Tarihin en büyük kişisel veri ihlali
Birkaç hafta önce 773 milyon elektronik posta adresi ve 21 milyon şifreyi içeren en büyük çalınmış internet hesaplarının ortaya çıktığını görmüştüm. Ele geçirilen hesaplardan oluşan bu listeye “1 numaralı Koleksiyon” adı verilmişti.
Şimdi ise ikinci, üçüncü, dördünce ve hatta beşinci koleksiyonlar duyuruldu. Birinci koleksiyonda ele geçirilen hesap sayısına şaşırdıysanız sıkı durun; çünkü bu sefer 25 milyar toplam kayıt, 2.2 milyar özgün kullanıcı adı ve şifreden oluşan 845 GB büyüklüğünde bir arşivden bahsediyoruz.
Wired tarafından da bildirildiği üzere 2, 3, 4 ve 5. koleksiyonlar birinci koleksiyonda ortaya çıkan ele geçirilmiş hesapları ikiye, hatta üçe katlıyor. Güvenlik araştırmacıları ise 2.2 milyar özgün kullanıcı adı ve şifresinin koleksiyonların içindeki tekrarlar çıkarıldıktan sonra elde edilen bir rakam olduğunu ve bu haliyle tarihte en büyük veri ihlali koleksiyonunu oluşturduğunu söylüyor.
BÖYLESİ GÖRÜLMEMİŞTİ
“Bugüne kadar gördüğümüz en büyük ihlal koleksiyonu” diyen Chris Rouland beş koleksiyonun tamamını dosya paylaşım ortamı olan torrentlerden indiren kişi. Rouland, Phosphorus.io isimli IoT (Nesnelerin İnterneti) güvenlik firmasının kurucusu ve aynı zamanda bir siber güvenlik araştırmacısı.
Maalesef, bu devasa çalınmış veri koleksiyonları karaborsada uzun zamandır beri dolaşımda. Rouland’ın söylediğine göre bu dev arşiv bin defadan fazla indirilmiş bile.
İndirdiği izleme dosyasının, verileri paylaşan 130’dan fazla kişi tarafından yeniden tohumlandığını gören Rouland’a göre inanılmaz boyutlarda veriden ve kişisel veriden bahsediliyor ve bu veriler eninde sonunda ortalığa saçılacak.
Dikkat çeken hususlardan birisi verilerin daha önce duyduğumuz Yahoo, LinkedIn, Dropbox gibi büyük veri ihlallerinden daha önce ele geçirilmiş olmasına rağmen, ancak şimdi bu büyük veri yığınları ile paylaşıma sokulmuş olmaları.
Bu devasa veri koleksiyonu sıradan hackerların bile artık elinde güçlü bir araç olduğunu ve bu kişilerin daha önce sızdırılan kullanıcı adı ve şifreleri kullanarak kamuya açık her hangi bir internet sitesi üzerinde kişilerin aynı şifreleri tekrar kullanabilecekleri ümidiyle deneyebilecekleri anlamına geliyor. Bu yönteme Credential Stuffing (Kimlik Bilgisi Doldurma) deniliyor. Bütün bir interneti düşündüğünüzde bunun hala çok etkili bir yöntem olduğunu söylüyor Rouland.
Siz de hesap bilgilerinizin ele geçirilip geçirilmediğini öğrenmek istiyorsanız, birinci koleksiyonda yer alan bilgiler için Have I Been Pwned adresine, iki ile beşinci koleksiyonlarda yer alıp almadığını öğrenmek istiyorsanız Hasso-Plattner Institute’s tool adresine bakabilirsiniz.
Bizim kontrollerimizde LinkedIn, Yahoo gibi bilinen büyük olayların yanı sıra Aralık 2015’de Türk TTNET tarafından saklanan kullanıcı adı ve şifrelerin yanı sıra isim, sosisim ve telefon numaralarının da ele geçirilmiş olduğunu gördük.
Bu tür durumlardan korunabilmek için mümkün olan yerlerde iki aşamalı doğrulama (2FA) kullanmanızı, sahip olduğunuz her bir hesap için farklı, güçlü ve özgün şifreler kullanmanızı ve bu karmaşık şifre listesiyle baş edebilmek için bir şifre yöneticisi yazılımı kullanmanızı öneririz.
Yazan: Michael Potuck
Türkçe tercüme : Melih R. Çalıkoğlu
Orjinal Kaynak : 9to5mac.com
İlk Yayın Tarihi: 31 Ocak 201
