İç Güvenlik Bakanlığı'nda bildirilen bir sızıntı, 40.000'den fazla çalışanın adını, telefon numarasını ve e-posta adresini dolaşıma soktu. Çalışan iletişim bilgilerine ilişkin DHS veri ihlali, VOZ'un haberine göre son bir ayda manşetlere taşınan üçüncü hükümet veri sızıntısı. Kaynak makale teknik ayrıntı konusunda yetersiz, bu nedenle bu yazı yalnızca bildirilenlere bağlı kalıyor ve zararsız görünse bile bu tür verilerin neden önemli olduğunu açıklıyor.

DHS Sızıntısında Neler Açığa Çıktı

Habere göre, açığa çıkan bilgiler 40.000'den fazla DHS çalışanını kapsıyor ve üç veri türüyle sınırlı: adlar, telefon numaraları ve e-posta adresleri. Rapor, elimizdeki materyalde verilerin nasıl elde edildiğini, arkasında kimin olduğunu, ne zaman gerçekleştiğini veya Sosyal Güvenlik numaraları ya da mali kayıtlar gibi başka kategorilerin de dahil olup olmadığını açıklamıyor. Bu ayrıntılar hakkında tahmin yürütmeyeceğiz.

Bu boşluk dikkate değer. İhlallere ilişkin ilk raporlar genellikle eksiktir ve kurumlar soruşturma yürüttükçe kapsam değişebilir. Mevcut rakamı kesin bir sayı olarak değil, bildirilen bir başlangıç noktası olarak değerlendirin ve DHS'ten gelecek resmi açıklamaları takip edin.

Hükümet Veri Sızıntılarında Bir Örüntü

DHS olayı tek başına durmuyor. Rapor, bunu tek bir ay içinde manşetlere taşınan üçüncü hükümet veri sızıntısı olarak çerçeveliyor. vpn.social'da ele alınan diğer iki güncel vaka faydalı bir bağlam sunuyor. Birinde, FBI çalışanlarının hassas verilerini içeren bir ihlalle ilgilendiğini söyledi ve sorumlu olduğuna inandığı kişilerin peşine düşeceğine söz verdi. Diğerinde, Fransız yetkililer kimlik belgelerini yöneten kurum olan ANTS'i hacklediği şüphesiyle 15 yaşında birini tutukladı.

Bu vakalar farklı kurumları ve ülkeleri kapsıyor, dolayısıyla bunların bağlantılı olduğunu varsaymamalıyız. Ortak noktaları hedefleri: çalışanlar veya vatandaşlar hakkında kişisel bilgilerle dolu büyük kamu sektörü veritabanları. Hükümet kurumları, suçlular için ve bazı durumlarda düşman aktörler için değerli olan verileri barındırır; bu da onları kalıcı hedefler haline getirir.

İletişim Bilgileri Neden Oltalama ve Sosyal Mühendisliği Besliyor

Adlar, telefon numaraları ve e-postalardan oluşan bir sızıntıyı önemsiz diye geçiştirmek cazip gelir. Şifre yok, mali veri yok, ne zararı olabilir ki? Cevap şu: iletişim verileri hedefli saldırıların ham maddesidir.

Doğrulanmış bir ad, bir iş e-posta adresi ve bilinen bir işverene bağlı bir telefon numarasıyla bir saldırgan şunları yapabilir:

  • Kişiye adıyla hitap eden ve kurumuna atıfta bulunan inandırıcı oltalama e-postaları hazırlamak.
  • BT desteği, bir iş arkadaşı veya bir tedarikçi kılığına girerek sesli oltalama (vishing) aramaları yapmak.
  • Alıcıları sahte giriş sayfalarına yönlendiren SMS tuzakları göndermek.
  • Tanıdık gelen bir isme güvenen iş arkadaşlarından bilgi sızdırmak için içeriden biri gibi davranmak.

Güvenliğe odaklı bir kurumun çalışanları için risk, saldırganların tam olarak kimin orada çalıştığını ve onlara nasıl ulaşacaklarını bilmesidir. Az sayıda başarılı mesaj bile bir saldırgana bir dayanak noktası kazandırabilir. Risk yalnızca bu çalışanlarla sınırlı da değil. Aile üyeleri, yükleniciler ve DHS personeliyle iletişim kuran herkes, güvenilir bir kaynaktan geliyormuş gibi görünen mesajlar alabilir.

Yalnızca iletişim bilgilerini içeren sızıntılar da yeniden kullanılma eğilimindedir. Doğrulanmış e-posta ve telefon numaralarından oluşan listeler, diğer olaylardan gelen verilerle birleştirilebilir. LimeLeads'in 49,4 milyon işletme iletişim bilgisini açığa çıkarmasına ilişkin haberimiz, iletişim veritabanlarının ilk olaydan çok sonra bile nasıl dolaşıma girebileceğini ve kullanılabileceğini gösteriyor.

Bu Sizin İçin Ne Anlama Geliyor

DHS için çalışmıyor olabilirsiniz, ancak dersler herkes için geçerli. Çoğumuzun adı, e-postası ve telefon numarası birçok veritabanında bulunuyor: işverenler, perakendeciler, veri simsarları ve hükümet kurumları. Bunlardan biri ihlal edildiğinde, aynı oltalama taktiği sıradan insanlara karşı kullanılır.

Bir DHS çalışanıysanız veya biriyle çalışıyorsanız, normalden daha fazla istenmeyen mesaj bekleyin ve adınızı kullansalar veya iş yerinizden bahsetseler bile beklenmedik taleplere şüpheyle yaklaşın. Değilseniz, bunu kendi iletişim bilgilerinizin ne kadarının herkese açık olduğunu ve size kimlerin ulaşabildiğini gözden geçirmeniz için bir vesile olarak kullanın.

Kendi Kişisel Veri Maruziyetinizi Nasıl Azaltırsınız

Bir kuruluşun ihlal edilip edilmeyeceğini kontrol edemezsiniz, ancak zararı sınırlayabilirsiniz. Pratik adımlar şunları içerir:

  1. Farklı hizmetler için benzersiz e-posta takma adları kullanın, böylece bir yerdeki sızıntı diğer her şeyle bağlantı kurmaz.
  2. Kayıtlar ve herkese açık listeler için birincil cep telefonu numaranız yerine ayrı bir telefon numarası bulundurun.
  3. Çok faktörlü kimlik doğrulamayı açın, ideal olarak SMS yerine bir kimlik doğrulama uygulaması veya donanım anahtarıyla.
  4. Güvenmeden önce doğrulayın. Bir arama, mesaj veya e-posta kimlik bilgileri ya da acil eylem isterse, kuruluşla zaten gerçek olduğunu bildiğiniz bir kanal üzerinden iletişime geçin.
  5. Beklenmedik mesajlardaki bağlantılara tıklamayın. Bunun yerine doğrudan siteye gidin.
  6. İhlal bildirim araçlarını kontrol edin ve adreslerinizden hangilerinin bilinen sızıntılarda göründüğünü öğrenin, şifrelerinizi buna göre değiştirin.
  7. Bilgilerinizin listelendiği veri simsarı sitelerinden kaldırılma talep edin.

Amaç, gerçekçi olmayan maruziyeti tamamen ortadan kaldırmak değil, sızdırılan her ayrıntıyı bir saldırgan için daha az kullanışlı hale getirmektir.

Çıkarılacak Ders

Çalışan iletişim bilgilerine ilişkin bildirilen DHS veri ihlali, şifre veya mali kayıt içeren sızıntıların yanında mütevazı görünebilir, ancak oltalama ve sosyal mühendisliği işe yaratan tam da iletişim verileridir. Bir ayda bildirilen üç hükümet sızıntısıyla, kendi iletişim bilgilerinizin nerede açıkta olduğunu denetlemek ve alışkanlıklarınızı sıkılaştırmak için şimdi makul bir zaman. Örüntü hakkında daha geniş bağlam için FBI çalışan verisi ihlali ve ANTS kimlik kaydı hack'i haberlerimizi okuyun, ardından kendi hesaplarınızı güvence altına almak için birkaç dakika ayırın.