Kodak Bir Siber Güvenlik İhlalini Araştırıyor
Kodak, ikonik görüntüleme ve teknoloji şirketi, yetkisiz bir üçüncü tarafın yasadışı yollarla "sınırlı miktarda şirket verisine" eriştiğini doğruladı. Şirket olayı Perşembe günü açıkladı ve ihlali keşfettiğini, şu anda erişilen verinin kapsamını ve niteliğini araştırdığını belirtti. Bu ilk açıklamanın ötesinde Kodak, hangi verilerin söz konusu olduğu, ihlalin nasıl gerçekleştiği veya herhangi bir kişisel bilginin tehlikeye girip girmediği hakkında ayrıntılı bilgi vermedi.
Kodak'ın kendi soruşturmasından elde edilen ayrıntılar bu aşamada sınırlı kalsa da, doğrulamanın kendisi önemlidir. Kurumsal veri ihlalleri nadiren basit veya izole olaylardır ve "sınırlı miktarda şirket verisi" ifadesi, adli çalışmalar ilerledikçe genellikle değişen, erken aşamada sık kullanılan bir niteleyicidir.
Yerleşik Şirketler Neden Cazip Hedeflerdir
Kodak, yüksek değerli siber hedefler denince akla gelen ilk şirket olmayabilir, ancak yerleşik şirketler şaşırtıcı derecede çeşitli ve değerli bilgilere sahiptir. Onlarca yıllık şirketler genellikle eski sistemler, tedarikçi ilişkileri ve fikri mülkiyet arşivleri taşır; bunlar, mali amaçlı suçlulardan kurumsal casusluk yapan rakiplere kadar çeşitli tehdit aktörleri için cazip olabilir.
Özel iş verilerinin ötesinde, Kodak gibi şirketler genellikle çalışanları, yüklenicileri, ortakları ve müşterileri kapsayan, yıllar boyunca birikmiş kayıtları tutar. Bu verilerin yalnızca bir kısmına erişilse bile, bireyler için sonraki zincirleme etkiler önemli olabilir. İsimler, iletişim bilgileri, finansal bilgiler ve iş yazışmaları, yasadışı pazar yerlerinde birer maldır.
Ayrıca, organizasyonel bir gerçeklik de söz konusudur: Kodak'ın son on yılda yaşadığı gibi önemli yeniden yapılanma geçiren birçok büyük şirket, birleşik güvenlik zorluklarıyla karşı karşıya kalır. BT liderliğindeki değişiklikler, sistem geçişleri ve işgücü azaltmaları, sofistike saldırganların bulup istismar etmek üzere eğitildiği boşluklara yol açabilir. Dönüşüm geçiren bir şirketin güvenlik duruşu, istikrarlı bir şirketinkinden genellikle daha zayıftır; bunun nedeni liderliğin ihmalkâr olması değil, geçişlerin tamamen güvence altına alınması zor karmaşıklıklar yaratmasıdır.
Bu durum yalnızca Kodak'a özgü değildir. ShinyHunters'ın Instructure'da 275 milyon kaydı etkileyen bir ihlal iddiasında bulunduğu eğitim sektörü de dahil olmak üzere, farklı sektörlerde benzer dinamiklerin yaşandığını gördük; bu da tehdit aktörlerinin istismar edilebilir boşluklar için kurumları nasıl aktif olarak araştırdığını göstermektedir.
Bu Sizin İçin Ne Anlama Geliyor
Eğer mevcut veya eski bir Kodak çalışanı, tedarikçisi veya müşterisiyseniz, soruşturma devam ederken tetikte olmanız mantıklıdır. Şirket, kişisel verilerin açığa çıktığını belirtmedi, ancak bu tespitin kesin olarak doğrulanması genellikle zaman ve adli analiz gerektirir.
Daha geniş anlamda bu olay, hangi şirketin ihlal edildiğinden bağımsız olarak geçerli olan bir şeyi hatırlatıyor: Kişisel verileriniz, yıllar içinde etkileşimde bulunduğunuz onlarca kuruluşa dağılmış durumdadır ve bu kuruluşların her birinin verilerinizi nasıl koruduğu üzerinde sınırlı bir kontrole sahipsinizdir. Yıllardır aklınıza gelmeyen bir şirkette yaşanan bir ihlal bile bilgilerinizi gün yüzüne çıkarabilir.
İşte tam da bu nedenle, kurumsal uygulamalardan bağımsız olarak iyi bir kişisel güvenlik hijyeni önemlidir. Her hesap için güçlü, benzersiz parolalar kullanmak ve çok faktörlü kimlik doğrulamayı etkinleştirmek, herhangi bir ihlalin patlama yarıçapını sınırlar. Kredinizi izlemek ve ihlal bildirimi hizmetlerine kaydolmak, verileriniz sızdırılmış veri setlerinde göründüğünde size erken uyarı sağlayabilir.
Uzaktan çalışanlar veya kurumsal sistemlere ortak ya da genel ağlar üzerinden erişenler için VPN kullanmak, cihazınız ile ağ arasına bir şifreleme katmanı ekleyerek ağın kendisi tehlikeye girse bile trafiğinizin ele geçirilmesi riskini azaltır. VPN, sunucu tarafında bir kurumsal ihlalin gerçekleşmesini engellemez, ancak aktarım halindeki verileri korur ve belirli türdeki ağ düzeyindeki saldırılara maruziyetinizi azaltır.
Daha Fazla Bilgi İçin Beklerken
Kodak, soruşturmanın devam ettiğini söyledi ve önümüzdeki günler ve haftalarda, düzenleyici raporlama yükümlülüklerinin tetiklenip tetiklenmediği ve etkilenen taraflara bildirim yapılıp yapılmayacağı da dahil olmak üzere daha fazla ayrıntının ortaya çıkması muhtemeldir. Amerika Birleşik Devletleri ve Avrupa Birliği gibi yargı bölgelerinde şirketler, kişisel verileri içeren belirli eşikleri karşılayan ihlalleri açıklama konusunda yasal yükümlülüklere sahiptir.
Şimdilik, Kodak ile bağlantılı herkesin yapabileceği en yararlı şey, şirketten gelen resmi bildirimleri takip etmek ve yıllar içinde bu kuruluşla hangi kişisel bilgileri paylaşmış olabileceklerini gözden geçirmektir.
Kurumsal siber güvenlik olayları sona ermeyecek ve bireyler için mevcut en iyi savunma, şirketlerin verilerini kendi adlarına korumasını beklemek değildir. Bilgilerinizi güncel tutmak, güçlü kimlik bilgisi hijyeni uygulamak ve aktarım halindeki verileri koruyan araçlar kullanmak, herhangi bir soruşturmanın nihai sonucundan bağımsız olarak bugün herkesin atabileceği adımlardır.
