Önde gelen Bluetooth konum izleme cihazı satıcılarından biri olan Tile’ın milyonlarca kullanıcısının kişisel bilgileri, fidye talebine yol açan son veri ihlali sonrasında açığa çıkmış olabilir.
404 Media’ya göre bilgisayar korsanı, eski bir Tile çalışanının çalınan kimlik bilgilerini kullanarak şirket içi araçlara erişim sağladı ve hassas verileri çalmak için birden fazla Tile sistemine erişti.
Bu veriler, aktör tarafından sağlanan ekran görüntülerinde de gösterildiği gibi Tile tracker’ın sahipliğini aktarmak, yönetici hesapları oluşturmak ve kullanıcı bildirimleri göndermek için kullanılan araçları içeriyordu.
Konum verisi odaklı Tile’ın ana şirketi Life360, 11 Haziran 2024’te müşteri destek platformuna yetkisiz erişim tespit ettiğini duyurdu. Şirketin basın açıklamasına göre Tile, bilinmeyen bir aktörün Tile’ın müşteri bilgilerine sahip olduğu konusunda onları bilgilendirdiği bir “suç niteliğinde gasp girişiminin” hedefi oldu.
Şirket derhal araştırdı ve Tile hizmet platformuna değil, Tile müşteri destek platformuna yetkisiz erişim olduğunu keşfetti. Şirket, platform bu verileri hiçbir zaman saklamadığı için kullanıcılara hiçbir finansal verinin, şifrenin veya konum bilgisinin tehlikeye atılmadığına dair güvence verirken, isimler, fiziksel adresler, e-posta adresleri, telefon numaraları ve Tile cihazı kimlik numaraları da dahil olmak üzere hassas kullanıcı verileri ifşa edilebilir.
Life360 CEO’su Chris Hulls, “Bu olayın yukarıda açıklanan belirli Tile müşteri destek verileriyle sınırlı olduğuna ve daha yaygın olmadığına inanıyoruz” diyerek müşteri bilgilerini koruma konusundaki kararlılıklarını yeniden hatırlattı ve sistemlerini kötü aktörlerden korumak için adımlar attı.
Basın bülteninin Amerika Birleşik Devletleri dışındaki kullanıcılara sunulmadığını, dolayısıyla ekran görüntüsünün aşağıda mevcut olduğunu belirtmekte fayda var:
Şirket, olayı ve gasp girişimini kolluk kuvvetlerine bildirdi. Bununla birlikte bu ihlal, insanların konumlarını takip eden şirketlerin güvenlik açığını ve bilgisayar korsanlarının nasıl hedef haline gelebileceklerini ortaya koyuyor.
E-posta adresleri açığa çıktığı için Tile kullanıcıları kimlik avı girişimlerine karşı dikkatli olmalıdır. Kişisel bilgilerinizi veya oturum açma bilgilerinizi isteyen e-postalara karşı dikkatli olun. Tile hesabınızla ilişkili e-posta ve banka hesaplarındaki şüpheli etkinliklere karşı hesaplarınızı izleyin.
Uzman Yorumları
Flemington, New Jersey merkezli bir kimlik ve erişim güvenliği sağlayıcısı olan Pathlock’un CEO’su Piyush Pandey, veri ihlali hakkında yorum yaparak, eski veya hoşnutsuz çalışanlar tarafından gerçekleştirilen potansiyel tehdit ve güvenlik kimlik doğrulamasının eksikliği dahil olmak üzere birçok faktöre dikkat çekti.
”Bu örnekte, erişimin eski bir Tile çalışanının yönetici kimlik bilgileri kullanılarak verildiği anlaşılıyor; bu, kimlik güvenliğinin önemli bir kiracısına işaret ediyor – birleştirici, taşıyıcı ve ayrılan boyunca kullanıcıların erişimine ve yetkilerine proaktif görünürlük sağlama yeteneği Kimlik yaşam döngüsünün bazı bölümleri.”
”Ayrıca, çok faktörlü kimlik doğrulamanın eksikliğinin, yalnızca kullanıcı adı ve parolayla erişim verilmesini engellemiş olabileceği görülüyor. Bu ihlal aynı zamanda birincil iş kolu uygulamalarına ek olarak hizmet hesabı erişimini güvence altına almanın kritikliğine de işaret ediyor.” Piyush’u ekledi.
Critical Start Siber Tehdit Araştırması Kıdemli Müdürü Callie Guenther, veri ihlali sonrasında hedeflenen gasp, tedarik zinciri zayıflıkları, veri hassasiyeti, olay müdahalesi vb. gibi önemli tehdit istihbaratı sonuçlarını vurguladı. Callie ayrıca yönetici hesaplarını korumak için aşağıdaki önlemlerin uygulanmasını tavsiye etti. :
- Çok Faktörlü Kimlik Doğrulama (MFA): Ekstra bir güvenlik katmanı eklemek amacıyla tüm yönetici hesapları için MFA’yı zorunlu kılın.
- Güçlü Şifre Politikaları: Güçlü, benzersiz şifrelerin kullanımını ve düzenli şifre değişikliklerini zorunlu kılın.
- En Az Ayrıcalık İlkesi: Yönetici haklarını yalnızca ihtiyaç duyanlara vererek, üst düzey erişime sahip kullanıcı sayısını en aza indirin.
- Düzenli Denetimler ve İzleme: Şüpheli davranışları anında tespit etmek ve bunlara yanıt vermek için yönetici hesabı etkinliklerini sürekli olarak izleyin ve denetleyin.
- Güvenlik Farkındalığı Eğitimi: Çalışanlarınızı kimlik avı girişimlerini tanıma ve kimlik bilgilerini korumanın önemi konusunda eğitin.
İLGİLİ KONULAR
- Live Nation, Ticketmaster’ın Büyük Veri İhlalini Doğruladı
- LetMeSpy Android Casus Yazılımı Veri İhlalinden Sonra Kapatılıyor
- İsrailli iPhone hackleme casus yazılım şirketi QuaDream kapatılacak
- Bilgisayar korsanları Clearnet ve Dark Web’de Sahte Pegasus Casus Yazılımları Satıyor
- Dell, Hacker’ın 49 Milyon Müşteri Verisini Satmasıyla Veri İhlalini Açıkladı