Düzenleyici İhlal Raporlarında Artış Görüyor

Birleşik Krallık Bilgi Komiserliği Ofisi, raporların Mart ayında milyarlarca sterlinlik şirkete yönelik bir hack saldırısına ve Capita tarafından yönetilen güvenli olmayan bir Amazon Web Services klasörüne bağlı olduğunu söyledi. Bir ICO sözcüsü yaptığı açıklamada, “Bu olaylardan doğrudan etkilenen kuruluşlardan çok sayıda rapor alıyoruz ve şu anda soruşturma yapıyoruz” dedi.

Halka açık Capita, 31 Mart’ta hack saldırısını tespit etti. Fidye yazılımı grubu Black Basta, Capita’yı 8 Nisan’da veri sızıntısı sitesinde çalınan veri örnekleriyle birlikte listeleyerek krediyi üstlendi. Veriler, suçluların özel erişim satın aldığını veya kurbanın fidye ödediğini öne sürerek hızlı bir şekilde kaldırıldı (bkz:: Temel Veri İhlaliyle İlgili Sorular Devam Ediyor Sevgili Kişim).

İkinci olay, Nisan ayında güvenlik araştırmacısı Kevin Beaumont tarafından keşfedilen ve Capita’ya bildirilen güvenli olmayan Amazon Web Hizmetleri klasörünü içeriyordu. Parola korumasının 2016’dan beri devre dışı bırakıldığı, herkesin erişebileceği klasörün toplam boyutu 655 gigabayt olan yaklaşık 3.000 dosya içerdiğini buldu.

İhlallerden etkilenen Capita müşterilerinin veya her iki olayda da kişisel bilgileri çalınan veya açığa çıkan kişilerin toplam sayısı belirsizliğini koruyor. Şirketin müşterileri arasında İngiliz ordusu, Ulusal Sağlık Servisi, Royal Bank of Scotland ve telekomünikasyon devleri O2 ve Vodafone yer alıyor, bu da milyonlarca kişiye ait verilerin risk altında olabileceği anlamına geliyor.

Şimdiye kadarki raporlar, 350 kadar emeklilik fonunun etkilendiğini gösteriyor.

Capita’nın olaylarda açığa çıkan tüm dosyaları veya verileri tanımlayıp tanımlamadığı belirsizliğini koruyor. Bazı müşteriler, Capita’nın açığa çıktığını söylediği dosyaların içeriğini inceliyor. Müşterilerin veri ihlali bildirimleri, Capita’nın kendi soruşturmasının devam ettiğini gösteriyor.

Ülkenin veri koruma yetkilisi, Capita müşterilerinin risklerini proaktif olarak belirlemesini istiyor. ICO sözcüsü, “Capita’nın hizmetlerini kullanan kuruluşları bu olaylarla ilgili kendi konumlarını kontrol etmeye ve tuttukları kişisel verilerin etkilenip etkilenmediğini belirlemeye teşvik ediyoruz” dedi. “Gerekirse, bir veri ihlalini ICO’ya bildirmeyi düşünün ve bu bilgileri sonraki adımlarımızı bildirmek için kullanacağız.”

İngiltere’nin gizlilik yasaları uyarınca, kontrol ettiği kişisel verilerin ihlal edildiğini veya potansiyel olarak açığa çıktığını öğrenen herhangi bir kuruluş, 72 saat içinde ICO’yu bilgilendirmek zorundadır.

Hack Saldırısı Kurbanı: USS

Hack saldırısından etkilenen bir kuruluş, İngiltere’nin en büyük emeklilik fonu olan Universities Superannuation Scheme’dir. Mevcut ve eski üyelerle ilgili bilgilerin, emekli maaşlarını yönetmek için kullandığı Capita’nın Hartlink teknoloji platformunu kullanmasıyla açığa çıktığını söylüyor.

USS, etkilenen kişilere 12 aylık kimlik hırsızlığı izleme hizmeti sunuyor çünkü açığa çıkan veriler onları daha fazla dolandırıcılık riskiyle karşı karşıya bırakıyor. Hiçbir üye oturum açma bilgisi ifşa edilmemiş gibi görünse de kuruluş, yalnızca güvende olmak için kimlik ve doğrulama süreçlerini güçlendirdiğini söylüyor.

Perşembe günü yapılan bir güncellemede USS, dijital adli soruşturmaları devam ederken Capita ile yakın çalışmaya devam ettiğini söyledi. “USS verilerinin, ana Hartlink sisteminden oluşturdukları dosyalarda bulunduğunu ve operasyonel süreçleri kolaylaştırmak için sunucularında ayrı tutulduğunu biliyoruz” dedi.

USS, “Capita, verileri kurtarmak ve güvence altına almak için kapsamlı adımlar attıklarını ve ayrıca bu olay sonucunda ele geçirilen verilerin daha geniş çapta dolaşmadığını doğrulamak için karanlık ağı izlediklerini doğruladı” dedi.

Capita’nın, verileri “geri yüklemek” yerine “kurtarmak” derken neyi kastettiği belirsizliğini koruyor. Fidye yazılımı olay müdahale uzmanları, bazı kurbanların çalıntı verileri silme sözü için suçlulara para ödemeye devam etse de, bu tür güvencelerin değersiz olduğunu söylüyor (bkz: Fidye Realpolitik: Verilerin Silinmesi İçin Ödeme Yapmak Enayilerin İşidir).

Kova Maruziyeti Konseyleri Etkiler

En az altı hükümet yetkilisinin teminatsız kovadan etkilendiği görülüyor.

İngiltere’nin güneyinde ortaklaşa yönetilen bir yerel hükümet yetkilisi olan Adur & Worthing Councils, verilerinin güvenli olmayan bir kova aracılığıyla ifşa edildiğini söyledi. Capita, konseylere hiçbir kişisel verinin açığa çıkmadığını bildirdi. Ancak “Capita’nın ilgili olduğunu söylediği dosyaların her birini inceledikten sonra”, “bu dosyalar aslında yaklaşık 100 Adur ve Worthing sakinine ait bazı kişisel verileri içeriyordu” dedi.

Capita, yorum talebine yanıt vermedi (bkz: Capita Hatalı İhlal Ayrıntıları Yayınladı, Yetkililer Raporu).

Şimdiye kadar Capita, web sitesinde hack saldırısı hakkında üç kısa “siber olay güncellemesi” yayınladı. 10 Mayıs’ta müşteriler, tedarikçiler ve çalışanlarla ilgili “bazı verilerin çalındığını” doğruladı ve temizleme işleminin kendisine 25 milyon dolara mal olabileceğini tahmin etti. Yetersiz ayrıntılar ve şirketten resmi bir özür gelmemesi nedeniyle bazı uzmanlar, Capita’nın veri ihlalini ve bunun müşteriler ve bireyler üzerindeki etkisini küçümsemeye çalışıp çalışmadığını sorguladı.