Takdire şayan şeffaf bir bildirimde Reddit, çalışanlarından birinin dolandırıcılığa uğradığını duyurdu.
9 Şubat 2023 Perşembe günü Reddit, bir çalışanın kimlik avı nedeniyle bir güvenlik olayı yaşadığını bildirdi.
Ne oldu?
Reddit’e göre, 5 Şubat 2023’ün sonlarında kimlik bilgilerini ve iki faktörlü kimlik doğrulama belirteçlerini çalmaya çalışan “sofistike bir kimlik avı kampanyasının farkına vardı”.
Çalışanlarından biri kimlik avına düştü ve ardından Reddit’i olanlar hakkında uyararak kendi kendini bildirdi. “Güvenlik ekibi hızla yanıt verdi, casusun erişimini kaldırdı ve dahili bir soruşturma başlattı” diyor.
Çalışanın kimlik bilgilerinin, şirket kişileri ve çalışanları için “sınırlı iletişim bilgilerini” ve reklamverenler hakkında bilgileri açığa çıkaran “bazı dahili belgelere, kodlara ve ayrıca bazı dahili panolara ve iş sistemlerine” erişim sağlamak için kullanıldığı bildirildi.
Reddit’e göre şifreleriniz güvende. Sonuç olarak, giriş bilgilerinizi değiştirmenize gerek yoktur. Ayrıca, ihlalin “yığınımızın Reddit’i çalıştıran ve verilerimizin çoğunu depolayan kısımlarını” veya “kamuya açık olmayan verilerinizden herhangi birini” etkilediğine dair hiçbir işaret olmadığını söylüyor.
Reddit, olanları bu kadar net bir şekilde bildirdiği için övgüyü hak ediyor: Net mesajlaşma, kaçınma yok ve kullanıcıların neleri dikkate alması gerektiğine dair net bir gösterge. İronik bir şekilde, Reddit’in kullanıcılarına sunduğu tek tavsiye, hesaplarını korumak için iki faktörlü kimlik doğrulama (2FA) kurmalarıdır.
Doğru türde 2FA—donanım anahtarlarına veya FIDO2 cihazlarına dayanan 2FA—kendi çalışanının dolandırıcılığa uğramasını engelleyebilirdi. Yine de, herhangi bir 2FA biçimi hiç olmamasından iyidir, bu nedenle Reddit’te 2FA kurmanızı öneririz. Uygulama tabanlı 2FA’sı sizi kimlik avından koruyamaz, ancak parolalarınıza yönelik her türlü saldırıyı durduracaktır.
Reddit’te 2FA nasıl kurulur?
Parolanızla birlikte oturum açmak için gereken altı haneli kodu oluşturmak için bir uygulama kullanmanız gerekecek. SSS’den:
- Ekranınızın sağ üst köşesindeki kullanıcı adınıza tıklayın.
- Kullanıcı Ayarları’nı seçin ve Gizlilik ve Güvenlik sekmesine tıklayın.
- Gelişmiş Güvenlik altında, İki faktörlü kimlik doğrulama kullan denetimini göreceksiniz. Etkinleştirmek için açma/kapama düğmesini tıklayın.
- Ardından, şifrenizi girin ve Onayla’yı tıklayın.
- Kimlik doğrulamanızı ayarlamak için adım adım talimatları izleyin ve yedek kodlarınızı kaydetmeyi unutmayın.
- Kurulumdan sonra, oturumu kapatmanız ve hesabınızda tekrar oturum açmanız istenebilir. Bundan sonra, Reddit’e her giriş yaptığınızda kimlik doğrulayıcı uygulamanızdan 6 haneli bir kod girmeniz gerekecek.
Bu uygulamada, arka planda gizlenen bir tür ihlal olsa da olmasa da hesabınız çok daha güvenli olacaktır. Şimdi ihlal bildirimine bir göz atma zamanı. Kendi sözleriyle:
İyi yapılmış bir olay bildirimi
Güvenlikteki herhangi birinin size söyleyeceği gibi, ihlaller “eğer, ne zaman” meselesidir, bu nedenle şirketlerin ihlal edildiğinde nasıl tepki verdiği önemlidir. Reddit şimdiye kadar bunu iyi idare etti.
Bildiriminin ilk paragrafı gerçekten acelesi olanlar için “çok uzun, okumadım” şeklinde. Aşağıdaki gibidir ve neler olup bittiği ve kullanıcıların ne yapması gerektiği konusunda çok nettir:
“Şimdiye kadar yaptığımız araştırmaya göre, Reddit kullanıcı şifreleri ve hesapları güvende, ancak Pazar gecesi (pasifik saati), Reddit sistemleri, karmaşık ve yüksek hedefli bir kimlik avı saldırısı sonucunda saldırıya uğradı. Bazı dahili belgelere, kodlara ve bazı dahili iş sistemlerine erişim sağladılar.”
Bildirim metninin ana gövdesi özellikle karmaşık olmasa da, bu daha kısa paragraf her şeyi en ince ayrıntısına kadar inceler, böylece kesinlikle herkes ne olduğunu anlayabilir. Bu, ihlal bildirimi durumlarında her zaman olmaz!
Reddit personeli ayrıca bildirimin altındaki yorumlarda bir “Bana Her Şeyi Sor” (AMA) düzenledi. Evet, Reddit, gönderme biçimi göz önüne alındığında bir Soru-Cevap etkileşimi için idealdir, ancak yanıtları da kolayca kapatabilirlerdi. En son ne zaman bir ihlal bildiriminin bir hizmetin kullanıcılarına olayla ilgilenen personelle doğrudan etkileşim kurma olanağı verdiğini hatırlıyor musunuz?
Son olarak, ilgili çalışan kovulmaz, bunun yerine bildiriminde “güvenlik becerilerimizi güçlendirmek için çalışanlarımızla birlikte çalıştığı” belirtilir.
Bu ihlal söz konusu olduğunda çok açık ve yaklaşılabilir olduğu için Reddit’e teşekkür ederiz.
Tehditleri sadece rapor etmiyoruz, onları kaldırıyoruz
Siber güvenlik riskleri asla bir manşetin ötesine geçmemelidir. Malwarebytes’i bugün indirerek tehditleri cihazlarınızdan uzak tutun.