Maine Sahte İhbarlar Yüzünden Veri İhlali Portalını Kapattı

Ne Oldu

Siber güvenlik dünyasında işler bazen tuhaf bir hal alabiliyor. Bir sorunu çözmek için attığınız adım, başka bir sorunun fitilini ateşleyebiliyor. İşte Maine eyaletinde yaşananlar tam olarak bu durumun bir özeti. Maine Başsavcılığı, vatandaşların büyük bir veri sızıntısından etkilenip etkilenmediklerini kontrol etmeleri için kurduğu çevrimiçi portalı askıya almak zorunda kaldı. Sebep ise oldukça ironik: Portalın, kimliği belirsiz kişiler tarafından kasıtlı olarak sahte veri ihlali bildirimleriyle doldurulması.

Olayın temelinde, geçtiğimiz yıl yaşanan ve yaklaşık 1.3 milyon Maine sakinini etkileyen büyük bir veri ihlali yatıyor. Bu ihlal, eyalet hükümetinin sistemlerini hedef almıştı. Yetkililer, bu devasa sızıntının ardından vatandaşlara yardımcı olmak ve şeffaflık sağlamak amacıyla bir veri ihlali bildirim portalı kurdu. Bu portal, teoride harika bir fikirdi. Vatandaşlar, kişisel bilgilerini girerek hangi verilerinin sızdırıldığını öğrenebilecek ve gerekli önlemleri alabilecekti. Ancak işler planlandığı gibi gitmedi.

Kimliği belirsiz aktörler, bu iyi niyetli sistemi hedef aldı. Portala, gerçekte var olmayan şirketler adına sahte veri ihlali bildirimleri göndermeye başladılar. Daha da kötüsü, bu sahte bildirimlerde, 2023'teki büyük sızıntıda ele geçirilen gerçek Maine vatandaşlarının kişisel bilgilerini kullandılar. Yani, bir Maine vatandaşı portala girip bilgilerini sorguladığında, hiç duymadığı bir şirketten gelen ve aslında yaşanmamış bir veri ihlaliyle ilgili bir bildirimle karşılaşıyordu. Bu durum, doğal olarak büyük bir kafa karışıklığına ve paniğe yol açtı. İnsanlar, zaten bir kez çalınan verilerinin şimdi başka yerlerden de mi sızdırıldığını düşünmeye başladı.

Maine Başsavcılığı, bu kasıtlı dezenformasyon kampanyası karşısında radikal bir karar alarak portalı tamamen devre dışı bıraktı. Yapılan açıklamada, portalın "yanlış ve kafa karıştırıcı bilgilerle" doldurulduğu ve bu durumun vatandaşları korumak yerine onlara daha fazla zarar vermeye başladığı belirtildi. Portalın kapatılması, bir yandan sahte bildirimlerin yayılmasını engellerken, diğer yandan da sızıntıdan etkilenen milyonlarca insanın bilgiye erişim kanalını ortadan kaldırmış oldu.

Ele Geçirilen Veriler

Burada net olmakta fayda var: Portalın devre dışı bırakılmasına neden olan bu yeni olayda, yeni bir veri sızıntısı yaşanmadı. Sorun, daha önce, yani 2023'teki büyük ihlalde zaten çalınmış olan verilerin kötüye kullanılmasıydı. Dolayısıyla, risk altında olan veriler, o ilk sızıntıda ele geçirilenlerle aynı.

Peki o sızıntıda hangi veriler ifşa olmuştu? Liste oldukça uzun ve hassas bilgiler içeriyor. Etkilenen 1.3 milyon Maine sakininin aşağıdaki gibi kritik bilgileri siber suçluların eline geçmişti:

• Sosyal Güvenlik Numaraları (SSN): Bu, belki de en kritik veri türü. SSN, bir kişinin kimliğini doğrulamak için kullanılan temel bir bilgidir ve dolandırıcılık faaliyetlerinde, sahte kredi başvurularında veya yasa dışı işe girme girişimlerinde kullanılabilir.
• Sürücü Belgesi veya Eyalet Kimlik Numaraları: Bu numaralar da kimlik hırsızlığında kilit rol oynar. Sahte kimlikler oluşturmak, trafik cezalarını sizin adınıza yazdırmak ve hatta yasal işlemlerde sizin kimliğinizi kullanmak için kullanılabilirler.
• Doğum Tarihleri: Diğer kişisel bilgilerle birleştirildiğinde, doğum tarihi bir kişinin kimliğini doğrulamak veya güvenlik sorularını yanıtlamak için sıkça kullanılır.
• Vergi Kimlik Numaraları: Bu bilgi, sahte vergi iadeleri başvurusunda bulunmak gibi ciddi mali dolandırıcılıklara kapı aralar.
• Tıbbi Bilgiler ve Sağlık Sigortası Bilgileri: Bu tür veriler, son derece özeldir. Dolandırıcılar bu bilgileri kullanarak sizin adınıza tıbbi hizmetler alabilir, sahte sigorta taleplerinde bulunabilir veya size tıbbi şantaj yapabilirler.

Sahte bildirimlerde bu verilerin kullanılması, kurbanlar için çifte darbe anlamına geliyor. Zaten verilerinin çalınmasının stresiyle yaşayan insanlar, şimdi bir de bu verilerin kendilerine karşı bir dezenformasyon silahı olarak kullanıldığını görüyorlar.

Saldırı Nasıl Gerçekleşti

Bu olayı klasik bir siber saldırı olarak düşünmemek gerek. Burada karmaşık bir kod veya exploit kullanılmadı. Saldırganlar, sistemin bir açığını değil, mantığını ve amacını istismar ettiler. Teknik ayrıntılar tam olarak açıklanmamış olsa da, olayın işleyişi kaynak haberdeki bilgilere göre şöyle özetlenebilir:

Saldırganlar, öncelikle 2023'teki büyük Maine sızıntısından elde ettikleri veri tabanına sahiptiler. Bu veri tabanı, 1.3 milyon kişinin hassas bilgilerini içeriyordu. Ardından, Maine Başsavcılığı'nın kurduğu veri ihlali bildirim portalının nasıl çalıştığını analiz ettiler. Portal, muhtemelen şirketlerin veya kurumların yasal bir zorunluluk olarak veri ihlallerini bildirmesine olanak tanıyordu. Saldırganlar, bu sisteme girip, gerçekte var olmayan veya olayla hiçbir ilgisi olmayan şirketler adına sahte bildirimler oluşturdular. Örneğin, "X Market" adında hayali bir şirket adına "Müşteri verilerimiz sızdırıldı" şeklinde bir bildirim girdiler. En can alıcı nokta ise, bu sahte bildirimin "etkilenen kişiler" listesine, ellerindeki gerçek Maine vatandaşlarının isim, SSN gibi bilgilerini eklemeleriydi. Bu sayede sistem, bu sahte bildirimi gerçek bir olay gibi işledi ve ilgili kişilere uyarı gönderdi.

Bu bir nevi psikolojik bir operasyon. Amaç, sisteme olan güveni sarsmak, yetkililerin kaynaklarını boşa harcatmak ve en önemlisi, zaten mağdur olan vatandaşlar arasında korku ve panik yaymaktır. Bir vatandaş olarak, verilerinizin çalındığını zaten biliyorsunuz. Ama bir de üzerine, adını hiç duymadığınız onlarca farklı yerden sürekli yeni ihlal bildirimleri aldığınızı düşünün. Bu, durumu yönetmeyi imkansız hale getirir ve büyük bir güvensizlik ortamı yaratır.

Etkilenenler Kim

Bu olayın etkilediği kitleyi birkaç gruba ayırabiliriz:

1. Maine Vatandaşları: Ana mağdurlar, 2023'teki sızıntıdan etkilenen 1.3 milyon Maine sakini. Bu insanlar, zaten verilerinin çalınmasıyla uğraşırken şimdi bir de sahte bildirimlerin yarattığı kafa karışıklığı ve anksiyete ile başa çıkmak zorundalar. Portala olan güvenlerini yitirdiler ve hangi bilginin doğru, hangisinin yanlış olduğunu ayırt edemez hale geldiler.

2. Maine Başsavcılığı ve Eyalet Yetkilileri: Bu kurumlar da mağdur durumunda. İyi niyetle kurdukları bir yardım mekanizması, kendilerine karşı bir silaha dönüştü. Portalın yönetimi, sahte bildirimlerin incelenmesi ve şimdi de sistemin kapatılıp yeniden yapılandırılması gibi konular, ciddi bir kaynak ve zaman israfına yol açıyor. Ayrıca, bu olay kurumun kamuoyu nezdindeki itibarını da zedeliyor.

3. Genel Kamuoyu: Bu tür olaylar, genel olarak insanların resmi kurumlara ve dijital hizmetlere olan güvenini azaltır. Vatandaşlar, devlet tarafından sunulan siber güvenlik araçlarının bile güvenli olup olmadığını sorgulamaya başlar. Bu güvensizlik, gelecekteki gerçek veri ihlallerinde halkın yetkililerle iş birliği yapmasını zorlaştırabilir.

Ne Yapabilirsin

Eğer Maine'de yaşıyorsanız ve bu durumdan etkilendiyseniz, panik yapmadan atabileceğiniz bazı adımlar var. Portal artık çalışmadığı için bilgi alabileceğiniz kanallar kısıtlı, ancak yine de kendinizi korumak için yapabilecekleriniz mevcut.

• Resmi Kanalları Takip Edin: Maine Başsavcılığı'nın resmi web sitesi ve basın açıklamaları, en güvenilir bilgi kaynağınızdır. Sosyal medyada veya şüpheli e-postalarda gördüğünüz bilgilere itibar etmeyin. Yetkililer, portal yerine geçecek yeni bir çözüm veya bilgilendirme yöntemi duyurana kadar sabırlı olun.
• Kredi Raporlarınızı Dondurun: Verilerinizin çalındığından eminseniz, Experian, TransUnion ve Equifax gibi üç büyük kredi bürosuyla da iletişime geçerek kredi raporlarınızı dondurmak en etkili önlemdir. Bu, sizin izniniz olmadan adınıza yeni kredi veya kart başvurusunda bulunulmasını engeller.
• Şüpheli Bildirimlere İnanmayın: Portal kapatılmadan önce size ulaşan ve adını hiç duymadığınız şirketlerden gelen bir ihlal bildirimi aldıysanız, bunu şimdilik yok sayın. Bu büyük ihtimalle sahte bildirim kampanyasının bir parçasıydı.
• Hesaplarınızı Gözlemleyin: Banka hesaplarınızı, kredi kartı ekstrelerinizi ve diğer finansal hesaplarınızı düzenli olarak kontrol edin. Tanımadığınız herhangi bir işlem gördüğünüzde derhal ilgili kurumla iletişime geçin.
• Üçüncü Parti Araçları Kullanın: Resmi portal kapalıyken, e-posta adresinizin veya telefon numaranızın başka sızıntılarda yer alıp almadığını kontrol etmek için güvenilir platformlardan faydalanabilirsiniz. Örneğin, bir Veri Sizintisi Sorgulama hizmeti kullanarak hangi sızıntılarda yer aldığınızı öğrenebilirsiniz. Bu, genel dijital hijyeniniz için de iyi bir adımdır.

Sirket Ne Diyor

Bu olayda "şirket" yerine "devlet kurumu" demek daha doğru olur. Maine Başsavcısı Aaron Frey'in ofisi, konuyla ilgili bir açıklama yaptı. Açıklama oldukça net ve durumu özetler nitelikteydi. Başsavcılık, portalın "kimliği belirsiz kişiler tarafından kasıtlı olarak yanlış ve yanıltıcı bilgilerle hedef alındığını" doğruladı. Bu eylemin, "vatandaşlar arasında kafa karışıklığı ve korku yaratma amacı taşıdığı" belirtildi.

Açıklamada, portalın geçici olarak devre dışı bırakılmasının sebebinin, halkı bu yanlış bilgilendirmeden korumak olduğu vurgulandı. Yetkililer, portalı yeniden güvenli ve güvenilir hale getirmek için çalıştıklarını ifade ettiler. Planları, bildirim göndermek isteyen kuruluşlar için bir doğrulama süreci eklemek. Bu sayede, sadece kimliği doğrulanmış, meşru şirketlerin ve kurumların sisteme veri ihlali bildirimi gönderebilmesi hedefleniyor. Ancak bu yeni sistemin ne zaman devreye gireceğine dair net bir tarih verilmedi.

Başsavcılığın bu adımı, şeffaflık ve güvenlik arasında kurmaya çalıştığı hassas dengeyi gösteriyor. Bir yandan vatandaşı bilgilendirmek isterken, diğer yandan bu bilgilendirme kanalının kötüye kullanılmasını engellemek zorundalar. Bu olay, siber güvenlikte mücadelenin sadece teknik değil, aynı zamanda sosyal ve psikolojik boyutları olduğunu da bir kez daha ortaya koydu.

Kaynak

https://www.securityweek.com/maine-disables-data-breach-portal-due-to-fake-submissions/