت دومرحله ای) پرداخته است. فیس‌بوک بر تعهد خود برای رسیدگی به چنین مسائلی تأکید کرد، و اظهار داشت که فعالانه برای حذف داده‌های افشاشده و پیگیری اقدام‌های قانونی علیه سوءاستفاده‌کنندگان، تلاش می‌کند.

3-1-2. تعداد افراد تحت تأثیر

اطلاعات 533 میلیون کاربر فیس‌بوک در 106 کشور، شامل: بیش از 32 میلیون کاربران در ایالات متحده، 11 میلیون کاربر در بریتانیا و 6 میلیون کاربر در هند افشا شده است.

3-1-3. داده‌های لورفته

داده‌ها شامل شماره تلفن، نام کامل، مکان، برخی از آدرس‌های ایمیل، سایر جزئیات از پروفایل کاربر مانند تاریخ تولد و اطلاعات بیوگرافی هستند. این اطلاعات شامل اطلاعات مالی، سلامت یا رمز عبور نیست[7].

3-1-4. اقدام‌های سازمان

فیس‌بوک تغییراتی در سرویس واردکننده مخاطب اعمال کرد و تکنیک‌هایی را برای جلوگیری از دسترسی غیرمجاز و استخراج اطلاعات کاربر از پلتفرم به‌کار گرفت. همچنین این شرکت نظارت بر تهدیدهای احتمالی و تطبیق اقدام‌های امنیتی خود را در دستور کار قرار داد. این شرکت اعلام کرد همکاری‌های لازم را با نهاد‌های قانونی انجام داده است.

یکی از انتقادهای واردشده به فیس‌بوک پس از این اتفاق، عدم اطلاع‌رسانی به تک‌تک کاربران بود. طبق گفته سخنگوی این شرکت، فیس‌بوک برای اطلاع‌رسانی به کاربران، این واقعیت را می‌سنجد که اطلاعات به‌صورت عمومی در دسترس است و این مشکلی نیست که کاربران بتوانند خودشان آن را برطرف کنند[8].

3-1-5. اثر اتفاق بر شرکت

پس از افشای این نشت داده، نگرانی کاربران از امنیت خود در این پلتفرم افزایش یافت و صحبت‌هایی برای پاک‌کردن این شبکه اجتماعی و ترک آن انجام شد[9]. همچنین پس از اعلام این نشت، ترافیک سایتی[10] نشان‌دهنده نگرانی کاربران بود تا بفهمند آیا داده‌های آن‌ها نیز افشا شده است یا خیر[11].

نشت اخیر داده‌ها از فیس‌بوک، به‌علت خلف وعده این شرکت در مهار استخراج انبوه اطلاعات (پس از رسوایی کمبریج آنالیتیکا)، بازتاب گسترده‌ای داشت. با توجه به سابقه استخراج اطلاعات ۸۰ میلیون کاربر در پرونده مذکور برای اهداف سیاسی، این اتفاق مجدداً بحث‌ها درباره امنیت داده‌های کاربران را به کانون توجه بازگردانده و نگرانی‌ها از بهره‌برداری غیرمجاز از اطلاعات شخصی را افزایش داده است[2].

رسوایی فیس‌بوک در این مورد به‌شدت بر محبوبیتش تأثیر گذاشت به‌نحوی که به گفته شرکت تحلیلی- تجاری میکس‌پنل، از آوریل 2018، اولین ماه کامل پس از انتشار خبر رسوایی کمبریج آنالیتیکا، لایک (پسندیدن) و اشتراک‌گذاری پست‌ها در فیس‌بوک تقریباً 20 درصد کاهش یافت[12]. همچنین ای‌مارکتر، کاهش استفاده از فیس‌بوک در ایالات متحده را گزارش کرد و گفت که کاربران معمولی فیس‌بوک 38 دقیقه در روز را در سایت می‌گذرانند که نسبت به سال 2017 که این مقدار41 دقیقه بوده، کاهش یافته است[13] [12]. حرکت جمعی با هشتگ DeleteFacebook# ازجمله دیگر آثار این اتفاق بود[14].

برای این رسوایی داده‌ای، در 26 مارس 2018، یک هفته پس از انتشار اولیه ماجرا، سهام فیس‌بوک حدود 24درصد معادل 134 میلیارد دلار کاهش یافت[15].

پس از این رخداد، فیس‌بوک مجموعه‌ای از اقدام‌های فنی فوری و ساختاری را برای ارتقای امنیت پیاده‌سازی کرد. این اقدام‌ها شامل غیرفعال‌سازی قابلیت آسیب‌پذیر «View As»، بازنشانی توکن‌های دسترسی حدود ۹۰ میلیون کاربر و خارج کردن آن‌ها از حساب و اجبار به واردشدن مجدد بود. در ادامه، فیس‌بوک سیاست‌های دسترسی توسعه‌دهندگان به APIها را به‌ویژه در ارتباط با اطلاعات گروه‌ها محدود و بازنگری کرد. همچنین برنامه پاداش‌یابی باگ‌ها توسعه یافت تا گزارش آسیب‌پذیری‌ها در حوزه‌های جدید، شامل خدمات ثالث را پوشش دهد[16] [17].

3-1-6. دعاوی جمعی

فیس‌بوک در طول سالیان فعالیتش دچار نشت داده‌های متعددی شده و پرونده‌های دعاوی جمعی متعددی علیه این شرکت مطرح شده است. در خصوص نشت داده‌ها در سال 2019 ازطریق بخش واردکننده مخاطب، که در سال 2021 رسانه‌ای شد، شکایت جمعی صورت نگرفت اما این شرکت ازسوی قانونگذاران جریمه مالی شد.

در پرونده نقض حریم خصوصی مربوط به رسوایی کمبریج آنالیتیکا، ازسوی سهام‌داران یک دعوی جمعی انجام شد که در آن مدعی بودند قیمت سهام این شرکت طی دو هفته بیش از 18درصد کاهش داشته و بیانیه‌هایی که توسط فیس‌بوک و مدیران آن منتشر شده بر قیمت سهام تأثیر‌گذار بوده است. این دعوی ازسمت قاضی به‌دلیل کمبود ادله شاکیان در اثبات ادعایشان مبنی‌بر آگاه‌بودن مدیران از این اتفاق، رد شد[18].

پرونده دیگری علیه فیس‌بوک و مدیران این شرکت به اتهام سهل‌انگاری در محافظت از حریم خصوصی داده‌های کاربران به جریان افتاد[19] [20]. در کانادا نیز پرونده‌ای متشکل از همه افرادی که در کانادا زندگی می‌کردند، تشکیل شد و حساب فیس‌بوک آن‌ها در نتیجه نقض داده در معرض خطر بود[21].

پیرو افشای نشت داده در آوریل 2021، برای کسانی که در اتحادیه اروپا یا منطقه اقتصادی اروپا زندگی می‌کردند، امکانی ایجاد شد که بتوانند از فیس‌بوک خسارت مالی دریافت کنند. قوانین کلی حفاظت از داده‌های اروپا (GDPR) این حق را می‌دهد که درصورت نقض حقوق حفاظت از داده‌ها، افراد غرامت پولی نیز دریافت کنند[22] [23] [24] [25] [26] [27]. جالب اینجاست که برخی از این پرونده‌ها هنوز به پایان نرسیده‌اند.

3-1-7. نتیجه دعاوی

در پرونده‌ای دیگر، شرکت مِتا (شرکت مادر فیس‌بوک) به‌منظور حل‌وفصل یک دعوی جمعی، با پرداخت ۷۲۵ میلیون دلار موافقت کرد. شاکیان در این پرونده، فیس‌بوک را به اشتراک‌گذاری غیرمجاز داده‌های کاربران با شرکت‌های ثالث، از جمله کمبریج آنالیتیکا، و همچنین اهمال در نظارت بر نحوه دسترسی و استفاده این شرکت‌ها از داده‌ها متهم کرده بودند؛ اتهامی که مِتا ضمن پذیرش پرداخت مبلغ مذکور، آگاهانه بودن آن را رد کرد. طبق شرایط این توافق، غرامت مقرر به تمامی کاربرانی که در بازه زمانی «مه ۲۰۰۷ تا دسامبر ۲۰۲۲» حساب کاربری فعال داشته‌اند، تعلق می‌گیرد. میزان نهایی این پرداخت‌ها با توجه به شاخص‌هایی نظیر تداوم عضویت در پلتفرم و مستندات ارائه‌شده از سوی متقاضیان، متغیر بوده است[28] [29] [30] [31] [32]. در نهایت حدود17.7 میلیون کاربر فیس‌بوک ادعاهای معتبری را ارائه کردند. به گفته وکلای دخیل در این دعوا، ممکن است این بیشترین تعداد ادعاهایی باشد که تاکنون در یک پرونده دعوی دسته‌جمعی در ایالات متحده ثبت شده است[33].

3-1-8. اقدام‌های توافق‌نامه

این توافق همچنین مِتا را ملزم کرد تا رویکرد خود به حفظ حریم خصوصی را اصلاح کرده و دسترسی شخص ثالث به داده‌های کاربر را محدود کند.

3-1-9. تبعات قانونی و نظارتی

3-1-9-1. کمیسیون حفاظت از داده‌ها (DPC)

کمیسیون حفاظت از داده‌ها (DPC) اتحادیه اروپا پس از افشای اطلاعات در آوریل 2021، مِتا را به 265 میلیون یورو جریمه (حدود 276 میلیون دلار) محکوم کرد. DPC مدت کوتاهی پس از انتشار اخبار، تحقیق‌ها را آغاز و بررسی کرد که آیا فیس‌بوک با قوانین کلی حفاظت از داده‌های اروپا (GDPR) مطابقت دارد یا خیر[34]. پس از بررسی‌های انجام شده، DPC اعلام کرد مِتا دو ماده از قوانین حفاظت از داده اتحادیه اروپا را پس از وقوع استخراج جزئیات از پروفایل‌های عمومی کاربران فیس‌بوک در سراسر جهان نقض کرده است. DPC علاوه‌بر جریمه، مِتا را ملزم کرد «با انجام طیفی از اقدام‌های اصلاحی مشخص در یک بازه زمانی خاص، خود را با ملزوم‌ها مطابقت دهد». این مجازات مجموع جریمه‌های تحمیلی مِتا توسط DPC را به نزدیک یک میلیارد یورو ‌رساند. با این‌ حال، این سوال حقوقی مطرح شد که آیا اجرای قوی GDPR اثر بازدارندگی مورد نظر آن‌ را دارد یا خیر؟ البته رئیس بخش حفاظت از داده‌ها در دفتر ایرلند این اقدام‌ها را در بازدارندگی مؤثر می‌داند[35] [36].

گفتنی است که این مرجع در پروندۀ دیگری درمورد تبلیغ‌ها نیز مِتا را جریمه کرده است[37]. در دستور دیگری، DPC، مِتا، مالک فیس‌بوک را به‌دلیل سوءاستفاده از اطلاعات کاربران، به میزان بی‌سابقۀ 1.2 میلیارد یورو جریمه کرد. این جریمه مربوط به نقض GDPR بزرگ‌ترین مجازات اعمال‌شده از زمان اجرای این مقررات بود. علاوه‌بر این، DPC به مِتا دستور داد تا انتقال داده‌های کاربران از اتحادیه اروپا به ایالات متحده را متوقف کند که این تعلیق انتقال داده‌ها فوری نبود و به مِتا برای اجرای این دستور مهلت داده شد[38] [39].

3-1-9-2. میسیون تجارت فدرال ایالات متحده (FTC)

رسوایی کمبریج آنالیتیکا موجب خشم جهانی شد و تنظیمگران را به بررسی دقیق شیوه‌های محافظت داده توسط فیس‌بوک واداشت. در پی این اتفاق، کمیسیون تجارت فدرال ایالات متحده (FTC)، این شرکت را ملزم کرد هنگام اشتراک‌گذاری داده‌های کاربران با اشخاص ثالث، اعلان‌های واضحی را به آن‌ها ارائه دهد. فیس‌بوک در سال 2019 با تسویه حساب 5 میلیارد دلاری با FTC موافقت کرد. همچنین موافقت کرد که 100 میلیون دلار برای حل‌وفصل پرونده‌ای با کمیسیون بورس و اوراق بهادار ایالات متحده، برای گمراه‌کردن سرمایه‌گذاران در مورد خطرهای ناشی از سوءاستفاده از داده‌های کاربران بپردازد[40] [41] [42] [43].

این نشت‌های داده توسط فیس‌بوک پیامدهای قانونی بالقوه را خاطر نشان کرد که می‌تواند توسط سایر شرکت‌ها و در سایر نشت‌ها به آن توجه شود. نکات قابل‌توجه و تأمل پس از این اتفاق، می‌تواند شامل نقض قوانین حفظ حریم خصوصی داده‌ها در ایالات متحده و اتحادیه اروپا و عواقب آن، اطلاع‌رسانی درصورت نشت داده‌ها و جریمه‌های مالی احتمالی آن و تأثیر بر آسیب‌پذیری شهرت شرکت در نتیجه نشت داده و اهمیت یادگیری از چنین حوادثی برای جلوگیری از نشت اطلاعات در آینده و محافظت از حریم خصوصی کاربران باشد[44].

3-2. گزارش موردی: یاهو

یاهو، یکی از شرکت‌های بزرگ ارائه‌دهنده خدمات اینترنتی، پس از افشای دو حمله جداگانه به داده‌های کاربران خود، به‌شدت مورد انتقاد واقع شد. این حمله‌ها در اواخر 2013 و 2014 رخ داده و اطلاعات حساب کاربری بیش از  1.5 میلیارد نفر را تحت تأثیر قرار داد. در ادامه به بررسی جزئیات این دو نشت داده، تأثیرات آن‌ها بر کاربران، و پاسخ‌های یاهو در برابر آن‌ها می‌پردازیم.

3-2-1. اعلامیه‌های رسمی

•  اعلامیه شماره 1 (22 سپتامبر 2016)

در این اعلامیه[45]، یاهو اطلاع داد که متوجه شده اطلاعات خاصی از حساب کاربرانش در اواخر 2014 توسط حمله‌ای دزدیده شده است. یاهو پس از دو سال از این نشت داده خبر داد که احتمالاً توسط مجرمان سایبری تحت حمایت سایر دولت‌ها رخ داده است. (در ادامه با تحقیق‌های کمیسیون اوراق بهادار آمریکا اثبات شد که برخلاف ادعای یاهو، این شرکت در این دو سال از این موضوع آگاه بوده است[46]. )

• اعلامیه شماره 2 (14 دسامبر 2016)

یاهو در این اعلامیه[47] اطلاع داد که در نوامبر 2016 توسط ضابطین قانون مطلع شده فایل‌های داده‌ای در دسترس وجود دارد که شخص ثالثی ادعا کرده داده‌های کاربران یاهو است. یاهو پس از بررسی، درستی این ادعا را تأیید کرد. در ادامه این اطلاعیه یاهو بیان کرد که این نشت داده در یک حمله جداگانه در اواخر 2013 رخ داده و اطلاعات بیش از یک میلیارد کاربر دزدیده شده است. تحقیقات نشان می‌دهد که اطلاعات بانکی در سیستم ذخیره نمی‌شدند.

در هر دو اطلاعیه، یاهو به بیان جزئیات اتفاق ( اینکه اطلاعات دزدیده‌شده شامل چه بوده‌اند و چه اطلاعاتی در امان بوده‌اند) و توضیح جزئیات فنی به زبان ساده برای کاربران، اینکه چه کسانی تحت تأثیر این حادثه امنیتی بوده‌اند و نحوه اطلاع‌رسانی به آن‌ها و اینکه آیا ایرادهای موجود برطرف شده یا خیر؛ همچنین شرح کامل اقدام‌های خود و توصیه‌هایی برای کاربران پرداخته است. یاهو همچنین به کاربران اطمینان داده که کاملاً با مجریان قانون همکاری دارد. در این اطلاعیه‌ها در مورد دامنه نشت داده نیز به کاربران اطلاع‌رسانی شده که برای نمونه به داده‌های سایر سرویس‌های یاهو که مورد استفاده کاربران بوده، مانند تامبلر،، آسیبی نرسیده است.

3-2-2. تعداد افراد تحت تأثیر

بیش از یک میلیارد نفر[47] در سال 2013 و 500 میلیون نفر[48] در سال 2014 تحت تأثیر این حمله‌ها قرار گرفتند.

3-2-3. داده‌های لورفته

یاهو در اعلامیه شماره 1 [45] بیان کرد که اطلاعات حساب کاربری به‌سرقت ‌رفته شامل نام، آدرس ایمیل، شماره تلفن، تاریخ تولد، رمزهای عبور هش‌شده (اکثریت قریب‌به‌اتفاق با bcrypt) و در برخی موارد، سؤال‌ها و پاسخ‌های امنیتی رمزگذاری ‌شده یا ‌نشده است. همچنین یاهو مدعی شد که اطلاعات دزدیده‌ شده شامل رمزهای عبور محافظت ‌نشده، داده‌های کارت پرداخت یا اطلاعات حساب بانکی نیست.

3-2-4. اقدام‌های سازمان

یاهو در پاسخ به این نشت داده‌ها اقدام‌های مختلفی انجام داده است [45] [47]:

- اطلاع‌رسانی به کاربران در مورد وقوع حمله‌ها،

- پیشنهاد اقدام‌های امنیتی لازم به کاربران،

- ابطال سؤال‌های امنیتی و کوکی‌ها،

-تشویق به تغییر رمزهای عبور،

- بهبود سیستم‌های امنیتی،

- شناسایی دسترسی غیرمجاز به حساب کاربر و جلوگیری از آن.

3-2-5. اثر اتفاق بر شرکت

نشت داده‌های یاهو، که در سال 2013 رخ داده، یکی از بزرگ‌ترین نقض اطلاعات در تاریخ محسوب می‌شود[50] و تأثیرات عمیق و پایداری بر خوش‌نامی و آینده مالی شرکت گذاشت. همچنین این رخدادها پیامدهای گسترده‌تری برای صنعت فناوری داشته و بر نیاز به افزایش اقدام‌های امنیت سایبری و مسئولیت‌پذیری در مدیریت داده‌های کاربران تأکید داشت زیرا علاوه‌بر کاربران عادی، اطلاعات افراد در سطوح نظامی و دولتی نیز تهدید شد (بیش از 150هزار کارمند دولت و ارتش ایالات متحده از ایمیل‌های یاهو استفاده می‌کردند)[51].

کاهش قیمت سهام، یکی از عواملی بود که بر طولانی‌تر‌شدن مذاکره‌ها، فروش و قیمت نهایی این شرکت در هنگام خرید توسط Verizon تأثیر گذاشت که با کاهش 350 میلیون دلاری یا 7.25درصدی قیمت همراه بود[52]. قیمت سهام یاهو، پس از اعلام هر یک از این نشت داده‌ها نزولی شد به‌گونه‌ای که در 23 سپتامبر 2016 یک روز پس از اعلامیه اول 3.06درصد و در 15 دسامبر 2016 پس از انتشار اعلامیه دوم 6.11درصد کاهش یافت[53] [54].

3-2-6. دعاوی جمعی

در چنین مواقعی، معمولاً تک‌تک کاربران اقدام به شکایت‌های فردی نمی‌کنند زیرا عموم افراد دانش و تخصص کافی در این زمینه را ندارند، هزینه پیگیری شکایت بالاست و خسارتی که به آن‌ها وارد شده چندان بزرگ و حساس نبوده و معمولاً شکایت فردی برای افراد بهینه نیست. در این مواقع دعاوی جمعی جایگزین شکایت اشخاص می‌شود تا منافعی بیش از منافع تک‌تک افراد را نمایندگی کند. کارآمدی مقررات عمومی آیین دادرسی و نبود تناسب میان سود سرشار عرضه‌کنندگان کالا و خسارت‌های اندک مصرف‌کنندگان باعث شده تا نظام‌های حقوقی به‌دنبال راه‌حلی برای پر‌کردن خلأ اجرای عدالت برای مصرف‌کنندگان باشند. دعاوی جمعی یکی از این راهکارهاست که نخست در نظام حقوق آمریکا پیش‌بینی شده و اینک به اروپا رسیده و حتی برخی از کشورهای در حال توسعه نیز اقسامی از آن را پذیرفته‌اند. با این ‌حال، نظام حقوقی ایران به‌رغم درگیری با همان مشکل‌ها و موانع احقاق حقوق مصرف‌کنندگان، راه‌حل جدی و قابل‌قبول ندارد[55].

در همین راستا چندین دعوی جمعی علیه یاهو مطرح شد. به خطر انداختن اطلاعات حساس حساب شخصی میلیون‌ها کاربر و تأثیر آن بر قیمت سهام از موضوع‌های اصلی در این روند قانونی بود. در این شکایت‌ها ادعا شد که یاهو نتوانسته به ‌اندازه کافی از اطلاعات شخصی کاربران محافظت کند و اظهارهای نادرست و گمراه‌کننده‌ای در مورد امنیت سیستم‌های خود ارائه کرده است. کانادا یکی از کشورهایی بود که شکایتی را مطرح کرد زیرا این نشت داده‌ها باعث نقض حریم خصوصی بیش از 5 میلیون کانادایی شد[56] [57] [58] و ایالات متحده نیز شکایت‌هایی را آغاز کرد[59] [60] [61]. حکم نهایی دادگاه کشور آمریکا افراد ساکن در سرزمین‌های اشغالی را نیز دربرمی‌گرفت[60].

3-2-7. نتیجه دعاوی

با امضای توافق‌نامه، یاهو متعهد شد که مبلغی حداکثر به ارزش 377.95 دلار به هر فرد که تحت تأثیر این حوادث بوده پرداخت کند[59].

3-2-8. اقدام‌های توافق‌نامه

براساس شروط توافق‌نامه، یاهو به موارد زیر ملزم شد[60] [62] [63]:

•  بهبود خط‌مشی کسب‌وکار در راستای حفظ امنیت اطلاعات شخصی ذخیره‌شده کاربران در پایگاه‌های داده‌ خود،
•  پرداخت مبلغ 117,500,000 دلار به صندوق تسویه،
•  ارائه حداقل دو سال خدمات نظارت بر اعتبار یا پرداخت نقدی جایگزین به افراد،
•  پرداخت جبران خسارت‌ها به افرادی که زیان‌های اقتصادی دیده‌اند شامل پرداخت افراد برای تبلیغ در یاهو، خدمات ویژه یا خدمات ایمیل تجاری،
•  پرداخت هزینه‌ها ازجمله اطلاع‌رسانی، حق‌الزحمه وکلا و دادرسی، و غرامت شاکیان،
•  سلب ادعای شاکیان ( پس از این توافق‌نامه) علیه متهمان در رابطه با نقض داده‌ها.

3-2-9. تبعات قانونی و نظارتی

الف ) کمیسیون اوراق بهادار و بورس ایالات متحده (SEC)

این پرونده اولین پرونده دعوی جمعی سهام‌داران به‌دلیل نقض قوانین اوراق بهادار مرتبط به داده بوده که اهمیت قانونگذاری در این حوزه برای سایر موارد مطرح و حس شد[64]. سرانجام یاهو به‌علت عدم اطلاع‌رسانی به‌موقع در مورد این حمله‌ها و گمراه‌ساختن سهام‌داران، موظف به پرداخت جریمه 35 میلیون دلاری به کمیسیون اوراق بهادار و بورس ایالات متحده شد[46].

ب) کمیسیون حفاظت از داده‌ها (DPC) [65]

کمیسیون حفاظت از داده‌های ایرلند (DPC) مرجع نظارتی مسئول اجرای مقررات عمومی حفاظت از داده‌ها (GDPR) است و علاوه بر آن، وظایف و اختیاراتی در ارتباط با سایر چارچوب‌های نظارتی مهم، از جمله مقررات حریم خصوصی ایرلند (۲۰۱۱) و دستورالعمل‌های اتحادیه اروپا نیز بر عهده دارد[66]. GDPR از تاریخ ۲۵ مه ۲۰۱۸ لازم‌الاجرا شد و به DPC این اختیار را می‌دهد که در صورت تخلف، جریمه‌ای تا سقف ۲۰ میلیون یورو یا ۴ درصد از کل گردش مالی سالانه جهانی شرکت در سال مالی قبل ـ هرکدام که بیشتر باشد ـ اعمال کند.

در خصوص تخلف‌های واقع‌شده پیش از ۲۵ مه ۲۰۱۸، قانون ۱۹۸۸ حاکم بود؛ ازاین‌رو، نشت داده‌های سال ۲۰۱۳ از منظر حقوقی مورد بررسی قرار نگرفت، زیرا یاهو در زمان وقوع این نشت، با توجه به تعاریف قانونی موجود، «کنترل‌کننده داده» محسوب نمی‌شد[65]. نظرات این مرجع به شکل زیر بود:

•  عدم نظارت کافی یاهو بر داده‌ها با استانداردهای اتحادیه اروپا مطابقت نداشته و DPC اقدام‌های اجباری برای رفع این نقض را اعلام کرده است. این اقدام‌ها شامل به‌روزرسانی سیاست‌های حفاظت از داده‌ها، قراردادها و رویه‌های مرتبط با پردازش داده‌هاست.
•  موفقیت در اعمال تغییرها و رفع نقض‌ها توسط یاهو تحت نظر DPC و تحت تعهدهای توافق‌نامه قرار خواهد گرفت.
•  امکان صدور اخطاریه اجرایی در صورت لزوم و نظارت مداوم بر شرکت یاهو.

به‌طورکلی این نشت داده اهمیت بیش ‌از پیش قانونگذاری در این حوزه را برای حمایت از حقوق مصرف‌کنندگان، سهام‌داران و... نشان داد. ازجمله این موارد اطلاع‌رسانی به‌موقع نشت داده است زیرا عدم اجرای این موضوع ازسوی یاهو باعث بروز مشکل‌هایی ازجمله چندین مورد کلاه‌برداری از کاربران شده بود که اگر اطلاع‌رسانی و اقدام‌های مناسب آن زودتر صورت می‌گرفت، تا حد زیادی از آن جلوگیری می‌شد.

پس از این اتفاق، تنظیم‌گران به اهمیت بیش ‌از پیش ایجاد پایه و اساس اقدام‌های اجرایی شدید با مجازات‌های واقعی پی بردند و سایر شرکت‌ها نیز متوجه شدند که چه اقدام‌هایی می‌تواند خطرهای اجرایی برای آن‌ها داشته باشد.

پیرو این اتفاق، نقش کلیدی وکلا در تحقیق و پاسخ به حوادث سایبری و نیاز سازمان‌ها به استخدام وکلای داخلی با تجربه و متخصص در امنیت سایبری و تحقیق‌های این‌گونه حوادث پررنگ شد.

همچنین نقش و صلاحیت مدیران ارشد در واکنش به حوادث سایبری به بحث گذاشته شد، زیرا مدیران ارشد یاهو به‌خوبی قبل از فاش ‌شدن از این نقض‌ها اطلاع داشتند. این پرسش‌ها پابرجاست که چرا آن‌ها در اطلاع‌رسانی تأخیر کردند و چه کسی تصمیم گرفت این نقض‌ها به‌موقع فاش نشود؟ شکست‌های مدیران ارشد یاهو نشان داد که چرا هیئت مدیره باید نقش مهمی را نه‌تنها در امنیت سایبری، بلکه در نظارت بر واکنش بعد از حادثه سایبری ایفا کند[67].

SEC قوانینی را در مورد مدیریت ریسک امنیت سایبری، استراتژی، حکمرانی و افشای حوادث توسط شرکت‌های عمومی تصویب کرد و از شرکت‌ها می‌خواهد که چنین نشت داده‌هایی را ظرف چهار روز پس از کشف افشا کنند. در صورتی‌که دادستان کل ایالات متحده تشخیص دهد که افشای فوری، خطرهای قابل‌ توجهی برای امنیت ملی یا عمومی به‌همراه دارد، با اطلاع این تصمیم به‌صورت کتبی به کمیسیون، ممکن است زمان اعلان به تأخیر بیفتد[68].

اِی‌جِی یائن از مدیران شرکت آرمانینو که جزو شرکت‌های بزرگ آمریکا درزمینه حسابداری، مشاوره و فناوری است، می‌گوید: «اقدام‌های اخیر SEC و تحول‌های نظارتی، امنیت سایبری را از یک موضوع فنی به یک نگرانی در سطح هیئت‌مدیره با عواقب واقعی برای سهل‌انگاری آن ارتقا می‌دهد. بنابراین، درحالی‌که برخی از جزئیات ممکن است قدیمی باشد، میراث نشت داده یاهو پابرجاست و نقش جدایی‌ناپذیر امنیت سایبری در مدیریت شرکت را برجسته می‌کند»[69].

3-3. گزارش موردی: ماریوت اینترنشنال

ماریوت اینترنشنال یک شرکت اقامتی جهانی است که دفتر مرکزی آن در بتزدا، مریلند قرار دارد. اولین هتل این شرکت در سال 1975 تأسیس شد. ماریوت اینترنشنال، به‌عنوان بزرگ‌ترین و جهانی‌ترین شرکت اقامتگاهی در جهان، یک شرکت سهامی عام است که در بورس نیویورک معامله می‌شود. این شرکت با حضور در کشورهای متعدد در سراسر جهان به یک نام پیشرو در صنعت هتل‌داری و مهمان‌داری تبدیل شد. در سال ۲۰۱۶، ماریوت اینترنشنال با خرید شرکت Starwood Hotels & Resorts Worldwide مجموعه‌ای از برندهای بزرگ هتل‌داری مانند Sheraton و Westin را به ساختار خود اضافه کرد. با این حال، ارزیابی‌های پس از ادغام نشان داد که برخی ضعف‌های امنیتی در زیرساخت‌های سامانه‌های رزرو استاروود وجود داشته که به‌طور کامل اصلاح یا یکپارچه‌سازی نشده بود و همین امر سطح ریسک‌پذیری امنیتی را در این سامانه‌ها افزایش داد.[70] [71].

در اواخر سال ۲۰۱۸، شرکت هتل‌های زنجیره‌ای ماریوت اعلام کرد که یکی از سیستم‌های رزرواسیون آن به خطر افتاده و صدها میلیون رکورد سوابق مشتریان ازجمله شماره کارت اعتباری و شماره پاسپورت توسط مهاجمان کشف شده است.

در 8 سپتامبر 2018، یک ابزار امنیتی داخلی، تلاش برای دسترسی به پایگاه داده رزرو مهمان داخلی را به‌عنوان اقدام مشکوک علامت‌گذاری کرد. بعد از دسترسی مشکوک، ماریوت طی تحقیق‌های داخلی خود پی برد که پایگاه داده سیستم رزرو مهمان با خطرهایی مواجه شده است. پس از بررسی‌ها مشخص شد اطلاعات و سوابق 500 میلیون مهمان مانند شماره کارت اعتباری و پاسپورت در معرض خطر قرار گرفته است. درنتیجه عدم فروش داده‌های این شرکت است که می‌تواند نشان‌دهنده تلاش برای کسب این اطلاعات ارزشمند به سفارش نهادهای غیرتجاری باشد.

3-3-1. اعلامیه‌های رسمی

در تاریخ ۳۰ نوامبر ۲۰۱۸، ماریوت طی اعلامیه‌ای به تشریح اتفاق پیش‌آمده و اقدام‌های خود پرداخت. این شرکت اعلام کرد که این نقض امنیتی مرتبط با پایگاه داده رزرو مهمان در یکی از زیرمجوعه‌هایش ایجاد شده است. طی این بیانیه اعلام شد که اخطار دسترسی مجاز در 8 سپتامبر بوده و در 19 نوامبر تحقیق‌ها مشخص کرد که دسترسی قبل از 10 سپتامبر بوده است. براساس تحقیق‌ها یک شخص غیرمجاز اطلاعات را کپی و رمزگذاری کرده و اقدام‌هایی را برای حذف آن انجام داده است. در 19 نوامبر 2018، ماریوت توانست اطلاعات را رمزگشایی و تأیید کند که محتواها از پایگاه داده رزرو مهمان استاروود است. شرکت بیان داشت بررسی‌هایش را ادامه می‌دهد اما تاکنون به نشت داده‌های بیش از 500 میلیون نفر، پی برده که برای حدود 327 میلیون آنان اطلاعات جزئی‌تری نیز بوده است. در این بیانیه آمده که این اتفاق به مراجع قانونی اطلاع‌رسانی شده و در حال همکاری با این مراجع هستند. رئیس و مدیر اجرایی ضمن ابراز تأسف و اعلام حمایت از کاربران، به مشتریان اطمینان دادند که در تلاش برای برطرف‌کردن مشکل‌های موجود هستند[72].

3-3-2. تعداد کاربران تحت تأثیر قرار گرفته شده

در بیانیه اولیه، اطلاعاتی درمورد حدود 500 میلیون مهمان تخمین زده شده بود که شرکت پس از مدتی طی بیانیه‌ای تعداد را تصحیح کرد و گفت: «این شرکت با اطمینان نسبی به این نتیجه رسیده که اطلاعات کمتر از 383 میلیون مهمان منحصربه‌فرد درگیر بوده است»[73].

3-3-3. نوع داده‌ها

برای حدود 327 میلیون نفر از این مهمانان، ترکیبی از اطلاعات شامل نام، آدرس پستی، شماره تلفن، آدرس ایمیل، شماره پاسپورت، تاریخ تولد، جنسیت، اطلاعات ورود و خروج، تاریخ رزرو و اولویت‌های ارتباطی است. برای برخی، اطلاعات بیش‌تری شامل شماره کارت پرداخت و تاریخ انقضای کارت پرداخت نیز می‌شود. برای مهمانان باقیمانده، اطلاعات منتشر شده محدود به نام و گاهی آدرس پستی و ایمیل می‌شده است[72].

 در ژانویه 2019، شرکت ماریوت فاش کرد که بیش از 5 میلیون شماره پاسپورت رمزگذاری‌نشده و بیش از 20 میلیون شماره پاسپورت رمزگذاری‌شده در این نشت داده وجود داشته است. ماریوت همچنین فاش کرد که این حمله شامل اطلاعات 8.6 میلیون کارت اعتباری رمزگذاری‌شده بود که از این تعداد ۳۵۴۰۰۰ کارت اعتباری منقضی شده بود. با این ‌حال، گفته می‌شود که کمتر از 2000 شماره کارت رمزگذاری‌نشده هنوز ممکن است در معرض خطر باشند[74] [75] [76].

3-3-4. آثار

بعد از افشای نشت داده، قیمت سهام این شرکت با کاهش  5.6 درصدی همراه بود[77] [78]. همچنین پس از این حادثه انتقادهای گسترده‌ای به ماریوت به‌علت نقض‌های امنیتی وارد شد. به‌ویژه، رسانه‌ها و کارشناسان فناوری اطلاعات، شکست‌های ماریوت را در انجام بررسی‌های لازم روی آسیب‌پذیری‌های امنیتی موجود استاروود قبل از فرایند خرید و ادغام، بررسی کردند. آسیبی که برای نزدیک به چهار سال به مجرمان سایبری اجازه می‌داد به اطلاعات شخصی مشتریان دسترسی داشته و از آن‌ها استفاده کنند. علاوه‌بر این، تخمین زده می‌شود که این شرکت به‌علت کاهش وفاداری مشتریان پس از این حادثه، بیش از ۱ میلیارد دلار از درآمد خود را از دست داده باشد[79]. همچنین باعث کاهش نمره‌های رضایت مشتری در سال 2019 و میزان اعتماد مردم به این شرکت شد[80].

نگرانی‌های بسیاری از نشت داده‌های مرتبط با کارت بانکی و شماره پاسپورت به وجود آمد، زیرا می‌توانست به کلاه‌برداری و جعل هویت منجر شود[81]. همچنین با داشتن شماره پاسپورت افراد می‌توان برنامه‌های سفر قربانیان حمله‌های سایبری را ردیابی کرد، که بسیاری از آن‌ها ممکن است مقام‌های دولتی یا مدیران تجاری باشندو [75]. کارشناسان رمزگذاری به ماریوت انتقادهایی در مورد نحوه و نوع اطلاع‌رسانی در مورد رمزنگاری اطلاعات وارد کردند که به آن‌ها پاسخی نداد[82].

3-3-5. اقدام‌های سازمان

•  شرکت از 30 نوامبر 2018 شروع به ارسال ایمیل اطلاع‌رسانی به مهمانانی کرد که اطلاعاتشان افشا شده بود.
•  یک وب‌سایت و مرکز تماس اختصاصی با پشتیبانی چند زبانه برای سؤال‌های کاربران ایجاد شد. این وب‌سایت به‌روز‌شونده اطلاعات و سؤال‌های مرتبط را به کاربران ارائه داده و به‌مرور پرسش‌های پرتکرار را در دسترس عموم قرار می‌داد.
•  ارائه یک سال عضویت رایگان در سرویس Web Watcher به ساکنان ایالات متحده، کانادا و بریتانیا (سرویس نظارتی بر سایت‌هایی که دزدان اطلاعات را می‌فروشند و اطلاع‌رسانی به افراد در صورت فروش اطلاعات آن‌ها و همچنین دسترسی به خدمات مشاوره کلاه‌برداری و پوشش بازپرداخت).
•  تشکیل پرونده SEC: ماریوت ارسال فرم 8-K به SEC را آغاز کرد و بیانیه مطبوعاتی و اطلاعات اضافی درباره این حادثه را ارائه داد[72] [83].
•  قرار شد که این شرکت هزینه جایگزینی گذرنامه با شماره جدید را بپردازد یا هزینه‌های کارت اعتباری را «اگر کلاهبرداری صورت گرفته باشد» پرداخت کند[84].
•  این شرکت، سیستم رزرو مهمان استاروود، که آسیب‌پذیر بود را از دسترس خارج کرد و سیستم یکپارچه ماریوت در تمامی هتل‌ها استفاده شد[73].

ماریوت در پی این نشت داده، وارد برخی فرایندهای حقوقی شد که جرائم مالی و عملکردی را که در زیر بیان خواهد شد، در پی داشت.

3-3-6. دعاوی حقوقی

شکایت‌های دسته‌جمعی متعددی علیه این شرکت مطرح شد که دلیل آن شکست ماریوت در انجام بررسی‌های لازم روی سیستم‌های فناوری اطلاعات استاروود بود.

در یک مورد، بیش از 150 نفر که قبلاً در املاک شرکت ماریوت اقامت داشتند، از این شرکت شکایت کردند و مدعی شدند که ماریوت به اندازه کافی برای محافظت از آن‌ها در برابر نقض داده‌ها، اقدام نکرده است[85].

در پرونده دیگری، افرادی با به ‌خطر افتادن اطلاعات شخصی‌شان و بی‌توجهی 2 ساله شرکت ماریوت در تأمین امنیت سامانه‌های زیرمجموعه خود، که نشان‌دهنده نقض قوانین حمایت از مصرف‌کننده است، از این شرکت شکایت کردند[86] و در جریان شکایت دیگری نیز، شاکیان 12.5میلیارد دلار زیان ‌خواستند[87].

بسیاری از این دعاوی با یکدیگر ادغام شدند تا روند دادگاه را ساده کنند. چنین دعاوی دسته‌جمعی معمولاً سال‌ها طول می‌کشد تا به محاکمه برسد و در بیشتر موارد توافق می‌کنند. طی این توافق‌نامه‌ها، متهم ملزم به پرداخت مبلغ و یا انجام تغییراتی در شرکت نیز می‌شود.

روند بررسی شکایت‌ها در دادگاه در مراحل اولیه به‌علت پیوستن مشتریان به برنامه‌های وفاداری ماریوت روند پیچیده‌تری را در پی خواهند داشت. این برنامه‌ها مزایای زیادی را برای مشتریان وفادار تبلیغ می‌کنند اما در مقابل هزینه‌هایی (مانند کاهش یا سلب امکان شکایت از شرکت) را در قالبی توافق‌نامه‌ای که معمولا خوانده نمی‌شود ، در پی دارد. وکلای شاکیان مدعی هستند که مشتریان آگاهانه این حق را از خود سلب نکرده‌اند[88] [89] [90]. پس از اینکه ماریوت سعی کرد از سلب حق مشتریان، که در انتهای چندین صفحه قوانین و مقررات، آن را تأیید کرده بودند، استفاده کند، دادگاه آن را رد و روند دادرسی را به جریان انداخت[91].

3-3-7. نتیجه دعاوی

هنوز نتیجه نهایی اعلام نشده است.

3-3-8. تبعات حقوقی و نظارتی

دفتر کمیسر اطلاعات بریتانیا  (ICO) که یک سازمان دیده‌بان حقوق مصرف‌کننده است، ماریوت را ۲۳.۸ میلیون دلار (کمتر از جریمه اولیه ۱۲۳میلیون دلاری) جریمه کرد. ICO می‌گوید که این شرکت به‌علت انجام ندادن اقدام‌های فنی یا سازمانی مناسب هنگام پردازش داده‌ها، استانداردهای امنیتی موردنیاز GDPR را برآورده نکرده و به این ترتیب، این شرکت الزام‌های حفاظت از داده‌ها را که اکنون از طریق مقررات GDPR اجرا می‌شود، نقض کرده است. با این ‌حال، سازمان دیده‌بان اذعان کرد که ماریوت پس از فاش‌شدن حادثه امنیت سایبری، بلافاصله با مشتریان و ICO تماس گرفت، و برای کاهش خطر آسیب وارده به مشتریان اقدام کرد. میزان جریمه اولیه در نظر گرفته ‌شده بیش از مقدار تصویب‌شده بود اما به‌علت هزینه‌های پیش روی ماریوت برای بهبود امنیت خود و سایر هزینه‌ها، این جریمه کاهش پیدا کرد[92] [93].

نشت داده در شرکت ماریوت، اهمیت امنیت سایبری در هنگام ادغام شرکت‌ها را نشان داد. در بسیاری از موارد، اتخاذ فرایندهای دیجیتالی مشترک و سیاست‌های امنیتی برای حفظ استراتژی‌های دفاعی یکسان در برابر مجرمان سایبری، می‌تواند برای شرکت‌های ادغام‌شده مفید باشد.

از دیگر درس‌های این نشت داده، اهمیت بسیار نرم افزارهای مؤثر امنیتی و تشخیص تهدید و آسیب‌پذیری است. ممکن است این سرویس‌ها در ابتدا گران باشند اما با کاهش احتمال نشت داده و نقض حریم خصوصی از آسیب‌های بزرگ‌تر جلوگیری می‌کنند.

ماریوت یک شرکت غیرفناوری است که شهرت آن یک دارایی ضروری در تجارت هتل‌داری است. شهرت ماریوت براساس کیفیت خدمات مهمان‌نوازی آن‌هاست، نه براساس استحکام امنیت سایبری. این اتفاق اثر مشهود و ملموس حفاظت اطلاعات و امنیت داده را بر شرکتی که ارزش آن به فناوری اطلاعات مربوط نیست آشکار کرد. همچنین این نشت داده، تأثیرات بالقوه‌ای بر صنعت بیمه داشت. بیمه در برابر حمله‌های سایبری یک بیمه نسبتاً جدید است زیرا  ابعاد ضرر و زیان شرکت‌ها در حمله‌های سایبری باید سنجیده شود (بیمه سایبری این شرکت بسیاری از هزینه‌های اولیه مرتبط با بحران را پوشش می‌داد). پس از این اتفاق صحبت‌هایی در این زمینه میان متخصصان این حوزه به‌وجود آمد[79] [94] [95].

3-4. گزارش موردی: ادهار، ثبت احوال هند

بین اوت 2017 و ژانویه 2018، به‌طور غیررسمی اعلام شد که اطلاعات بیش از1 میلیارد شهروند هندی در Aadhaar دچار نشت شده و در معرض خطر قرار گرفته است. فروشندگان ناشناس ازطریق واتس‌اپ برای دسترسی به مرجع شناسایی منحصربه‌فرد هند که سوابق تقریباً هر شهروندی در آن موجود است، حدود 500 روپیه و کمتر را دریافت می‌کردند.

ادهار یک شماره شناسایی 12 رقمی به‌عنوان مدرکی هویتی توسط سازمان شناسایی منحصربه‌فرد هند (UIDAI) که یک مرجع قانونی ایجاد شده توسط دولت هند و زیر نظر وزارت الکترونیک و فناوری اطلاعات است، برای ساکنان هند به‌صورت داوطلبانه و براساس اطلاعات بیومتریک (10 اثر انگشت، 2 اثر عنبیه و عکس صورت) و داده‌های جمعیتی (نام، تاریخ تولد، سن، جنسیت، نشانی و...) صادر می‌کرد.

این شماره در جهت تأیید هویت و نشانی عمل کرده و به روشی آنلاین و مقرون‌به‌صرفه قابل ‌‌تأیید است و از جعل هویت جلوگیری می‌کند. ازجمله کاربرد‌های آن می‌توان به این موارد اشاره کرد: دسترسی به خدمات دولتی و مزایای رفاهی (به‌عنوان یک شناسه اصلی برای ارائه خدمات)، تسهیل دسترسی به خدمات و امور مالی بخش‌های محروم جامعه، جلوگیری از سرقت هویت و کلاهبرداری از منافع ساکنان فقیر و حاشیه‌نشین که اغلب فاقد اسناد هویتی سنتی هستند[96].

یکی از اشکال‌های مهمی که به این سامانه وارد شده بود، این بود که افراد حتی برای خرید سیم‌کارت یا ثبت‌نام در مدرسه نیز مجبور به استفاده از آن بودند و این موجب انباشت حجم انبوهی از داده‌های شهروندان شده بود[97].

در سال 2023، این سامانه برای چندمین بار دچار نشت داده شد و گزارشی از شرکت امنیت سایبری ایالات متحده Resecurity فاش کرد که اطلاعات شخصی 815 میلیون هندی شامل نام، شماره تلفن، آدرس، اطلاعات ادهار و پاسپورت آن‌ها در دارک‌وِب منتشر شده است. براساس گزارشی که در Business Standard منتشر شده است، هکرها  در ازای 80000 دلار حاضر به فروش داده‌های ادهار و پایگاه داده گذرنامه هستند. پلیس هشدارهایی را در پلتفرم X (توییتر سابق) صادر کرد و از افراد خواست ورود از طریق روش بیومتریک ادهار خود را قفل کنند تا در برابر فعالیت‌های کلاهبرداری در امان باشند[98].

3-4-1. اعلامیه‌های رسمی

در 19 نوامبر2017 گزارش‌هایی از نگرانی‌ها درباره امنیت این سیستم مطرح شد[99] که واکنش مراجع رسمی را در پی داشت. UIDAI در 20 نوامبر در بیانیه‌ای گفت که داده‌های ادهار کاملاً ایمن و امن است و هیچ‌گونه نشت یا نقض داده وجود ندارد. UIDAI گفت که به نظر می‌رسد روزنامه مدعی تنها از طریق یک مرکز جست‌وجو که در اختیار مقام‌های دولتی قرار گرفته به جزئیات محدودی دسترسی داشته باشد. این مرکز مدعی شد که اقدام‌های پیشگیرانه‌ای را برای رسیدگی به نمایش شماره‌های ادهار در وب‌سایت‌های دولتی انجام داده است؛ و امنیت و یکپارچگی سیستم احراز هویت ادهار را مجدداً تأیید و تأکید کرده که هیچ موردی از نقض داده‌های بیومتریک وجود ندارد.[100]

بعد از انکار چندباره نشت داده توسط UIDAI، که سیستم ادهار را مدیریت می‌کند، گزارشی تحقیقی در 3 ژانویه 2018 با عنوان «500 روپیه، 10 دقیقه، و شما به جزئیات میلیاردی ادهار دسترسی دارید» توسط روزنامه تریبون فاش کرد که جزئیات ادهار تنها با پرداخت 500 روپیه به‌راحتی قابل‌‌دسترس است.[101]

در پی انتشار این گزارش، UIDAI در 4 ژانویه گفت که به‌دنبال طرح اتهام علیه افرادی است که از سیستم «سوءاستفاده» کرده‌اند، است اما تأکید کرد که هیچ اثر انگشت یا اسکن شبکیه چشم در دسترس دیگران قرار نگرفته است[102]. در بیانیه‌ای آمده است: «نمایش صرف اطلاعات جمعیتی را نمی‌توان بدون بیومتریک مورد سوءاستفاده قرار داد. ادعاهای دور زدن یا فریب ‌دادن سیستم ثبت‌نام ادهار کاملاً بی‌اساس است. داده‌های ادهار کاملاً ایمن و مطمئن هستند»[103] [104] [105].

3-4-2. تعداد افراد تحت تأثیر

بیش از 1 میلیارد نفر است[101].

3-4-3. داده‌های لورفته

شماره ادهار، نام، ایمیل و نشانی فیزیکی، کد پستی، شماره تلفن، عکس‌ها و اطلاعات پاسپورت، داده‌های بیومتریک و تمام مشخصاتی که ممکن است یک فرد به UIDAI ارسال کرده باشد.

3-4-4. اقدام‌های سازمان

UIDAI، دو روز پس از گزارش روزنامه تریبون، علیه این روزنامه و روزنامه‌نگار آن شکایتی را مطرح کرد[106]. این امر توسط اتحادیه روزنامه‌نگاران محکوم شد[107] و این شکایت به‌عنوان شاهدی علیه ادعای آنان در وخامت وضع موجود شد. در کمتر از یک سال، این چهارمین مورد گزارش ‌شده از حمله به آزادی بیان درزمینه ادهار بود[108]. در تمامی موارد این سازمان اتهام‌ و گزارش‌ها را تکذیب می‌کرد[109].

پیرو این گزارش، یک مقام دولتی بیان کرد که تمامی امتیازهایی که به افراد تعیین‌شده برای دسترسی داده شده بود فوراً لغو شده‌اند. او همچنین افزود که این سیستم اکنون فقط با بیومتریک فردی که جزئیات آن باید تأیید شود، امکان دسترسی را به افراد می‌دهد. همچنین مقامات ارشد پلیس دهلی گفته بودند که در حال بررسی دخالت افراد خودی در UIDAI پس از ادعای نقض اطلاعات هستند[110].

3-4-5. اثر اتفاق بر شرکت

در ژانویه 2018 بار دیگر اخطار‌هایی درمورد اپلیکیشن‌های مرتبط با این سازمان توسط محققان امنیتی داده شد[111]. پس از یک سال از این حادثه در گزارشی به اشکال‌های وارده به سیستم این سازمان و برنامه‌های مرتبط با آن پرداخته و مدعی شد که در طول یک سال گذشته، موارد متعددی از نشت داده‌های ادهار به‌صورت آنلاین از طریق وب‌سایت‌های دولتی وجود داشته است[112]. این گزارش نشان‌ می‌دهد که با وجود انتقادهای فراوان اقدام مؤثر و درستی برای امنیت کاربران این سازمان در طول یک سال انجام نشده است.

3-4-6. دعاوی جمعی

دعوی جمعی علیه دولت صورت نگرفت.

3-4-7. نتیجه دعاوی

مشخص نیست.

3-4-8. اقدام‌های توافق‌نامه

 مشخص نیست.

3-4-9. تبعات قانونی و نظارتی

چند ماه پس از این اتفاق، گزارش‌های متعدد UIDAI را مجبور کرد طی بیانیه‌ای از مردم بخواهد که شماره ادهار خود را در انظار عمومی فاش نکنند[113].

یکی از مسائل اصلی مدنظر منتقدان سیستم ادهار، حریم خصوصی بود. ادهار از مشکل‌های امنیتی بی‌شماری رنج می‌برد و سیستم بارها ثابت کرده بود که هم در برابر نشت‌های داخلی و هم سوءاستفاده خارجی از داده‌ها آسیب‌پذیر است. ادهار به‌عنوان یک ایده جدید برای کاهش بوروکراسی و کلاهبرداری آغاز شد، اما خود حریم شخصی همه کاربران را تهدید و حقوق قانونی شهروندان هند را محدود می‌کرد. علاوه‌بر این منتقدان معتقد بودند ارتباط و پتانسیل ادهار در کمک به برنامه‌های یادگیری ماشینی تحت کنترل دولت، اصول دمکراتیک را نیز تضعیف خواهند کرد. پس از آنکه دادگاه بر ادامه استفاده از این سیستم تأکید کرد و لغو و تعطیلی آن را مطرح نکرد، از دولت خواست هرچه سریع‌تر قوانین مناسب و قدرت‌مندی را برای حفظ و امنیت داده‌ها معرفی کند[114] [115] [97].

 انتشار پیش‌نویس لایحه قانون حفظ حریم خصوصی برای هند در همان سال کمک شایانی به بهبود شرایط کرد. هرچند که پیش‌نویس لایحه تا حد زیادی در مورد ادهار بی‌اثر بود؛ با این ‌حال، پیشنهاد کرد که قانون ادهار برای تقویت حفاظت از داده‌ها اصلاح شود[109].

این حادثه، نیاز به نوسازی چارچوب‌های امنیتی و اجرای اصلاح‌های نظارتی را برای رفع آسیب‌پذیری‌های سیستم شناسایی منحصربه‌فرد هند برجسته کرد. دولت یک بازنگری جامع را آغاز کرد و فناوری‌های پیشرفته رمزگذاری را برای محافظت از داده‌های حساس پیاده‌سازی کرد. اجرای سخت‌گیرانه‌ دسترسی مبتنی‌بر نقش، برای محدود‌کردن و نظارت بر دسترسی به پایگاه داده اعمال شد و تضمین می‌کرد که افراد فقط به اطلاعات لازم برای مسئولیت‌های خود دسترسی دارند. پروتکل‌های پیشرفته احراز هویت معرفی شدند که شامل اجرای احراز هویت چندعاملی و رمزگذاری بیومتریک برای خنثی‌کردن تلاش‌ها در دسترسی غیرمجاز بودند. برای تشویق سازمان‌ها در اولویت‌دادن به امنیت سایبری، دولت مجازات‌های سخت‌تری را برای رعایت نکردن مقررات حفاظت از داده‌ها در نظر گرفت که شامل جریمه‌های سنگین و عواقب قانونی برای نهادهایی است که به‌اندازه کافی از اطلاعات حساس محافظت نمی‌کنند.

دولت با درک اهمیت آگاهی از امنیت سایبری، کمپین‌های آگاهی عمومی را راه‌اندازی کرد. هدف این کمپین‌ها آموزش افراد در مورد بهترین شیوه‌ها برای امنیت آنلاین، خطرهای مرتبط با اشتراک‌گذاری اطلاعات شخصی و اقدام‌های لازم برای محافظت از داده‌های آن‌ها بود.[116]

قانون محافظت از داده‌های شخصی دیجیتال هند سال 2023، اولین قانون عرضه‌شده در حوزه محافظت از داده‌های شخصی در هند است[117]. هدف این قانون ایجاد دستورالعمل‌های روشن برای جمع‌آوری، ذخیره و استفاده از داده‌های شخصی است و سازمان‌ها را در قبال نقض داده‌ها مسئول می‌داند. در سال‌های 2017 و 2018، چند عامل محرک وجود داشت که به نسخه‌های اولیه این لایحه منجر شد. دادگاه عالی اخیراً حریم خصوصی را یک حق اساسی اعلام کرده و قرار بود در مورد مطابقت یا مغایرت ادهار با قانون اساسی تصمیم بگیرد. علاوه‌بر این، یک بحث جهانی در مورد قوانین حفاظت از داده‌ها وجود داشت که با اجرای قریب‌الوقوع GDPR آغاز شد. این قوانین که در سال 2016 تصویب و در سال 2018 لازم‌الاجرا شد، در آن مقطع زمانی، به‌عنوان یک الگوی قابل‌قبول برای تصویب در نظر گرفته شد و بر مذاکره‌های هند تأثیر فراوانی گذاشت[118].

4. جریمه‌های نقض داده

جریمه‌ها بسته به ماهیت و شدت حادثه می‌تواند متفاوت باشد. در اینجا به برخی از نمونه‌های آن اشاره می‌کنیم:

درحالی‌که نقض و نشت داده‌ها نگرانی‌هایی را ایجاد می‌کنند، عواقب و مجازات‌های بالقوه بر اساس عمدی یا غیرعمدی‌بودن حادثه متفاوت است. نقض داده‌ها به‌طور معمول به‌دلیل سوءنیت درگیرشده، مجازات‌های سنگین‌تری را به‌همراه دارند. اما در نشت داده به‌دلیل غیرعمدی بودن، مجازات‌ها نسبت به نقض داده‌ها کمتر است. با این ‌حال، عواقب آن هنوز می‌تواند قابل‌ توجه باشد. مجازات‌ها می‌توانند با توجه به چندین عامل به‌طور قابل‌ توجهی متفاوت باشند:

•  نوع داده‌های افشا شده: سوابق پزشکی، اطلاعات مالی و شماره‌های تأمین اجتماعی مجازات‌های سنگین‌تری نسبت به داده‌های حساس دارند.
•   تعداد افراد تحت تأثیر: نقض‌های بزرگ‌تر احتمال محکومیت به جریمه‌های بالاتری دارند.
•   حوزه قضایی: کشورهای مختلف دارای مقررات حریم خصوصی داده‌های متفاوتی هستند و جریمه‌های متفاوتی در ارتباط با آن دارند.
•   عمدی یا تصادفی بودن: نقض‌های داده به‌دلیل عمدی‌بودن اغلب مجازات‌های شدیدتری دارند. همچنین این موضوع بسیار مهم است که آیا شرکت در مسئولیت‌های حفاظت از داده‌های خود سهل‌انگاری کرده است یا خیر؟
•   نقض مقررات خاص: تخطی از قوانین مشخص حوزه حریم خصوصی داده، نظیر مقررات عمومی حفاظت از داده‌ها (GDPR) یا قانون حفاظت از حریم خصوصی مصرف‌کنندگان کالیفرنیا (CCPA)، می‌تواند منجر به اعمال جرایم و مجازات‌های اضافی گردد.

برای نمونه:

الف) جریمه‌ای که GDPR یا همان مقررات عمومی حفاظت از داده‌ها در اتحادیه اروپا در نظر می‌گیرد، عبارت است از تا 20 میلیون یورو یا 4 درصد از گردش مالی سالانه جهانی شرکت، هر کدام که بیشتر باشد.

ب‌)   قانون  CCPA یا قانون حریم خصوصی مصرف‌کننده کالیفرنیا، جریمه‌ای تا 7500 دلار برای هر رکورد مصرف‌کننده که به خطر افتاده باشد در نظر می‌گیرد.

ج) قانون HIPAA آمریکا نیز جریمه‌های مدنی تا 50000 دلار برای هر تخلف پیش‌بینی کرده است.

گاهی مجازات نقض داده‌ها می‌تواند بسیار شدید باشد. برای مثال، Equifax موافقت کرد که حداقل 575 میلیون دلار برای نقض داده خود در سال 2017 بپردازد. شرکت چینی دیدی‌گلوبال به‌علت نقض قوانین حفاظت از داده این کشور ۱.۱۹ میلیارد دلار جریمه شد و آمازون نیز با نقض مقررات حفاظت از داده‌های عمومی (GDPR) در اروپا 877 میلیون دلار جریمه شد.

همچنین شایان ذکر است که شرکت‌ها علاوه‌بر جریمه‌های مالی، ممکن است با آسیب‌های اعتباری، از دست‌دادن اعتماد مشتریان و شکایت‌های احتمالی ازسوی افراد آسیب‌دیده مواجه شوند.

باید توجه داشته باشیم که پیشگیری از افشای داده‌ها، بسیار مهم است، زیرا هر دو نوع حادثه می‌توانند عواقب قابل‌ توجهی برای سازمان‌ها داشته باشند.

5. نمونه‌های نقض و نشت داده در ایران

در سال‌های اخیر، نشت داده‌ها و حمله‌های سایبری به زیرساخت‌ها و سازمان‌های مختلف در ایران به یکی از چالش‌های جدی حوزه امنیت اطلاعات تبدیل شده است. این حمله‌ها، که دامنه آن‌ها از سامانه‌های دولتی تا سکوهای خصوصی و بانک‌ها گسترده است، بارها حریم خصوصی کاربران را در معرض خطر قرار داده و اعتماد عمومی را متزلزل کرده‌اند. ضعف در زیرساخت‌های امنیت سایبری، عدم شفافیت در اطلاع‌رسانی و نبود قوانین جامع برای حفاظت از داده‌ها، دلایل عمده تداوم و گسترش این معضل هستند. در این بخش به بررسی مهم‌ترین موارد نشت داده‌ها و حمله‌های سایبری در ایران، پیامدهای آن‌ها، و زمینه‌های آسیب‌پذیری می‌پردازیم.

در جدول زیر فقط برخی از نقض و نشت داده‌های اخیر را مشاهده می‌کنید:

جدول ۱. مهم‌ترین موارد نقض و نشت داده در دوسال اخیر در ایران

مأخذ: گردآوری‌شده توسط نویسنده.

5-1. گزارش موردی: اسنپ‌فود

در تاریخ ۱۰ دی ماه ۱۴۰۲، پلتفرم اسنپ‌فود، یکی از بزرگ‌ترین ارائه‌دهندگان خدمات سفارش غذا در ایران، هدف یک حمله سایبری قرار گرفت که به دسترسی غیرمجاز هکرها به بخشی از اطلاعات کاربران منجر شد. این رخداد، که در ادامه موجی از حمله‌های مشابه به شرکت‌های دیگر رخ داد، نگرانی‌های گسترده‌ای درباره امنیت سایبری و حفظ حریم خصوصی کاربران در کشور ایجاد کرد.

5-1-1. اعلامیه‌های رسمی

شرکت اسنپ‌فود در همان روز طی یک بیانیه رسمی، هک شدن بخشی از داده‌های کاربران را تأیید کرد. این شرکت اعلام کرد که به‌محض شناسایی حمله، اقدام‌های لازم برای مهار دسترسی هکرها انجام شد و موضوع به پلیس فتا و نهادهای امنیتی گزارش شد. همچنین اسنپ‌فود اظهار داشت که هیچ‌گونه اطلاعات حساس مانند رمز عبور کاربران در این حمله درز پیدا نکرده است.

5-1-2. تعداد افراد تحت تأثیر

براساس اعلامیه‌های غیررسمی و اطلاعات منتشرشده توسط گروه هکری، حدود ۲۰ میلیون کاربر تحت تأثیر این حمله قرار گرفتند. این عدد شامل اطلاعات کاربران فعال و غیرفعال در پلتفرم بوده است.

5-1-3. داده‌های لو رفته

هکرها مدعی شدند که اطلاعاتی مانند شماره تلفن، موقعیت مکانی سفارش‌ها، سوابق سفارش‌ها، و جزئیات کارت‌های بانکی (بدون CVV2 و رمز) را به‌دست آورده‌اند. با این‌ حال، اسنپ‌فود تأکید کرد که اطلاعات حساس بانکی کاربران در دسترس قرار نگرفته است؛ زیرا این داده‌ها در سامانه‌های جداگانه و امن نگهداری می‌شوند.

5-1-4. اقدام‌های سازمان

پس از وقوع حمله، اسنپ‌فود مدعی شد تیم‌های امنیتی را برای ارزیابی و تقویت زیرساخت‌های امنیتی خود به کار گرفته است.

5-1-5. دعاوی جمعی و توافق‌ها

پس از وقوع حمله سایبری، دعاوی جمعی علیه اسنپ‌فود مطرح نشده و تاکنون جزئیات دقیقی درباره هرگونه توافق‌نامه رسمی میان اسنپ‌فود و کاربران یا نهادهای نظارتی منتشر نشده است. گزارش‌ها نشان می‌دهد که هکرها برای بازگرداندن اطلاعات، درخواست مبلغی در حدود ۳۰ هزار دلار کرده بودند. اسنپ‌فود هرگز تأیید نکرد که این باج پرداخت شده است. با این حال، بخشی از داده‌ها برای نمونه توسط هکرها در فضای مجازی منتشر شد که اسم و مشخصات سفارش برخی از کاربران نیز در آن‌ها قابل مشاهده بود.

حمله به اسنپ‌فود، علاوه‌بر تأثیرات منفی بر اعتبار شرکت، بار دیگر ضعف‌های موجود در زیرساخت‌های امنیت سایبری کشور را برجسته کرد. این رخداد ضرورت بازنگری در سیاست‌های امنیتی و تقویت قوانین مربوط به حفاظت از داده‌های شخصی در ایران را بیش از پیش نمایان ساخت. بنابراین برخلاف مواردی که در کشورهای دیگر رخ داد و نمونه‌های آن‌ها را بررسی کردیم، در کشور ما دعاوی جمعی علیه شرکت شکل نگرفت و هیچ‌گونه اطلاعی در دست نیست که سازمان‌های مربوطه نیز شرکت را متهم و جریمه کرده باشند.

5-1-6. پیام پلیس فتا

این حادثه توجه جدی نهادهای نظارتی به ضعف‌های امنیت سایبری در کشور را جلب کرد. پلیس فتا ضمن تأیید وقوع حمله به اسنپ‌فود، اعلام کرد که تیم‌های امنیت سایبری به‌طور مداوم در حال بررسی این موضوع هستند و تمام اقدام‌های لازم برای شناسایی و تعقیب هکرها انجام شده است. همچنین از کاربران خواسته شد که اقدام‌های امنیتی فردی خود را جدی‌تر بگیرند.

5-2. گزارش موردی، تپسی

در شهریور ماه ۱۴۰۲، حمله سایبری به تپسی، یکی از سرویس‌های بزرگ تاکسی اینترنتی کشور، رخ داد. این حمله امنیت اطلاعات کاربران و راننده‌ها را در معرض خطر قرار داد و واکنش‌های بسیاری را در پی داشت. گروه هکری مدعی شد به داده‌های گسترده‌ای شامل اطلاعات مسافران، رانندگان، و جزئیات سفرها دسترسی پیدا کرده است.

5-2-1. اعلامیه‌های رسمی

میلاد منشی‌پور، مدیرعامل وقت تپسی، در بیانیه‌ای اعلام کرد که این شرکت به‌محض شناسایی نفوذ، اقدام‌های لازم را برای جلوگیری از دسترسی بیشتر انجام داده و موضوع را به پلیس گزارش کرده است. وی همچنین تصریح کرد که شرکت تصمیم گرفته حتی با وجود تهدیدها به انتشار اطلاعات با هکرها وارد مذاکره نشود.

5-2-2. تعداد افراد تحت تأثیر

گزارش‌های غیررسمی نشان می‌دهد داده‌های بیش از ۲۷ میلیون مسافر و ۶ میلیون راننده در این حمله به خطر افتاده است. هکرها مدعی شدند اطلاعات مربوط به ۱۳۶ میلیون سفر را نیز در اختیار دارند.[119]

5-2-3. داده‌های لورفته

داده‌های لورفته شامل نام، شماره تماس، اطلاعات دستگاه‌های همراه کاربران و جزئیات سفرها بود. گروه هکری همچنین نمونه‌ای از این داده‌ها را در فضای مجازی منتشر کرد و برای عدم افشای کامل اطلاعات، مبلغی معادل ۳۵ هزار دلار درخواست کرد[119].

5-2-4. اقدام‌های سازمان

تپسی پس از شناسایی حمله، دسترسی هکرها را مسدود و با اعلام این رخداد، از کاربران عذرخواهی کرد. این شرکت تأکید کرد که باج‌خواهی را نمی‌پذیرد و تمام اقدام‌های لازم برای پیشگیری از حمله‌های مشابه در آینده را در دستور کار قرار داده است.

5-2-5. اثر اتفاق بر شرکت

حمله سایبری تأثیرهای منفی بر اعتبار تپسی داشت. کاربران نسبت به امنیت داده‌های خود نگران شدند، و این موضوع باعث کاهش اعتماد عمومی به خدمات این شرکت شد. در روزهای پس از این حادثه، واکنش‌های کاربران در شبکه‌های اجتماعی نیز گسترده بود. اما مانند مورد اسنپ، در بلند مدت، برخلاف اینکه هیچ‌گونه خسارتی به کاربران پرداخت نشد، این واکنش‌های منفی کاهش یافت و فراموش شد.

5-2-6. دعاوی جمعی و توافق‌ها

در این مورد نیز نه توسط مردم و نه سازمان‌های مربوطه (مانند پلیس فتا و دادستانی کل کشور)، دعاوی حقوقی علیه تپسی شکل نگرفت. تپسی رسماً اعلام کرد که حاضر به پرداخت باج به هکرها نیست. با وجود این، گروه هکری اطلاعات محدودی را برای اثبات ادعای خود منتشر کرد، اما داده‌های گسترده‌تر به‌طور عمومی منتشر نشد.

5-3. گزارش موردی: حمله هکری به ۲۰ بانک ایرانی

حمله سایبری به ۲۰ بانک ایرانی در شهریور ماه ۱۴۰۳ توسط گروه هکریIRLeaks  یکی از بزرگ‌ترین رخدادهای امنیتی در حوزه بانکی ایران محسوب می‌شود. این حمله باعث افشای حجم زیادی از اطلاعات حساس مشتریان و تهدید امنیت اطلاعات مالی شد. در ادامه، ابعاد مختلف این حادثه به تفصیل بررسی می‌شود.

در شهریورماه ۱۴۰۳، گروه هکری IRLeaks با نفوذ به سامانه‌های ۲۰ بانک ایرانی، اطلاعات حساس میلیون‌ها مشتری را به سرقت برد. این حمله، که به‌عنوان یکی از پیچیده‌ترین حمله‌های سایبری علیه زیرساخت‌های بانکی ایران شناخته می‌شود، نگرانی‌هایی در خصوص امنیت داده‌ها و حفاظت از اطلاعات شخصی شهروندان ایجاد کرد. در پی این حادثه، شرکت تأمین‌کننده خدمات الکترونیکی بانکی توسن متهم به عدم رعایت استانداردهای امنیتی شد [120].

5-3-1. اعلامیه‌های رسمی

 ابتدا هیچ‌یک از بانک‌های هدف و نهادهای نظارتی به‌صورت رسمی این حمله را تأیید نکردند. اما پس از انتشار گزارش‌هایی ازسوی رسانه‌ها، بانک مرکزی ایران و شرکت توسن مجبور به ارائه توضیحات شدند. با این وجود هیچ‌گاه پاسخ‌گویی و اطلاعیه‌ای رسمی در این زمینه منتشر نشد.

5-3-2. تعداد افراد تحت تأثیر

گزارش‌ها نشان می‌دهد اطلاعات بیش از ۲۰ میلیون مشتری، شامل داده‌های حساب‌های بانکی، کارت‌های اعتباری و اطلاعات شخصی کاربران در این حمله به خطر افتاده است.

5-3-3. داده‌های لورفته

اطلاعات منتشر شده در این حمله شامل نام و نام خانوادگی، شماره کارت بانکی و تاریخ انقضا، شماره شناسنامه و کد ملی، موجودی حساب و جزئیات تراکنش‌ها، اطلاعات تماس شامل شماره تلفن و آدرس است.

5-3-4. اقدام‌های سازمان

هیچ‌گاه شفاف نشد.

5-3-5. اثر اتفاق بر شرکت

به‌علت اینکه تمام بستر بانکی تهدید شد، کاربران تقریباً امکان جایگزینی نداشتند و نمی‌توانستند فعالیت‌های مالی خود را به بستر دیگری منتقل کنند، به همین دلیل ازسوی کاربران اثر خاصی رخ نداد.

5-3-6. دعاوی جمعی و توافق‌نامه‌ها

مانند هک‌ اسنپ و تپسی، و برخلاف خصوصی بودن این دو شرکت، بانک‌ها جزو بخش دولتی محسوب می‌شدند، هیچ اقدامی درباره دعاوی فردی و جمعی و توافق با کاربران انجام نشد. 

5-3-7. آیا باج پرداخت شد؟

طبق گزارش‌ها، شرکت توسن برای جلوگیری از افشای بیشتر اطلاعات، مبلغی معادل ۳ میلیون دلار به گروه هکری پرداخت کرد. این گروه هکری پس از دریافت این مبلغ، بخشی از اطلاعات را حذف کرد، اما مشخص نیست که آیا تمام داده‌ها بازگردانده شده یا امکان سوءاستفاده از آن‌ها همچنان وجود دارد[120].

این حمله سایبری بار دیگر ضعف‌های جدی در زیرساخت‌های امنیت سایبری ایران را آشکار کرد. اگرچه شرکت توسن تلاش کرد تا آثار این حمله را کاهش دهد، اما افشای اطلاعات میلیون‌ها مشتری ضربه‌ای جدی به اعتبار نظام بانکی کشور وارد کرد. همچنین، عدم شفافیت و واکنش نهادهای مسئول به این حمله، به نگرانی‌های عمومی افزود. این پرسش پیش می‌آید که چرا در چنین مواقعی، از نظر قانونی، سازمان‌ها ملزم به پاسخ‌گویی نیستند؟ و همچنین کاربران نیز حساسیت چندانی نسبت به داده‌های خود ندارند.

5-4. گزارش موردی: هک اطلاعات شرکت‌های بیمه در ایران

در شهریورماه ۱۴۰۳، حمله‌ای سایبری به شبکه اطلاعاتی ۱۸ شرکت بیمه در ایران رخ داد که به‌عنوان یکی از گسترده‌ترین حمله‌های سایبری به صنعت بیمه کشور شناخته شد. این حمله به افشای اطلاعات میلیون‌ها بیمه‌گذار منجر شد. اطلاعات منتشر شده شامل داده‌های هویتی و بیمه‌ای کاربران بود که نگرانی‌های زیادی در مورد حفظ حریم خصوصی و سوءاستفاده از داده‌ها ایجاد کرد.

5-4-1. اعلامیه‌های رسمی

شرکت بیمه مرکزی ایران و برخی شرکت‌های بیمه‌ای ابتدا وقوع حمله را تکذیب کردند یا آن را به «شبه‌افکنی» رسانه‌ها نسبت دادند. با این ‌حال، بعداً گزارش‌هایی منتشر شد که نشان می‌داد اطلاعات حساس کاربران به دست هکرها افتاده و در فضای مجازی برای فروش گذاشته شده است. بیمه مرکزی تأیید کرد که به برخی شرکت‌ها درباره ضعف‌های امنیتی هشدار داده شده بود، اما به صراحت مسئولیت این رویداد را نپذیرفت[121].

5-4-2. تعداد افراد تحت تأثیر و داده‌های لورفته

براساس ادعاهای هکرها، اطلاعات بیش از ۱۱۵ میلیون بیمه‌گذار شامل نام، نام‌ خانوادگی، تاریخ تولد، نام پدر، شماره تلفن/موبایل، شماره شناسنامه، کد ملی، کد ملی شرکت و... لورفته است. این اطلاعات شامل بیمه‌های شخص ثالث، عمر و سلامت بوده و حجم گسترده‌ای از داده‌ها را دربر می‌گیرد.[121]

5-4-3. اقدام‌های سازمان

اقدام‌های سازمان مشخص نیست. حمله به شرکت‌های بیمه ایران، زنگ خطری جدی برای صنعت مالی و بیمه‌ای کشور بود. این رویداد نشان داد که علی‌رغم اهمیت داده‌های کاربران، اقدام‌های کافی برای حفاظت از آن‌ها انجام نشده و برای جلوگیری از حمله‌های مشابه، نیاز به سرمایه‌گذاری در امنیت سایبری، تدوین قوانین جدید و شفاف‌سازی در برخورد با چنین رویدادهایی لازم است.

6. مروری بر قوانین حفاظت از داده در دنیا

در ادامه، خلاصه‌ای از مهم‌ترین قوانین مربوط به نقض داده را مرور خواهیم کرد:[122] [123] [124] [125] [126] [127] [128] [129] [130] [131] [132].

ایالات متحده آمریکا: در ایالات متحده، 48 ایالت و ناحیه کلمبیا دارای قوانین نقض داده و امنیت اطلاعات هستند که سازمان‌ها و نهادهای دولتی را ملزم به اطلاع‌رسانی درباره نقض‌های امنیتی در صورت تأثیر بر اطلاعات شخصی شناسایی‌شده می‌کنند. شرکت‌ها نیز ممکن است ملزم به اقدام برای کاهش آثار نقض شوند. کمیسیون تجارت فدرال  (FTC)  می‌تواند شرکت‌هایی را که سیاست‌های حفظ حریم خصوصی اعلام‌ شده خود را رعایت نمی‌کنند و از اطلاعات مشتریان محافظت نمی‌کنند، بررسی کند. با این حال، هیچ قانون فدرال جامع برای اطلاع‌رسانی نقض‌ها وجود ندارد.

قوانین و مقررات امنیت داده‌ای که در سطح فدرال اجرا می‌شوند شامل موارد زیر هستند:

·   قانون Gramm-Leach-Bliley (GLB): مؤسسات مالی را ملزم به حفظ امنیت و محرمانگی اطلاعات شخصی می‌کند.

·   قانون FTC Safeguards Rule: مؤسسات مالی مشخصی را به ایجاد تدابیر امنیتی برای حفاظت از اطلاعات مشتریان ملزم می‌کند.

·   قانون HIPAA Breach Notification Rule: نهادهای تحت پوشش HIPAA را به اطلاع‌رسانی درباره نقض اطلاعات بهداشتی محافظت‌شده ملزم می‌کند.

·   قانون FTC Health Breach Notification Rule: شرکت‌های مرتبط با سلامت (که تحت HIPAA  نیستند) را به اطلاع‌رسانی درباره نقض اطلاعات سلامت الکترونیکی ملزم می‌کند.

اتحادیه اروپا: اتحادیه اروپا دارای یکی از جامع‌ترین و سخت‌گیرانه‌ترین قوانین حفاظت از داده در جهان است که تحت مقررات عمومی حفاظت از داده‌ها (GDPR) اجرا می‌شود. این مقررات تمامی شرکت‌ها و سازمان‌هایی را که داده‌های شهروندان اتحادیه اروپا را پردازش می‌کنند، صرف‌ نظر از محل استقرار آن‌ها، ملزم به رعایت الزام‌های سخت‌گیرانه می‌کند.

براساس GDPR، سازمان‌ها موظفند هرگونه نقض داده را ظرف 72 ساعت به مقام‌های نظارتی مربوطه اطلاع دهند، مگر اینکه این نقض خطر جدی برای حقوق و آزادی‌ افراد نداشته باشد. همچنین، در صورت تأثیرگذاری زیاد نقض بر افراد، شرکت‌ها باید به آن‌ها اطلاع دهند. مجازات‌های عدم رعایت می‌تواند تا 20 میلیون یورو یا 4 درصد از درآمد سالانه جهانی شرکت باشد.

مهم‌ترین اصول GDPR شامل موارد زیر است:

·  شفافیت: سازمان‌ها باید کاربران را از نحوه جمع‌آوری و پردازش داده‌هایشان آگاه کنند.

·  مسئولیت‌پذیری: سازمان‌ها باید اقدام‌های لازم برای حفاظت از داده‌ها را انجام دهند و در برابر نهادهای نظارتی پاسخگو باشند.

·  حقوق افراد: شامل حق دسترسی، اصلاح، حذف و انتقال داده‌ها به سایر ارائه‌دهندگان خدمات است.

در سراسر اتحادیه اروپا، نهادهای نظارتی مانند دفتر کمیساریای اطلاعات بریتانیا (ICO) و کمیسیون ملی اطلاعات و آزادی‌های فرانسه (CNIL) وظیفه اجرای این مقررات را بر‌عهده دارند.

جدول ۲. مقایسه‌ای قوانین حفاظت از داده‌ها، مهلت‌ها، جرایم و نهادهای نظارتی در کشورهای مختلفTop of Form

مأخذ: گردآوری‌شده توسط نویسنده.

7. چالش‌های امنیت سایبری

با توجه به مطالعات موردی بررسی شده می‌توان چالش‌های امنیت سایبری را موارد ذیل دانست: 1. ضعف زیرساخت‌های امنیت سایبری 2. ضعف مدیریت داده‌ها 3. اطلاع‌رسانی ناکارآمد نقض‌ها 4. کمبود نیروی انسانی متخصص 5. عدم مسئولیت‌پذیری شرکت‌ها و سازمان‌ها 6. هزینه بالای امنیت سایبری 7. ضعف در واکنش به حوادث سایبری 8. ضعف نظارت و قوانین جامع 9. آثار تحریم‌ها و فیلترینگ و 10. پیامدهای گسترده نقض‌ها. در جدول ۳ شرح این چالش‌ها و شیوه‌های مواجه پیشنهادی برای مقابله با آنها تلخیص شده است.

جدول ۳. مشکل‌ها و شیوه‌های مواجهه پیشنهادی در امنیت سایبری ایران

مأخذ: گردآوری‌شده توسط نویسنده.

8. جمع‌بندی و پیشنهادها

امنیت سایبری و حفاظت از داده‌ها در جوامع مدرن به یکی از دغدغه‌های اصلی تبدیل شده است، به‌ویژه در کشورهایی مانند ایران که وابستگی آن‌ها به فناوری دیجیتال و زیرساخت‌های اطلاعاتی روزبه‌روز افزایش می‌یابد. در سال‌های اخیر، مجموعه‌ای از حمله‌های سایبری گسترده به زیرساخت‌های دولتی و خصوصی ایران، مانند سیستم‌های بانکی، ثبت ‌احوال، شرکت‌های بیمه و سکوهای خدماتی، نقاط ضعف جدی در مدیریت امنیت داده‌ها را نمایان می‌کند.

این حمله‌ها تأثیرهای مخربی بر امنیت اطلاعات کاربران و اعتبار سازمان‌ها داشته و ضعف زیرساخت‌های امنیتی، نبود قوانین جامع حفاظت از داده‌ها، کمبود شفافیت در اطلاع‌رسانی و پاسخگویی و همچنین کمبود نیروی انسانی متخصص در حوزه امنیت سایبری را برجسته کرده است. پیامدهای این حمله‌ها تنها محدود به خسارت‌های اقتصادی نیست، بلکه باعث تضعیف اعتماد عمومی به نهادها، افزایش آسیب‌پذیری امنیت ملی و کاهش رقابت‌پذیری شرکت‌های ایرانی در بازارهای جهانی نیز شده است.

درنتیجه سیاستگذاری مؤثر، تصویب قوانین جامع و نظارت دقیق می‌تواند نقشی کلیدی در کاهش این تهدیدها و حفاظت از داده‌ها داشته باشد. طبق بررسی تجربه‌های بین‌المللی تدوین چارچوب‌های قانونی منسجم، ایجاد نهادهای نظارتی قدرت‌مند و اجرای برنامه‌های آموزشی جامع می‌تواند اثر قابل‌ توجهی بر ارتقای امنیت سایبری داشته باشد.

پیشنهادها

برای مقابله با تهدیدهای امنیت سایبری و بهبود حفاظت از داده‌ها در ایران، مجموعه‌ای از اقدام‌های تقنینی، سیاستگذاری و نظارتی پیشنهاد می‌شود:

· تقنینی

ایران نیازمند تصویب قوانین جامع حفاظت از داده‌هاست. یک قانون جامع، مشابه مقررات حفاظت از داده‌های عمومی (GDPR) در اتحادیه اروپا، باید تدوین شود که شامل حقوق کاربران، مسئولیت سازمان‌ها، الزام‌های شفافیت و جریمه‌های سنگین برای تخلف‌ها باشد. این قانون باید تمامی ذی‌نفعان، مانند سازمان‌های دولتی و خصوصی را ملزم به رعایت اصول شفافیت و حفاظت از داده‌ها کند. البته شفافیت برای نهادهای امنیتی و نظامی ملزم به ملاحظه‌هایی متفاوت از دیگر سازمان‌های دولتی و خصوصی است. بنابراین برای شفافیت در این حوزه‌ها می‌توان نهاد ناظری مانند ستاد کل نیروهای مسلح را پیشنهاد کرد.

علاوه‌بر این، تدوین سازوکارهایی برای طرح دعاوی جمعی، که به کاربران امکان می‌دهد در صورت نقض امنیت داده‌هایشان اقدام قانونی انجام دهند، ضروری است. این اقدام‌ها می‌توانند باعث تقویت پاسخگویی سازمان‌ها شوند و کاربران را برای مطالبه حقوق خود توانمند سازند.

· سیاستگذاری

· ایجاد یک نهاد مستقل حفاظت از داده‌ها با اختیارهای اجرایی می‌تواند نقطه عطفی در مدیریت امنیت سایبری باشد. این نهاد باید مسئول نظارت بر حفاظت از داده‌ها، تحقیق در مورد نقض‌ها و اعمال جریمه‌های لازم باشد.

همچنین، اجرای ممیزی‌های سالانه توسط شرکت‌های معتبر برای ارزیابی زیرساخت‌های امنیتی و مدیریت داده‌ها ضروری است.

علاوه‌بر این، شرکت‌ها باید تشویق به خرید بیمه امنیت سایبری شوند تا هزینه‌های مالی ناشی از حمله‌های سایبری جبران شود. دولت می‌تواند ازطریق ارائه تخفیف‌های مالیاتی یا کمک‌های مالی، شرکت‌های کوچک و متوسط را به سرمایه‌گذاری در امنیت سایبری تشویق کند.

همچنین، توسعه برنامه‌های آموزشی برای تربیت نیروی انسانی متخصص در حوزه امنیت سایبری، از اولویت‌های مهم سیاستگذاری است. این برنامه‌ها باید در سطح مدارس، دانشگاه‌ها و سازمان‌ها پیاده‌سازی شوند تا کمبود نیروی کار متخصص کاهش یابد.

· نظارت و اجرا

الزام سازمان‌ها به شفافیت در اطلاع‌رسانی نقض‌های امنیتی یکی از گام‌های مهم در بهبود اعتماد عمومی است. سازمان‌ها باید ظرف ۷۲ ساعت پس از وقوع نقض، آن را به کاربران و نهادهای نظارتی اطلاع دهند. این اقدام می‌تواند به کاهش آسیب‌ها و پیشگیری از سوءاستفاده بیشتر کمک کند.

تقویت نظارت بر زیرساخت‌ها ازطریق پیاده‌سازی سیستم‌های پیشرفته شناسایی تهدیدها، به‌ویژه مبتنی‌بر هوش مصنوعی، از دیگر اقدام‌های ضروری است.

همچنین برگزاری رزمایش‌های سایبری دوره‌ای می‌تواند آمادگی سازمان‌ها را برای مقابله با حمله‌های سایبری افزایش دهد.

علاوه‌بر این، الزام سازمان‌ها به طراحی و پیاده‌سازی تکنیک‌های ناشناس‌سازی داده‌ها می‌تواند خطرهای ناشی از افشای اطلاعات را کاهش دهد.