Letonya ve Litvanya'daki bankalar, sigorta şirketleri, perakendeciler ve hizmet sağlayıcılar tarafından müşterilerine gönderilen 125 milyondan fazla kısa mesajı içeren bir veritabanında güvenlik açığı giderildi. Sistemin arkasındaki hizmet sağlayıcı, sorunun düzeltildiğini söylüyor. Bu olay, SMS sağlayıcısı veri sızıntısı risklerinin açık bir örneğidir: hassas mesajlar genellikle müşterilerin hiç seçmediği ve varlığından haberdar olmayabileceği bir tedarikçide bulunur.
Şu ana kadar mevcut olan haberler kısa, bu nedenle bu yazı yalnızca açıklananlara bağlı kalıyor ve bunun neden önemli olduğunu açıklıyor.
Baltık SMS veritabanında neler açığa çıktı
Habere göre, etkilenen veritabanında 125 milyondan fazla kısa mesaj bulunuyordu. Bunlar, Letonya ve Litvanya'daki bankalar, sigorta şirketleri, perakendeciler ve hizmet sağlayıcılar tarafından gönderilen işletmeden müşteriye mesajlardı. Kaynak, sorunu artık giderilmiş bir güvenlik açığı olarak tanımlıyor ve başlık bunu olası bir veri sızıntısı olarak çerçeveliyor.
Bu ifade önemli. Bir güvenlik açığı, bir zayıflığın var olduğu anlamına gelir. Tek başına, birinin verilere eriştiğini veya verileri kopyaladığını doğrulamaz. Elimizdeki kaynak materyal, zayıflığın ne kadar süre var olduğunu, kimin bulmuş olabileceğini veya herhangi bir mesajın yetkisiz taraflarca gerçekten görülüp görülmediğini söylemiyor.
Yine de böyle bir veritabanının tipik olarak içerdiği içerik türü üzerinde düşünmeye değer. Şirketler SMS'i yaygın olarak tek kullanımlık şifreler, bankacılık uyarıları, teslimat güncellemeleri ve hesap bildirimleri için kullanır. Bu tür mesajlar, bir kişinin hangi bankayla çalıştığını, ne satın aldığını, bir kargonun nereye gittiğini ve hangi hizmetleri kullandığını ortaya koyabilir. Tek bir parola olmadan bile bu bağlam, ikna edici bir dolandırıcılık planlayan biri için değerlidir.
Üçüncü taraf mesajlaşma tedarikçileri neden gizli bir risktir
Çoğu insan bir bankanın veya perakendecinin kendi mesajlarını gönderdiğini varsayar. Uygulamada, birçok kuruluş bu işi şirket ile mobil ağ arasında yer alan bir mesajlaşma sağlayıcısına devreder. Müşteri markayla muhatap olur, ancak mesaj içeriği ayrı bir şirketten geçer ve o şirket tarafından saklanabilir.
Bu birkaç sorun yaratır:
- Görünmez ilişkiler. Müşteriler, verilerini hangi tedarikçilerin işlediğini nadiren görür, dolayısıyla tedarikçinin güvenliğini değerlendiremezler.
- Yoğunlaşmış veri. Bir sağlayıcı, birkaç ülkedeki birçok müşteriye hizmet verebilir. Tek bir kusur, bankalardan, sigorta şirketlerinden ve mağazalardan gelen mesajlara aynı anda dokunabilir; 125 milyon mesaj gibi bir rakamı mümkün kılan da budur.
- Saklama soruları. Mesaj kayıtları sorun giderme veya raporlama için tutulabilir. Ne kadar uzun saklanırlarsa, açığa çıkacak o kadar çok şey olur.
Aynı örüntü, ele aldığımız diğer olaylarda da görülüyor. Trump Mobile ihlalinde üçüncü taraf riski konusundaki incelememiz, bir markanın kendi duvarları dışında tutulan verilerin nasıl yine o markanın sorunu haline gelebileceğini gösteriyor. Fakturownia veri ihlali de adının ima ettiğinden çok daha fazlasını barındıran bir platform hakkında benzer bir noktaya değiniyor.
Tedarikçinin düzeltmesi neyi doğruluyor, neyi doğrulamıyor
Sağlayıcının sorunun giderildiği yönündeki açıklaması iyi haber, ancak sorunun yalnızca bir kısmını yanıtlıyor.
Bunun ima ettiği: Belirli zayıflık artık açık değil, dolayısıyla aynı yol bundan sonra kullanılamamalı.
Kaynağa göre doğrulamadığı noktalar:
- Düzeltmeden önce herhangi bir üçüncü tarafın mesajlara erişip erişmediği.
- Açığa çıkan mesajların hâlâ kullanılabilir kodlar veya kişisel bilgiler içerip içermediği.
- Onarımın bağımsız bir incelemeyle doğrulanıp doğrulanmadığı.
- Etkilenen şirketlerin müşterilerini bilgilendirip bilgilendirmeyeceği.
Bu noktalar kamuoyunda ele alınana kadar, makul tutum ne panik ne de rehavettir. Düzeltmeyi tam bir "her şey yolunda" sinyali değil, gerekli bir adım olarak görün. Tedarikçiyi kullanan kuruluşlar, müşterilerin ne yapması gerektiğini, eğer bir şey yapmaları gerekiyorsa, açıklamak için en uygun konumdadır.
Bu Sizin İçin Ne Anlama Geliyor
Letonya veya Litvanya şirketleriyle bankacılık yapıyor, sigorta yaptırıyor veya alışveriş yapıyorsanız, mesajlarınız böyle bir sistemden geçmiş olabilir. Başka bir yerde olsanız bile ders geçerli: Size mesaj gönderen herhangi bir hizmet, denetleyemeyeceğiniz bir tedarikçi zincirine dayanır.
Gerçekçi risk genellikle eski bir mesajdan kaynaklanan dramatik bir hesap ele geçirme değildir. Hedefli kimlik avıdır. Yakın zamanda bir teslimat bildirimi veya banka uyarısı aldığınızı bilen bir dolandırıcı, güveninizi kazanmak için gerçek ayrıntıları kullanarak otantik görünen sahte bir mesaj yazabilir. Eski tek kullanımlık kodların süresi dolmuş olmalıdır, ancak SMS tabanlı girişin kendisi zayıf halka olmaya devam ediyor, çünkü mesajlar yakalanabilir, iletilmebilir veya kontrol etmediğiniz yerlerde açığa çıkabilir. Haftalık güvenlik özetimiz de kimlik avı hilelerinin nasıl evrilmeye devam ettiğini not ediyor; bu da beklenmedik mesajlara karşı şüpheci olmaya devam etmeniz için bir hatırlatmadır.
Kendinizi SMS tabanlı kimlik avı ve 2FA risklerinden nasıl korursunuz
Bankanızın mesajlaşma tedarikçisini seçemezsiniz, ancak açığa çıkan bir mesajın size verebileceği zararı azaltabilirsiniz.
- Mümkün olan yerlerde SMS kodlarından uzaklaşın. İki faktörlü kimlik doğrulama için bir kimlik doğrulayıcı uygulama veya donanım güvenlik anahtarı kullanın. Bunlar kısa mesaj sistemlerinden geçmez.
- SMS'i yalnızca yedek olarak tutun. Bir hizmet metin doğrulamasını zorunlu kılıyorsa etkinleştirin, ancak hizmetin izin verdiği her yerde daha güçlü seçenekler ekleyin.
- Gerçek etkinliğe atıfta bulunan mesajlara güvenmeyin. Gerçek bir siparişten veya bankadan bahseden bir mesaj, onun gerçek olduğunu kanıtlamaz. Bağlantılara dokunmayın; resmi uygulamayı açın veya adresi kendiniz yazın.
- Kodları asla paylaşmayın. Hiçbir meşru banka veya perakendeci sizden tek kullanımlık bir kodu okumanızı istemez.
- Hesaplarınızı izleyin. Ekstreleri ve giriş uyarılarını yabancı bir şey için kontrol edin ve şüpheli etkinliği derhal bankanıza bildirin.
- Sağlayıcılarınıza sorun. Bir şirketin mesaj verilerini nasıl işlediğini bilmek istiyorsanız, verileri kimin işlediğini ve ne kadar süre saklandığını sorun.
Sonuç
Bu Baltık veritabanındaki düzeltme memnuniyet verici, ancak verilere hiç erişilip erişilmediği konusunda soru işaretleri bırakıyor. SMS sağlayıcısı veri sızıntısı risklerine ilişkin daha geniş ders her halükarda geçerli: hassas bildirimler hiç seçmediğiniz tedarikçilerden geçer ve yalnızca kendi tarafınızı kontrol edebilirsiniz. Uygulama tabanlı veya donanım 2FA'ya geçin, gerçek etkinliğe atıfta bulunan herhangi bir mesaja karşı temkinli olun ve dış tedarikçilerin nasıl risk yarattığı hakkında daha fazlasını Trump Mobile ihlali ve Fakturownia olayı yazılarımızda okuyun.
