Novo Nordisk Sızıntısı Geliştirme Hattı Riskini Gösterdi

Ne Oldu

18 Haziran 2026 - Siber güvenlik dünyası yine büyük bir ismin sızıntı haberiyle çalkalanıyor. Bu kez sahnede, diyabet ve obezite tedavisindeki ilaçlarıyla tanınan Danimarkalı ilaç devi Novo Nordisk var. Ancak bu sızıntı, alıştığımız türden bir fidye yazılımı saldırısı ya da milyonlarca kullanıcının kişisel verilerinin çalındığı bir veri tabanı ihlali değil. Bu çok daha içeriden, modern yazılım geliştirmenin tam kalbinden gelen bir yara: sızdırılmış bir GitHub tokeni.

Olay, ilk bakışta basit bir hata gibi görünebilir. Bir geliştiriciye veya otomatik bir sisteme ait olan, kod depolarına erişim sağlayan dijital bir anahtar olan GitHub tokeninin bir şekilde açığa çıkması. Fakat bu basit hata, Novo Nordisk'in yazılım geliştirme boru hattı olarak bilinen, son derece hassas ve kritik bir sistemin kapılarını araladı. Bu hat, şirketin dijital ürünlerini nasıl ürettiğini, test ettiğini ve dağıttığını gösteren tüm süreçlerin potansiyel olarak ifşa olması anlamına geliyor. Bu, bir araba fabrikasının sadece bitmiş arabalarının değil, tüm montaj hattının, robotların programlarının ve üretim sırlarının çalınmasına benziyor.

Bu olay, siber güvenlikte sıkça tartışılan ancak yönetim kurullarında yeterince anlaşılmayan bir gerçeği de tokat gibi yüzümüze çarpıyor. Güvenlik, sadece pahalı araçlar alıp kurmakla bitmiyor. Asıl mesele, bu araçları kimin, ne zaman ve neden kullandığını yönetmekten, yani kimlikten geçiyor.

Ele Gecirilen Veriler

Novo Nordisk, sızıntıdan hangi verilerin tam olarak etkilendiğine dair henüz detaylı bir açıklama yapmadı. Bu tür olaylarda şirketler genellikle iç soruşturma tamamlanana kadar sessiz kalmayı tercih eder. Ancak sızdırılan bir GitHub tokeninin nelere yol açabileceğini tahmin etmek zor değil. Bu, domino taşlarının ilkinin devrilmesi gibi bir etki yaratabilir.

Potansiyel olarak risk altında olanlar şunlar olabilir:

• Kaynak Kodları: Şirketin yazılımlarının, uygulamalarının ve iç sistemlerinin planları. Bu, şirketin fikri mülkiyetinin en değerli parçalarından biridir. Rakipler veya kötü niyetli aktörler için bu kodlar adeta bir hazine haritası niteliğindedir.
• Altyapı Konfigürasyonları: Sunucuların, veritabanlarının ve bulut hizmetlerinin nasıl kurulduğunu ve yönetildiğini belirten dosyalar. Bu bilgilere sahip bir saldırgan, sistemdeki diğer zayıf noktaları kolayca bulabilir.
• Diğer Gömülü Sırlar: Geliştiriciler bazen zaman kazanmak için kodların içine başka sistemlere erişim sağlayan API anahtarları, şifreler veya sertifikalar gibi başka "sırları" da ekleyebilir. Sızan ilk token, bir anahtarın başka bir kasanın anahtarını ortaya çıkarması gibi zincirleme bir reaksiyona neden olabilir.

Şu an için müşteri veya hasta verilerinin bu sızıntıdan doğrudan etkilenip etkilenmediği bilinmiyor. Ancak yazılım tedarik zincirine yönelik bir saldırı olasılığı her zaman masada. Eğer saldırganlar şirketin kod tabanına erişim sağladıysa, gelecekteki ürün güncellemelerine kötü amaçlı kod ekleme riski teorik olarak mevcuttur. Şirketin bu konudaki soruşturması devam ediyor.

Saldiri Nasil Gerceklesti

Bu saldırının merkezinde karmaşık bir exploit veya sıfır gün açığı yok. Merkezde, modern yazılım geliştirmenin temel taşlarından biri olan bir "sır" yani GitHub tokeni var. Saldırının teknik ayrıntıları henüz kamuoyuyla paylaşılmadı, ancak olayın özü oldukça net.

Bir GitHub tokeni, bir kullanıcı veya bir otomasyon aracı (CI/CD pipeline gibi) adına GitHub üzerindeki kod depolarına erişim izni veren bir karakter dizisidir. Şifre gibi çalışır ama genellikle daha fazla yetkiye sahiptir ve makineler arası iletişim için tasarlanmıştır. Bu token bir şekilde, örneğin herkese açık bir kod deposuna yanlışlıkla yüklenerek veya bir geliştiricinin bilgisayarından çalınarak ifşa oldu.

Saldırganlar bu tokeni ele geçirdiklerinde, artık bir sistemi "hacklemek" zorunda kalmadılar. Sisteme, tokenin sahibi olan meşru bir kullanıcı veya servis gibi giriş yaptılar. İşte bu nokta, olayı bir "araç problemi" olmaktan çıkarıp bir "kimlik problemi" haline getiriyor.

Çoğu organizasyon, sır yönetimini "HashiCorp Vault veya AWS Secrets Manager gibi bir araç alalım, sırlarımızı oraya koyalım, güvendeyiz" şeklinde bir yaklaşımla ele alıyor. Oysa asıl sorun, o kasaya kimin erişebileceğidir. Eğer kasanın anahtarını (bu durumda GitHub tokeni) ortalıkta bırakırsanız, kasanın ne kadar sağlam olduğunun bir önemi kalmaz. Novo Nordisk olayı, sırların kendisi kadar, bu sırlara erişen insan ve makine kimliklerinin de ne kadar kritik olduğunu gösteriyor. Bir token, sadece bir şifre değildir; o bir kimliktir. Ve o kimlik çalındığında, saldırgan sizin yerinize geçer.

Etkilenenler Kim

Bu sızıntının etkileri dalga dalga yayılıyor.

• Novo Nordisk: Şirketin kendisi en büyük mağdur. Fikri mülkiyet hırsızlığı, itibar kaybı, düzenleyici kurumların incelemeleri ve olası para cezaları gibi ciddi sonuçlarla yüzleşebilir. Yazılım geliştirme süreçlerini güvene almak için yapacakları acil yatırımlar da cabası.
• Yatırımcılar ve Ortaklar: Şirketin güvenlik duruşuna dair endişeler, hisse senedi fiyatlarında dalgalanmalara ve iş ortaklarının güveninin sarsılmasına yol açabilir.
• Geliştirici Topluluğu: Bu olay, tüm dünyadaki yazılım geliştiriciler için bir uyarı niteliğindedir. En iyi niyetle yazılan bir kod satırına yanlışlıkla eklenen bir sırrın ne kadar büyük felaketlere yol açabileceğini gösteren acı bir ders.
• Potansiyel Olarak Hastalar ve Müşteriler: Eğer sızıntı, ürünlere kötü amaçlı kod eklenmesine yol açan bir yazılım tedarik zinciri saldırısına dönüşürse, en nihayetinde Novo Nordisk ürünlerini kullanan kişiler de risk altına girebilir. Bu şu an için sadece bir olasılık olsa da, bu tür sızıntıların en korkutucu senaryosudur.

Ne Yapabilirsin

Bu olaydan hem bireysel geliştiriciler hem de şirketler ders çıkarmalı. Peki ne yapabilirsiniz?

Eğer bir geliştiriciyseniz:

• Asla Sırları Koda Gömme: Bu birinci ve en önemli kural. Veritabanı şifreleri, API anahtarları, tokenler... Hiçbirinin kodun içinde yeri yok. Bunları kodunuzdan ayrı tutun.
• Ortam Değişkenlerini (Environment Variables) Kullan: Sırlarınızı koddan ayırmanın en temel yolu, onları uygulamanın çalıştığı ortamda tanımlamaktır. Bu, sırların kodla birlikte depolanmasını engeller.
• Kodunuzu Tarayın: Kodunuzu bir depoya göndermeden önce, yanlışlıkla eklenmiş sırları tespit eden araçlar kullanın. `git-secrets` gibi açık kaynaklı araçlar veya platformların kendi tarama özellikleri bu konuda yardımcı olabilir.
• Minimum Yetki Prensibi: Oluşturduğunuz tokenlere sadece yapacakları iş için gereken minimum yetkileri verin. Bir tokenin sadece kod okuması gerekiyorsa, ona yazma veya silme yetkisi vermeyin.

Eğer bir şirketi yönetiyorsanız veya güvenlik ekibindeyseniz:

• Sır Yönetimini Bir Kimlik Sorunu Olarak Görün: Pahalı bir sır kasası almak yeterli değil. O kasaya kimin (insan veya makine) ne zaman, nereden ve neden eriştiğini denetleyen katı kimlik ve erişim yönetimi (IAM) politikaları oluşturun.
• Otomasyonu Devreye Sokun: Geliştiricilerin kodlarını depoya göndermeden önce sırları otomatik olarak tarayan sistemler kurun (CI/CD pipeline'ınıza entegre edin). Bir sır tespit edilirse, yüklemeyi otomatik olarak engelleyin.
• Sırları Düzenli Olarak Döndürün (Rotate): Şifreler ve anahtarlar sonsuza kadar geçerli olmamalıdır. Sırlarınızı belirli aralıklarla otomatik olarak değiştirin. Böylece bir sır sızsa bile, saldırganın onu kullanabileceği süre çok kısıtlı olur.
• Eğitim, Eğitim, Eğitim: Geliştiricilerinizi güvenli kodlama pratikleri ve sır yönetimi konusunda sürekli eğitin. Güvenliğin herkesin sorumluluğu olduğunu bir kültür haline getirin.

Sirket Ne Diyor

Novo Nordisk, olayı doğruladı ve sızıntıyı kontrol altına almak için derhal harekete geçtiklerini belirtti. Şirketten yapılan ilk açıklamada, bir iç soruşturmanın başlatıldığı ve konunun önde gelen siber güvenlik firmalarıyla birlikte incelendiği ifade edildi. Açıklamada, "Olayı fark eder etmez, sızan tokene erişimi derhal iptal ettik ve etki alanını belirlemek için kapsamlı bir soruşturma başlattık. Şu anki önceliğimiz, sistemlerimizin ve verilerimizin güvenliğini tam olarak sağlamaktır." denildi. Şirket, soruşturma ilerledikçe daha fazla bilgi paylaşacaklarını ekledi.

Kaynak

https://www.darkreading.com/cyber-risk/novo-nordisk-breach-exposes-dev-pipeline-risk