Bu hafta biri Japonya'da diğeri Tayvan'da olmak üzere iki ayrı güvenlik olayı doğrulandı. Comic CMoa veri ihlali, Japonya'nın en büyük e-kitap mağazalarından birini etkiliyor; e-posta adresleri ve şifre özetlerinin kaybolduğu bildirildi. Ayrıca ACCESS, CROS'tan 1.305 kart hesabının çalındığını doğruladı. İki olay birbiriyle ilgisiz, ancak birlikte iki yaygın maruz kalma türünü gösteriyor: giriş kimlik bilgileri ve ödeme kartı verileri.

Şu ana kadar mevcut olan ayrıntılar sınırlı, bu nedenle bu yazı bildirilenlerle sınırlı kalıyor ve bunun pratikte ne anlama geldiğini açıklıyor.

Comic CMoa ve ACCESS ihlallerinde neler sızdı

Haberler göre, Comic CMoa veri ihlali popüler bir Japon e-kitap mağazasını kapsıyor ve kaybolan veriler arasında kullanıcı e-posta adresleri ve şifre özetleri yer alıyor. Şifre özeti, bir şifrenin karıştırılmış bir sürümüdür, şifrenin kendisi değildir. Şirketler, sunucularında düz metin şifreler tutmak zorunda kalmamak için özetleri saklar.

İkinci olay ayrıdır. ACCESS, CROS'tan 1.305 kart hesabının çalındığını doğruladı. Kaynak, ölçeği 1.305 kart hesabı olarak tanımlıyor ve incelediğimiz materyalde başka ayrıntı sunmuyor. Hangi alanların alındığını, saldırganların nasıl içeri girdiğini veya iki olaydan hangisinin arkasında kimin olduğunu tahmin etmeyeceğiz.

Bunların iki farklı şirket, iki farklı sistem ve iki farklı veri türü olduğunu vurgulamakta fayda var. Okuyucular bir olayın diğeriyle bağlantılı olduğunu varsaymamalıdır.

Özetlenmiş şifreler kullanıcıları neden hâlâ riske atıyor

Yalnızca özetlerin alındığını duymak güven verici gelebilir, ancak bu kimseyi rahatlatmamalıdır. Özetler bir koruma katmanıdır, garanti değildir. Özetlenmiş bir şifrenin ne kadar güvenli olduğu, orijinal şifrenin ne kadar güçlü olduğuna ve hizmetin onu nasıl özetlediğine bağlıdır.

Bir saldırgan bir dizi özet elde ederse, yaygın şifreleri tahmin ederek, her tahmini özetleyerek ve sonuçları karşılaştırarak geriye doğru çalışmayı deneyebilir. Kısa, öngörülebilir veya yaygın olarak kullanılan şifreler önce düşme eğilimindedir. Güçlü, benzersiz parolalar kurtarmak çok daha zordur.

E-posta adresleri de önemlidir. Herhangi bir şifre olmadan bile, belirli bir hizmete bağlı e-postaların bir listesi, e-kitap mağazasından geliyormuş gibi görünen ve sizden tekrar giriş yapmanızı isteyen sahte mesajlar gibi hedefli kimlik avı için kullanılabilir.

En büyük pratik tehlike şifre yeniden kullanımıdır. Comic CMoa şifrenizi başka bir sitede kullandıysanız, o özeti kıran herkes aynı e-posta ve şifre kombinasyonunu başka yerlerde deneyebilir. Bu, kimlik bilgisi doldurma olarak bilinir ve yalnızca insanlar şifreleri yeniden kullandığında işe yarar.

CROS kart hırsızlığı etkilenen müşteriler için ne anlama geliyor

Kart verileri farklı bir sorundur. CROS'tan 1.305 kart hesabının çalındığı bildirildiğinden, etkilenen müşteriler için ana endişe yetkisiz ücretler ve dolandırıcılık girişimleridir. Kart düzenleyicileri genellikle ele geçirilmiş kartları değiştirme ve dolandırıcılık işlemlerine itiraz etme süreçlerine sahiptir, ancak yalnızca bir sorun fark ederseniz veya size söylenirse harekete geçebilirler.

Bu olayla ilgili olarak ACCESS veya kart düzenleyiciniz sizinle iletişime geçerse, bildirimi ciddiye alın, ancak önce doğrulayın. İhlallerin ardından genellikle etkilenen şirketi taklit eden dolandırıcılık mesajları gelir. Beklenmedik bir e-postadaki veya metindeki bağlantıları değil, kartınızda yazılı iletişim bilgilerini veya doğrudan şirketin resmi web sitesinden alınan bilgileri kullanın.

Küçük test ücretleri kart kötüye kullanımının yaygın bir işaretidir, bu nedenle tanımadığınız küçük işlemler bile düzenleyicinizi aramanızı hak eder.

Bir ihlalden sonra hesaplarınızı korumak için adımlar

Panik yapmanıza gerek yok, ancak birkaç hızlı eylem çok işe yarar:

  • Yeniden kullanılan şifreleri değiştirin. Comic CMoa şifreniz başka herhangi bir yerde kullanıldıysa, diğer her hesapta değiştirin. Her birini benzersiz yapın.
  • İki faktörlü kimlik doğrulamayı (2FA) açın. Birinin şifreniz olmasına rağmen, ikinci bir faktör içeri girmeyi çok daha zorlaştırır. Uygulama tabanlı kodlar veya donanım anahtarları genellikle SMS'ten daha güçlüdür.
  • Bir şifre yöneticisi kullanın. Uzun, rastgele şifreler oluşturabilir ve sizin için hatırlayabilir, bu da yeniden kullanma cazibesini ortadan kaldırır.
  • Kart ekstrelerini izleyin. Hesaplarınızı düzenli olarak kontrol edin, bankanız sunuyorsa işlem uyarıları ayarlayın ve tanımadığınız her şeyi hemen bildirin.
  • Takip mesajlarına karşı dikkatli olun. Her iki olayla ilgili beklenmedik e-postalardaki bağlantılara tıklamayın.

Aynı alışkanlıklar, suçluların bir kurbana doğrudan zarar vermeyi amaçladığı saldırılar da dahil olmak üzere herhangi bir ihlalden sonra geçerlidir; örneğin saldırısı ters tepeyen bir Akira fidye yazılımı iştirakçisi vakasında olduğu gibi. Saldırganlar hata yapar, ancak verilerinizi korumak için buna güvenmemelisiniz.

Bu Sizin İçin Ne Anlama Geliyor

Bir Comic CMoa hesabınız varsa, e-posta adresinizin üçüncü tarafların elinde olabileceğini ve şifre özetinizin sonunda kırılabileceğini varsayın, özellikle şifre zayıfsa. Değiştirin ve kullandığınız her yerde değiştirin. CROS veya bir ACCESS kart hesabıyla bağlantınız varsa, ekstrelerinizi yakından izleyin ve her türlü iletişimi resmi kanallar aracılığıyla doğrulayın.

Her iki grupta da değilseniz, bu olaylar hâlâ yararlı bir hatırlatıcıdır. İhlallerden kaynaklanan hasarın çoğu daha sonra, çalınan bilgiler alışkanlıklarını değiştirmeyen kişilere karşı yeniden kullanıldığında ortaya çıkar.

Önemli çıkarımlar

Comic CMoa veri ihlali ve ACCESS CROS kart hırsızlığı ayrı olaylardır, ancak tavsiye aynıdır: erken harekete geçin. Yeniden kullanılan şifreleri benzersiz olanlarla değiştirin, 2FA'yı etkinleştirin, kimlik bilgilerini bir şifre yöneticisinde saklayın ve kart aktivitenizi düzenli olarak gözden geçirin. Şimdi on dakikalık temizlik, daha sonra hesap ele geçirmeleri veya dolandırıcılık ücretleriyle uğraşmaktan çok daha kolaydır.