Yaklaşık 3 Milyar Kişinin Tarihi Veri İhlali Dark Web’e Sızdı
Tarihteki en kötü veri ihlallerinden biri, Amerikalıların sosyal güvenlik numaraları da dahil olmak üzere tahmini 2,9 milyar kişinin özel bilgilerini dark web’de bıraktı.
Florida merkezli bir geçmiş kontrol şirketinin veri tabanı geçtiğimiz 8 Nisan’da basıldı ve ardından 3,5 milyon dolar ödemek isteyen siber suçlulara satışa sunuldu.
Şirket henüz kendi rakamlarıyla ihlali doğrulamadı, ancak doğruysa, saldırının kapsamı, dünya çapında üç milyar kişinin verilerini açığa çıkaran rekor kıran 2013 Yahoo! saldırısına rakip olacak.
Verileri satan, Latin Amerika merkezli olduğu düşünülen ve ABD Savunma Bakanlığı’na atfen ‘USDoD’ gibi ironik bir takma ad kullanan siber suç grubu, meşruiyetini teyit etmek için dosyayı bir siber güvenlik uzmanıyla paylaştı.
Çoğu Amerikalı – ve hatta ölmüş akrabalarının çoğu – ‘vazgeçme’ hizmetleri için düzenli olarak ödeme yapmadıkları sürece, ihlal nedeniyle özel verilerinin risk altında olması muhtemeldir.
Yeni mahkeme dosyalarına göre, çalınan bu geniş veri tabanı, aralarında onlarca yıldır ölü olanların da bulunduğu yüz milyonlarca ABD vatandaşının adres geçmişlerini, akrabalarının isimlerini ve daha fazlasını içeriyor.
İhlalden ilk olarak kendi kimlik hırsızlığı koruma hizmeti tarafından haberdar edilen mağdurun avukatları şimdi veri tabanı firmasına karşı bir toplu dava açıyor.
Perşembe günü açılan bu davaya göre, National Public Data adı altında iş yapan geçmiş kontrol şirketi Jerico Pictures, ‘korunan PII [kişisel tanımlanabilir bilgiler] içeren donanımın güvenliğini etkin bir şekilde sağlayamadı’.
Dava ayrıca firmayı, özel kişilere ait milyarlarca dosyayı, bu kişilerin ‘rızası veya bilgisi’ olmaksızın diğer veri tabanlarından ‘kazımakla’ suçluyor.
Kopelowitz Ostrow Firması tarafından yönetilen avukatlar, önerdikleri toplu dava şikayetinde “Davalının davranışı en azından ihmal anlamına gelmektedir” iddiasında bulundular.
Siber güvenlik ve kötü amaçlı yazılım eğitim sitesi VX-Underground’un sahiplerine göre, sızıntıda yer alan üç milyar kişilik dosyanın üstünkörü bir taraması, ‘verileri devre dışı bırakma hizmetlerini kullanmayan ve Amerika Birleşik Devletleri’nde ikamet eden’ herhangi bir bireyi ‘hemen buldu’.
VX-Underground, geçtiğimiz Haziran ayında sosyal medya sitesi X’te yayınladığı bir yazıda, “Bir tür veri vazgeçme hizmeti kullanan hiçbir kişi yoktu” dedi.
Veri vazgeçme hizmetleri, veri simsarlarından kişisel verilerinizi listelerinden çıkarmalarını talep etmek gibi sıkıcı bir görevi yerine getirmek için yıllık 499 dolara kadar ücret talep ediyor.
Ancak daha uygun maliyetli bir yöntem arayanlar için kar amacı gütmeyen Consumer Reports, Permission Slip uygulaması aracılığıyla benzer bir hizmet sunuyor.
İlk olarak ‘NatSec’ adıyla ün kazanan USDoD, bu yıl, hatalı güncellemesiyle Temmuz ayında havayollarını yere indiren ve dünya çapında kaosa neden olan siber güvenlik firması CrowdStrike’a yapılan baskın da dahil olmak üzere bir dizi saldırıdan sorumlu tutuldu.
Bu Temmuz ayında USDoD ayrıca CrowdStrike’ın ‘tüm tehdit aktörleri listesini’, ‘tüm IOC [tehlikeye girme göstergeleri] listesini’ ve bir şirket raporuna göre ‘bir petrol şirketi ve bir eczacılık endüstrisinin (ABD’den değil) veri tabanlarını’ sızdırdığını iddia etti.
USDoD başlangıçta, kısmen grubun ABD Ordusu ve Pentagon’un başlıca savunma müteahhitlerini hedef alan ‘#RaidAgainstTheUS kampanyası’ ile elde ettiği ilk başarılar nedeniyle Rusya yanlısı bir hacker girişimi olarak tasvir edilmişti.
Hacker grubu ayrıca, ulusal güvenlik ve siber güvenlik istihbaratını güvenli bir şekilde paylaşmak üzere tasarlanmış olan FBI’ın 80.000 üyeli InfraGard veri tabanını ele geçirmek için bir finans şirketinin CEO’su kılığına girerek ABD’nin yerel kurumlarını da araştırdı.
InfraGard üyeleri arasında hükümet çalışanlarının yanı sıra çalışmaları ABD altyapısının sürdürülmesi açısından kritik kabul edilen özel sektör mensupları da yer alıyor.
Siber güvenlik gazetecisi Brian Krebs tarafından hazırlanan bir raporda USDoD, 11 Eylül terör saldırılarının 2023 yıldönümünde Pentagon’un havacılık ve uzay yüklenicisi Airbus’tan çalınan hassas çalışan verilerini yayınlayarak siyasi bir açıklama yapmakla suçlanmıştı.
Ancak USDoD bu iddiayı reddederek, grubun eylemlerinin ne siyasi ne de terör eylemi olduğunu, sadece her zamanki gibi siber suçlu işi olduğunu ileri sürdü.
Krebs’in haberinin ardından USDoD, ‘Rusya, Çin, Güney ve Kuzey Kore, İsrail ve İran’a saldırmayacağım’ dedi. Gerisi umurumda değil.
Derleyen: Feyza ÇETİNKOL
Kaynak: Yaklaşık 3 Milyar Kişinin Tarihi Veri İhlali Dark Web’e Sızdı