Georgia Üniversite Sistemi (USG), son MOVEit veri ihlali nedeniyle yaklaşık 800.000 öğrenci, öğretim üyesi ve personelin gizli bilgilerinin açığa çıktığını duyurdu.
İhlal, USG ve diğer yüzlerce kuruluşun hassas verileri depolamak ve aktarmak için kullandığı MOVEit Güvenli Dosya Aktarımı yazılımındaki bir güvenlik açığı nedeniyle meydana geldi.
3 Eylül 2023’te yayınlanan bir açıklamada USG, yetkisiz bir tarafın isimler, Sosyal Güvenlik numaraları, adresler, e-posta adresleri, telefon numaraları, maaş ve sosyal yardım ayrıntıları ve diğer kişisel bilgileri içeren son derece hassas bilgilere eriştiğini doğruladı.
Bu ihlal, 1 Mart ile 26 Mayıs 2023 arasında sosyal yardım alan herkesi ve bunların yararlanıcılarını etkileme potansiyeli taşıyor.
Ücretsiz Web Semineri: Canlı API Saldırı Simülasyonu
Kuruluşların %94’ü üretim API’lerinde güvenlik sorunları yaşıyor ve beşte biri veri ihlali yaşıyor. Sonuç olarak, API’lere yönelik siber saldırıların oranı 2022’de %35’ten 2023’te %46’ya yükseldi ve bu eğilim artmaya devam ediyor:
Temel Çıkarımlar:
- OWASP API Top 10 güvenlik açığından yararlanma
- API’ye kaba kuvvet ATO (Hesap Devralma) saldırısı
- API’ye yönelik bir DDoS saldırısı
- API saldırılarını önlemek için pozitif güvenlik modeli otomasyonu
API’lerinizi bilgisayar korsanlarından korumaya başlayın
Yerinizi Ayırın
Yazılım satıcısı Progress, MOVEit güvenlik açığını ilk olarak Mayıs 2023’ün sonlarında açıkladı. Bu güvenlik açığı, saldırganların SQL komutları eklemesine ve MOVEit sunucularındaki veritabanlarına erişmesine olanak tanıdı.
Dünya çapında 2.500’den fazla kuruluşu etkileyen ve %80’inden fazlası ABD merkezli olan saldırıların arkasında Rus bağlantılı fidye yazılımı çetesi Cl0p’nin olduğundan şüpheleniliyor.
31 Mayıs’ta ihlali tespit eden USG, tehlikeye atılan MOVEit yazılımını ve uygulanan güvenlik yamalarını derhal engelledi.
Ancak ihlalin tam kapsamını belirlemeye yönelik soruşturma birkaç ay sürdü. USG artık etkilenen bireyleri bilgilendiriyor ve onlara Experian aracılığıyla ücretsiz kredi izleme ve kimlik koruma hizmetleri sunuyor.
USG Bilgi Güvenliği Baş Sorumlusu Alfred S. Barker, ihlal bildirim mektubunda “Bu haberin endişe verici olabileceğini anlıyoruz ve bu konuyu çok ciddiye aldığımıza dair sizi temin etmek istiyoruz” dedi. “Eğitim hizmetlerinin güvenli ve emniyetli bir şekilde sağlanması bizim için büyük önem taşıyor ve verilerinizi korumak için ek adımlar atıyoruz.”
333.000’den fazla öğrenciye hizmet veren 26 devlet koleji ve üniversitesiyle USG, ABD’deki en büyük üniversite sistemlerinden biridir. MOVEit ihlalinin eğitimle ilgili diğer kurbanları arasında, potansiyel olarak etkilenen 261.697 emekli ve yararlanıcının bulunduğu Georgia Öğretmen Emeklilik Sistemi ve Ulusal Öğrenci Takas Odası yer almaktadır. .
Siber güvenlik uzmanları, Cl0p çetesinin çalınan verileri silme sözünü tutma konusunda güvenilir olmadığını söylüyor. Mağdurlara kredilerini dondurmaları, hesaplarında iki faktörlü kimlik doğrulamayı etkinleştirmeleri ve kredi raporlarını herhangi bir dolandırıcılık veya kimlik hırsızlığı belirtisine karşı izlemeleri tavsiye ediliyor.
Progress, MOVEit güvenlik açığına yönelik güvenlik düzeltmeleri yayınladı ancak birçok kuruluş henüz sistemlerine yama uygulamadı.
MOVEit ihlali, giderek birbirine bağlanan dijital sistemlerin risklerini ve finansal kazanç için hassas verileri çalmak isteyen siber suçlular için dosya aktarım hizmetlerinin çekiciliğini vurguluyor.
Büyük şirketlerin siber güvenlik kaynaklarından çoğunlukla yoksun olan eğitim kurumları özellikle ağır darbe aldı. İhlalin tüm etkisi hala ortaya çıkarken, MOVEit hack’i 2023’ün en zarar verici siber saldırılarından biri olmaya hazırlanıyor.
Is Your Network Under Attack? - Read CISO’s Guide to Avoiding the Next Breach - Download Free Guide