Araştırmacılar, kritik sektörlerde gizlilik ve fiziksel güvenliği tehlikeye atabilecek birden fazla endüstri ve ülkede 49.000 yanlış yapılandırılmış ve maruz kalan erişim yönetim sistemleri (AMS) keşfettiler.
Erişim yönetim sistemleri, çalışanların biyometri, kimlik kartları veya plakalar aracılığıyla binalara, tesislere ve kısıtlı alanlara erişimi kontrol eden güvenlik sistemleridir.
Modat’taki güvenlik araştırmacıları, 2025’in başlarında kapsamlı bir soruşturma yürüttü ve güvenli kimlik doğrulaması için doğru yapılandırılmamış ve kimsenin bunlara erişmesine izin veren on binlerce internete maruz kalan AMS keşfetti.
Maruz kalan AMS, aşağıdakileri içeren hassas şifrelenmemiş çalışan verileri içeriyordu:
- Kişisel Kimlik Ayrıntıları (Adlar, E -posta Adresleri, Telefon Numaraları)
- Parmak izleri ve yüz tanıma gibi biyometrik veriler
- Fotoğraf
- Çalışma Programları
- Kimin girdiğini/çıktığını gösteren erişim günlükleri
Bazı durumlarda MODAT, meşru çalışanlara erişimi kısıtlamak veya kötü amaçlı aktörlere yetkisiz fiziksel erişime izin vermek için çalışan kayıtlarını düzenleyebilir, sahte çalışanları ekleyebilir, erişim bilgilerini değiştirebilir veya bina giriş sistemlerini manipüle edebilir.
Kaynak: Modat
Fiziksel güvenlik riskleri özellikle devlet binaları ve elektrik santralleri ve su arıtma birimleri gibi kritik altyapı için maruz kalan AM’ler için endişe vericidir.
Fiziksel güvenliğin yanı sıra, maruz kalan bilgiler, maruz kalan kuruluşlara karşı mızrak aktı ve sosyal mühendislik saldırılarını güçlendirmek için de kullanılabilir.
Kaynak: Modat
Küresel olarak toplam 49.000 maruz kalan AMS cihazından çoğu (16.678) İtalya’da bulunur, bunu Meksika (5.940) ve Vietnam (5.035) izlemektedir. ABD’de MODAT 1.966 maruz kalan AMS sistemi buldu.
Kaynak: Modat
Sorunu azaltmak
Araştırmacılar, AMS maruziyeti ve bunun kuruluşlarına verdiği riskler hakkında onları bilgilendirmek için doğrudan tüm sistem sahipleriyle temasa geçti. Bununla birlikte, BleepingComputer’a henüz duymadıklarını söylediler, bu yüzden kaç kişinin sistemlerini güvence altına almak için harekete geçtiği belirsiz.
Tedarikçiler de temasa geçildi ve bazıları maruziyeti düzeltmek için etkilenen müşterilerle birlikte çalıştıklarına yanıt verdi.
MODAT, yetkisiz uzaktan erişimi önlemek için sistemlerini çevrimdışı almak veya bunları yalnızca yetkili personel ile erişimi kısıtlamak için güvenlik duvarlarının ve VPN’lerin arkasına yerleştirmek de dahil olmak üzere AMS kullanıcıları için çeşitli güvenlik önerileri sağladı.
Ayrıca, bu seçenek varsa, varsayılan Yönetici kimlik bilgilerinin değiştirilmesi kolay olduğu ve çok faktörlü kimlik doğrulama (MFA) uygulanması önerilir.
AMS yöneticileri, satıcılarının en son yazılım ve ürün yazılımı güncellemelerini uygulamalı ve saldırı yüzeyini artırabilecek gereksiz ağ hizmetlerini azaltmalıdır.
Biyometrik veriler ve PII her zaman şifreli biçimde saklanmalı ve geçmiş çalışanların verileri, diğer sistemlerde devre dışı bırakılmamış eski hesaplar aracılığıyla yetkisiz erişimi önlemek için temizlenmelidir.