فعالیت بدون ضابطه تلگرام چه بر سر امنیت اقتصادی و اجتماعی ایرانی‌ها آورده است؟

چند روز پیش، پیامی از طرف یکی از افرادی که با او ارتباط شغلی دارم در تلگرام دریافت کردم. فرستنده، کارت دعوت عروسی خود را برایم ارسال کرده بود؛ پیامی که در نگاه نخست کاملاً عادی و حتی خوشایند به نظر می‌رسید. با این حال، شناختی که از میزان صمیمیت رابطه‌مان داشتم و اطلاع از اینکه او پیش‌تر ازدواج کرده است، باعث شد پیش از باز کردن فایل، کمی بیشتر دقت کنم.

بررسی دقیق‌تر نشان داد پسوند فایل ارسالی APK است؛ پسوندی که به بسته‌های نصب برنامه‌های اندرویدی تعلق دارد و با ماهیت یک کارت دعوت تصویری یا سند معمولی تناسبی ندارد. ماجرا در واقع به هک حساب تلگرامی همان آشنای کاری و ارسال یک فایل مخرب برای مخاطبان او مربوط می‌شد. مهاجم با سوءاستفاده از هویت دیجیتال فردی قابل اعتماد، تلاش کرده بود گیرندگان پیام را به نصب بدافزار ترغیب کند و از این طریق، قربانیان تازه‌ای به دام بیندازد.

اهمیت این اتفاق صرفاً به یک تلاش برای آلوده کردن تلفن همراه محدود نمی‌شود. مهاجم به‌جای ارسال یک پیام ناشناس از یک حساب بی‌اعتبار، از اعتبار اجتماعی و شغلی فردی واقعی استفاده کرده بود. همین مسئله نشان می‌دهد مجرمان سایبری چگونه اعتماد میان همکاران، دوستان و اعضای خانواده را به ابزار نفوذ تبدیل می‌کنند.

چنین حملاتی می‌توانند مقدمه‌ای برای سرقت اطلاعات بانکی، دسترسی غیرمجاز به حساب‌های کاربری، جعل هویت و سوءاستفاده از اطلاعات شخصی قربانی باشند. در مقیاس گسترده‌تر، یک حساب هک‌شده می‌تواند به نقطه شروع زنجیره‌ای از کلاهبرداری‌ها تبدیل شود؛ زیرا هر قربانی جدید، امکان دسترسی مهاجم به حلقه‌های ارتباطی تازه را فراهم می‌کند.

جاخالی دادن تلگرام برابر پذیرش مسئولیت جرائم سایبری

جرائم سازمان‌یافته سایبری دیگر به کلاهبرداری‌های ساده و پیام‌های تبلیغاتی جعلی محدود نیستند. این جرائم با استفاده از بدافزار، مهندسی اجتماعی، سرقت هویت، شبکه‌های توزیع فایل‌های آلوده و دسترسی غیرمجاز به حساب کاربران، ساختاری زنجیره‌ای پیدا کرده‌اند. پیام‌رسان‌ها نیز به دلیل برخورداری از شبکه ارتباطی گسترده، می‌توانند بستر مناسبی برای اجرای بخشی از این عملیات باشند.

تلگرام در این میان جایگاه قابل توجهی دارد. برخی کاربران ایرانی از این پیام‌رسان برای ارتباطات کاری و خانوادگی، عضویت در گروه‌ها و دریافت اطلاعات استفاده می‌کنند. اعتماد به پیام‌های دریافتی از مخاطبان شناخته‌شده نیز فرصت مناسبی برای فعالیت مجرمان فراهم کرده است. مهاجم می‌تواند با تسلط بر حساب یک کاربر، بدون نیاز به ایجاد هویت جعلی از ابتدا، حمله خود را در پوشش ارتباطی معتبر گسترش دهد.

نکته قابل تأمل اینجاست که تلگرام حتی در مقررات داخلی خود نیز چنین رفتار‌هایی را مجاز نمی‌داند. شرایط استفاده این پلتفرم، ارسال هرزنامه و کلاهبرداری را ممنوع کرده و سیاست حریم خصوصی آن از بررسی پیام‌های گزارش‌شده برای مقابله با فیشینگ و سوءاستفاده و استفاده از الگوریتم‌های خودکار برای شناسایی برخی تخلفات در گفت‌و‌گو‌های ابری خبر می‌دهد.

بنابراین، مقابله با کلاهبرداری و سوءاستفاده سایبری حتی براساس قواعدی که خود تلگرام تعیین کرده، بخشی از مسئولیت این پلتفرم است. مسئله اصلی، فاصله میان تعهدات اعلام‌شده و میزان اجرای مؤثر آنهاست. کاربران باید بدانند در صورت هک شدن حساب، انتشار بدافزار، کلاهبرداری یا سرقت اطلاعات، چه مرجعی مسئول رسیدگی است و چگونه می‌توانند حقوق خود را پیگیری کنند.

تلگرام امکان گزارش محتوای غیرقانونی و حساب‌های متخلف را پیش‌بینی کرده است؛ اما وجود یک دکمه گزارش یا نشانی پست الکترونیکی برای اعلام تخلف، به‌تنهایی معادل مسئولیت‌پذیری حقوقی نیست. قربانی ایرانی به سازوکاری فراتر از ثبت یک گزارش نیاز دارد؛ سازوکاری که بتواند از استمرار فعالیت حساب‌های مجرم جلوگیری کند، شواهد دیجیتال را در چارچوب قانون حفظ کند و امکان پیگیری قانونی متناسب با ماهیت جرم را فراهم آورد.

وقتی یک پلتفرم در قلمرو ارتباطی یک کشور به فعالیت می‌پردازد، اما در برابر ساختار قضایی و انتظامی همان کشور پاسخگویی مؤثری ندارد، خلأ حقوقی ایجادشده عملاً به فرصتی برای مجرمان تبدیل می‌شود. مهاجمان می‌توانند از همین فاصله برای پنهان کردن هویت، جابه‌جایی حساب‌ها و ادامه فعالیت‌های غیرقانونی خود استفاده کنند. در چنین وضعیتی، شهروندی که اطلاعات یا دارایی خود را از دست داده است، با دشواری مضاعفی برای احقاق حق مواجه می‌شود.

نقش تنظیم‌گری بر مشخص شدن مسئولیت پلتفرم‌های خارجی

طرح ضرورت تنظیم‌گری فضای مجازی به معنای مخالفت با فناوری، ارتباطات بین‌المللی یا حضور پلتفرم‌های خارجی نیست. هیچ کشوری نمی‌تواند از مزایای اقتصاد دیجیتال و ارتباطات فرامرزی بهره‌مند شود، اما نسبت به پیامد‌های امنیتی و اجتماعی فعالیت بازیگران این حوزه بی‌تفاوت بماند.

تنظیم‌گری زمانی معنا پیدا می‌کند که میان حقوق کاربران، دسترسی به خدمات ارتباطی، مسئولیت پلتفرم‌ها و الزامات امنیت عمومی توازن برقرار شود. همان‌طور که یک شرکت خارجی برای فعالیت اقتصادی در هر کشور باید قوانین مربوط به تجارت، مالیات، حقوق مصرف‌کننده و امنیت را رعایت کند، ارائه خدمات ارتباطی و میزبانی تعاملات شهروندان نیز نمی‌تواند خارج از چارچوب مسئولیت‌های قانونی باشد.

این قاعده در کشور‌های مختلف جهان نیز پذیرفته شده است. اتحادیه اروپا با مقررات خدمات دیجیتال، پلتفرم‌های مشمول را به شفافیت بیشتر، سازوکار رسیدگی به گزارش‌های کاربران و مدیریت ریسک‌های ناشی از خدمات دیجیتال ملزم کرده است. هدف چنین مقرراتی تعطیل کردن خدمات ارتباطی نیست؛ بلکه شرکت‌هایی که از فعالیت در بازار دیجیتال این کشور‌ها درآمد و منفعت کسب می‌کنند، باید در برابر آثار فعالیت خود پاسخگو باشند.

ایران نیز می‌تواند با تدوین چارچوبی روشن، متناسب و قابل پیش‌بینی، شرایط فعالیت پلتفرم‌های خارجی را مشخص کند. پلتفرمی که خواهان دسترسی به بازار کاربران ایرانی است، باید مسئولیت‌های خود را بپذیرد، مسیر ارتباط حقوقی مشخصی با مراجع ذی‌صلاح ایجاد کند، در مواجهه با جرائم سازمان‌یافته همکاری قانونی داشته باشد و سازوکار‌های مقابله با سوءاستفاده از خدماتش را به‌صورت شفاف اجرا کند.

در این میان، نکته مهم آن است که تنظیم‌گری نباید صرفاً به تعیین محدودیت برای کاربران یا مسدودسازی خدمات خلاصه شود. سیاست‌گذاری مؤثر باید متوجه رفتار ارائه‌دهندگان خدمات، سازوکار‌های توزیع محتوا، مسئولیت امنیتی شرکت‌ها و امکان اعمال قانون در برابر فعالیت‌های مجرمانه باشد.

آینده تلگرام در ایران بر مبنای نص صریح مصوبه ۳۲ بندی

اتفاقاً این رویکرد با مسیری که در مصوبه ۳۲ بندی شورای عالی فضای مجازی با عنوان «تسهیل دسترسی به سکو‌های خارجی و ارتقای حکمرانی قانونمند» پیش‌بینی شده، قابل انطباق است. این سند که در دی‌ماه ۱۴۰۳ به تصویب رسید و اصلاحیه آن در بهمن همان سال تصویب شد، برای تعیین تکلیف فعالیت سکو‌های خارجی، صرفاً بر محدودسازی یا قطع دسترسی تکیه نکرده و مسیر مذاکره و استفاده از سازوکار‌های حکمرانی‌پذیر را نیز مورد توجه قرار داده است.

براساس مفاد مربوط به تلگرام در این مصوبه، ابتدا باید با مدیران این پلتفرم برای فعالیت قانونی و پذیرش شروط و الزامات کشور مذاکره شود. در صورتی که این مذاکرات به نتیجه نرسد و تلگرام حاضر به پذیرش قواعد مورد نظر نباشد، استفاده از راهکار‌های جایگزین و حکمرانی‌پذیر، از جمله ارائه خدمات آن از طریق سکو‌های داخلی و واسط‌های بومی، به‌عنوان مسیر دیگری برای دسترسی کاربران پیش‌بینی شده است.

اهمیت این رویکرد در آن است که مسئولیت انتخاب میان فعالیت قانونی و ادامه فعالیت خارج از چارچوب، تا حد زیادی متوجه خود پلتفرم خواهد بود. ایران ابتدا امکان فعالیت رسمی و قانونمند را در اختیار تلگرام قرار می‌دهد و در صورت نپذیرفتن الزامات، می‌تواند به سراغ سازوکاری برود که دست‌کم بخشی از ظرفیت‌های فنی و نظارتی مورد نیاز کشور را فراهم کند.

البته باید میان حکمرانی کامل بر یک پلتفرم و دسترسی به آن از طریق یک درگاه حکمرانی‌پذیر تفاوت قائل شد. در حالت مطلوب، شرکت ارائه‌دهنده خدمات در چارچوب حقوقی کشور فعالیت می‌کند، نماینده پاسخگو دارد، در برابر درخواست‌های قانونی همکاری می‌کند، سازوکار‌های مقابله با جرائم را در زیرساخت اصلی خود به کار می‌گیرد و درباره عملکرد الگوریتم‌های توصیه‌گر و توزیع محتوا شفافیت لازم را ارائه می‌دهد.

در مقابل، درگاه حکمرانی‌پذیر یک لایه واسط میان کاربر و خدمت خارجی ایجاد می‌کند. این لایه می‌تواند در بخش‌هایی از ارتباطات و خدماتی که از مسیر آن عبور می‌کنند، امکان اعمال سیاست‌های امنیتی، شناسایی تهدیدات، مدیریت دسترسی و رسیدگی به تخلفات را فراهم کند. برای مثال، بررسی فایل‌های اجرایی مشکوک پیش از دریافت یا نصب، هشدار درباره پیوند‌های آلوده، شناسایی الگو‌های شناخته‌شده فیشینگ و فراهم کردن مسیر گزارش‌دهی قابل پیگیری، از جمله قابلیت‌هایی هستند که می‌توان در چنین معماری‌ای پیش‌بینی کرد.

البته این سازوکار به معنای تسلط بر تمام زیرساخت‌های تلگرام نیست. اگر یک حساب کاربری در سرور‌های اصلی تلگرام هک شود، یک درگاه واسط لزوماً قادر به بازگرداندن حساب یا حذف مهاجم از زیرساخت اصلی نخواهد بود. همچنین در صورت استفاده از ارتباطات رمزگذاری‌شده سرتاسری، درگاه نباید برای اجرای وظایف امنیتی به شکستن رمزگذاری یا دسترسی پنهانی به محتوای خصوصی مکالمات متوسل شود. کارکرد اصلی آن باید بر امنیت دستگاه، مدیریت دسترسی، تحلیل تهدیدات قابل مشاهده، کنترل خدمات عبوری و ایجاد مسیر پاسخگویی در محدوده اختیارات قانونی متمرکز باشد.

با وجود این محدودیت‌ها، چنین راهکاری در شرایطی که خود پلتفرم حاضر به پذیرش مسئولیت‌های قانونی نیست، از رها کردن کامل فضای فعالیت آن به مراتب بهتر است. نمی‌توان از یک واسط فنی انتظار داشت تمام مشکلات ناشی از نبود همکاری شرکت اصلی را برطرف کند؛ اما می‌توان با طراحی درست، بخشی از خلأ امنیتی و حقوقی موجود را کاهش داد.

درگاه‌های حکمرانی پذیر و شرایط مساعدی که برای کاربران ایرانی فراهم خواهند کرد

یکی از مصادیق عملی درگاه‌های حکمرانی‌پذیر، استفاده از پوسته‌ها و نسخه‌های بومی پیام‌رسان‌هاست. ارزش چنین راهکاری زمانی مشخص می‌شود که آن را نه ابزاری برای دسترسی بی‌ضابطه به اطلاعات خصوصی مردم، بلکه لایه‌ای تکمیلی برای افزایش امنیت استفاده از خدمات ارتباطی بدانیم.

یک پوسته امن و استاندارد می‌تواند فایل‌های اجرایی مشکوک مانند APK‌های دریافتی را پیش از نصب به کاربر معرفی کند، درباره پیوند‌های آلوده هشدار دهد، الگو‌های شناخته‌شده بدافزار را شناسایی کند و کاربران را در برابر شیوه‌های رایج مهندسی اجتماعی آگاه سازد. چنین قابلیت‌هایی به‌ویژه برای افرادی اهمیت دارد که به دلیل مشغله کاری یا اعتماد به مخاطبان خود، فرصت بررسی فنی تک‌تک فایل‌های دریافتی را ندارند.

مزیت دیگر این راهکار، ایجاد یک نقطه پاسخگو در داخل کشور است. اگر خدماتی از طریق یک واسط داخلی ارائه شود، می‌توان برای گزارش تخلفات، پیگیری مشکلات امنیتی و رسیدگی به شکایت کاربران، مسیر مشخص‌تری تعریف کرد. این موضوع به‌ویژه در مواردی که دسترسی مستقیم به مدیران پلتفرم خارجی دشوار است، اهمیت پیدا می‌کند.

همچنین امکان شناسایی و مسدودسازی برخی تهدیدات شناخته‌شده در لایه واسط، می‌تواند سرعت واکنش به حملات سایبری را افزایش دهد. به‌جای آنکه هر کاربر به‌تنهایی با پیام‌های جعلی، فایل‌های آلوده و پیوند‌های مخرب مواجه شود، می‌توان از ظرفیت تجمیع گزارش‌ها و تحلیل الگو‌های حمله برای شناسایی زودهنگام تهدیدات استفاده کرد. این قابلیت در صورت رعایت ضوابط حریم خصوصی، به شناسایی کمپین‌های سازمان‌یافته کلاهبرداری نیز کمک می‌کند.

البته پوسته به‌تنهایی نمی‌تواند مانع هک شدن حساب‌ها یا تمام حملات سایبری شود. ارزش واقعی آن در ایجاد یک لایه دفاعی مکمل است؛ لایه‌ای که می‌تواند با استفاده از پایگاه داده تهدیدات، تحلیل امنیتی فایل‌ها و هشدار‌های به‌موقع، احتمال قربانی شدن کاربران را کاهش دهد.

مهم‌تر از قابلیت‌های فنی، نحوه طراحی و مدیریت این ابزارهاست. پوسته‌ای که قرار است اعتماد کاربران را جلب کند، باید حریم خصوصی را به‌عنوان یک اصل بنیادین رعایت کند. تحلیل فایل‌ها تا حد امکان می‌تواند به‌صورت محلی روی دستگاه انجام شود، دسترسی به داده‌های شخصی باید به حداقل ضروری محدود بماند، جمع‌آوری اطلاعات باید شفاف و مبتنی بر رضایت آگاهانه باشد و هیچ امکانی برای مشاهده پنهانی محتوای مکالمات خصوصی یا انتقال بی‌ضابطه اطلاعات کاربران وجود نداشته باشد.

امنیت بیشتر نباید به بهای حریم خصوصی کمتر به دست آید. ارزیابی مستقل امنیتی، انتشار مستندات فنی، تعیین حدود دسترسی و پاسخگویی توسعه‌دهندگان، شروط ضروری موفقیت چنین راهکاری هستند. بدون این تضمین‌ها، درگاه واسط خود می‌تواند به یک نقطه آسیب‌پذیر تازه تبدیل شود.

حکمرانی دیجیتال چگونه راه فعالیت مسئولانه را باز می‌کند؟

برداشت نادرست از حکمرانی دیجیتال این است که تصور کنیم تحقق آن مستلزم بستن همه پلتفرم‌های خارجی، محدود کردن ارتباطات یا سوق دادن اجباری کاربران به خدمات داخلی است. چنین برداشتی، حکمرانی را با محدودسازی یکسان می‌گیرد و ظرفیت‌های آن برای ایجاد نظم، امنیت و رقابت سالم را نادیده می‌گیرد.

حکمرانی دیجیتال در معنای دقیق‌تر، ایجاد قواعدی است که براساس آن، هر بازیگر فعال در قلمرو دیجیتال یک کشور، در کنار برخورداری از حقوق و فرصت‌های اقتصادی، مسئولیت‌های مشخصی نیز داشته باشد. صدور مجوز فعالیت برای پلتفرم‌های خارجی، مشروط کردن حضور آنها به پذیرش قوانین کشور میزبان، ایجاد نمایندگی یا مسیر پاسخگویی حقوقی و الزام به همکاری قانونی در مقابله با جرائم سازمان‌یافته، می‌تواند بخشی از این چارچوب باشد.

این چارچوب باید به موضوع الگوریتم‌های توصیه‌گر و سازوکار‌های توزیع محتوا نیز توجه کند. هرگاه یک پلتفرم از الگوریتم‌هایی برای پیشنهاد، اولویت‌بندی یا گسترش محتوا استفاده می‌کند، لازم است میزان شفافیت و مسئولیت آن در برابر پیامد‌های این سازوکار‌ها مشخص باشد. کشور میزبان باید بتواند در چارچوب قوانین مصوب خود، بر آثار اجتماعی و امنیتی این الگوریتم‌ها نظارت کند و از پلتفرم بخواهد در برابر انتشار سازمان‌یافته محتوای مجرمانه یا بهره‌برداری مخرب از سازوکار‌های توزیع محتوا پاسخگو باشد.

پذیرش چنین قواعدی حتی می‌تواند به نفع خود پلتفرم‌های خارجی باشد. فعالیت در بازاری که قوانین آن شفاف، قابل پیش‌بینی و برای همه بازیگران یکسان است، امکان برنامه‌ریزی اقتصادی، کاهش ریسک حقوقی و ایجاد اعتماد پایدار میان شرکت و کاربران را فراهم می‌کند. همکاری با ساختار قضایی کشور میزبان نیز مانع از آن می‌شود که مجرمان بتوانند از مرز‌های جغرافیایی و خلأ‌های حقوقی برای فرار از مسئولیت استفاده کنند.

راهکار‌های حکمرانی‌پذیر، جایگزین مطلوب همکاری مستقیم پلتفرم نیستند؛ اما در شرایط فقدان همکاری، چند دستاورد مشخص برای کشور دارند: نخست، امکان اعمال حداقلی از سیاست‌های امنیتی در مسیر دسترسی کاربران؛ دوم، شناسایی و هشدار درباره بخشی از بدافزار‌ها و حملات سایبری؛ سوم، ایجاد مسیر داخلی برای ثبت و پیگیری شکایت‌ها؛ چهارم، افزایش توان شناسایی الگو‌های تکرارشونده جرائم سازمان‌یافته؛ پنجم، کاهش وابستگی کامل فرایند مقابله با تهدیدات به تصمیم و اراده یک شرکت خارجی؛ و ششم، فراهم شدن امکان مدیریت بخشی از آثار اجتماعی و محتوایی خدمات دیجیتال در چارچوب قانون.

این دستاورد‌ها به معنای حل کامل مشکل نیستند. درگاه واسط نمی‌تواند جایگزین همکاری قضایی تلگرام شود، به‌تنهایی به تمام اطلاعات موجود در سرور‌های آن دسترسی داشته باشد یا تضمین کند که هیچ حسابی هک نخواهد شد. با این حال، ایجاد یک لایه امنیتی و پاسخگویی داخلی، در مقایسه با وضعیتی که هیچ ابزار مؤثری برای مدیریت تهدیدات در دسترس نباشد، پیشرفت قابل دفاعی محسوب می‌شود.

در نهایت، ماجرای یک فایل جعلی با عنوان کارت عروسی نشان می‌دهد جرائم سایبری چگونه می‌توانند از ساده‌ترین ارتباطات روزمره برای آسیب زدن به امنیت اقتصادی و اجتماعی مردم استفاده کنند. مسئله اصلی، خارجی بودن تلگرام یا هر پلتفرم دیگری نیست؛ مسئله این است که هیچ شرکتی نباید از مزایای حضور در بازار یک کشور بهره‌مند شود، اما مسئولیت‌های قانونی و امنیتی خود را نادیده بگیرد.

تنظیم‌گری هوشمند قرار نیست ارتباطات مردم را قطع کند؛ قرار است میان منافع عمومی و منافع تجاری پلتفرم‌ها تعادل برقرار کند. ابتدا باید امکان فعالیت قانونی و همکاری مستقیم را فراهم کرد و اگر یک پلتفرم از پذیرش قواعد کشور میزبان امتناع کرد، باید از ظرفیت‌های فنی و حقوقی جایگزین برای کاهش آسیب‌ها بهره گرفت.

تلگرام و دیگر پیام‌رسان‌های خارجی اگر خواهان دسترسی به بازار کاربران ایرانی هستند، باید مسئولیت امنیت این کاربران را به اندازه منافع حاصل از حضورشان جدی بگیرند. حکمرانی دیجیتال به معنای بستن همه در‌ها نیست؛ به معنای باز گذاشتن در‌های فعالیت برای کسانی است که قانون را می‌پذیرند و پاسخگوی عملکرد خود هستند. در غیر این صورت، کشور حق دارد برای حفاظت از شهروندانش، حتی در شرایطی که همکاری پلتفرم اصلی وجود ندارد، راهکار‌های جایگزین و متناسب را به کار بگیرد.