صندوق بازنشستگی فدرال سوئیس، Publica، در مهر ۱۴۰۵ (سپتامبر ۲۰۲۵) تأیید کرد که در پی یک حمله سایبری به یکی از تأمین‌کنندگان نرم‌افزاری ثالث، بخشی از داده‌های حساس این سازمان دچار نشت شده است. این واقعه، بار دیگر بحث‌های جدی پیرامون امنیت زنجیره تأمین در زیرساخت‌های دولتی و حساس را در کانون توجه متخصصان حوزه امنیت فناوری اطلاعات قرار داده است.
ابعاد فنی نشت داده و وضعیت تحقیقات
بر اساس گزارش‌های رسمی، تأمین‌کننده ناشناس که خدمات نرم‌افزاری برای صندوق Publica ارائه می‌دهد، در اواخر سپتامبر ۲۰۲۵ (اوایل مهر ۱۴۰۵) متوجه نفوذ سایبری به سیستم‌های خود شده است. در پی این کشف، فرآیندهای قانونی آغاز شده و دفتر دادستان کل سوئیس تحقیقات جنایی در این زمینه را کلید زده است. نکته حائز اهمیت این است که تاکنون وسعت داده‌های سرقت شده و ماهیت دقیق آن‌ها به‌طور کامل مشخص نیست. تأمین‌کننده مذکور در حال همکاری با نهادهای فدرال است تا میزان اثرگذاری این حادثه بر داده‌های Publica را تعیین کند. با این حال، هنوز هیچ جزئیاتی درباره تعداد اعضای متأثر از این نشت یا بازه زمانی اتمام بررسی‌های قضایی اعلام نشده است.
زنجیره تأمین، حلقه مفقوده امنیت زیرساخت‌ها
این حادثه نمونه بارز آسیب‌پذیری در «زنجیره تأمین نرم‌افزاری» (Software Supply Chain) است. بسیاری از سازمان‌های دولتی برای بهینه‌سازی عملیات و کاهش هزینه‌ها، از راهکارهای شرکت‌های نرم‌افزاری شخص ثالث استفاده می‌کنند. با این حال، اگر این شرکت‌ها از استانداردهای سخت‌گیرانه امنیت سایبری برخوردار نباشند، به عنوان نقطه ورود مهاجمان به شبکه‌های بسیار امن‌تر (مانند صندوق‌های بازنشستگی دولتی) عمل می‌کنند. Publica به عنوان یکی از بزرگ‌ترین صندوق‌های بازنشستگی سوئیس، وظیفه پوشش بیمه‌ای کارمندان دولت فدرال، دانشگاه‌های فدرال و سازمان‌های تحقیقاتی حوزه ETH را بر عهده دارد و مدیریت دارایی بالغ بر ۴۵ میلیارد فرانک سوئیس را در دست دارد؛ این یعنی داده‌های آن برای عوامل تهدید بسیار ارزشمند است.
تاریخچه حملات سایبری به تأمین‌کنندگان دولت سوئیس
این نخستین بار نیست که دولت سوئیس از طریق واسطه‌ها مورد حمله قرار می‌گیرد. در سال ۱۴۰۲ (۲۰۲۳ میلادی)، دو حادثه بزرگ رخ داد که زنگ خطر را برای نهادهای دولتی به صدا درآورد:
- حمله به Xplain: گروه باج‌افزاری Play با نفوذ به شرکت IT نرم‌افزاری Xplain، حدود ۹۰۷ گیگابایت از داده‌های متعلق به ارتش و سازمان گمرک سوئیس را سرقت و منتشر کرد.
- حمله به Concevis: این شرکت نرم‌افزاری که خدمات به نهادهای مالیاتی و آماری فدرال ارائه می‌داد، هدف حمله باج‌افزاری قرار گرفت و منجر به افشای داده‌های قدیمی دولتی شد.
مشخصات و ابعاد نهاد هدف (Publica)
- حوزه فعالیت: مدیریت صندوق‌های بازنشستگی فدرال سوئیس
- جامعه تحت پوشش: حدود ۷۰,۰۰۰ عضو فعال و ۴۱,۶۰۰ مستمری‌بگیر
- ارزش دارایی تحت مدیریت: حدود ۴۵ میلیارد فرانک سوئیس
- ماهیت رخداد: نشت داده ناشی از نقض امنیتی در تأمین‌کننده شخص ثالث
- وضعیت حقوقی: تحت بررسی قضایی توسط دادستان کل سوئیس
جمع‌بندی و ضرورت اتخاذ رویکرد Zero Trust
این نشت داده نشان می‌دهد که صرفاً ایمن‌سازی زیرساخت داخلی کافی نیست؛ بلکه سازمان‌ها باید مدل امنیتی خود را به سمت Zero Trust (اعتماد صفر) سوق دهند. در این رویکرد، حتی سیستم‌های تأمین‌کنندگان ثالث نیز باید به‌صورت مداوم ارزیابی شده و دسترسی‌های آن‌ها به حداقل امتیازات لازم (Least Privilege) محدود شود. برای سازمانی مانند Publica، استقرار پروتکل‌های سخت‌گیرانه برای ممیزی امنیتی شرکای نرم‌افزاری و استفاده از راهکارهای رمزنگاری End-to-End برای تمامی داده‌های تبادلی با واسطه‌ها، یک ضرورت اجتناب‌ناپذیر است.
