چالش نشت داده در هند با دامنه‌های بانکی

به گزارش کارگروه بین‌الملل سایبربان؛ در سال ۲۰۲۵، بانک مرکزی هند زیردامنه .bank.in را ایجاد کرد و از همه بانک‌های محلی خواست تا برای حضور آنلاین خود از آن استفاده کنند. هند محل هزاران بانک است و قانون جدید به این معنی بود که همه باید برای دامنه «bankname.bank.in» ثبت نام و از آن استفاده کنند، اقدامی که برای سخت‌تر کردن کار فیشرها و کلاهبرداران طراحی شده است.

اکنون یک محقق امنیتی ادعا کرده که نهادی که به عنوان تنها ثبت‌کننده زیردامنه‌ها انتخاب شده، مؤسسه توسعه و تحقیقات در فناوری بانکداری (IDRBT)، در این کار اشتباه و داده‌های حساس را فاش کرده است.

این ادعا در پست «CashlessConsumer» آمده است. CashlessConsumer گروهی است که طرفدار تبدیل هند به یک جامعه بدون پول نقد و هدف آن نمایندگی شهروندان در برابر بازیگران پرداخت دیجیتال است.

در این پست آمده است:

«پورتال ثبت دامنهIDRBT  (registrar.idrbt.ac.in)، ثبت‌کننده انحصاری فضای نام .bank.in هند، کل API REST خود را از طریق بیش از ۳۳ نقطه پایانی احراز هویت نشده افشا کرده است. هر کسی که از «curl» استفاده کند، می‌تواند هش‌های رمز عبور «bcrypt»، شماره‌های تلفن همراه، آدرس‌های ایمیل، آی‌پی‌های ورود به سیستم و اثر انگشت دستگاه همه ۵۵۷۶ کارمند بانکی که به آنها برای مدیریت دامنه‌های بانکی هند اعتماد شده است را بازیابی کند.»

سریکانث ال (Srikanth L)، محقق پشت این افشاگری، اعلام کرد که از طریق این پورتال به اطلاعات دسترسی و شواهدی یافته که برخی بانک‌های هند میزبان وب‌سایت‌هایی در سرورهای مشترک در ایالات متحده، سنگاپور و لیتوانی هستند. او همچنین اظهار داشت که ۸۰ درصد از دامنه‌های ثبت شده .bank.in از DNSSEC استفاده نمی‌کنند، ۴۰ درصد از پروتکل امنیتی ایمیل DMARC که هویت فرستنده را تأیید می‌کند، استفاده نمی‌کنند و بسیاری از دامنه‌ها با گواهینامه‌های رایگان Let’s Encrypt ایمن شده‌اند. در پست این محقق همچنین ادعا شده که این پورتال بدون ممیزی امنیتی مناسب راه‌اندازی شده و به مدت ۱۳ ماه بدون رابط‌های برنامه‌نویسی کاربردی امن فعالیت داشته است.

سریکانث ال یافته‌های خود را اوایل ماه ژوئن امسال فاش کرد و گفت که IDRBT از آن زمان تاکنون نقص‌های امنیتی بزرگ را برطرف کرده است. همچنین به نظر می‌رسد این محقق از یک مخزن گیت‌هاب برای فهرست کردن اطلاعات یافت شده از طریق دسترسی به رابط‌های برنامه‌نویسی کاربردی پورتال استفاده کرده است؛ بنابراین برخی اطلاعات موجود در رابط برنامه‌نویسی کاربردی که قبلاً باز بود، اکنون عمومی است و انجام این کار به محققان امنیتی کمک می‌کند تا وسعت زیرساخت بانکی هند را درک کنند.

این دانش ممکن است مفید باشد زیرا رابط برنامه‌نویسی کاربردی باز به این معنی است که مهاجمان شاید توانسته باشند به اعتبارنامه‌های کارکنان ارشد بانک دسترسی یابند و از آنها استفاده کنند، اطلاعاتی که می‌تواند انواع مختلفی از حمله را ممکن سازد، حتی حملات جعل سامانه نام دامنه (DNS) و فیشینگ که الزام استفاده از .bank.in برای جلوگیری از آن طراحی شده بود.