رسوایی در آی‌بی‌ام؛ افشاگری مدیر سابق سایبری درباره پنهان‌کاری چندین حمله و نقض داده توسط هکرهای دولتی

یکی از مدیران اجرایی سابق امنیت سایبری در شرکت آی‌بی‌ام (IBM)، این غول فناوری را متهم کرده است که طی دهه گذشته، سه بار هدف حملات سایبری موفق از سوی دولت‌های خارجی قرار گرفته و اقدام به پنهان‌کاری و عدم افشای این نقض‌های امنیتی کرده است[cite: 2]. در یک دعوای حقوقی که این هفته جزییات آن فاش شد اما پرونده اولیه آن در سال ۲۰۲۰ ثبت شده بود، ویلیام بارلو که تا آگوست ۲۰۱۹ به عنوان معاون بخش هوش تهدیدات (Threat Intelligence) در آی‌بی‌ام فعالیت می‌کرد، اظهار داشت که این شرکت متوجه نفوذ هکرهای چینی به شبکه اصلی خود بین سال‌های ۲۰۱۳ تا ۲۰۱۶ شده بود، اما این موضوع را پنهان نگه داشت و هرگز به صورت عمومی فاش نکرد[cite: 2]. بارلو همچنین تأکید کرد که حداقل دو شرکت تابعه آی‌بی‌ام نیز هدف این حملات قرار گرفته بودند و آی‌بی‌ام نقض داده‌های آن‌ها را نیز مکتوم نگاه داشته است[cite: 2].

بارلو در شکواییه خود ادعا کرد که شبکه اصلی آی‌بی‌ام «به طور مستمر توسط بازیگران دولتی خارجی و سایر مهاجمان هک می‌شد» و افزود که داده‌ها به طور مرتب به سرقت می‌رفتند، در حالی که «آژانس‌های دولتی هرگز از این موضوع مطلع نمی‌شدند[cite: 2].» اگرچه این نقض‌های امنیتی بیش از یک دهه پیش رخ داده‌اند، اما افشای این خبر نشان می‌دهد که حملات سایبری، حتی آن‌هایی که بزرگ‌ترین شرکت‌های فناوری عمومی و ارائه‌دهنده خدمات به دولت‌ها مانند آی‌بی‌ام را تحت تاثیر قرار می‌دهند، گاهی اوقات هرگز فاش نمی‌شوند[cite: 2]. از آنجا که آی‌بی‌ام یکی از پیمانکاران و فروشندگان اصلی خدمات امنیت سایبری به دولت فدرال ایالات متحده است، ادعای پنهان‌کاری این حملات از اهمیت بسیار بالایی برخوردار است[cite: 2]. در سال‌های اخیر، قوانین متعددی برای الزام به اطلاع‌رسانی نقض داده‌ها (Data Breach Notification Laws) جهت مقابله با همین دست پنهان‌کاری‌ها تصویب شده است[cite: 2].

خبرگزاری بلومبرگ نخستین منبع خبری بود که پرده از این دعوای حقوقی برداشت[cite: 2]. میکی کارور، سخنگوی آی‌بی‌ام، از پاسخ به سوالات اختصاصی درباره این پرونده و اتهامات مطرح‌شده در آن خودداری کرد[cite: 2]. کارور در عوض در بیانیه‌ای کوتاه به تک‌کرانچ گفت: «این شکایت شش سال پیش تنظیم شده و وزارت دادگستری آمریکا (DOJ) ترجیح داد در آن مداخله نکند[cite: 2]. آی‌بی‌ام کاملاً اطمینان دارد که تمام اقدامات و رویکردهای ما در آن زمان کاملاً منطبق بر قوانین بوده است[cite: 2].»

به طور مشخص، بارلو تشریح کرد که آی‌بی‌ام یکی از قربانیان اصلی کمپین‌های هکری گسترده توسط گروه سایبری APT 10 بوده که وابسته به دولت چین است[cite: 2]. کریستوفر ری، مدیر وقت اف‌بی‌آی (FBI)، در سال ۲۰۱۸ و هم‌زمان با صدور کیفرخواست برای اعضای این گروه اعلام کرده بود که این هکرها «هویت و دارایی‌های فکری» اقتصاد جهانی را هدف قرار داده‌اند[cite: 2]. بارلو ادعا می‌کند که در مارس ۲۰۱۷، مقامات اطلاعاتی کشورهای استرالیا، کانادا، نیوزیلند، ایالات متحده و بریتانیا—که به ائتلاف امنیتی «پنج چشم» (Five Eyes) معروف هستند—موضوع این نفوذ بزرگ را به اطلاع آی‌بی‌ام رساندند که این هشدار منجر به شکل‌گیری یک تحقیق داخلی در شرکت شد[cite: 2].

بر اساس مستندات این شکایت، بررسی‌های داخلی نشان داد که گروه APT 10 احتمالاً بیش از ۵۶ هزار بار در بازه زمانی ۲۰۱۳ تا ۲۰۱۶ به شبکه داخلی آی‌بی‌ام نفوذ کرده است[cite: 2]. نکته عجیب‌تر اینکه شرکت اعلام کرده بود قادر به پیشبرد و تکمیل تحقیقات نیست، زیرا لاگ‌های دسترسی به شبکه (Network Access Logs) و زمان‌بندی‌های مربوطه را نگهداری نکرده بود؛ فرآیندی که یکی از اصول و متدهای ابتدایی و اساسی در پدافند سایبری به شمار می‌رود[cite: 2]. آی‌بی‌ام پس از کشف این موضوع، هیچ‌یک از مراجع قانونی یا دولت آمریکا را که از قضا مشتری اصلی زیرساخت‌هایش بود، مطلع نکرد[cite: 2]. در متن شکایت آمده است: «زیرساخت‌های شبکه آی‌بی‌ام و شرکت مخابراتی ای‌تی‌اندتی (AT&T) قدیمی و فرسوده است و هکرها قادر بوده‌اند بارها به سیستم دسترسی پیدا کرده و بدون شناسایی شدن، به صورت افقی در سراسر شبکه حرکت کنند[cite: 2].» این گزارش داخلی همچنین تایید می‌کند که چهار سرور اصلی در کمپین هکری APT 10 کاملاً آسیب دیده بودند[cite: 2].

بر اساس یافته‌های این سند داخلی، هکرها به تقریباً ۴۰۰ حساب کاربری آسیب‌پذیر و نزدیک به ۲۰۰ سیستم و سرور ابری (Cloud) در میان واحدهای مختلف تجاری آی‌بی‌ام، در ۱۸ کشور جهان و روی محصولات متنوع این شرکت نفوذ و دسترسی پیدا کرده بودند[cite: 2]. جیسون براون، وکیل مدافع بارلو، در گفتگو با تک‌کرانچ اظهار داشت که تیم حقوقی آن‌ها «به شدت مشتاق است تا این پرونده را به طور فعال در مراجع قضایی پیگیری کند[cite: 2].» براون افزود: «شما نمی‌توانید خدمات و محصولات امنیت سایبری را به دولت فدرال بفروشید، در حالی که سیستم‌ها و شرکت خودتان غرق در مشکلات و حفره‌های امنیتی افشان نشده است[cite: 2].»

طبق اطلاعات ارائه‌شده توسط بارلو، سایر موارد نقض داده‌ای که او از آن‌ها آگاه بوده، شامل استارتاپ امنیت سایبری Trusteer است که آی‌بی‌ام آن را در سال ۲۰۱۳ خریداری کرد و ظاهراً در سال ۲۰۱۸ هک شد؛ مورد دیگر نیز به استارتاپ داده‌های سلامت Truven مربوط می‌شود که در سال ۲۰۱۶ توسط آی‌بی‌ام تصاحب شد و پس از ادغام، چندین بار هدف هک موفق قرار گرفت[cite: 2]. بارلو در هر دو مورد، مدیریت آی‌بی‌ام را به کوتاهی فراوان، عدم انجام تحقیقات لازم و لاپوشانی این نقض‌های امنیتی متهم کرده است[cite: 2].