کلاهبردار اینترنتی در مرز بازداشت شد

یک متهم کلاهبرداری اینترنتی که با نفوذ غیرمجاز به سامانه اطلاعاتی یکی از بانک‌های خصوصی، مبلغ ۱۷۱ میلیارد تومان را دزدیده بود، در لحظه خروج از مرزهای کشور توسط نیروهای امنیتی شناسایی و دستگیر گردید.

به گزارش خبررسان، در پی پیگیری‌های دقیق و هماهنگی بین واحدهای پلیس سایبری و مرزی، سارق در حین تلاش برای فرار از کشور کنترل شد و بخش قابل‌توجهی از اموال حاصل از جرم توقیف و به‌دست autoridades بازگردانده شد.

جزئیات عملیات نفوذ و دزدی ۱۷۱ میلیارد تومانی

بر اساس اطلاعات به‌دست‌آمده از خبررسان، متهم اصلی پرونده با نام‌کد «م.ر»، ۳۴ ساله، با سوابق پیشین در جرایم سایبری، ماه‌ها پیش از اجرا طرح‌ریزی دقیقی برای نفوذ به زیرساخت‌های دیجیتال بانک هدف تدوین کرده بود. او با استفاده از تکنیک‌های پیشرفته مهندسی اجتماعی و سوءاستفاده از حفره‌های امنیتی در سیستم مدیریت دسترسی‌های راه‌دور، موفق شد اعتبارهای ورود کاربران با سطح دسترسی بالا را بدست آورد.

تحقیقات پلیس فتا (پلیس امنیت سایبری) نشان می‌دهد که متهم از طریق یک حملات هدفمند نوع « spear-phishing »، پست الکترونیک جعلی به نام واحد فناوری اطلاعات بانک به کارکنان کلیدی ارسال کرده و آن‌ها را به ورود در یک پورتال جعلی فریب داده است. این پورتال که ظاهری دقیقاً مشابه سیستم احراز هویت داخلی بانک داشت، نام‌کاربری و رمزعبور کارکنان را ثبت و به سرورهای کنترل‌شده توسط متهم ارسال می‌کرد.

مراحل انتقال وجه و پولشویی

پس از کسب دسترسی اداری، متهم در طول ۱۷ روز متوالی، تراکنش‌های انتقال وجه به مبالغ کوچک و تکراری (هر کدام زیر ۵۰۰ میلیون تومان) را از حساب‌های مشتریان ثروتمند و شرکت‌های تجاری به ۴۳ حساب واسط در ۱۲ بانک مختلف اجرا کرد. این الگو «استراکچرینگ» یا ساختاریابی، به منظور دور زدن سیستم‌های پیشگیری از پولشویی (AML) و قانون مکافحه پولشویی طراحی شده بود.

حساب‌های واسط متعلق به افراد شناسایی‌شده (موله‌ها) بودند که با وعده کمیسیون ۳ تا ۵ درصدی، کارت‌های بانکی خود را در اختیار شبکه متهم قرار داده بودند. وجوه از این حسابات به سرعت به ارزهای دیجیتال (بیت‌کوین، تِتر) تبدیل و از طریق صرافی‌های غیرمجاز و پلتفرم‌های P2P به کیف پول‌های ناشناس منتقل می‌شدند.

پیگیری‌های اطلاعاتی و-operational پلیس سایبری

سرنخ اول پرونده از طریق سیستم‌های نظارت بر تراکنش‌های مشکوک (Suspicious Transaction Reporting – STR) بانک مرکزی و واحد اطلاعات مالی پلیس فتا رصد شد. تیم‌های تخصصی رد‌یابی دیجیتال، با تحلیل لاگ‌های سرورهای بانک، آدرس‌های IP استفاده‌شده، و الگوهای زمانی ورود، موفق شدند هویت واقعی متهم را از پشت لایه‌های VPN، تور و سرورهای میانی در کشورهای ثالث آشکار کنند.

یک منبع آگاه در پلیس فتا به خبررسان گفت: «متهم از امنیت عملیات خود بسیار مطمئن بود و از ابزارهای ضدتحقیق پیشرفته استفاده می‌کرد، اما خطای انسانی در مدیریت یک کوکی نشست (session cookie) و استفاده مکرر از یک دستگاه سخت‌افزاری مشخص، راه را برای شناسایی فیزیکی او باز کرد.»

عملیات بازداشت در صفر مرز

با صدور مجوز قضایی از دادگاه پیشگیری جرایم سایبری، تیم‌های مشترک پلیس فتا و پلیس مرزی، پروفایل مسافرتی متهم را در سامانه‌های خروج و ورود رصد کردند. متهم که بلیط پرواز به مقصد یکی از کشورهای همسایه را به نام مستعار رزرو کرده بود، در ترمینال بین‌المللی امام خمینی (ره) در لحظه عبور از کنترل پاسپورت، توسط نیروهای Zivil و یگان‌های ویژه مهار و بازداشت شد.

در بازرسی بدنی و لوازم همراه متهم، ۳ لپ‌تاپ، ۷ تلفن هوشمند، ۱۲ هارد دیسک خارجی، و تعدادی کارت حافظه کشف شدند که حاوی کلیدهای خصوصی کیف پول‌های ارزی، لاگ‌های کامل عملیات نفوذ، و لیست حساب‌های واسط بودند. همچنین مبالغ نقدی معادل ۲.۳ میلیارد تومان و ۱۵ کیلوگرم طلا (به صورت سکه و آبشده) در مخازن مخفی جیم‌های او یافت شد.

ابعاد قانونی و مجازات‌های پیش‌بینی‌شده

قاضی پرونده در شعبه ۱۲ دادگاه پیشگیری جرایم سایبری تهران، متهم را با اتهامات «دزدی با نفوذ به سیستم‌های رایانه‌ای»، «جاسوسی سایبری»، «پولشویی»، «تزویر اسناد الکترونیک»، و «تشکیل عصابه برای ارتکاب جرایم سازمان‌یافته» محاکمه می‌کند.

بر اساس ماده ۱ قانون مجازات جرایم رایانه‌ای (مصوب ۱۳۸۹) و ماده ۲۷۴ قانون مجازات اسلامی، دزدی از طریق سیستم‌های رایانه‌ای با مجازات حبس تا ۱۰ سال و غرامت تا ۵ برابر مبلغ دزدی مواجه است. با احتساب تشدید مجازات به دلیل سازمان‌یافته بودن جرم، پولشویی، و مبلغ کلان ۱۷۱ میلیارد تومان، وکیل مدافع متهم پیش‌بینی می‌کند که موکل خود با درخواست مجازات اعدام (به عنوان محارب یا مفسد در زمین) روبرو شود، اگرچه قاضی نهایی‌ 의견 را دارد.

بازگشت وجوه و حفظ حقوق متضررین

رئیس پلیس فتا در نشستی خبری اعلام کرد: «تا لحظه حاضر، ۱۴۲ میلیارد تومان از وجوه دزدی شناسایی، مسدود و در دسترس قوه قضاییه قرار گرفته است. تلاش‌ها برای بازیابی مابقی از طریق همکاری‌های بین‌المللی پلیسی (اینترپال) و پیگیری در صرافی‌های ارز دیجیتال ادامه دارد.»

بانک متضرر نیز بیانیه‌ای صادر کرد و ضمن تشکر از نیروهای پلیس، اطمینان داد که هیچ یک از مشتریان ضرر مستقیم نخواهد کرد و تمام موجودی‌های حساب‌های تحت تأثیر، توسط صندوق تضمین سپرده‌ها جبران خواهد شد. بانک همچنین اعلام کرد که پس از این رویداد، بودجه امنیت سایبری ۳۰۰ درصدی افزایش یافته و سیستم‌های جدید تشخیص نفوذ مبتنی بر هوش مصنوعی (AI-based IDS/IPS) مستقر شده است.

تحلیل کارشناسان امنیت سایبری

دکتر محمد رضایی، استاد امنیت اطلاعات دانشگاه شریف، در گفتگو با خبررسان بیان داشت: «این پرونده الگوی کلاسیک حملات APT (Advanced Persistent Threat) علیه بخش مالی را نشان می‌دهد. نکته کلیدی، صبر و حوصله مهاجم در ۱۷ روز استخراج کند وجه برای دور زدن آستانه‌های هشداردهی است. بانک‌ها باید از سیستم‌های UEBA (User and Entity Behavior Analytics) استفاده کنند که الگوهای رفتاری کاربران را مدل‌سازی و انحرافات ریز را شناسایی می‌کنند.»

او افزود: «استفاده از ارزهای دیجیتال برای پولشویی، چالش جدی برای ردیابی وجوه ایجاد می‌کند، اما بلاکچین هم شفافیت دارد. با تحلیل گراف تراکنش‌ها (Transaction Graph Analysis) و همکاری با شرکت‌های بلاکچین آنالیتیکس (مانند Chainalysis یا Elliptic)، می‌توان مسیر پول را تا نقاط خروج (Off-ramp) در صرافی‌های متمرکز ردیابی کرد.»

اقدامات پیشگیرانه برای بانک‌ها و سازمان‌ها

• پیاده‌سازی احراز هویت چند عاملی (MFA) مقاوم در برابر فیشینگ (مانند FIDO2/WebAuthn) برای تمام دسترسی‌های اداری و راه‌دور.
• اعمال اصل کمترین امتیاز (Least Privilege) و مدیریت دسترسی‌های ممتاز (PAM) با ثبت و نظارت بر تمام جلسات ادمین.
• استفاده از سیستم‌های پیشگیری از از دست رفتن داده (DLP) و نظارت بر تراکنش‌های غیرمعمول با موتورهای مبتنی بر یادگیری ماشین.
• انجام تست‌های نفوذ دوره‌ای (Red Teaming) و شبیه‌سازی حملات فیشینگ هدفمند برای سنجش آگاهی کارکنان.
• عضویت در سامانه اشتراک اطلاعات تهدید سایبری ملی (C-TAS) برای دریافت IOCها در زمان واقعی.

پیشینه جرایم سایبری مالی در ایران

این پرونده نهمین مورد بزرگ کلاهبرداری بانکی از طریق نفوذ سایبری در ۳ سال اخیر است که به دستگیری عاملین اصلی منجر شده. آمار پلیس فتا نشان می‌دهد که جرایم سایبری مالی در سال ۱۴۰۳ نسبت به سال قبل ۴۲ درصد افزایش داشته و ضرر کل تخمینی به ۴.۷ هزار میلیارد تومان رسیده است.

مقامات قضایی تأکید کرده‌اند که با تشدید مجازات‌ها و تأسیس دادگاه‌های تخصصی جرایم سایبری، بازدارندگی افزایش یافته، اما کارشناسان معتقدند که سرمایه‌گذاری در پیشگیری تکنیکی و فرهنگ‌سازی امنیت سایبری در سطح سازمانی و فردی، کلید اصلی مقابله با این پدیده است.

پرونده همچنان در مرحله بازپرسی اولیه به سر می‌برد و انتظار می‌رود در هفته‌های آینده متهمان دیگر شبکه (شامل موله‌های حساب‌دار و همکاران فنی) نیز شناسایی و بازداشت شوند. خبررسان از روند رسیدگی به پرونده گزارش خواهد داد.

گزارش اختصاصی: دیدگاه‌های حقوقی و دفاعی

خبررسان با وکیل مدافع متهم، آقای رضا محمدی، به گفتگو نشست. ایشان با تأکید بر اصل برائت تا ثبوت جرم، اظهار داشت: «موکلم در مرحله بازپرسی است و هنوز هیچ‌گونه اعترافی تحت فشار یا غیرقانونی انجام نداده. ما پرونده را به دقت مطالعه می‌کنیم و شواهد فنی را از نظر اعتبار و صحت چالش خواهیم داد. قانون مجازات جرایم رایانه‌ای مواد مبهمی دارد که باید به نفع متهم تفسیر شود.»

وکیل مدافع اضافه کرد: «مبلغ ۱۷۱ میلیارد تومان رقم ادعایی بانک است و باید با حسابرسی مستقل تایید شود. همچنین نقش موکل در کل زنجیره جرم (مسلط بودن یا اجرا کننده) باید با شواهد فنی قطعی اثبات گردد، نه تنها لاگ‌های سروری که قابل دستکاری‌اند.»

آمار و ارقام جرایم سایبری مالی در سال ۱۴۰۳

بر اساس گزارش سالانه پلیس فتا که به خبررسان ارائه شده، جرایم سایبری با انگیزه مالی در سال ۱۴۰۳ رشد بی‌سابقه‌ای داشته‌اند:

• تعداد پرونده‌های ثبت‌شده: ۴۲،۸۷۰ مورد (افزایش ۴۲٪ نسبت به ۱۴۰۲)
• مبلغ کل ضرر تخمینی: ۴،۷۰۰ میلیارد تومان
• انواع رایج: فیشینگ (۳۸٪)، بدافزارهای فدیابی (۲۲٪)، نفوذ به سیستم‌های بانکی (۱۵٪)، کلاهبرداری‌های ارز دیجیتال (۱۲٪)، متفرقه (۱۳٪)
• نرخ کشف و بازداشت: ۶۷٪ (بهبود ۹٪ نسبت به سال قبل)
• بازیابی وجوه: ۳۱٪ از مبلغ کل دزدی (افزایش قابل‌توجه در پی همکاری‌های بین‌المللی)

رئیس پلیس فتا بیان داشت: «تأسیس دادرس‌های تخصصی جرایم سایبری در ۳۱ استان، استخدام ۵۰۰ کارشناس فنی جدید، و پیوستن به کنوانسیون بوداپست در قالب قانون‌گذاری داخلی، عوامل اصلی افزایش نرخ کشف بوده‌اند.»

راهنمای عملیاتی حفظ امنیت برای مشتریان بانک‌ها

کارشناسان امنیت سایبری توصیه‌های زیر را برای جلوگیری از قربانی شدن در حملات مشابه صادر کرده‌اند:

1. هرگز روی لینک‌های ایمیل/پیامک وارد نشوید: آدرس بانک را دستی در مرورگر تایپ کنید یا از اپلیکیشن رسمی استفاده کنید.
2. احراز هویت دو عاملی (2FA) را فعال کنید: ترجیحاً از توکن سخت‌افزاری یا اپلیکیشن احراز هویت (Google Authenticator، Authy) به جای SMS استفاده کنید.
3. رمزهای یکتا و پیچیده: برای هر بانک/سرویس رمز منحصر‌به‌فرد بسازید؛ از مدیریت‌کننده رمز (Bitwarden، KeePass) کمک بگیرید.
4. هشدارهای تراکنش را روشن نگه دارید: پیامک و نوتیفیکیشن هر تراکنش را فعال کنید و هر تراکنش ناشناس را بلافاصله به ۱۶۱ (پلیس سایبری) و بانک گزارش دهید.
5. به‌روزرسانی مداوم: سیستم‌عامل، مرورگر، و اپلیکیشن بانکی را همیشه بروز نگه دارید.
6. از وای‌فای عمومی برای عملیات بانکی استفاده نکنید: در صورت لزوم از VPN معتبر استفاده کنید.

مقایسه با پرونده‌های مشابه در سطح بین‌المللی

این پرونده شباهت‌های زیادی با حملات گروه‌های APT مشهور علیه بخش مالی دارد:

تحلیل مقایسه‌ای نشان می‌دهد که اگرچه مبلغ دزدی در پرونده ایرانی کمتر از موارد بین‌المللی است، اما سرعت بازداشت (کمتر از ۳ هفته از کشف) و نرخ بازیابی وجوه (۸۳٪) نمایانگر کارآمدی مکانیزم‌های ملی پاسخ به حادثه و همکاری بانک-پلیس-قوه قضاییه است.

چارچوب قانونی و پیش‌نویس قانون جدید جرایم سایبری

مجلس شورای اسلامی در حال بررسی «قانون جامع جرایم سایبری» است که جایگزین قانون ۱۳۸۹ خواهد شد. تغییرات کلیدی پیش‌نویس شامل:

• تعریف دقیق‌تر «داده‌های حساس» و «زیرساخت‌های حیاتی» شامل بخش مالی، انرژی، سلامت.
• تشدید مجازات برای جرایم سازمان‌یافته و عابری از مرز (تا اعدام برای مفسد در زمین در موارد گسترده).
• الزام سازمان‌ها به تعیین «مسئول امنیت سایبری» (CISO) و گزارش‌دهی ۲۴ ساعته حادثه.
• ایجاد «صندوق تضمین خسارت‌های سایبری» برای جبران سریع متضررین.
• مجازات‌های اداری برای سازمان‌های مقصر در رعایت استانداردهای امنیت (تا ۱۰٪ درآمد سالانه).

کارشناسان حقوقی معتقدند این قانون، با الهام از GDPR اروپا و NIST آمریکا، می‌تواند انگیزه سرمایه‌گذاری در امنیت را در بخش خصوصی بالا ببرد.

پیش‌بینی‌ها و سناریوهای آتی

با توجه به روند فعلی، خبررسان از کارشناسان سه سناریوی محتمل برای ۶ ماه آینده درخواست کرده است:

سناریوی بهینه (احتمال ۴۰٪)

بازیابی ۱۰۰٪ وجوه، بازداشت کل شبکه (۱۲-۱۵ نفر)، محاکمه سریع و مجازات‌های تشدیدشده که بازدارندگی قوی ایجاد می‌کند. بانک‌ها بودجه امنیت را ۲۰۰٪ افزایش می‌دهند و حملات موفق به زیر ۵٪ می‌رسد.

سناریوی میانه (احتمال ۴۵٪)

بازیابی ۹۰٪ وجوه، شناسایی ۸۰٪ شبکه، اما فرار چند عامل اصلی به کشورهای بدون تسلیم‌کننده. پرونده‌ها در دادرس‌های بین‌المللی گیر می‌کنند. حملات فیشینگ پیشرفته ۱۵٪ افزایش می‌یابد.

سناریوی بد (احتمال ۱۵٪)

مابقی وجوه در صرافی‌های غیرمتمرکز (DEX) و میکسیرها (Tornado Cash مشابه) پولشویی می‌شود. متهمان فراری از ملاذ‌های امن سایبری عملیات جدید راه‌اندازی می‌کنند. نیاز به اصلاحات ساختاری در همکاری‌های بین‌المللی پلیسی احساس می‌شود.

نتیجه‌گیری

بازدستی کلاهبردار ۱۷۱ میلیارد تومانی در مرز، نشان‌دهنده بلوغ اکوسیستم امنیت سایبری ایران در سه بُعد «پیشگیری-تشخیص-پاسخ» است. ترکیب هوش مصنوعی در نظارت تراکنش‌ها، همکاری بی‌سابقه بانک-پلیس، و اراده قضایی برای تشدید مجازات، مثلث قدرتی را شکل داده که هزینه جرم را برای مهاجم‌ها ناچیز کرده است.

با این حال، جنگ سایبری همیشگی است. مهاجم‌ها همواره تکنیک‌های نوین (Deepfake Voice، AI-generated Phishing، Supply Chain Attacks) را به کار می‌گیرند. تنها استراتژی پایدار، «امنیت به طراحی» (Security by Design) در معماری سیستم‌های بانکی، فرهنگ‌سازی مداوم در سطح جامعه، و همکاری‌های بین‌المللی فرامرزی است.

خبررسان از پیگیری ابعاد حقوقی، فنی و اجتماعی این پرونده و گزارش‌های تحلیلی از روند جرایم سایبری در ایران ادامه خواهد داد.