Arka plan kontrol şirketi MC2 Data’nın ifşa edilen veri tabanından 100 milyondan fazla Amerikalının verilerinin sızdırıldığı ortaya çıktı.
PrivateRecords.net, PrivateReports, PeopleSearcher gibi web sitelerini işleten MC2, ThePeopleSearchers ve PeopleSearchUSA, görünüşe göre 2,2TB veri içeren bir veritabanını korumasız ve internette kolayca erişilebilir bir şekilde bırakarak, ABD vatandaşları hakkında özel bilgiler içeren 100 milyondan fazla kaydı ifşa etti.
Bu haber, bu yılın başlarında arka plan kontrol servisi National Public Data’da meydana gelen ve yaklaşık 3 milyar kişiye ait verilerin sızdırıldığı iddia edilen güvenlik ihlalinin ardından geldi.
MC2 Veri Sızıntısı Büyük Miktarda Kişisel Bilgiyi Açığa Çıkardı
Cybernews araştırmacıları, görünüşe göre yanlış yapılandırılmış veritabanının, “ABD vatandaşları hakkında özel bilgiler içeren 106.316.633 kaydı ifşa ettiğini ve gizlilik ve güvenlik konusunda ciddi endişelere yol açtığını” bildirdi. Tahminler, bu büyük veri sızıntısından en az 100 milyon kişinin etkilendiğini gösteriyor.
MC2 Data müşterileri de veri sızıntısından etkilendi; MC2 Data servislerine abone olan 2.319.873 kişinin verileri de sızdırıldı.
Arkaplan kontrol hizmetleri, işverenler, ev sahipleri ve diğerleri tarafından insanların geçmişini doğrulamak ve riski ölçmek için kullanılır ve bu nedenle ifşa edilmemesi veya çalınmaması gereken çok hassas veriler içerir. Bu tür verileri sızdıran hizmetler ayrıca kendilerini veri koruma ve gizlilik düzenleyici sonuçlarına, hukuki davalara ve itibar ve iş zararına maruz bırakır.
Gerçekten de MC2 tarafından ifşa edilen veriler çok sayıda hassas ve kişisel olarak tanımlanabilir bilgi (PII) içeriyordu; bunlar arasında şunlar yer alıyordu:
- İsimler
- E-postalar
- IP adresleri
- Kullanıcı aracıları
- Şifrelenmiş şifreler
- Kısmi ödeme bilgisi
- Ev adresleri
- Doğum tarihleri
- Telefon numaraları
- Mülkiyet kayıtları
- Yasal kayıtlar
- Mülkiyet kayıtları
- Aile, akraba, komşu verileri
- İstihdam geçmişi
Cybernews güvenlik araştırmacısı Aras Nazarovas, “Arka plan kontrol hizmetleri her zaman sorunlu olmuştur, çünkü siber suçlular genellikle kurbanları hakkında veri toplamak için hizmetlerini satın alabilirler. Arka plan kontrol hizmetleri bu tür vakaları engellemeye çalışsa da, hizmetlerinin bu şekilde kullanılmasını tamamen durduramadılar. Böyle bir sızıntı, siber suçlular için altın madeni çünkü erişimi kolaylaştırıyor ve onlar için riski azaltıyor, bu da onların bu ayrıntılı raporları daha etkili bir şekilde kötüye kullanmalarına olanak tanıyor.” dedi.
MC2 Veritabanı Ağustos’ta Keşfedildi
Cybernews raporunda verilerin siber suçluların eline geçip geçmediği açık değil ve Cybernews yayın saati itibarıyla sorulara henüz yanıt vermedi.
Raporda, veritabanının 7 Ağustos’ta keşfedildiği belirtiliyor:
“7 Ağustos’ta Cybernews araştırma ekibi, şirketin 2,2 TB’lık kişilerin verilerinin bulunduğu bir veritabanını şifresiz ve internetteki herkesin kolayca erişebileceği şekilde bıraktığını ortaya çıkardı.”
Raporda araştırmacıların MC2’ye ulaştıkları ancak hiçbir geri dönüş alamadıkları, ancak veritabanının sonunda güvence altına alındığı ve bu durumun verilerin siber suçluların eline geçmemiş olabileceği ihtimalini gündeme getirdiği belirtiliyor:
“Cybernews, MC2 Data ile birçok kez iletişime geçti ancak hiçbir yanıt alamadı. Yayımlandığı sırada, veritabanına erişim güvence altına alınmıştı.”
Bu büyük veri sızıntısı, şu anda 337.000 adet açığa çıkmış AWS kovası ve 171.000 adet açığa çıkmış Google Cloud kovasını gösteren Cyble’ın ODIN tarayıcısı gibi güvenlik açığı hizmetlerinin önemini ortaya koyuyor.