Çoğu Veri Sızıntısının Sessiz Sorumlusu

İnsanlar bir veri ihlali hayal ettiğinde, genellikle kapşonlu bir bilgisayar korsanının güvenlik duvarlarını aştığını ya da kurumsal bir ağa fidye yazılımı yerleştirdiğini düşünür. Ancak TechRadar'ın vurguladığı son güvenlik araştırmalarına göre, kişisel verilerin en büyük ifşa kaynağı sofistike bir suçlu değil. Onu korumakla yükümlü kuruluşun kendisi tarafından internette açık bırakılan, yanlış yapılandırılmış bir veritabanı.

Bu sorunun ölçeği yeni değil ama hâlâ şaşırtıcı boyutlarda. 2015'in sonlarında güvenlik araştırmacısı Chris Vickery, 191 milyon seçmenin kişisel bilgilerini içeren, 300 GB'lık bir veritabanının parola ya da kimlik doğrulaması olmaksızın herkesin erişimine açık şekilde durduğunu keşfetti. İçeri sızan olmadı, kötü amaçlı yazılım işin içinde değildi. Birisi sadece uygun erişim denetimleri olmadan bir veritabanı kurmuştu ve nereye bakacağını bilen herkes için açıkta duruyordu.

On yıl önceki bu olay, güvenlik araştırmacılarının hiçbir zaman gerçekten ortadan kalkmadığını söylediği bir örüntüyü gözler önüne seriyor: Yanlış yapılandırılmış veritabanları, sızan kayıtların toplam hacmi açısından genellikle geleneksel bilgisayar korsanlığı olaylarını geride bırakarak veri güvenliğine yönelik en büyük tehdit olmaya devam ediyor.

Yanlış Yapılandırma Neden Korsanlıktan Daha Büyük Bir Tehdit?

Basit bir kurulum hatasının kasıtlı siber saldırılardan daha fazla veri sızdırabilmesi mantığa aykırı gelebilir, ancak modern veri altyapısının nasıl çalıştığını anladığınızda durum netleşir. Şirketler ve devlet kurumları, devasa miktarda bilgiyi yönetmek için giderek daha fazla bulut veritabanlarına ve depolama alanlarına güveniyor. Yeni bir veritabanını ayağa kaldırmak dakikalar sürüyor. Onu doğru kimlik doğrulama, ağ kısıtlamaları ve şifreleme ile yapılandırmak ise daha fazla zaman ve uzmanlık gerektiriyor ve sıklıkla atlanan ya da berbat edilen adım da bu oluyor.

Genellikle belirli bir hedefe sızmak için çaba, teknik beceri ve plan gerektiren hedefli bir korsan saldırısının aksine, yanlış yapılandırılmış bir veritabanı çoğu zaman öylece durur, arama motorları veya tarama araçları tarafından indekslenir, karşılaşılmayı bekler. Güvenlik araştırmacıları, gazeteciler ve evet, kötü niyetli aktörler, hiçbir savunmayı aşmaları gerekmediği için bu açık veritabanlarını rutin olarak ararlar. Kapı ardına kadar açık bırakılmıştır.

Bu, geleneksel veri ihlallerinin ve fidye yazılımı saldırılarının ciddi tehditler olmadığı anlamına gelmez. Asyalı bir BT firmasına yönelik Spirals fidye yazılımı saldırısı gibi olaylar, kararlı tehdit aktörlerinin hedef odaklı sızmalarla kuruluşlardan zorla para almaya devam ettiğini gösteriyor. Ve '888' adlı hacker tarafından Accenture kaynak kodunun çalındığı iddiası gibi iddialar, hassas kurumsal verilerin kasıtlı olarak çalınmasının hâlâ aktif bir endişe kaynağı olduğunu gösteriyor. Ancak ham hacim açısından, zayıf şekilde güvenliği sağlanmış bir veritabanının neden olduğu sessiz, kazara maruz kalma, çoğu zaman herhangi bir korsanlık kampanyasının elde edebileceğini gölgede bırakır.

VPN'ler ve Şifreleme Tam Bir Çözüm Değildir

Çevrimiçi etkinliklerini korumak için VPN kullanan okuyucular için şu acı gerçeği anlamakta fayda var: VPN, internet bağlantınızı korur, bilgilerinizi teslim ettikten sonra şirketlerin verilerinizi saklamak için kullandığı veritabanlarını değil. E-posta adresiniz, telefon numaranız veya ödeme detaylarınızla güvendiğiniz bir şirket, arka uç sistemlerini yanlış yapılandırırsa, sizin tarafınızdaki hiçbir kişisel şifreleme bu verilerin açığa çıkmasını engelleyemez.

Bu yüzden, Tribeca Film Festivali'nin ünlü katılımcılarını etkileyen olaylar veya 55 milyon e-posta ve Stripe verisinin açığa çıktığı yeniden gündeme gelen Suno ihlali gibi depolanan kişisel verileri kapsayan ihlaller bu kadar önemlidir. Bu olaylar, verileriniz cihazınızdan çıkıp bir şirketin veritabanına girdiğinde, gizliliğinizin tamamen o kuruluşun güvenlik uygulamalarına bağlı olduğunu, kendi araçlarınıza bağlı olmadığını gösteriyor.

Bu Sizin İçin Ne Anlama Geliyor?

Bir tüketici olarak, kullandığınız her hizmetin veritabanı yapılandırmasını bizzat denetleyemezsiniz, ancak daha bilinçli seçimler yapabilirsiniz. Güvenlik uygulamaları konusunda şeffaf olan, hızlı ihlal bildirimi geçmişine sahip ve yalnızca aktarım sırasında değil, bekleme halindeki veriler için de şifreleme kullanan şirketleri arayın. Hizmetin ilk etapta topladığı kişisel verileri en aza indirip indirmediğini sorun. Bir şirket ne kadar az hassas bilgi depolarsa, yanlış yapılandırılmış bir veritabanı bir gün açığa çıkarsa o kadar az hasar oluşur.

Ayrıca, yanlış yapılandırılmış veritabanlarının küçük girişimlerden ulusal seçmen veritabanlarına kadar her ölçekteki kuruluşu etkilediğini hatırlamakta fayda var. Bu, güvenlik bütçeleri zayıf olan şirketlerle sınırlı bir sorun değil; bulut altyapısının ne kadar hızlı dağıtıldığına karşılık ne kadar dikkatli güvence altına alındığıyla ilgili sistemik bir meseledir.

Uygulanabilir Öneriler

  • Mümkün olan her yerde benzersiz parolalar kullanın ve çok faktörlü kimlik doğrulamayı etkinleştirin, böylece tek bir açık veritabanı birden fazla hesabı tehlikeye atmaz.
  • İhlal bildirimlerini takip edin ve verilerinizin ne zaman açığa çıktığını öğrenmek için ihlal izleme hizmetlerini kullanmayı değerlendirin.
  • Net veri saklama ve güvenlik politikaları yayınlayan ve topladıkları kişisel bilgileri en aza indiren hizmetleri tercih edin.
  • Bir VPN'in trafiğinizi koruduğunu, depolanan bilgilerinizi tutan veritabanlarını korumadığını unutmayın; veri koruması katmanlı bir yaklaşım gerektirir.

Bulut benimseme hızı, dikkatli yapılandırmanın önünde seyretmeye devam ettiği sürece, yanlış yapılandırılmış veritabanları öngörülebilir gelecekte büyük ölçekli veri sızıntılarının başlıca nedeni olmaya devam edecek. Verilerinizin nasıl ve nerede saklandığı hakkında bilgi sahibi olmak ve kullandığınız hizmetlerden hesap verebilirlik talep etmek, kişisel riskinizi azaltmanın en uygulanabilir yollarından biri olmayı sürdürüyor.