Dow Jones Bulud Sızması Milyonlarla Məlumatı Üzə Çıxardı

Nə Baş Verdi

Hər şey yenə o tanış ssenari ilə başladı. Böyük bir şirkət, dünyanın ən nüfuzlu maliyyə nəşrlərindən bəzilərinin sahibi, buludda haradasa bir qapını taybatay açıq unudur. Bu dəfə səhnədə Wall Street Journal, Barron's kimi nəşrlərin ana şirkəti olan Dow Jones & Company var. Kiber-təhlükəsizlik tədqiqatçıları, şirkətə aid bir Amazon Web Services (AWS) S3 yaddaş sahəsinin tamamilə müdafiəsiz və hər kəsə açıq olduğunu aşkar etdilər. Yəni, düzgün ünvanı bilən hər kəs, milyonlarla abunəçiyə aid həssas məlumatlara heç bir maneəyə rast gəlmədən, hətta parol daxil etmədən çata bilirdi.

Hadisəni ortaya çıxaran, bu cür açıq serverləri skan etməsi ilə tanınan UpGuard kiber-təhlükəsizlik firmasıdır. Tədqiqatçılar, apardıqları rutin yoxlamalar zamanı bu nəhəng məlumat xəzinəsinə rast gəldilər. Bu bir haker hücumu deyil, bunu aydınlaşdıraq. Heç kim mürəkkəb kodlar yazıb Dow Jones-un sistemlərinə sızmayıb. Vəziyyət daha sadədir və bəlkə də buna görə daha tragikomikdir: Kimsə bir ayarı səhv edib. Bir serveri 'şəxsi' yerinə 'hər kəsə açıq' olaraq işarələyib və heç kim fərqinə varmayıb. Ta ki UpGuard tədqiqatçıları qapını döyənə qədər.

Bu cür sızmalar kiber-təhlükəsizlik dünyasının ən yayılmış, lakin ən çox qarşısı alına bilən problemlərindən biridir. Şirkətlər məlumatlarını buluda daşımağın gətirdiyi çevikliyə və gücə fokuslanarkən, ən təməl təhlükəsizlik protokollarını gözdən qaçıra bilirlər. Bir proqramçının və ya sistem administratorunun edəcəyi tək bir səhv klik, milyonlarla insanın məlumatını internetin ortasına buraxa bilir. Dow Jones hadisəsi də bu vəziyyətin dərsliklərə girəcək səviyyədə bir nümunəsidir. Milyonlarla dollarlıq təhlükəsizlik büdcələri, proqram təminatları, məsləhətçilər... Hamısı tək bir səhv konfiqurasiya ayarı qarşısında funksiyasını itirmiş kimi görünür.

Ələ Keçirilən Məlumatlar

Bəs, bu açıq buraxılan rəqəmsal seyfdə tam olaraq nə var idi? Siyahı xeyli uzundur və bir maliyyə nəşrləri nəhənginin müştəriləri nəzərə alındıqda, olduqca da dəyərlidir. UpGuard-ın hesabatına görə, sızdırılan məlumat bazası təxminən 2.2 ilə 4 milyon arasında abunəçiyə aid məlumatları ehtiva edirdi. Həmin məlumatlardan bəziləri:

• Şəxsi İdentifikasiya Məlumatları: Adlar, soyadlar, ev və iş ünvanları, e-poçt ünvanları və telefon nömrələri. Bu, fırıldaqçıların bir şəxsi hədəfə alması üçün lazım olan təməl cəbbəxananın özüdür.
• Abunəlik Detalları: Hansı nəşrə (Wall Street Journal, Barron's, MarketWatch və s.) abunə olduqları, abunəlik növləri və nə qədər ödədikləri kimi məlumatlar.
• Hesab Məlumatları: İstifadəçi adları və hesabla bağlı digər identifikasiya məlumatları. Ən narahatedici hissələrdən biri də, hesabatda qeyd edilməsə də, bu cür sızmalarda parolların da zəif qorunmuş (məsələn, MD5 kimi köhnə bir alqoritmlə heşlənmiş) olma ehtimalıdır.
• Qismən Maliyyə Məlumatları: Bəlkə də ən həssas olanı. Sızan məlumatlar arasında müştərilərin kredit kartlarının son dörd rəqəmi də var idi. Tam kart nömrəsi olmasa da, bu məlumat digər şəxsi məlumatlarla birləşdirildikdə son dərəcə güclü bir silaha çevrilə bilər. Fırıldaqçılar sizə zəng edib "Cənab Yılmaz, sonu 1234 ilə bitən kartınızla bağlı bir problem var" dedikdə, əldəki bu məlumat sayəsində daha inandırıcı olurlar.

Bu məlumatların bir araya gəlməsi sadə bir məlumat sızmasından daha çox məna kəsb edir. Bu, dünyanın ən nüfuzlu iş adamları, investorları və siyasətçilərindən bəzilərinin detallı bir profilini yaratmaq üçün istifadə edilə biləcək bir xəzinədir. Kimin hansı maliyyə xəbərlərini oxuduğu, harada yaşadığı, hansı e-poçt ünvanını istifadə etdiyi kimi məlumatlar, mürəkkəb fişinq (phishing) hücumları və hətta şantaj üçün belə istifadə edilə bilər. Bir CEO-nun ev ünvanının və telefon nömrəsinin, hansı maliyyə təhlillərinə maraq göstərdiyi məlumatı ilə birlikdə ortalığa səpilməsi, təsəvvür edə biləcəyinizdən daha böyük təhlükəsizlik riskləri yaradır.

Hücum Necə Baş Verdi

İşin texniki tərəfi əslində təəccüblü dərəcədə sadədir. Dow Jones, məlumat saxlamaq üçün Amazon-un S3 xidmətindən istifadə edirdi. S3-ü, internet üzərində yerləşən nəhəng bir rəqəmsal anbar kimi düşünə bilərsiniz. Bu anbarlara "kova" (bucket) adı verilir və hər bir kovanın giriş ayarları vardır. Standart olaraq bu kovalar özəldir, yəni yalnız səlahiyyətli şəxslərin girişinə açıqdır. Ancaq bir istifadəçi bu ayarı dəyişdirib kovanı "hər kəsə açıq" edə bilər. Fəlakətin başladığı yer də məhz burasıdır.

Görünən odur ki, Dow Jones-a aid ən azı bir S3 kovasının icazələri, kimlik doğrulaması tələb etməyəcək şəkildə ayarlanmışdı. Bu, kovanın URL-sini bilən və ya skan alətləri ilə kəşf edən hər kəsin içindəki fayllara baxa biləcəyi və endirə biləcəyi demək idi. Bu bir insan səhvi idi? Yəqin ki. Bir işçi, müvəqqəti bir fayl paylaşımı üçün ayarı dəyişdirib geri almağı unutmuş ola bilər. Və ya, avtomatik bir skript səhv konfiqurasiya edilmiş və təhlükəsizlik ayarlarını sıfırlamış ola bilər. Səbəb nə olursa olsun, nəticə dəyişmir: Milyonlarla insanın məlumatı kilidlənməmiş bir seyfdə buraxıldı.

Bu hadisə, bulud təhlükəsizliyindəki "paylaşılan məsuliyyət modelini" də bir daha gündəmə gətirir. Amazon kimi bulud provayderləri infrastrukturun təhlükəsizliyindən məsuldur. Yəni serverlərin fiziki təhlükəsizliyi, şəbəkə infrastrukturu onlara aiddir. Ancaq o infrastrukturun üzərinə qoyduğunuz məlumatların və tətbiqlərin təhlükəsizliyini konfiqurasiya etmək tamamilə müştərinin, yəni bu vəziyyətdə Dow Jones-un məsuliyyətidir. Dow Jones, Amazon-un təqdim etdiyi təhlükəsizlik vasitələrindən düzgün istifadə etməmiş və bu nəhəng sızmaya zəmin hazırlamışdır. Qısacası, günahı atacaq bir haker yoxdur. Güzgü var.

Kimlər Təsir Altındadır

Bu sızmanın qurbanları, Dow Jones-un nəşrlərinə pul ödəyən, onlara güvənən milyonlarla insandır. Siyahı olduqca genişdir:

• The Wall Street Journal Abunəçiləri: Dünyanın ən böyük iş və maliyyə qəzetlərindən birinin oxucuları. Bu kütlə, CEO-lardan, yüksək səviyyəli rəhbərlərdən, investorlardan və akademisyenlərdən ibarətdir. Yəni, şəxsiyyət oğurluğu və fişinq hücumları üçün olduqca dəyərli hədəflərdir.
• Barron's Abunəçiləri: Xüsusilə investorlara və bazar peşəkarlarına xitab edən başqa bir prestijli nəşr. Bu şəxslərin maliyyə aktivləri və bazar hərəkətlərinə olan maraqları, onları fırıldaqçılar üçün birincil hədəf halına gətirir.
• Digər Dow Jones Mülkləri: MarketWatch kimi populyar maliyyə xəbər saytlarının və ya Factiva kimi korporativ xidmətlərin istifadəçiləri də risk altında ola bilər. Sızmanın tam miqyası hələ dəqiqləşməsə də, Dow Jones çətiri altındakı hər hansı bir xidmətə üzv olan hər kəsin potensial olaraq təsirləndiyini fərz etmək ən təhlükəsiz yanaşma olardı.

Təsirlənənlər yalnız mövcud abunəçilər deyil. Şirkətlərin məlumat saxlama siyasətləri səbəbindən, keçmişdə abunəliyini ləğv etmiş milyonlarla insanın məlumatı da bu serverlərdə saxlanılır ola bilər. Yəni illər əvvəl WSJ abunəliyinizi bitirmiş olsanız belə, məlumatlarınız hələ də bu sızmanın bir parçası ola bilər. Bu vəziyyət, sızmanın potensial təsir sahəsini daha da genişləndirir.

Nə Edə Bilərsiniz

Əgər bir Dow Jones nəşrinə abunəsinizsə və ya keçmişdə abunə olmusunuzsa, indi təşvişə düşmək deyil, ağıllı hərəkət etmək zamanıdır. Budur sizə klişe olmayan, birbaşa bu sızmaya yönəlmiş bəzi addımlar:

1. Parollarınızı Prioritetləşdirin: "Bütün parollarınızı dəyişdirin" demək asandır, amma real deyil. Belə edin: Dow Jones hesablarınızda istifadə etdiyiniz parolu başqa bir yerdə, xüsusilə də e-poçt və ya bankçılıq kimi kritik xidmətlərdə istifadə edirsinizmi? Cavabınız bəlidirsə, əvvəlcə o kritik xidmətlərin parolunu dəyişdirin. Hücumçular, bu sızan parolları götürüb avtomatik olaraq digər platformalarda yoxlayırlar. Bu texnikanın adı 'credential stuffing'dir və son dərəcə təsirlidir. Dow Jones hesabınızın parolu ikinci prioritetiniz ola bilər.

2. Fişinq Hücumlarına Qarşı Paranoyak Olun: Qarşıdakı bir neçə ay, telefonunuza və e-poçtunuza gələcək mesajlara qarşı əlavə diqqətli olun. Fırıldaqçılar artıq sizin hansı nəşrə abunə olduğunuzu, ünvanınızı və kredit kartınızın son dörd rəqəmini bilirlər. "Hörmətli Əli Vural, sonu 4567 ilə bitən kartınızdan Wall Street Journal abunəliyiniz yenilənə bilmədi. Məlumatlarınızı yeniləmək üçün buraya klikləyin" kimi son dərəcə fərdiləşdirilmiş və inandırıcı saxta e-poçtlar alacaqsınız. Unutmayın: Dow Jones sizə heç vaxt bir e-poçtla parolunuzu və ya tam kredit kartı nömrənizi soruşmaz. Şübhələndiyiniz bir e-poçt alsanız, içindəki linkə klikləmək yerinə, brauzerinizi açıb birbaşa wsj.com və ya əlaqəli saytın ünvanını özünüz yazaraq hesabınıza daxil olun.

3. Kredit Kartı Çıxarışlarınızı və Bank Hesablarınızı İzləyin: Sızan məlumatlar arasında tam kredit kartı nömrəsi olmasa da, bu məlumatlar başqa mənbələrdən əldə edilən məlumatlarla birləşdirilərək fırıldaqçılıq üçün istifadə edilə bilər. Qarşıdakı aylarda kredit kartı çıxarışlarınızı sətir-sətir yoxlayın. Tanımadığınız kiçik bir xərc belə, kart məlumatlarınızın test edildiyinin bir işarəsi ola bilər. Dərhal bankınızla əlaqə saxlayın.

Şirkət Nə Deyir

Dow Jones-dan gələn ilk reaksiya, gözlənildiyi kimi korporativ bir dil ehtiva edirdi. Şirkət sözçüsü, UpGuard tərəfindən vəziyyətdən xəbərdar edildiklərini və sözügedən serverə girişin dərhal bağlandığını təsdiqlədi. Açıqlamada, "Müştərilərimizin məlumatlarının təhlükəsizliyi bizim üçün ən yüksək səviyyədə prioritetdir. Hadisəni araşdırmaq və təsirlənən müştəriləri məlumatlandırmaq üçün bir təhqiqat başlatdıq" deyildi.

Ancaq şirkət, sızmanın nə qədər müddətdir davam etdiyi və ya bu müddət ərzində kimlərin məlumatlara daxil olduğu kimi əsas sualları cavabsız buraxdı. Həmçinin, sızan məlumatların "tam kredit kartı nömrələri, sosial təminat nömrələri və ya digər həssas şəxsi kimlik məlumatlarını ehtiva etmədiyini" bildirərək vəziyyəti bir qədər yüngülləşdirməyə çalışdılar. Bu texniki olaraq doğru olsa da, sızan PII və qismən maliyyə məlumatlarının birləşməsinin nə qədər təhlükəli ola biləcəyi həqiqətini dəyişdirmir. Şirkətin yaxın günlərdə daha detallı bir açıqlama verməsi və təsirlənən istifadəçilərə birbaşa müraciət etməsi gözlənilir. Ancaq hələlik, müştərilərin öz təhlükəsizliklərini özlərinin təmin etməsi ən doğru yol kimi görünür.

Mənbə

https://www.upguard.com/breaches/cloud-leak-dow-jones