Günümüzde milyonlarca kullanıcı etkileyen veri ihlalleri epey yaygınlaşmış durumda. Bu yazıda biz de sizlere hafızalara kazınmış ve kullanıcı potansiyelinde şirketlere en büyük zararları yaşatmış ihlallerden bahsetmek istedik. Zamanımızın veri odaklı dünyasında, veri ihlalleri aynı anda yüz milyonlarca hatta milyarlarca insanı etkileyebilir. Dijital dönüşüm, veri taşıma arzını artırmış ve söz konusu saldırganlar günlük yaşamın veri bağımlılıklarından yararlandıkça veri ihlalleri de büyümüş durumdadır. Geleceğin büyük siber saldırılarının ne kadar büyük olabileceği spekülasyon olarak kalmaya devam etmekte fakat 21. yüzyılın en büyük veri ihlallerinin bu listesinin gösterdiği gibi, şimdiden çok büyük boyutlara ulaştılar.

1- Yahoo

Tarih: Ağustos 2013

Etki: 3 milyar hesap

İlk ihlalden neredeyse yedi yıl sonra ve ifşa edilen gerçek kayıt sayısının ortaya çıkmasından dört yıl sonra bir numaralı noktayı güvence altına almak, Yahoo’ya yapılan saldırıdır. Şirket, 2013 yılında gerçekleştiğini söylediği olayı ilk olarak Aralık 2016’da kamuoyuna duyurdu. O sırada Verizon tarafından satın alınma sürecindeydi ve bir milyardan fazla müşterisinin bir hack grubu tarafından hesap bilgilerine erişildiğini tahmin ediyordu. Bir yıldan kısa bir süre sonra Yahoo, ifşa edilen gerçek kullanıcı hesaplarının 3 milyar olduğunu açıkladı. Yahoo, gözden geçirilmiş tahminin yeni bir güvenlik sorununu temsil etmediğini ve “etkilenen ek kullanıcı hesaplarının” tümüne e-posta gönderdiğini belirtti.

Saldırıya rağmen Verizon ile anlaşma, indirimli fiyata da olsa tamamlandı. Verizon’un CISO’su Chandra McMahon o sırada şunları söyledi: “Verizon, en yüksek hesap verebilirlik ve şeffaflık standartlarına bağlıdır ve gelişen bir çevrimiçi tehdit ortamında kullanıcılarımızın ve ağlarımızın güvenliğini sağlamak için proaktif olarak çalışıyoruz. Yahoo’ya yaptığımız yatırım, bu ekibin güvenliklerini artırmak için önemli adımlar atmaya devam etmesine ve Verizon’un deneyiminden ve kaynaklarından faydalanmasına olanak tanıyor.” Soruşturmanın ardından saldırganların güvenlik soruları ve cevapları gibi hesap bilgilerine, düz metin şifrelere, ödeme kartlarına ve banka verilerine erişirken çalınmadıkları ortaya çıktı.

2- Alibaba

Tarih: Kasım 2019

Etki: 1,1 milyar adet kullanıcı verisi

Sekiz aylık bir süre boyunca bir pazarlamacı için çalışan bir geliştirici, oluşturduğu tarayıcı yazılımını kullanarak Alibaba Çin alışveriş web sitesi Taobao’dan kullanıcı adları ve cep telefonu numaraları dahil olmak üzere müşteri verilerini elde etmeyi başardı. Görünüşe göre geliştirici ve işvereni, bilgileri kendi kullanımları için topluyorlardı ve her ikisi de üç yıl hapis cezasına çarptırılmış olmasına rağmen, karaborsada satmadı.

Bir Taobao sözcüsü yaptığı açıklamada: “Taobao, veri gizliliği ve güvenliği son derece önemli olduğundan, platformumuzda yetkisiz veri elde edinimi konusunda mücadele etmek için önemli kaynaklar ayırıyor. Bu yetkisiz edinimi proaktif olarak keşfettik ve ele aldık. Kullanıcılarımızın ve ortaklarımızın çıkarlarını savunmak ve korumak için kolluk kuvvetleriyle çalışmaya devam edeceğiz.”

3- LinkedIn

Tarih: Haziran 2021

Etki: 700 milyon kullanıcı

Profesyonel iş sosyal ağı devi LinkedIn, Haziran 2021’de bir karanlık web forumunda yayınlanan 700 milyon kullanıcısı ile ilgili verileri gördü ve kullanıcı tabanının %90’ından fazlasını etkiledi. “Tanrı Kullanıcısı” lakabını kullanan bir bilgisayar korsanı, yaklaşık 500 milyon müşteriden oluşan ilk bilgi veri setini boşaltmadan önce sitenin (ve diğerlerinin) API’sini kullanarak veri kazıma tekniklerini kullandı. Ardından, 700 milyon müşteri veri tabanının tamamını sattıklarıyla övünerek devam ettiler. LinkedIn, hiçbir hassas ve özel kişisel verinin ifşa edilmediğini, olayın bir veri ihlalinden ziyade hizmet şartlarının ihlali olduğunu iddia etmiştir. God User tarafından yayınlanan bir veri örneğinde e-posta adresleri, telefon numaraları, coğrafi konum kayıtları gibi bol miktarda veri sağlayacak olan cinsiyetler ve diğer sosyal medya ayrıntıları bulunmaktadır.

4- Sina Weibo

Tarih: Mart 2020

Etki: 538 milyon hesap

600 milyondan fazla kullanıcısı olan Sina Weibo, Çin’in en büyük sosyal medya platformlarından biridir. Mart 2020’de şirket, bir saldırganın veri tabanının bir kısmını ele geçirerek 538 milyon Weibo kullanıcısını ve gerçek adlar, site kullanıcı adları, cinsiyet, konum ve telefon numaraları dahil olmak üzere kişisel bilgilerini ele geçirdiğini duyurdu. Saldırganın daha sonra veritabanını dark web’de 250 dolara sattığı bildiriliyor.

Çin Sanayi ve Bilgi Teknolojileri Bakanlığı (MIIT), Weibo’ya kişisel bilgileri daha iyi korumak ve veri güvenliği olayları meydana geldiğinde kullanıcıları ve yetkilileri bilgilendirmek için veri güvenliği önlemlerini geliştirmesini emretti. Sina Weibo yaptığı açıklamada, bir saldırganın, kullanıcıların telefon numaralarını girerek arkadaşlarının Weibo hesaplarını bulmasına yardımcı olmayı amaçlayan bir hizmet kullanarak herkese açık olarak yayınlanan bilgileri topladığını ve hiçbir parolanın etkilenmediğini savundu. Ancak, şifreler başka hesaplarda yeniden kullanılırsa, açığa çıkan verilerin hesapları şifrelerle ilişkilendirmek için kullanılabileceğini kabul etti. Şirket, güvenlik stratejisini güçlendirdiğini ve ayrıntıları uygun makama bildirdiğini söyledi.

5- Facebook

Tarih: Nisan 2019

Etki: 533 milyon kullanıcı

Nisan 2019’da, Facebook uygulamalarından iki veri kümesinin halka açık bir şekilde internete maruz kaldığı ortaya çıktı. Söz konusu veri kümesi, 530 milyondan fazla Facebook kullanıcısıyla ilgili bilgiler ve telefon numaraları, hesap adları ve Facebook kimliklerini içeriyordu. Ancak, iki yıl sonra (Nisan 2021) veriler ücretsiz olarak yayınlandı ve verileri çevreleyen yeni ve gerçek suç niyetini gösterdi. Aslında, olayın bir sonucu olarak karanlık ağda etkilenen ve kolayca erişilebilen çok sayıda telefon numarası göz önüne alındığında, güvenlik araştırmacısı Troy Hunt, HaveIBeenPwned (HIBP) ihlal edilmiş kimlik bilgisi kontrol sitesine, kullanıcıların telefonlarının olup olmadığını doğrulamasını sağlayacak işlevsellik ekledi.

Kaynak: CSO