Təhlükəsizlik Şirkəti APIsec Müştəri Məlumatlarını Sızdırdı

Nə Baş Verdi

Kibertəhlükəsizlik dünyasında ironiya heç vaxt əskik olmur, amma bu dəfəki, sanki, bir dərs kimidir. Öz müştərilərini qorumaqla vəzifəli bir təhlükəsizlik şirkətinin, ən təməl təhlükəsizlik qaydalarından birini pozaraq öz müştərilərinin məlumatlarını internetin ortasında müdafiəsiz buraxması... Bəli, tam olaraq bu baş verib. Təhlükəsizlik araşdırma firması UpGuard, 1 iyun 2026-cı ildə yayımladığı bir hesabatla, API təhlükəsizliyi həlləri təqdim edən APIsec.ai-yə aid, hər kəsə açıq bir Elasticsearch verilənlər bazası tapdığını elan etdi. Bu, elə-belə adi bir verilənlər bazası deyil. İçərisində, APIsec-in müştərilərinə aid ola biləcək xeyli həssas məlumat saxlanılırdı.

Hekayə əslində olduqca tanışdır. Bir şirkət, məlumat analizi və ya qeydlərin (log) saxlanması üçün güclü bir vasitə olan Elasticsearch-ü quraşdırır. Sürətlə işə salınır, bəlkə bir proqramçı test üçün qurub, kim bilir. Amma o tələsiklikdə ən vacib addım unudulur: şifrə qoymaq. Nəticə? Milyonlarla dollarlıq şirkətlərin ən məhrəm texniki məlumatlarını ehtiva edən nəhəng bir məlumat yığını, internetə qoşulu olan və doğru ünvanı bilən hər kəsin ixtiyarına verilir. UpGuard-ın kiberrisk qrupu da məhz bunu etdi. İnterneti müntəzəm olaraq bu cür açıq və müdafiəsiz sistemlər üçün skan edərkən, APIsec.ai-yə aid bu serverlə qarşılaşdılar. UpGuard, vəziyyəti fərq edən kimi APIsec ilə əlaqə saxladı və xoşbəxtlikdən verilənlər bazası qısa müddətdə bağlanaraq təhlükəsizliyi təmin edildi. Bəs o verilənlər bazası nə qədər müddət açıq qaldı? Kimlər daxil oldu? Bax bu suallar indi həm APIsec-in, həm də müştərilərinin beynini məşğul edir.

Bu hadisə, "dərzi öz söküyünü tikə bilməz" atalar sözünün kibertəhlükəsizlikdəki ən bariz nümunələrindən biridir. APIsec.ai, veb-saytında dünyanın ən böyük şirkətlərinin 80%-nə xidmət göstərdiyini qürurla bəyan edən bir firmadır. API-lərin (Tətbiq Proqramlaşdırma İnterfeysləri) təhlükəsizliyi kimi son dərəcə xüsusi və texniki bir sahədə ixtisaslaşıblar. Yəni işləri, rəqəmsal dünyanın qapı və pəncərələri olan API-ləri qorumaqdır. Öz evlərinin qapısını taybatay açıq unutmaları, bütün sektor üçün ciddi bir etibarlılıq sualını da gündəmə gətirir.

Ələ Keçirilən Məlumatlar

Bəs, bu taybatay açıq buraxılmış rəqəmsal qapının arxasında nə vardı? UpGuard-ın hesabatına görə, sızdırılan məlumatlar bir hakerin xəyallarını bəzəyəcək növdəndir. Verilənlər bazası, APIsec-in öz əməliyyatları və müştəri əlaqələri ilə bağlı zəngin bir məlumat dəstini ehtiva edirdi. Bunları siyahı şəklində sıralamaq, vəziyyətin ciddiliyini daha yaxşı anlamağımıza kömək edə bilər:

• Müştəri Məlumatları: Şirkət adları, işçilərin e-poçt ünvanları, istifadəçi adları və əlaqə məlumatları. Bu məlumatlar, birbaşa hədəfli fişinq (spear-phishing) hücumları üçün əla fürsətdir.
• API Açar və Tokenlər: Bəlkə də ən təhlükəlisi budur. API açarları, fərqli sistemlərin bir-biri ilə danışmasını təmin edən rəqəmsal açarlardır. Əgər bu açarlar APIsec müştərilərinə aiddirsə, bir təcavüzkar bu açarlardan istifadə edərək o şirkətlərin sistemlərinə birbaşa, səlahiyyətli bir istifadəçi kimi daxil ola bilər. Bu, bir bankın əsas seyfinin açarını oğurlamaq kimidir.
• Daxili Sistem Qeydləri: Server IP ünvanları, istifadəçilərin hansı brauzerlərdən istifadə etdiyinə dair məlumatlar (user-agent strings), sistem xəta mesajları və digər texniki qeydlər. Bu məlumatlar, bir şirkətin daxili şəbəkəsinin xəritəsini çıxarmaq, zəif nöqtələrini müəyyən etmək və daha mürəkkəb hücumlar planlaşdırmaq üçün istifadə edilə bilər.
• Təhlükəsizlik Skan Nəticələri (Potensial): UpGuard-ın hesabatı bu mövzuda dəqiq bir detal verməsə də, APIsec kimi bir şirkətin müştəriləri üçün apardığı təhlükəsizlik skanlarının nəticələrini və ya xam məlumatlarını bu cür bir verilənlər bazasında saxlaması çox güman edilir. Əgər bu doğrudursa, bu sızıntı, təsirlənən şirkətlərin bütün təhlükəsizlik boşluqlarının bir siyahısını təcavüzkarlara təqdim etmiş deməkdir. Bu, bir oğruya hansı evdə siqnalizasiya olmadığını və hansı pəncərənin sınıq olduğunu göstərən bir siyahı verməyə bərabərdir.

Bu məlumatların bir araya gəlməsi, zəncirvari bir fəlakət potensialı daşıyır. Bir təcavüzkar, ələ keçirdiyi e-poçt ünvanları ilə fişinq hücumu edib bir işçinin şifrəsini oğurlaya bilər. Oğurladığı şifrə ilə sistemə daxil olub, sızan API açarlarından istifadə edərək başqa sistemlərə keçə bilər. Və bütün bunları edərkən, sızan sistem qeydlərindən əldə etdiyi məlumatlarla arxasında daha az iz buraxa bilər. Bir sözlə, bu sadəcə bir məlumat sızıntısı deyil; bu, onlarla böyük şirkətə qarşı potensial bir kiberhücum başlanğıc dəstidir.

Hücum Necə Həyata Keçirildi

Bu sızıntının arxasında mürəkkəb bir haker əməliyyatı, aylarla davam edən bir planlama və ya dövlət dəstəkli bir kiberordu yoxdur. Əksinə, hadisə utancverici dərəcədə sadə bir səhvdən qaynaqlanır. UpGuard-ın hesabatı, sızıntının mənbəyinin, şifrə qoruması olmadan internetə açıq buraxılmış bir Elasticsearch verilənlər bazası olduğunu bildirir.

Bəs bu nə deməkdir? Elasticsearch, böyük miqdarda məlumatı çox sürətli bir şəkildə axtarmaq və analiz etmək üçün istifadə olunan populyar bir açıq mənbəli verilənlər bazası texnologiyasıdır. Şirkətlər bunu adətən tətbiq qeydlərini, istifadəçi hərəkətlərini və ya sistem ölçülərini toplamaq üçün istifadə edir. Güclü bir vasitədir, lakin eyni zamanda düzgün konfiqurasiya edilməzsə böyük bir riskdir. Defolt parametrləri ilə qurulduqda, adətən heç bir autentifikasiya mexanizmi olmadan işləyir. Yəni, serverin IP ünvanını bilən hər kəs, içindəki bütün məlumatlara tam giriş əldə edə bilər. Eynilə qapısında kilid olmayan bir anbar kimi.

Təcavüzkarların və ya tədqiqatçıların bu cür açıq verilənlər bazalarını tapması da çətin deyil. Shodan və ya Censys kimi, internetə qoşulmuş bütün cihazları (serverlər, kameralar, soyuducular, ağlınıza nə gəlirsə) skan edən xüsusi axtarış sistemləri var. Bu axtarış sistemlərinə daxil olub "qorunmasız Elasticsearch serverləri" kimi bir axtarış etmək, dünya miqyasında minlərlə müdafiəsiz sistemi saniyələr içində siyahılayır. Çox güman ki, APIsec-in serveri də bu şəkildə aşkar edilib. Kimsə ya qəsdən belə bir server axtarırdı, ya da UpGuard kimi xoşniyyətli bir araşdırma qrupu rutin skanları zamanı bu vəziyyətə rast gəldi.

Yəni qısacası, hücum bir "hücum" belə sayılmaz. Bu, daha çox, dəyərli əşyalarla dolu bir çantanı parkın ortasındakı bir skamyada unudub getməyə bənzəyir. Çantanı ilk kimin tapacağı isə tamamilə şans məsələsidir. UpGuard-ın tapması, bu ssenaridəki ən yaxşı ehtimaldır.

Kimlər Təsirləndi

Bu sızıntının birincili qurbanı, şübhəsiz ki, APIsec.ai-nin özüdür. Bir təhlükəsizlik şirkətinin yaşaya biləcəyi ən böyük nüfuz böhranlarından biri ilə üz-üzədirlər. Müştərilərinə təhlükəsizlik satarkən öz məlumatlarını qoruya bilməmələri, bağışlanması çətin bir səhvdir. Ancaq əsas böyük risk altında olanlar, APIsec-in müştəriləridir.

APIsec, veb-saytında "Fortune 100 şirkətlərinin 80%-i tərəfindən istifadə olunur" iddiasında bulunur. Bu iddia doğrudursa, sızıntının potensial təsir sahəsi nəhəngdir. Bu şirkətlər arasında kimlər ola bilər? Maliyyə nəhəngləri, texnologiya devləri, səhiyyə təminatçıları, pərakəndə satış şəbəkələri... Bir sözlə, qlobal iqtisadiyyatın onurğa sütununu təşkil edən qurumlar. Bu şirkətlərin adları hesabatda bir-bir açıqlanmasa da, sızan məlumatlarda müştəri siyahılarının olması, kimlərin təsirləndiyini aydın şəkildə ortaya qoya bilər.

Təsirlənənlər təkcə bu böyük şirkətlər deyil. Zəncirvari təsiri düşünün. Bu böyük şirkətlərin xidmət göstərdiyi milyonlarla son istifadəçi də dolayısı ilə risk altındadır. Əgər bir bankın API açarları sızdırılıbsa, o bankın müştərilərinin məlumatları da təhlükəyə girə bilər. Əgər bir e-ticarət nəhənginin sistemlərinə sızılarsa, milyonlarla istifadəçinin kredit kartı məlumatları risk altına girə bilər. Bu səbəbdən, sızıntının dalğa-dalğa yayılan təsirləri, ilk baxışda görünəndən çox daha geniş ola bilər.

Nə Edə Bilərsiniz

Bu məqamda klassik tövsiyələr vermək mənasızdır. "Şifrənizi dəyişin" demək, okeandakı bir yanğını bir stəkan su ilə söndürməyə çalışmaq kimidir. Vəziyyət daha spesifik və ciddi addımlar tələb edir. Əgər bu xəbər sizi maraqlandırırsa, etməli olduğunuz şeylər bunlardır:

Əgər bir APIsec.ai müştərisisinizsə (və ya olduğunuzdan şübhələnirsinizsə):

• Dərhal Hərəkətə Keçin: Vaxt itirməyin. APIsec ilə olan bütün inteqrasiyalarınızı və onlarla paylaşdığınız bütün məlumatları bir anlıq "sızdırılmış" olaraq qəbul edin. Bu bir fərziyyə deyil, bir təcili yardım planının başlanğıcıdır.
• Bütün API Açarını Dəyişin: APIsec sistemləri ilə əlaqədə olan və ya APIsec-ə giriş icazəsi verdiyiniz bütün API açarlarını, tokenləri və digər kimlik məlumatlarını dərhal ləğv edin və yeniləri ilə əvəz edin. Bu, evinizin açarı oğurlandıqda kilidi dəyişdirməklə eyni şeydir.
• Rəsmi Açıqlama Tələb Edin: APIsec-dəki aidiyyəti şəxslərlə əlaqə saxlayın və şirkətinizin bu sızıntıdan necə təsirləndiyinə dair aydın, yazılı bir hesabat istəyin. Hansı məlumatlarınızın sızdırıldığını, verilənlər bazasının nə qədər müddət açıq qaldığını və kimlərin daxil ola biləcəyinə dair əllərindəki məlumatları tələb edin.
• Daxili Yoxlama Başladın: Öz sistemlərinizdə, APIsec ilə əlaqəli nöqtələrdə hər hansı bir şübhəli fəaliyyətin olub olmadığını yoxlamaq üçün təcili bir yoxlama başladın. Anormal API zəngləri, icazəsiz giriş cəhdləri və ya gözlənilməz məlumat ötürülmələrinin olub olmadığını araşdırın.

Əgər bir kibertəhlükəsizlik mütəxəssisi və ya İT menecerisinizsə:

• Bu Hadisəni Bir Dərs Kimi İstifadə Edin: Bu sızıntı, üçüncü tərəf risk idarəçiliyinin nə qədər həyati olduğunu bir daha göstərir. Xidmət aldığınız bütün təchizatçıların (xüsusilə təhlükəsizlik təchizatçılarının) təhlükəsizlik siyasətlərini və tətbiqlərini yenidən nəzərdən keçirin. Onlara bu sualı verin: "Bizim məlumatlarımızı necə qoruyursunuz?"
• Öz Aktivlərinizi Skan Edin: Öz bulud infrastrukturunuzda və ya şirkət şəbəkənizdə bu cür qorunmasız verilənlər bazaları, açıq saxlama sahələri (S3 bucket'ları kimi) və ya yanlış konfiqurasiya edilmiş serverlərin olub olmadığını yoxlamaq üçün müntəzəm skanlar aparın. Bəzən ən böyük təhlükə xaricdən deyil, daxildəki sadə bir səhvdən gəlir.

Şirkət Nə Deyir

Xəbərin mənbəyi olan UpGuard-ın hesabatına görə, APIsec.ai, sızıntı onlara bildirildikdən sonra əməkdaşlıq edib və sözügedən verilənlər bazasını sürətlə təhlükəsiz vəziyyətə gətirib. Bu, böhran anında atılması lazım olan doğru bir ilk addımdır. Ancaq, xəbərin yazıldığı vaxt etibarilə, APIsec.ai-dən ictimaiyyətə yönəlmiş əhatəli bir rəsmi açıqlama və ya bir bloq yazısı hələ yayımlanmayıb.

Şirkətin veb-saytı və sosial media hesablarında hələlik bir səssizlik hökm sürür. Adətən bu cür vəziyyətlərdə şirkətlər, hadisənin miqyasını tam anlamaq, hüquqi öhdəliklərini müəyyən etmək və müştəriləri ilə birbaşa əlaqə saxlamaq üçün bir daxili araşdırma aparırlar. Bu müddətdə ictimaiyyətə dərhal açıqlama verməkdən çəkinə bilərlər. Ancaq, xüsusilə Fortune 100 şirkətlərinin 80%-nə xidmət göstərdiyini iddia edən bir firma üçün bu səssizlik, təsirlənən müştərilər arasındakı qeyri-müəyyənliyi və narahatlığı artıra bilər. Qarşıdakı günlərdə və ya saatlarda APIsec-dən ətraflı bir açıqlama, bir üzrxahlıq və müştərilərinin zərərlərini minimuma endirmək üçün atacaqları addımları ehtiva edən bir yol xəritəsi təqdim etmələri gözlənilir. Bu açıqlama gəldikdə, sızıntının həqiqi miqyası və təsirləri haqqında daha aydın bir mənzərəyə sahib olacağıq.

Mənbə

https://www.upguard.com/breaches/data-leak-apisec