20 اکتبر 2009

خطرپذيری پائين و فرصتهای بسيار سودآور باعث افزايش جرائم سايبری می شوند

با مورد هدف قرار گرفتن تارنماهای دولتی از سوی حملات سايبری، هزينه‌های قربانيان افزايش می يابد

آندرز زوانيكی
عضو هیئت تحريريه America.gov

واشنگتن- تبديل شدن به يك مجرم شبکه مجازی، هزينۀ زيادی ندارد.

 

به گفتۀ پيتر گوئرا[1] از شركت بلك هات[2]،  یک شرکت امنيت ديجيتال، با صرف مبلغ 500 دلار برای خريد نرم افزار اِم پَك (MPack)، نرم افزاری كه توسط هكرهای روسی ساخته شده است، می‌توان اطلاعات كارت اعتباری يا كوپنهای خريد كالا را سرقت كرد. اجاره‌ رباتهای نرم افزای موسوم به بات‌نِت[3]، كه هرزنامه‌ها[4] (نامه‌های الكترونيكی تجاری ناخواسته) را پس می‌زنند، می تواند بطور خالص هفته‌ای 7700 دلار سوددهی داشته باشد.

 

مجرمان محيط مجازی می‌توانند از فعاليتهای خود سود مالی به دست آورند زيرا عدم كفايت چارچوبهای قانونی ملی و جهانی، به چنگ انداختن آنها توسط مجريان قانون را دشوار مي‌سازد. به گفته‌  كارتيك كانان[5] از دانشکده مديريت كرانرت دانشگاه پوردو[6]، وابستگی روزافزون مراكز تجاری، دولتها و افراد به شبكه‌های رايانه‌ای، فرصتهای بيشتری را برای جرائم شبکه مجازی ايجاد می‌كند و ماهيت كم خطر و پرسود اين جرائم شمار زيادی از گانگسترهای مجازی را به خود جذب مي‌كند.

 

بر اساس گزارش مركز شكايات جرايم اينترنتی، كه يك گروه پژوهشی نيمه خصوصی است، شكايات مربوط به جرايم اينترنتی در سال 2008 در آمريكا به ركورد بيش از 27000 رسيد. اين مركز برآورد مي‌كند كه كلاهبرداری اينترنتی در اين سال به 265 ميليون دلار رسيد.

 

كانان اظهار داشت كه "اگر بخواهيم در برابر جرايم مجازی به پيشرفت دست يابيم، بايد اقتصاد امنيت محيط شبکه مجازی را دگرگون كنيم. اين يعنی افزايش هزينه و خطرپذيری مجرمان و در عين حال ارزانتر كردن راهكارهای دفاعی، كاری كه به گفته‌  وی آسان نيست.

 

 بهای حملات شبکه مجازی

 

به نظر كارشناسان، بسياری از مديران شركتها بر سنگینی تهديدهای سايبری به درستی واقف نيستند. مطالعه‌های متعددی نشان مي‌دهند كه همچنانكه استفاده از اينترنت به نحو انفجارگونه‌ای رشد كرده است، اما قوانين، مقررات و خط مشی‌های مبارزه با افزايش جرايم عقب مانده‌اند.

 

بر اساس مطالعه‌ای در سال 2009 كه از سوی شركت مكافي[7] ، كه توسعه دهنده‌  نظامهای امنيت نرم افزارهای رايانه‌ای است، اجرا گرديد، در كشورهای توسعه يافته شركتها فقط زمانی مي‌توانند راهكاريهای محافظت مجازی را تقويت كنند كه مقررات ذيربط ايجاد شوند. بر اساس پژوهش صنعتی ساليانه‌‌ای كه از سوی پرايزوا تزهاوزكوپرز[8] انجام می‌شود، كمتر از يك سوم شركتهای آمريكايی خود را به اتخاذ بهترين عملكردهای سايبری ملزم مي‌كنند زيرا بيشتر شركتها ارتباط بين امنيت شبکه مجازی و مديريت خوب را نمی‌دانند. نيمی از مديران اجرايی آمريكايی كه در اين مطالعه بررسی شدند، حتی نمی‌دانستند كه شركتشان به خاطر اينگونه حملات چقدر ضرر مالی كرده است.

 

اتفاق نظر درباره دامنه‌  ضررهای مالی دشوار است. بروس شنير[9]، مؤسس و مقام ارشد فناوری شركت كانترپين[10]، شركتی در زمينه‌  امنيت رايانه‌ای، اظهار داشت كه كمترين صدمهز نرم افزار مخرب مي‌تواند برای يك شركت كوچك ساليانه 83000 دلار هزينه داشته باشد. وی در گزارشی در سال 2005 نوشت كه "هرچه شركتی بزرگتر باشد، و ميزان تخريب عميقتر باشد، هزينه‌ها بالاتر خواهند بود".

 

به گفتۀ كوين كولمن[11]، مشاور مديريتی، جرايم سايبری بطور ميانگين ساليانه بيش از 500000 دلار هزينه برای يك شركت ايجاد مي‌كنند. گزارش سال 2007 دفتر پاسخگويی دولت[12] برآورد مي‌كند كه مجموع ضررهای تجاری آمريكا ناشی از حملات سايبری، به 5/117 ميليارد دلار در هر سال بالغ مي‌شود. بسياری از تحليلگران معتقدند كه اين ممكن است فقط   تماسی به لایه رویی کوه یخ  باشد.

 

اسكات بورگ[13]، مؤسس و مدير واحد پيامدهای مجازی آمريكا[14] كه گروه پژوهشی مستقلی است، گفت كه تأثير اقتصادی اطلاعات شركتی ضروری‌ای كه به دست دزدان سايبری مي‌افتد " نسبت به كلاهبرداری كارت اعتباری، كه تأثير بسيار زيادی دارد، بسيار بيشتر است ". وی اظهار داشت كه از سوی ديگر، بسياری از ادعاها درباره‌ هزينه‌های حملات مجازی، بويژه حملات قطع سرويس دهی، به نحو گسترده‌ای اغراق آميز هستند.

 

جرايم مجازی همچنين باعث ضررهای ناملموسی از قبيل لكه دار شدن شهرت و آبرو و از دست دادن اعتماد مشتری مي‌شوند. برخی از وقايع شبکه مجازی برای ماهها ناشناخته مي‌مانند و حتی زمانی كه تشخيص داده مي‌شوند ممكن است با هدف پرهيز از مسئوليتهای مربوطه، از سوی كاركنان فنی يا مديران اجرايی بر روی آنها سرپوش گذاشته شود. چون مهاجمان مهارت و شمّ تجاری بيشتری پيدا مي‌كنند، اطلاعاتی را كه برای جايگاه رقابتی شركتها ضروری است به سرقت می‌برند.

 

شركت مشاوره بين المللی به نام ديلوته اَند تاچه ال ال پی[15] برآورد مي‌كند كه ضررهای جهانی بخش خصوصی در زمينه‌ مالكيت معنوی ناشی از جرايم سايبری، در حدود 1 تريليون دلار است. گزارش شرکت مكافی خاطرنشان ساخته است كه سنجش تأثيرگذاری جايگاه رقابتی يك شركتِ تضعيف شده دشوار است زيرا سهامِ كاهش يافته بازار ممكن است فقط بعد از گذشت چند سال خود را نشان دهد.

 

تقويت دفاع سايبری

 

دفاعهای مجازی لزوماً گرانقيمت هستند. مدير تضمين اطلاعاتی سازمان جاسوسی آمریکا[16]، رابرت بيگمن[17] ، در كنفرانسی در ماه اكتبر سال 2008 اظهار داشت كه جلوی 80 تا 90 درصد از حملات را مي‌توان از طريق "سعی و كوشش مقتضی" گرفت.

 

از آنجائی كه شمار روزافزونی از نظامهای رايانه‌ای دولتی با نرم افزارهای مخرب صدمه ديده‌اند، تلاش در جهت واكنشی مؤثر دربرابر اين حملات، دشوارتر شده است. وزارت امنيت میهن 5499 مورد از چنين رخدادهايی را در سال 2008 ثبت نمود- يعنی افزايش 40 درصدی نسبت به سال قبل. به گفته‌ معاون وزير دفاع، ويليام لين[18]، اين وزارتخانه در طی شش ماه اول سال 2008 بيش از 100 ميليون دلار را صرف محافظت از شبكه‌های رايانه‌ای خود كرده است.

 

حملات به زيرساختهای حياتی، از ديگر نگرانيهای بزرگ است. به نظر بورگ، حمله‌ مجازی به شبكه‌  برق، كه می‌تواند توزيع برق را در يك سوم كشور برای مدت 3 ماه قطع كند، باعث خساراتی بالغ بر 800 ميليارد می‌گردد. وی افزود كه با اين وجود مجموع هزينه‌های لازم برای جبران اين خسارتها، شامل هزينه‌های تعمير، آغاز دوباره و جبران توليدهای از دست رفته، بسيار بيشتر خواهد بود- در حدود 3 تريليون.

 

بورگ اظهار داشت كه بحران اقتصادی جهانی مي‌تواند نظامهای دفاعی موجود را تضعيف نمايد. كاهش بودجه و نيروی انسانی مي‌تواند به نظامهای دفاعی نفوذپذير و فرصتهای بيشتر برای جرايم مجازی منجر گردد كه ممكن است مهندسان نرم افزار كم مشغله را به خود جذب نمايد.

 

متن كامل گزارش شرکت مكافی در تارنمای اين شركت قابل دسترس است.

 

1.       Peter Guerra

2.       Black Hat

3.       Botnet

4.       spam

5.       Karthik Kannan

6.       Purdue University’s Krannert School of Management

7.       McAfee Inc

8.       PricewaterhouseCoopers LLP

9.       Bruce Schneier

10.    Counterpane

11.    Kevin Coleman

12.    Government Accountability Office

13.    Scott Borg

14.    U.S. Cyber Consequences Unit

15.    Deloitte & Touche LLP

16.    Central Intelligence Agency

17.    Robert Bigman

18.    William Lynn