مرکز ملی فضای مجازی ۷ مهر ۱۴۰۵ رتبهبندی امنیت سایبری خدمتدهندگان فضای مجازی را شروع کرد و از شرکتهای پیامک انبوه آغاز کرد. به گزارش خبرگزاری مهر، نتایج نخستین گروه از این شرکتها در همان نشست اعلام شد. حالا یک ماه فرصت دارند ایرادهایی را که ارزیاب‌ها پیدا کرده‌اند رفع کنند، بعد ارزیابی دوباره انجام میشود و فقط پس از آن رتبه‌ها به اطلاع مردم میرسد.
بیشتر خبرها این را خبری برای صنعت پیامک خوانده‌اند. ولی دست‌کم به همان اندازه برای هر کسب‌وکاری مهم است که کد ورود، هشدار پرداخت یا اطلاع ارسال کالا را از طریق یکی از این شرکتها می‌فرستد، چون امنیت کاربران شما تا حدی همان امنیت سرویس‌دهنده‌ای است که احتمالاً بر اساس قیمت انتخابش کرده‌اید.
مرکز ملی فضای مجازی چه اعلام کرد
جزئیات، همه از گزارش مهر از این نشست:
- پایه رتبهبندی بند ششم مصوبه ۲۰ خرداد سال گذشته شورای عالی فضای مجازی است که از دستگاه‌های هماهنگکننده می‌خواهد هر فصل حوزه خود را ارزیابی کنند و گزارش را به مرکز بفرستند، و نیز سند ارتقای امنیت سایبری که شهریور ۱۴۰۴ در شورا تصویب شد.
- چهار دستگاه همکاری دارند: مرکز افتا، پلیس فتا، سازمان پدافند غیرعامل و مرکز ماهر. ارزیابی‌ها هر سه ماه تکرار میشود.
- بیش از ۲۰۰ شاخص سنجیده شده است. شاخص‌هایی که مهر نام برده: تداوم ارائه خدمت، حفاظت از داده‌های مردم، میزان آگاهی مدیران و کارکنان از امنیت سایبری، استفاده از تجهیزات مناسب و آزمون‌های امنیتی مستمر.
- پیامک اول آمد چون پیامک انبوه و تبلیغاتی فراگیر است و پیامک‌های آزاردهنده و لینک‌های آلوده به هک حساب‌ها منجر می‌شوند. خدمتدهندگان پولی و بانکی در نوبت بعدیاند و معاون مرکز از انرژی و حملونقل هم نام برد.
پیش‌زمینه هم انتزاعی نیست. در اسفند گذشته مرکز ملی فضای مجازی نشستی درباره فیشینگ برگزار کرد که به گزارش مهر «پرونده اخیر هک پیامک‌های انبوه» و ارسال پیامک انبوه با دسترسی غیرمجاز را بررسی کرد، با حضور شرکتهای اصلی پیامک، تنظیم‌گر و پلیس فتا.
چرا کسب‌وکاری که فقط کد یک‌بارمصرف می‌فرستد باید اهمیت بدهد
اگر مهاجم به پنل یک شرکت پیامک دسترسی پیدا کند، اصلاً به سیستم شما نیازی ندارد. می‌تواند از همان خط فرستنده‌ای که مشتریان به آن اعتماد دارند پیامک بفرستد، با لینکی به صفحه ورود جعلی. یا می‌تواند کدهایی را که از آنجا رد می‌شوند بخواند. رمز یک‌بارمصرف فقط به اندازه همه سیستم‌هایی که تا رسیدن به گوشی از آن‌ها عبور میکند محرمانه است.
به همین دلیل «کدام شرکت پیامک» باید در همان بازبینی امنیتی بیاید که «کدام ابر» و «کدام سرور ایمیل» می‌آید. فهرست مرکز، وقتی عمومی شود، یک نظر مستقل در کنار جدول قیمت به شما می‌دهد. همه چیز را نمی‌گوید؛ ۲۰۰ شاخص که در یک رتبه خلاصه شوند جزئیات را پنهان می‌کنند. پس نتیجه دور اول را از خود سرویس‌دهنده بخواهید و بپرسید در این یک ماه کدام ایرادها را رفع میکند.
پنج تغییری که همین حالا، پیش از انتشار فهرست، ارزش انجام دارد
- ترافیک تراکنشی و تبلیغاتی را جدا کنید. برای کد ورود خط فرستنده جدا و ترجیحاً حساب جدا از کمپین‌ها داشته باشید. پنل تبلیغاتی آلوده نباید بتواند از خط OTP شما پیامک بفرستد.
- هیچ‌وقت در پیامک OTP لینک نگذارید. اگر کدهای شما هرگز لینک نداشته باشند، پیامکی از خط شما که لینک دارد نشانه تقلب است و می‌توانید به کاربران یاد بدهید آن را تشخیص دهند.
- یک سرویس‌دهنده دوم آماده نگه دارید. یک سرویس‌دهنده یعنی یک نقطه شکست برای همه ورودها. یک جایگزین آزموده، حتی با سهمیه کمتر، وقتی اولی هفته بدی دارد یک روز کاربر قفل‌شده را از شما دور میکند.
- سمت خودتان محدودیت نرخ و ثبت رویداد بگذارید. تعداد کد برای هر شماره و هر حساب را محدود کنید و ثبت کنید چه چیزی کی فرستاده شد. وقتی کسی پیامک عجیبی گزارش می‌دهد، می‌توانید بگویید از شما بوده یا نه.
- راهی غیر از پیامک هم بدهید. برنامه احراز هویت یا کد ایمیلی برای کارکنان، مسیری به کاربران می‌دهد که اصلاً به زنجیره پیامک وابسته نیست. آن را برای روزهایی که خود ارسال پیامک مشکل دارد نگه دارید؛ چک‌لیست سیستم‌های کسب‌وکار در زمان قطعی اینترنت همین حالت را پوشش می‌دهد.
جایگاه FanMail
FanMail از رمز یک‌بارمصرف پیامکی و ورود دومرحله‌ای پشتیبانی میکند و اعلان ایمیل به پیامک اختیاری هم دارد، چون در این بازار پیامک اغلب همان عامل دومی است که مردم واقعاً راه‌اندازی‌اش را تمام می‌کنند. این انتخاب را در ورود با پیامک، نه فقط برنامه احراز هویت توضیح داده‌ایم. روی دیگر سکه این است که ورود پیامکی، شرکت پیامک را بخشی از محیط امنیتی شما میکند. پس توصیه‌های بالا برای ما هم صدق میکند: سرویس‌دهنده را آگاهانه انتخاب کنید، برنامه احراز هویت را هم در دسترس نگه دارید و رتبهبندی مرکز را وقتی منتشر شد بخوانید.
کد پیامکی در برابر فیشینگ هم مقاوم نیست؛ صفحه جعلی می‌تواند آن را در لحظه دست‌به‌دست کند. سرویس‌دهنده با رتبه بهتر یک خطر را کم میکند، این یکی را نه.
پرسش‌های متداول
آیا مرکز ملی فضای مجازی رتبهبندی شرکتهای پیامک را منتشر کرده است؟
هنوز نه. به گزارش مهر نتایج ابتدا به خود شرکتها اعلام شده و یک ماه فرصت ارتقا دارند؛ پس از ارزیابی دوباره، نتایج به اطلاع مردم میرسد.
ارزیابی را چه کسانی انجام میدهند؟
چهار دستگاه هماهنگکننده: مرکز افتا، پلیس فتا، سازمان پدافند غیرعامل و مرکز ماهر. مرکز ملی فضای مجازی نتایج را جمعبندی میکند و ارزیابی هر سه ماه تکرار میشود.
بعد از پیامک نوبت کدام حوزههاست؟
خدمتدهندگان پولی و بانکی در دستور کار بعدیاند و معاون مرکز از انرژی و حملونقل هم نام برده است.
آیا باید پیامک را برای کد ورود کنار بگذاریم؟
لزوماً نه. پیامک اغلب تنها عامل دومی است که بسیاری از کاربران ثبتش می‌کنند. نگهش دارید، ولی از ترافیک تبلیغاتی جدایش کنید، سرویس‌دهنده پشتیبان داشته باشید و برنامه احراز هویت را هم پیشنهاد دهید.
