ذهب بلوبانك إلى اكتشاف نقاط الضعف بمبلغ 1.7 مليار تومان

واختتم حدث Bluebank Bug Bunty الثاني بحضور باحثين في مجال الأمن السيبراني وتقديم فرق مختارة. وفي الحفل الختامي، تحدث المديرون الأزرق عن خطط المجموعة لتطوير التقييمات الأمنية وتعزيز البنية التحتية المصرفية الرقمية.

وبحسب السفير أرجان، فقد انتهت الجولة الثانية من فعالية "blu Deep Dive 2026" بمشاركة 80 باحثًا في مجال الأمن السيبراني في المرحلة الرئيسية. خلال هذه الفترة، من بين 132 تقريرًا تم تسجيله حول نقاط الضعف في التطبيق الأزرق، تم تأكيد 19 تقريرًا وتم الإعلان أيضًا عن الفائزين الرئيسيين بثلاثة فرق. قبل بدء المرحلة الرئيسية، شارك 1465 شخصًا في مسابقة غزو العلم (CTF) عبر الإنترنت.

محمدبور: أقيم مهرجان باغبانتي هذا العام بنموذج قائم على الدعوة

وفي حفل الختام، تحدثت بريما محمدبور، مدير التدقيق الرئيسي في Blue Bank Saman، عن الاختلاف في هيكل النسخة الثانية من Bagbanti Blue مع حدث العام الماضي. وفي هذا الصدد، قال محمد بور: إن الجولة الأولى من باغبانتي أقيمت بشكل علني، لكن في جولة هذا العام، دخل المشاركون إلى المرحلة الرئيسية بعد اجتياز عملية الاختيار والتقييم الأولية.

وتابع: أقيم برنامج هذا العام على جزأين. تم تخصيص المرحلة الأولى لمسابقة CTF عبر الإنترنت أو "قهر العلم"؛ مسابقة متخصصة يجب على المشاركين فيها حل التحديات الأمنية المحددة مسبقًا خلال فترة زمنية محددة. وأعلن محمد بور أن 1465 خبيرا في مجال الأمن السيبراني شاركوا في هذه المرحلة.

وفقًا لرئيس التدقيق في Bluebank، تم اختيار المشاركين في المرحلة الرئيسية من ثلاث مجموعات: الفائزون في مسابقة CTF، والباحثون المؤثرون في دورة Bugbunty السابقة والخبراء المعترف بهم في مجتمع الأمن السيبراني.

أخيرًا، وصل 80 باحثًا في شكل 25 فريقًا إلى مرحلة رصد الأخطاء وقاموا بمراجعة التطبيق الأزرق خلال يومين. وكانت نتيجة هذه التقييمات تسجيل 19 تقريرًا صالحًا حول نقاط الضعف في التطبيقات؛ تم تأكيد التقارير بعد مراجعتها من قبل المنظمين.

كما أعلن محمد بور عن تقديم ثلاثة فرق مختارة بعد عرض أهم النتائج الأمنية. وسيحصل المشاركون المؤهلون الآخرون أيضًا على جوائزهم.

وأشار إلى التغيير في هيكل الجوائز مقارنة بالفترة السابقة، فقال: جوائز قسم CTF هذا العام اعتبرت ذهبية.

حيدري: لا يمكن إضافة الأمان بعد تطوير المنتج

وفي حفل الختام، أكد رضا حيدري، الرئيس التنفيذي لبلوبنك سامان، على دور ثقة المستخدمين في تشغيل البنك الرقمي وقال: حماية ممتلكات العملاء هي مسؤولية تتجاوز مجرد تقديم خدمات سريعة وسهلة.

وأشار إلى إعلان الأزرق عن فوزه بثقة 28 مليون شخص، معتبرا هذه الثقة استثمارا يتطلب إجراءات أمنية متواصلة للحفاظ عليها.

من وجهة نظر الرئيس التنفيذي لشركة Blue، لا ينبغي أن يصبح الأمان خطوة محدودة بعد تصميم المنتج وتطويره. يتطلب التغيير المستمر للتكنولوجيا والتعقيد المتزايد للتهديدات السيبرانية أن تؤخذ الاعتبارات الأمنية بعين الاعتبار منذ بداية التصميم وتستمر المراجعات بعد إصدار المنتج.

وفي إشارة إلى دور الاكتشاف المسؤول لنقاط الضعف في هذه العملية، أكد حيدري: تكتسب تقارير الباحثين قيمة عملية عندما تؤدي إلى تحقيق مفصل وإزالة نقاط الضعف التي تم تحديدها.

كما أشار إلى القدرة الاقتصادية لبرامج Bugbant، مستشهدا بتقرير 2025 لمنصة HackerOne، وطرح رقم 81 مليون دولار لهذا المجال.

وأشار الرئيس التنفيذي لشركة Blue: لا يرى المستخدمون بالضرورة التقارير الفنية وتفاصيل نقاط الضعف، ولكن نتيجة التعامل مع هذه التقارير يجب أن تنعكس على جودة حماية المعلومات وثقتهم عند استخدام الخدمات المصرفية.

كما أكد حيدري على استمرار برنامج بوجوبانتي وقال: هذا النهج يعني قبول تحديد نقاط الضعف الأمنية كجزء من عملية تطوير المنتج؛ وبدلاً من اعتبار اكتشاف الثغرة الأمنية مجرد مسألة مكلفة أو تهديد لمصداقية المجموعة.

غضنفري: نطاق Bugbunty Blue يتجاوز التطبيق

وتحدث جمال غضنفري، نائب رئيس مجلس إدارة Bluebank Saman، عن ضرورة مرافقة تطوير التقنيات المصرفية مع تعزيز البنية التحتية الأمنية خلال الحفل الختامي لحدث Bagbanti. واعتبر تطور التكنولوجيا فرصة لزيادة مرونة العمليات المصرفية وتحسين تجربة العملاء، لكنه حافظ على ثقة المستخدمين كشرط أساسي لمواصلة هذا المسار.

وأوضح غضنفري، في إشارة إلى البرامج المقترحة بعد الجولة الأولى من Bugbunty: أن الأزرق يخطط لتوسيع نطاق هذا البرنامج ليشمل المزيد من أجزاء المنصة. تعد واجهات برمجة التطبيقات العامة وغير العامة من بين الأجزاء المضمنة في برنامج تطوير تقييم الأمان لهذه المجموعة.

توفر واجهة برمجة التطبيقات (API) أو واجهة برمجة التطبيقات إمكانية الاتصال بين البرامج وتبادل البيانات بين الخدمات المختلفة. في الخدمات المالية الرقمية، يعد التحكم في الوصول وإدارة الطلبات وحماية المعلومات المتبادلة من بين الاعتبارات الأمنية المهمة لهذه الواجهات. ولذلك، فإن توسيع التقييمات لتشمل واجهات برمجة التطبيقات يمكن أن يعرض المزيد من أجزاء البنية التحتية للمراجعة المستقلة من قبل الخبراء.

كما أشار غضنفري إلى التطورات في مجال الحوسبة الكمومية وتقنيات ما بعد الكم وقال: التقدم في هذا المجال يمكن أن يؤثر على بعض طرق التشفير الشائعة في المستقبل ويزيد من ضرورة التخطيط للحفاظ على أمن الأنظمة ضد التهديدات الجديدة.

وأخيرًا، يبتعد برنامج Blue المعلن عن التركيز على التطبيق فقط نحو تقييم أوسع لمكونات النظام الأساسي. يعتمد تحقيق هذا الهدف على التنفيذ المستمر للاختبارات والمراجعة الدقيقة للتقارير وإصلاح نقاط الضعف الصالحة في الوقت المناسب.

لوحة الأمن السيبراني. من وكلاء الذكاء الاصطناعي إلى مرونة البنوك

بعد كلمات مديري شركة Blue، انعقدت اللجنة المتخصصة حول "المخاطر الأمنية لاستخدام الذكاء الاصطناعي؛ من حماية البيانات إلى التحكم في الوكلاء المستقلين". في هذا الاجتماع، ناقش إسماعيل ملا أحمدي، كبير مسؤولي الأمن في شركة Blue، وسعيد كاظمي، كبير مسؤولي الأمن في شركة Tapsi، ووحيد خوداباخشي، الرئيس التنفيذي لشركة Kashif، النمط المتغير للتهديدات السيبرانية وحلول حماية الخدمات الرقمية.

وبالإشارة إلى تجربة دورتي Bugbunty Blue، اعتبر ملا أحمدي هذا البرنامج أحد أدوات تحديد نقاط الضعف وتعزيز أداء الفريق الأمني.

وأكد: إن تطبيق باغبانتي وحده لا يكفي للقضاء على كافة نقاط الضعف الأمنية ويجب وضعه إلى جانب سلسلة من الإجراءات المتواصلة.

وتحدث كبير مديري الأمن في بلو عن فكرة إقامة مسابقات أمنية بمشاركة عملاء الذكاء الاصطناعي، وقال: تم طرح هذه الفكرة في مرحلة تصميم مسابقة هذا العام، وتخطط بلو لدراسة إمكانية إقامة مثل هذه المسابقة في المستقبل.

كما أعلن ملا أحمدي عن إعداد صفحة لتلقي تقارير الضعف والتي لم يتم نشرها بعد بسبب الظروف الأخيرة التي تمر بها البلاد.

وكلاء الذكاء الاصطناعي وضرورة تقييد الوصول

وفي هذه الجلسة أشار سعيد كاظمي، كبير مسؤولي الأمن في توبسي، إلى التغيير في طريقة تفاعل المستخدمين مع التطبيقات وقال: مع تطور الوكلاء الأذكياء، يمكن للمستخدمين ترك مهمة محددة للنظام بدلاً من تنفيذ مجموعة من الخطوات يدوياً. بالإضافة إلى تسهيل تقديم الخدمات، تخلق هذه الميزة اعتبارات أمنية جديدة؛ خاصة عندما يكون لدى الوكيل الذكي إمكانية الوصول إلى المعلومات الشخصية أو الإمكانيات المختلفة للخدمة.

واعتبر تقييد الوصول إلى روبوتات الدردشة والوكلاء الأذكياء أحد المتطلبات الأمنية لهذه الأدوات. وبناء على ذلك، يجب أن يقتصر وصول كل عميل على المعلومات والعمليات المطلوبة، وأن يكون من الممكن السيطرة على نشاطه.

وأيضًا، ردًا على سؤال حول إمكانية كسر الحماية لروبوتات الدردشة الخاصة بهذه المجموعة، قال كبير مديري الأمن في تابسي: لم يصل أي تقرير في هذا الصدد حتى الآن.

خوداباخشي: كشف التسلل واستعادة الخدمة مهمان

وفي جزء آخر من الجلسة، أكد وحيد خوداباخشي، الرئيس التنفيذي لشركة كاشف، على أهمية زيادة مرونة المنظمات ضد الهجمات السيبرانية. ومن وجهة نظر خداباخشي، فإن الدفاع الأمني ​​لا يقتصر على منع الاقتحام فحسب؛ يجب أن تكون المؤسسات قادرة على اكتشاف الهجوم، وتخفيف نطاق الضرر، واستعادة الخدمات إلى وضعها الطبيعي في أقصر وقت ممكن.

وفي إشارة إلى تجربة بعض الحوادث السيبرانية، قال خداباخشي: في بعض الحالات، حدث الاختراق قبل عدة أشهر من التحديد النهائي. يمكن أن توفر مثل هذه الفجوة بين حدوث الاقتحام واكتشافه فرصة أكبر لتوسيع نطاق وصول المهاجم وزيادة الضرر.

وأوضح أيضاً: أن الهجوم على البنية التحتية المصرفية لا يتم فقط بهدف سحب الأموال بشكل مباشر. يمكن أيضًا أن يكون تعطيل الخدمات التي يعتمد عليها المستخدمون هدفًا للمهاجمين. ولهذا السبب، تعد استمرارية الخدمة والقدرة على التعافي بعد وقوع حادث أمرًا مهمًا، إلى جانب منع التهديدات واكتشافها.

إلغاء الشهادات الدولية تحدي الثقة في الخدمات المصرفية

وخصص محور آخر من الجلسة لمحدوديات شهادات الأمن الدولية. وأوضح خداباخشي في هذا الصدد: أن بعض المصدرين الأجانب للشهادات الأمنية قد قصروا تقديم الخدمات على أجزاء من الشبكة المصرفية الإيرانية، مستشهدين بالعقوبات المتعلقة بالمكتب الأمريكي لمراقبة الأصول الأجنبية (OFAC) والاتحاد الأوروبي.

وبحسب خوداباخشي، فقد تم في بعض الحالات إبطال الشهادات الأمنية قبل انتهاء صلاحيتها، ولجأت المجموعات المعنية إلى مصدرين من دول أخرى لاستبدالها. ومع ذلك، لا يتعلق الأمر فقط بتقديم شهادة بديلة؛ من المهم أيضًا قبول الشهادة من قبل المتصفحات وثقة المستخدمين بصلاحيتها.

وأوضح الرئيس التنفيذي لشركة كاشف: تلعب شهادات SSL/TLS دورًا في الاتصال المشفر ومصادقة مواقع الويب. عندما لا يتمكن المتصفح من التحقق من صحة الشهادة، فقد يُظهر للمستخدم تحذيرًا أمنيًا. يمكن لهذه التحذيرات أن تجعل الوصول إلى الخدمات أمرًا صعبًا وتؤثر على ثقة العملاء.