Bir Kanser Teşhis Devi, ShinyHunters'ın Son Hedefi Oldu
Şantaj grubu ShinyHunters, büyük bir kanser teşhis şirketinden çalınan yaklaşık 10,9 milyon e-posta adresini içeren bir veri seti yayınladı; sağlık şirketinin fidye ödemeyi reddettiği bildirildi. Sızdırılan veriler, hastalar, müşteriler ve kullandıkları sağlık hizmetleriyle ilişkili kişisel bilgileri içeriyor ve hassas tıbbi ayrıntıların suç forumlarında nasıl dolaşıma girdiğine dair yeni endişeleri gündeme getiriyor. Güvenlik araştırmacıları, ihlali bir kanser teşhis sağlayıcısı olan Exact Sciences ile ilişkilendirdi, ancak etkilenen bireylerin tam kapsamı hâlâ değerlendiriliyor.
Bu olayı dikkate değer kılan sadece sızıntının büyüklüğü değil. ShinyHunters'ın içeri sızmak için başlangıçta kullandığı yöntem: bir yazılım açığından yararlanmadılar ya da güvenlik duvarını aşmadılar. Telefonu eline aldılar.
Vishing, Çalışanları Nasıl Farkında Olmadan Suç Ortağına Dönüştürdü
Haberlere göre ShinyHunters, teşhis şirketindeki çalışanları aradı ve personeli erişim kimlik bilgilerini vermeye veya hesap değişikliklerini onaylamaya ikna etmek için yaygın olarak vishing ya da sesli oltalama olarak bilinen sosyal mühendisliği kullandı. İçeri girdikten sonra saldırganlar, şirket veya güvenlik ekibi ihlali durduramadan büyük miktarda veriyi çekmeyi başardı.
Bu, grup için bir kerelik bir taktik değil. ShinyHunters, aynı stratejiyi diğer büyük kuruluşlara karşı da kullandı. ADT veri ihlalinde, saldırganlar çalışanları erişim sağlamaya kandırmak için neredeyse aynı sosyal mühendisliği kullandıktan sonra yaklaşık 10 milyon kayıt ifşa oldu ve Charter Communications ihlali aynı yöntemle 4,9 milyon kaydı etkiledi. Her iki vakada da zayıflık teknik bir güvenlik açığı değil, insan kaynaklıydı: telefonda, meşru biriyle konuştuğuna inanan bir çalışan.
Bu model, kuruluşların savunma hakkında nasıl düşünmesi gerektiği açısından önem taşıyor. Vishing saldırıları başarılı olur çünkü kod yerine güveni ve aciliyeti hedef alır. Kendini BT desteği, bir satıcı veya yönetici olarak tanıtan ikna edici bir arayan, özellikle personel olağandışı talepleri ikinci bir kanaldan doğrulamak üzere eğitilmemişse, genellikle sofistike bir istismardan daha ileri gidebilir.
Nelerin İfşa Olduğu ve Şantaj Boyutunun Neden Önemli Olduğu
Sızdırılan veri setinin, teşhis işletmesinin hastaları ve müşterileriyle ilişkili diğer kişisel ve sağlıkla ilgili bilgilerin yanı sıra yaklaşık 10,9 milyon benzersiz e-posta adresi içerdiği bildiriliyor. Şirket ödemeyi reddettiği için ShinyHunters verileri sessizce saklamak yerine kamuya açık olarak yayınladı; grubun bu hareketi ceza olarak nitelendirdiği ve şirketin "fidyeyi ödemesi gerektiğini" belirttiği aktarılıyor.
Bu şantaj-sonra-sızdır modeli, ShinyHunters'ın imzası hâline geldi. Aynı grubun üçüncü taraf bir satıcı uzlaşması yoluyla faaliyet göstermesine bağlanan çalınan müşteri verilerinin yer aldığı Zara veri ihlalinden sonra yaşananları yansıtıyor. Bu olaylar arasındaki ortak nokta, saldırganların nadiren bir şirketin temel sistemlerine doğrudan girmeye ihtiyaç duymasıdır. İster bir satıcı, ister bir çağrı merkezi çalışanı, ister bir destek masası olsun, daha kolay bir giriş noktası bulur ve bunu bir dayanak olarak kullanırlar.
Özellikle sağlık hizmetleriyle bağlantılı ihlallerde riskler, tipik bir perakende sızıntısından daha yüksektir. Teşhis veya tedavi bilgileriyle eşleştirilmiş e-posta adresleri, hedefli kimlik avı, sigorta dolandırıcılığı veya sadece insanların asla kamuya açıklanmasını beklemediği hassas tıbbi geçmişin ifşası için kullanılabilir.
Bu Sizin İçin Ne Anlama Geliyor
Daha önce bir kanser teşhis sağlayıcısının, özellikle de bu olayla bağlantılı birinin hizmetlerini kullandıysanız, e-posta adresinizin ihlal bildirim hizmetlerinde görünüp görünmediğini kontrol etmeye ve olağandışı hesap hareketlerini izlemeye değer. Spesifik sağlık kayıtlarınız sızdırılan veri setinin bir parçası olmasa bile, e-postanızın bir sağlık hizmeti sağlayıcısının adıyla birlikte ifşa olması, sizi resmî tıbbi iletişimler gibi görünecek şekilde tasarlanmış kimlik avı e-postalarının hedefi hâline getirebilir.
Daha geniş anlamda bu ihlal, veri korumanın yalnızca güvenlik duvarları ve şifrelemeyle ilgili olmadığını hatırlatıyor. Aynı zamanda bir kuruluşun personelini sosyal mühendisliği tanıyacak şekilde ne kadar iyi eğittiğiyle de ilgili. Hassas sağlık verilerini işleyen şirketler tam da bu nedenle çekici hedeflerdir, çünkü bilgiler uzun vadeli değer taşır ve başarılı tek bir telefon görüşmesi, çevresinde yıllarca güvenlik inşa edilmiş erişimin kilidini açabilir.
Eyleme Geçirilebilir Çıkarımlar
- Saygın bir ihlal kontrol hizmeti kullanarak e-posta adresinizin bu veya ilgili ihlallerde görünüp görünmediğini kontrol edin ve bu adrese bağlı tüm hesapların şifrelerini değiştirin.
- Özellikle bir bağlantıya tıklamanızı veya kişisel bilgilerinizi onaylamanızı istiyorlarsa, tıbbi randevulara, test sonuçlarına veya fatura ayrıntılarına atıfta bulunan istenmeyen e-postalara veya aramalara şüpheyle yaklaşın.
- Kullandığınız tüm sağlık portallarında veya hasta hesaplarında çok faktörlü kimlik doğrulamayı etkinleştirin, çünkü bu, kimlik bilgileri ele geçirilse bile hasarı azaltır.
- Hassas verileri işleyen kuruluşlarla etkileşimde bulunuyorsanız, telefon üzerinden hesap erişimi vermeden önce dâhili olarak hangi doğrulama adımlarını kullandıklarını sorun, çünkü vishing direnci genellikle sadece teknolojiye değil, politikaya bağlıdır.
ShinyHunters'ın modelinin gösterdiği gibi, ShinyHunters kanser teşhis ihlali, yalnızca tek bir şirketin başarısızlığının hikâyesi değil. Sosyal mühendisliğin bir bilgisayar korsanının cephaneliğindeki en etkili araçlardan biri olmaya devam ettiğinin ve hem kuruluşların hem de bireylerin teyakkuzunun hâlâ mevcut en iyi savunma olduğunun bir işaretidir.
