Büyük veri skandalı: Hackerlar iki ay boyunca okurların bilgilerine erişti

İsviçre'nin önde gelen dijital haber dergilerinden Republik, ciddi bir siber saldırının hedefi oldu. Bilgisayar korsanlarının yaklaşık iki ay boyunca derginin müşteri veri tabanının bir kopyasına erişebildiği ortaya çıktı. Saldırıda okurların kişisel bilgileri ele geçirilirken anonim olarak yapılan binlerce yorumun kimlere ait olduğu da açığa çıkmış olabilir.

Blick'in haberine göre saldırganlar, derginin kullandığı bir yazılımdaki güvenlik açığından yararlandı. Sorunun giderilmesi için ağustos ayında bir güncelleme yayımlanmasına rağmen dergi yönetimi bu güncellemeyi yüklemedi.

Güvenlik açığı, saldırganların ağustos ayından ekim ayının başına kadar sistemdeki verilere erişebilmesine olanak sağladı.

Şifre bilmeden yönetici yetkisi elde ettiler

Siber saldırının nasıl gerçekleştiğine ilişkin ayrıntılar, dijital güvenlik açısından dikkat çekici bir ihmal olduğunu ortaya koydu.

Bilgisayar korsanları, Republik'in internet sitesinde kullanılan dahili analiz yazılımındaki bir güvenlik açığından yararlandı.

Söz konusu açık, yazılımın 'şifremi unuttum' bölümünde bulunuyordu.

Bu güvenlik sorunu nedeniyle saldırganlar herhangi bir şifreye ihtiyaç duymadan yönetici yetkisi elde edebildi.

Yazılımı geliştiren şirket, açığı kapatan güvenlik güncellemesini 6 Ağustos'ta kullanıma sunmuştu.

Ancak Republik, güvenlik uyarısını takip etmedi ve gerekli güncellemeyi yüklemedi.

Böylece bilgisayar korsanları yaklaşık iki ay boyunca müşteri bilgilerinin bulunduğu veri tabanına erişim sağlayabildi.

Saldırı 14 Ekim'de tesadüfen fark edildi

Saldırının en dikkat çekici yönlerinden biri de güvenlik ihlalinin uzun süre tespit edilememesi oldu.

Republik, bilgisayar korsanlarının sistemlerine girdiğini ancak 14 Ekim'de fark etti.

Üstelik saldırı, bir güvenlik sisteminin uyarısıyla ortaya çıkarılmadı.

Derginin kullandığı analiz aracının hata vermesi ve çalışmayı durdurması üzerine teknik inceleme başlatıldı. Böylece yetkisiz erişim tespit edildi.

Başka bir ifadeyle saldırganlar, yaklaşık iki ay boyunca sistemdeki bilgilere erişebilmesine rağmen dergi yönetimi bu durumun farkına varamadı.

Eski abonelerin bilgileri de ele geçirildi

Saldırganların eriştiği veriler yalnızca derginin mevcut aboneleriyle sınırlı değil.

Republik'in açıklamasına göre aktif ve eski abonelerin, kooperatif üyelerinin ve yalnızca e-posta bültenine kayıt yaptıran kişilerin bilgilerine erişildi.

Ele geçirilen kişisel veriler arasında adlar, soyadlar ve e-posta adresleri bulunuyor.

Kullanıcıların hesaplarında kayıtlı olması durumunda telefon numaraları, doğum yılları, cinsiyet bilgileri ve posta adreslerine de ulaşılabildi.

Saldırganların ayrıca aboneliklere ilişkin ayrıntıları, ödeme durumlarına ait bazı kayıtları, anket yanıtlarını ve kooperatif oylamalarına ilişkin bilgileri örnekleme yoluyla indirdiği belirlendi.

Ancak dergi, saldırıdan kaç kişinin etkilendiğine ilişkin kesin bir sayı açıklamadı.

2 bin 300 anonim yorumun sahipleri ortaya çıkabilir

Siber saldırının en hassas sonuçlarından biri, derginin internet sitesinde anonim olarak yapılan yorumlarla ilgili.

Republik, kullanıcılarına bazı tartışmalara kimliklerini açıklamadan katılma imkânı sunuyor.

Ancak saldırganların yaklaşık 2 bin 300 anonim yorumun metni ile yorumu yazan kişinin kullanıcı hesabı arasındaki bağlantıya eriştiği belirlendi.

Bu durum, kamuoyuna anonim olarak sunulan yorumların gerçekte kimler tarafından yazıldığının ortaya çıkarılabileceği anlamına geliyor.

Özellikle siyasi, toplumsal veya kişisel açıdan hassas konularda yorum yapan kullanıcıların kimlik bilgilerinin açığa çıkması, gizlilik açısından ciddi risk oluşturuyor.

Bununla birlikte 2 bin 300 farklı kişinin kimliğinin kesin olarak ortaya çıkarıldığı söylenemiyor. Açıklanan sayı, kimliği belirlenebilir hâle gelmiş olabilecek anonim yorumları ifade ediyor.

Kredi kartı ve şifre bilgileri çalınmadı

Republik, saldırganların müşteri veri tabanına erişmesine rağmen bazı hassas bilgilerin güvende kaldığını açıkladı.

Dergiye göre kredi kartı numaraları ve doğrudan ödeme bilgileri saldırıdan etkilenmedi.

Çünkü bu bilgiler Republik'in kendi sistemlerinde değil, Stripe adlı harici ödeme hizmeti sağlayıcısında saklanıyor.

Ayrıca kullanıcı şifrelerinin de ele geçirilmediği bildirildi.

Republik'in internet sitesine giriş yapmak için geleneksel şifre sistemi kullanılmıyor. Okurlar, e-posta üzerinden kimlik doğrulaması yaparak hesaplarına erişiyor.

Bu nedenle saldırganların çalabileceği kullanıcı şifreleri bulunmuyordu.

Ancak kredi kartı ve şifre bilgilerinin güvende kalması, saldırının bütün sonuçlarının önemsiz olduğu anlamına gelmiyor. Ele geçirilen iletişim bilgileri ve abonelik ayrıntıları, başka dolandırıcılık girişimlerinde kullanılabilir.

Saldırı yalnızca dergiyi hedef almamış olabilir

Republik'in değerlendirmesine göre saldırı, özellikle dergiyi hedef alan bir casusluk operasyonundan kaynaklanmamış olabilir.

Şirket, olayın dünya genelinde gerçekleştirilen otomatik siber saldırı dalgasının parçası olduğunu düşünüyor.

Bu tür saldırılarda bilgisayar programları, farklı internet sistemlerinde bilinen güvenlik açıklarını tarıyor.

Saldırganlar, ele geçirebilecekleri kullanıcı bilgilerini, erişim anahtarlarını ve yapay zekâ hizmetlerinde kullanılan gizli bağlantı anahtarlarını arıyor.

Dolayısıyla saldırının arkasındaki kişilerin Republik'in gazetecilik faaliyetlerini özellikle hedef aldığına ilişkin bir bulgu açıklanmadı.

Saldırganların kimlikleri ise henüz bilinmiyor.

Okurlara uyarı: Sahte e-posta ve mesajlara dikkat

Republik, veri sızıntısının ardından abonelerini ve kayıtlı kullanıcılarını dolandırıcılık girişimlerine karşı uyardı.

Çünkü saldırganlar artık bazı kullanıcıların adlarını, e-posta adreslerini, telefon numaralarını ve abonelik bilgilerini biliyor olabilir.

Bu bilgiler, gerçek bir kurumdan gönderilmiş gibi görünen sahte e-postalar, telefon görüşmeleri veya kısa mesajlar hazırlamak için kullanılabilir.

Örneğin saldırganlar, Republik adına iletişime geçerek aboneliğin yenilenmesi veya ödeme bilgilerinin güncellenmesi gerektiğini iddia edebilir.

Bu yöntem, 'phishing' olarak bilinen kimlik avı dolandırıcılığının yaygın türlerinden biri.

Dergi, kullanıcılarından telefon veya e-posta yoluyla hiçbir zaman ödeme bilgisi istemediğini özellikle vurguladı.

Okurların bu tür taleplere karşı dikkatli olması gerektiği belirtildi.

Şirket güvenlik açığını kapattı, yetkililere bildirim yaptı

Republik, saldırının ortaya çıkmasının ardından güvenlik açığının bulunduğu analiz aracını tamamen devre dışı bıraktı.

Olay ayrıca İsviçre Federal Veri Koruma ve Bilgi Komiserliğine (EDÖB) bildirildi.

Dergi, veri sızıntısından etkilenen kullanıcıların talep etmeleri durumunda sistemde kayıtlı kişisel bilgilerinin silinmesini isteyebileceğini açıkladı.

Ancak ele geçirilen verilerin saldırganlar tarafından başka kişilere aktarılıp aktarılmadığına veya başka amaçlarla kullanılıp kullanılmadığına ilişkin kesin bilgi bulunmuyor.

İsviçre'deki olay, bilinen bir güvenlik açığı için yayımlanan güncellemenin uygulanmamasının ne kadar ciddi sonuçlara yol açabileceğini gösteriyor.

Republik, kredi kartı ve şifre bilgilerinin ele geçirilmediğini açıklasa da binlerce anonim yorumun gizliliğinin tehlikeye girmesi ve kullanıcıların kişisel bilgilerinin saldırganların eline geçmesi, veri güvenliğine ilişkin tartışmaları yeniden gündeme taşıdı.