Bilgi ve İletişim Teknolojileri Bakanlığı (DICT), Çevre ve Doğal Kaynaklar Bakanlığı'na bağlı bir kurum olan Çevre Yönetimi Bürosu'nun (EMB) Şirket Kayıt Sistemi'ni (CRS) ilgilendiren iddia edilen yetkisiz erişim olayını inceliyor. Filipinler'de bildirilen EMB veri ihlali hâlâ soruşturma altında ve yetkililer ne olduğunu doğruladıkça ayrıntılar değişebilir.
Bu yazı, bildirilenleri, bu tür bilgi sistemlerinin genellikle hangi verileri barındırdığını, bir VPN'in bu tür bir olayı neden önleyemeyeceğini ve işletme sahiplerinin şimdi ne yapabileceğini ele alıyor.
EMB Şirket Kayıt Sistemi olayı hakkında bildiklerimiz
Philstar.com'a göre DICT, EMB'nin Şirket Kayıt Sistemi ile bağlantılı iddia edilen bir yetkisiz erişim olayını inceliyor. EMB, DENR'e bağlı bir kurumdur. Makale, konuyu soruşturulan olası bir ihlal olarak tanımlıyor; tamamen doğrulanmış ve kapsamı belirlenmiş bir olay olarak değil.
Haberı ele alan diğer sayfalardaki arama özetleri, ön raporların büronun sisteminde tutulan hem kişisel hem de kurumsal bilgilere işaret ettiğini söylüyor. Bu sayfaların bazıları ayrıca belirli rakamlara ve ifşa edilen belge türlerinin listelerine atıfta bulunuyor. Bu iddiaları kaynak makaleden doğrulayamadık, bu nedenle DICT veya EMB bulguları yayımlayana kadar doğrulanmamış olarak değerlendirin.
Burada "iddia edilen" ifadesi önemlidir. Soruşturmacıların erişimin nasıl sağlandığını, ne kadar verinin dahil olduğunu ve verinin kopyalanıp kopyalanmadığını veya kötüye kullanılıp kullanılmadığını hâlâ tespit etmesi gerekiyor.
Şirket kayıt sistemleri genellikle hangi verileri barındırır
CRS'nin neleri sakladığına dair resmi bir envanterimiz yok. Ancak genel olarak, şirketlerin bir düzenleyici kuruma kaydolmasını sağlayan bir kayıt platformu, ticari ve bireysel bilgilerin bir karışımını toplar. Makul örnekler şunları içerir:
- Şirket adları, adresleri ve kayıt numaraları
- Sahiplerin, yetkililerin veya yetkili temsilcilerin adları ve iletişim bilgileri
- Kayıt sırasında yüklenen destekleyici belgeler
Bu kombinasyon, tek bir devlet veritabanını cazip kılan şeydir. Kurumsal kayıtlar bir saldırganın inandırıcı görünmesini sağlarken, kişisel bilgiler belirli bir kişiyi hedeflemesine olanak tanır. Gerçek bir kayda veya gerçek bir yetkiliye atıfta bulunan bir mesajın göz ardı edilmesi, genel bir dolandırıcılık e-postasından çok daha zordur.
Pratik risk, ham veriden çok, onunla ne yapılabileceğiyle ilgilidir: hedefli kimlik avı, kurum personelinin taklidi, sahte uyum bildirimleri veya sahte faturalar.
Bir VPN bu ihlali neden durduramazdı
Bir VPN, cihazınız ile VPN sunucusu arasındaki trafiği şifreler ve ziyaret ettiğiniz sitelerden IP adresinizi gizler. Bu, halka açık Wi-Fi'de ve bazı izlemeleri sınırlamak için yararlıdır. Başkasının sunucusunda bulunan verileri korumak için hiçbir şey yapmaz.
Yetkisiz bir taraf bir devlet veritabanına girerse — ister bir yazılım kusuru, ister çalınmış kimlik bilgileri, ister yanlış bir yapılandırma yoluyla olsun — veriler sunucu tarafından alınır. Kayıt sahibinin kendi bağlantısı zayıf nokta değildir. Her kayıtta VPN kullanan bir işletme sahibi bile aynı bilgileri aynı sistemde saklamış olurdu.
Bu, VPN'lere karşı bir argüman değil, yalnızca sınırlarının bir hatırlatıcısıdır. Onlar ağ gizliliğini ele alır, kayıtlarınızı tutan kuruluşların güvenlik uygulamalarını değil. Ülkenin çevrimiçi ortamı ve DICT'nin rolü hakkında daha geniş bağlam için Filipinler'in internet özgürlüğünde nasıl 109. sırada olduğu yazımıza bakın.
Etkilenen işletmeler ve sahipleri kendilerini nasıl koruyabilir
Soruşturma kapsamı netleştirene kadar, kayıt bilgilerinin size karşı kullanılabileceğini varsaymak mantıklıdır. Atmaya değer adımlar:
- Beklenmeyen mesajlara şüpheyle yaklaşın. EMB, DENR veya başka bir kurumdan geldiğini iddia eden e-postalara, mesajlara veya aramalara — özellikle gerçek kayıt bilgilerinizden bahsedenlere — karşı dikkatli olun. Kendiniz arayıp bulduğunuz resmi bir iletişim kanalı üzerinden doğrulayın.
- Acil ödeme veya belge taleplerine göre hareket etmeyin. Sahte faturalar, cezalar ve uyum son tarihleri yaygın baskı taktikleridir.
- Hesaplarınızı güvence altına alın. İşletmeyle bağlantılı herhangi bir devlet portalında, e-postada ve bankacılık hesabında benzersiz parolalar, bir parola yöneticisi ve çok faktörlü kimlik doğrulama kullanın.
- Parolanızı yeniden kullandıysanız değiştirin. CRS parolanız başka bir yerde kullandığınızla eşleşiyorsa, her yerde değiştirin.
- Kötüye kullanımı izleyin. Banka ekstrelerini, işletme hesaplarını ve krediyle ilgili bildirimleri yabancı bir şey için takip edin.
- Ekibinizi bilgilendirin. Finans ve yazışmaları yöneten personele, kimlik taklidi girişimlerinin normalden daha inandırıcı olabileceğini bildirin.
Bu Sizin İçin Ne Anlama Geliyor
Filipinler'de kayıtlı bir şirkete sahipseniz veya onu yönetiyorsanız panik yapmanıza gerek yok, ancak tetikte olmalısınız. Yakın vadeli ana tehdit sosyal mühendisliktir: meşru görünmek için gerçek ayrıntıları kullanan mesajlar. Filipinler'le herhangi bir iş ilişkiniz yoksa, bu haber devlet veritabanlarının riski nasıl yoğunlaştırdığının ve hiçbir yanlış yapmadığınızda bile kendi alışkanlıklarınızın (benzersiz parolalar, çok faktörlü kimlik doğrulama, istenmeyen mesajlara karşı şüphecilik) neden önemli olduğunun yararlı bir örneğidir.
Önemli çıkarımlar
DICT'nin Filipinler'deki iddia edilen EMB veri ihlaline yönelik soruşturması sürüyor ve gerçekler hâlâ ortaya çıkıyor. Bir VPN sunucu taraflı bir izinsiz girişi önleyemezdi, bu nedenle şimdi en etkili savunmalar kimlik avına ve kimlik taklidine karşı tetikte olmak ve daha güçlü hesap güvenliğidir. İşletme sahipleri herhangi bir kurum iletişimini bağımsız olarak doğrulamalı, çok faktörlü kimlik doğrulamayı etkinleştirmeli ve DICT ile EMB'den resmi güncellemeleri takip etmelidir. Ülkenin dijital ortamı hakkında daha geniş bir arka plan için Filipinler'de internet özgürlüğü hakkındaki makalemizi okuyun.
