Nintendonun Məlumatları Üçüncü Tərəf Hücumu ilə Oğurlandı
Nintendo of America, BleepingComputer-a verdiyi açıqlamada, daxili sorğular üçün istifadə etdikləri üçüncü tərəf TinyPulse xidmətindən məlumatların oğurlandığını təsdiqləyib. Şirkət, öz sistemlərinin hücumdan təsirlənmədiyini vurğulayıb.
Nə Baş Verdi
Video oyun dünyasının nəhəngi Nintendo, bir kiber təhlükəsizlik hadisəsi ilə gündəmdədir. Ancaq bu dəfəki hadisə, tez-tez gördüyümüz növdən deyil. Nintendo of America, texnologiya və kiber təhlükəsizlik xəbər saytı BleepingComputer-a xüsusi bir açıqlama verərək, bir məlumat sızmasından təsirləndiyini təsdiqləyib. Hadisənin mərkəzində isə Nintendo-nun öz serverləri və ya şəbəkə infrastrukturu yoxdur. Problemin mənbəyi, şirkətin daxili əməliyyatlarında istifadə etdiyi üçüncü tərəf bir xidmət olan TinyPulse-dır.
TinyPulse, şirkətlərin işçi məmnuniyyətini və rəylərini ölçmək üçün istifadə etdiyi bir sorğu platformasıdır. Nintendo da, bir çox digər müasir şirkət kimi, işçilərinin nəbzini tutmaq və korporativ mədəniyyətini inkişaf etdirmək məqsədilə bu cür bir xidmətdən faydalanırdı. Məhz bu xidmət, bir kiberhücuma məruz qalıb və təcavüzkarlar platformada saxlanılan məlumatlara giriş əldə ediblər. Nintendo-nun açıqlamasına görə, bu məlumatlar arasında onlara aid sorğu məlumatları da var idi. Bu vəziyyət, müasir iş dünyasında getdikcə daha çox əhəmiyyət qazanan bir riski, yəni təchizat zənciri və ya üçüncü tərəf riskini bir daha gözlər önünə sərir. Bir şirkətin öz təhlükəsizlik divarları nə qədər möhkəm olursa olsun, əməkdaşlıq etdiyi və ya xidmət aldığı başqa bir şirkətin zəifliyi, dolayı yolla özünü də təsir edə bilər. Nintendo hadisəsi, bu zəncirin ən zəif halqasının bütün strukturu necə riskə ata biləcəyinin konkret bir nümunəsi olaraq qarşımızda durur.
Ələ Keçirilən Məlumatlar
Sızmanın ən kritik nöqtəsi, hansı məlumatların oğurlandığıdır. Nintendo-nun BleepingComputer-a verdiyi açıqlamaya görə, təcavüzkarların ələ keçirdiyi məlumatlar, TinyPulse platforması vasitəsilə toplanan "sorğu məlumatları" olaraq təyin edilir. Bu olduqca geniş bir tərifdir, lakin hadisənin təbiəti gərəyi məzmununu təxmin etmək mümkündür. TinyPulse kimi platformalar, adətən işçilərin iş yeri, rəhbərləri, şirkət siyasətləri və ümumi məmnuniyyət səviyyələri haqqındakı düşüncələrini toplayır. Bu sorğular çox vaxt anonim olaraq aparılır ki, işçilər özlərini daha rahat ifadə edə bilsinlər.
E-poçtunuz sızdırılıb? Pulsuz yoxlayın — saniyələr içində nəticə.
İndi Yoxla →Oğurlanan məlumatların tam olaraq hansı sorğulara aid olduğu və ya şəxsən müəyyən edilə bilən məlumatlar (PII - Personally Identifiable Information) ehtiva edib-etmədiyi barədə dəqiq bir açıqlama verilməyib. Ancaq bu cür sorğu məlumatları, ilk baxışda maliyyə məlumatları və ya müştəri məlumatları qədər təhlükəli görünməsə də, olduqca həssas ola bilər. Şirkətin daxili dinamikası, işçi morali, potensial idarəetmə problemləri, strateji planlara dair ipuçları kimi məlumatlar bu məlumatlardan çıxarıla bilər. Əgər məlumatlar anonim deyilsə və ya anonimliyi pozula biləcək meta məlumatlar ehtiva edirsə, müəyyən işçilərin fikirləri də açıqlana bilər. Bu vəziyyət həm şirkət daxili etimad mühitini zədələyə bilər, həm də bu məlumatlar rəqib firmalar və ya pis niyyətli aktorlar tərəfindən istifadə edilə bilər. Nintendo, oğurlanan məlumatların xarakteri haqqında daha çox detal verməkdən çəkindi, bu səbəbdən təsirlənən işçi sayı və ya məlumat dəstinin həcmi kimi mövzularda qeyri-müəyyənlik davam edir.
Hücum Necə Baş Verdi
Gələk hadisənin texniki tərəfinə. Hücum birbaşa Nintendo-ya yönəlməmişdi. Hədəf, TinyPulse xidmətini təqdim edən və bir WebMD törəmə şirkəti olan şirkət idi. BleepingComputer-ın xəbərinə görə, hücum TinyPulse sistemlərinə edilib və Nintendo bu vəziyyətdən dolayı yolla təsirlənib. Hücumun tam olaraq necə baş verdiyi, hansı təhlükəsizlik zəifliyindən istifadə edildiyi və ya təcavüzkarların sistemə nə qədər müddətə giriş əldə etdiyi kimi texniki detallar hələ ictimaiyyətlə paylaşılmayıb.
Adətən bu cür üçüncü tərəf hücumları, yanlış konfiqurasiya edilmiş bulud serverləri, proqram təminatındakı sıfır gün (zero-day) boşluqları, zəif autentifikasiya mexanizmləri və ya fişinq (phishing) hücumları vasitəsilə səlahiyyətli bir işçinin etimadnamələrinin ələ keçirilməsi kimi üsullarla həyata keçirilir. Ancaq Nintendo və ya TinyPulse-ı idarə edən şirkət tərəfindən bu mövzuda spesifik bir açıqlama verilmədiyi üçün, mövcud hücumun vektoru haqqında şərh etmək spekulyasiyadan kənara çıxmayacaq. Bilinən tək şey, təcavüzkarların TinyPulse-ın müdafiə xətlərini aşaraq müştəri məlumatlarına, bu çərçivədə də Nintendo-nun sorğu məlumatlarına çatmağı bacardığıdır. Bu hadisə, bir xidmət təminatçısının təhlükəsizliyinin, o xidməti istifadə edən bütün müştərilərin təhlükəsizliyi demək olduğunu acı bir şəkildə xatırladır.
Kimlər Təsirləndi
Bu sızmadan birbaşa təsirlənənlər, Nintendo of America işçiləridir. Şirkət daxili məmnuniyyət və rəy sorğularına qatılan personalın təqdim etdiyi məlumatlar artıq üçüncü şəxslərin əlindədir. Məlumatların anonim olub-olmaması, təsirin miqyasını müəyyən edəcək ən vacib amildir. Əgər məlumatlar şəxsi məlumatlarla əlaqələndirilə biləcək bir quruluşdadırsa, bu sorğulara qatılan işçilər potensial olaraq risk altında ola bilər.
Dolayı yolla təsirlənən isə Nintendo-nun özüdür. Hər nə qədər şirkət, öz sistemlərinin təhlükəsiz olduğunu və əsas əməliyyatlarının təsirlənmədiyini vurğulasa da, bir məlumat sızmasında adının keçməsi marka nüfuzu baxımından mənfidir. Müştərilər və iş ortaqları nəzdində etibarlılıq sorğulana bilər. Oyunçular və ya Nintendo konsolu sahibləri isə bu hadisədən birbaşa təsirlənmir. Oğurlanan məlumatlar, oyunçu hesabları, kredit kartı məlumatları və ya oyun qeydləri kimi müştəri məlumatlarını ehtiva etmir. Sızma, tamamilə şirkətin daxili əməliyyatları ilə bağlı bir vəziyyəti əhatə edir. Bu səbəbdən, bir Switch istifadəçisisinizsə, narahat olmağınızı tələb edəcək bir vəziyyət hələlik yoxdur.
Nə Edə Bilərsiniz
Bu cür bir hadisədə edilə biləcəklər, kim olduğunuza görə dəyişir. Hadisənin təbiəti gərəyi, yəni oğurlanan məlumatların işçi sorğuları olması səbəbiylə, ümumi Nintendo müştəriləri üçün təcili bir tədbirə ehtiyac yoxdur.
- Nintendo Oyunçuları Üçün: Bu sızma, oyunçu hesablarınızı və ya şəxsi məlumatlarınızı təsir etmir. Yenə də, hər zaman yaxşı bir vətəndaş kiber təhlükəsizlik vərdişi olaraq, Nintendo hesabınızda iki faktorlu autentifikasiyanı (2FA) aktivləşdirmək yaxşı bir fikirdir. Bu, hesabınızı gələcəkdəki mümkün və əlaqəsiz hücumlara qarşı daha təhlükəsiz saxlayar.
- Nintendo İşçiləri Üçün: Əgər bir Nintendo işçisisinizsə və bu sorğulara qatılmısınızsa, diqqətli olmağınızda fayda var. Şirkətinizin İnsan Resursları və ya Təhlükəsizlik departamentindən gələcək rəsmi elanları izləyin. Hər nə qədər məlumatların şəxsi məlumatlar ehtiva edib-etmədiyi dəqiq olmasa da, gələ biləcək şübhəli e-poçtlara və ya mesajlara qarşı ayıq-sayıq olun. Təcavüzkarlar, ələ keçirdikləri daxili məlumatları istifadə edərək daha inandırıcı hədəfli fişinq (spear phishing) hücumları təşkil edə bilərlər.
- Digər Şirkətlər Üçün: Bu hadisə, bütün şirkətlər üçün vacib bir dərsdir. Əgər şirkətinizdə üçüncü tərəf proqram təminatı və ya xidmətlərdən istifadə edirsinizsə, bu iş ortaqlarınızın təhlükəsizlik standartlarını nəzərdən keçirin. Onlarla bağladığınız müqavilələrin məlumat təhlükəsizliyi və sızma halında bildiriş məsuliyyətlərini əhatə etdiyindən əmin olun. Təchizat zəncirinizdəki ən zəif halqanın sizin təhlükəsizliyiniz olduğunu unutmayın.
Şirkət Nə Deyir
Hadisənin ortaya çıxmasından sonra Nintendo of America, proaktiv bir yanaşma sərgiləyərək BleepingComputer-a bir açıqlama verdi. Bu açıqlama, vəziyyəti aydınlaşdırmaq və narahatlıqları aradan qaldırmaq üçün olduqca vacib idi. Şirkət sözçüsünün verdiyi açıqlamada iki əsas məqam önə çıxır.
Birincisi, Nintendo, məlumat sızmasının üçüncü tərəf xidmət təminatçısı olan TinyPulse-da baş verdiyini və bu sızma nəticəsində öz sorğu məlumatlarının oğurlandığını qəti bir dillə təsdiqlədi. Bu, şəffaflıq adına atılmış müsbət bir addımdır. Problemi inkar etmək və ya gizlətməyə çalışmaq əvəzinə vəziyyəti qəbul etdilər.
İkinci və bəlkə də ən vacib məqam isə, Nintendo-nun öz sistemlərinin bu hücumdan təsirlənmədiyini vurğulaması idi. Açıqlamada, "Nintendo-nun şəbəkələri və ya sistemləri bu hadisədən təsirlənməmişdir" ifadəsi aydın bir şəkildə istifadə edildi. Bu, sızmanın Nintendo-nun öz təhlükəsizlik infrastrukturundakı bir zəiflikdən qaynaqlanmadığını, tamamilə xarici bir tərəfdaşın sistemlərindəki bir problemdən qaynaqlandığını bildirmək üçün edilmiş bir vurğudur. Şirkət, bu sayədə həm öz müştərilərinin, həm də investorlarının narahatlıqlarını aradan qaldırmağı və hadisənin öz əsas əməliyyatları üçün bir təhdid yaratmadığı mesajını verməyi hədəfləyir. İndiyə qədər TinyPulse və ya onun ana şirkəti WebMD-dən məsələ ilə bağlı ictimaiyyətə açıqlama verilməyib.