ShinyHunters’ın Qantas, Vietnam Havayolları ve Diğer Büyük Firmalardan Veri Sızdırdığı İddiası

Bilgisayar korsanları kendilerini şöyle tanıtıyor:Dağınık Lapsus$ Avcıları,Scattered Spider, Lapsus$ ve ShinyHunters’ın unsurlarını birleştirdiği söylenen bir kolektif, hedeflenen 39 şirketten 6’sına ait olduğu iddia edilen verileri yayınladı.

Sızıntıda adı geçen şirketler şöyle:

1. Fujifilm
2. GAP, A.Ş.
3. Vietnam Havayolları
4. Engie Kaynakları
5. Qantas Airways Limited
6. Albertsons Şirketleri, Inc.

Verilerde Neler Var?

İhlali doğrulayabilenler yalnızca etkilenen şirketler olsa da Hackread.com sızdırılan veriler üzerinde derinlemesine bir analiz gerçekleştirdi ve veriler meşru görünüyor. 6 sızıntının tamamında kayıt, e-posta adresleri, tam adlar, adresler, pasaport numaraları, telefon numaraları dahil olmak üzere müşterilerin ve işletmelerin kişisel ayrıntılarını içeriyor.

Qantas Airways Limited

Qantas Airways Limited’den sızdırıldığı iddia edilen veri kümesinin boyutu oldukça büyük ve ağırlığı 153 GB. Dosyalar JSON formatındadır ve 5 milyondan fazla kayıt içerdiği bildirilmektedir. Veriler 10 Ekim 2025’te yayınlandı ve tehdit aktörleri tarafından herkese açık olarak işaretlendi.

Bu veri kümesi, kişisel olarak tanımlanabilir bilgileri (PII) müşteri sadakati ve dahili iş verileriyle birleştirerek, gerçek olması durumunda ciddi bir teşhir haline getirir. İşte sızdırılan veriler şunları içeriyor:

1. Cinsiyet
2. Ülke
3. Ad Soyad
4. Doğum tarihi
5. Puan bakiyesi
6. Kullanılan para birimi (AUD)
7. Sık uçan yolcu numarası
8. Sık uçan yolcuların katılımı ve yıldönümü tarihleri
9. Unvan veya selamlama (örneğin, Bayan, Bay)
10. Sık uçan yolcu katmanı ve durum kredileri
11. Telefon numaraları (ana, alternatif, ev, iş, cep telefonu)
12. E-posta adresleri (birincil, alternatif, iş, ev)
13. Hesap oluşturma ve değiştirme zaman damgaları
14. Posta adresi ayrıntıları (şehir, posta kodu, enlem, boylam vb.)
15. Hesap veya müşteri kimlik numaraları (dahili Salesforce ve Qantas kimlikleri)
16. Profil tercihleri ​​(örneğin yemek, koltuk, pazarlama tercihleri, haber bültenleri)
17. Üyelik ve sadakat ayrıntıları (bronz aşama, son kullanma tarihi, bir sonraki seviyeye kadar durum kredileri)
18. Sosyal medya alanları (Facebook kullanıcı adı, Twitter tanıtıcısı, ancak bu durumda boştur)
19. Dahili CRM alanları (OwnerId, RecordTypeId, CreatedBy vb.)
20. Dahili raporlara ve şablonlara bağlantılar (örneğin, “QCC Sık Uçan Yolcu Raporu”, “QCC Dinlenme Salonları Raporu”)
21. Müşteri notları ve açıklamalar alanları
22. Coğrafi konum verileri (posta adresinin enlem ve boylamı)
23. Etkinlik ve kişi izleme meta verileri (son değiştirilme, son görüntülenme vb.)
24. Dahili işaretler ve durum göstergeleri (HasOptedOutOfEmail, DoNotCall, Active, Sensitive_Contact, vb.)

Temmuz 2025’te şirketin onaylandı Üçüncü taraf bir satıcıyla bağlantılı büyük bir veri ihlali, ancak o sırada adı açıklanmadı.

Vietnam Havayolları

Vietnam Havayolları’nın veri setinin 63,62 GB olduğu, yine JSON formatında ve 23 milyondan fazla kayıt olduğu belirtiliyor. Diğerleri gibi bu da 10 Ekim 2025’te kamuoyuna duyuruldu. Yayın, eğer gerçekse, bu tür ihlallere atfedilen en büyük sızıntılardan birini temsil ediyor.

Bu kayıtlar, hem kişisel olarak tanımlanabilir bilgileri (PII) hem de kurumsal hesap verilerini, ayrıca dahili havayolu CRM alanlarını ve sık uçan yolcu numarası gibi sadakat programı tanımlayıcılarını içerir. Vietnam Havayolları kaydında yer alan veri türlerinin bir listesi:

1. Yaş
2. Cinsiyet
3. Ad Soyad
4. Telefon numarası
5. Kullanılan para birimi
6. E-posta adresi
7. Sık uçan yolcu numarası
8. Doğum tarihi ve doğum yılı
9. Sahip ve sistem meta verileri
10. Dahili hesap ve kişi kimlikleri
11. İş veya kargoyla ilgili alanlar
12. Hesap türü ve kayıt sınıflandırması
13. Kurumsal veya ticari rol bilgileri
14. Kurumsal ve vergi bilgileri alanları
15. Şirketle ilgili e-posta ve telefon alanları
16. Son seyahat ve seyahatle ilgili takip alanları
17. Ülke ve şehir alanları (bazıları boş olsa da)
18. İkamet adresi (cadde ve kısmi konum ayrıntıları)

Albertsons Şirketleri, Inc.

Albertsons Companies, Inc. ile ilişkili sızıntı nispeten daha küçük olup toplam 2 GB JSON dosyasına sahiptir. Listeye göre 672.000’den fazla kayıt içeriyor. Veriler 10 Ekim 2025’te yayınlandı ve herkese açık olarak etiketlendi.

GAP, A.Ş.

GAP, INC.’e bağlı veri kümesi 1 GB boyutunda, JSON formatındadır ve bildirildiğine göre 224.000’den fazla kayıt barındırmaktadır. Bilgiler 10 Ekim 2025’te herkese açık bir durum etiketiyle yüklendi ve bu da bilgilere sızıntı portalı aracılığıyla herkesin erişebileceğini gösteriyor.

Fujifilm

Fujifilm veri sızıntısı, 155 MB boyutunda ve CSV formatında listelendiğinden, karşılaştırıldığında daha küçük görünüyor. Daha küçük boyutuna rağmen veri setinin hala 224.000 civarında kayıt içerdiği iddia ediliyor. Bu da 10 Ekim 2025’te kamuoyuna açıklandı.

Engie Kaynakları

Engie Resources’ın veri kümesi 3 GB boyutundadır ve JSON dosyaları olarak biçimlendirilmiştir. 10 Ekim 2025’te halka açık olarak yayınlanan 537.000’den fazla kaydı içerdiği söyleniyor.

İhlalden Etkilenen Toplam Şirket Sayısı

Salesforce veri ihlali iddiasında mağdur olduğu belirlenen 39 şirketin tam listesi:

1. KFC – 1,3 GB
2. ASICS – 9GB
3. UPS – 91,34 GB
4. IKEA-13GB
5. GAP, INC. – 1GB
6. Petco – 9,9 GB
7. Cisco-5,6 GB
8. McDonald’s – 28GB
9. Cartier – 1,4 GB
10. Adidas-37 GB
11. Fujifilm – 155MB
12. Instacart – 32GB
13. Marriott – 7GB
14. Walgreens – 11GB
15. Pandoranet-8,3 GB
16. Chanel – 2GB
17. CarMax – 1,7 GB
18. Disney/Hulu – 36GB
19. TransUnion – 22GB
20. Aeromexico – 172,95GB
21. Toyota Motor Corporation – 64GB
22. Stellantis – 59GB
23. Cumhuriyet Hizmetleri – 42GB
24. ÜçlüA (aaacom) – 23GB
25. Saks Beşinci – 1,1 GB
26. Albertsons (Jewel Osco, vb.) – 2GB
27. Engie Kaynakları (Plymouth) – 3 GB
28. 1-800Muhasebeci – 18GB
29. HMH (hmhcocom) – 88GB
30. Instructurecom – Kanvas – 35GB
31. Google Adsense – 19GB
32. HBO Maksimum – 3,2 GB
33. FedEx – 1,1 TB
34. Qantas Havayolları – 153GB
35. Vietnam Havayolları – 63,62GB
36. Air France ve KLM – 51GB
37. Ev Deposu – 19,43GB
38. Kuru (Gucci, Balenciaga, Brioni, AlexMcQ) – 10GB

Sırada Ne Var?

Başlangıçta daha fazla veri beklenirken, hackerlar Telegram üzerinden herhangi bir ek bilgi yayınlamayacaklarını duyurarak, “Birçok insan başka nelerin sızdırılacağını soruyor. Başka hiçbir şey sızdırılmayacak. Sızan olan her şey sızdırıldı, sızdıracak başka hiçbir şeyimiz yok ve tabii ki elimizdeki şeyler bariz nedenlerden dolayı sızdırılamaz.” Bu açıklama, kalan verilerin geleceğini belirsiz bırakıyor.

Ancak zaten sızdırılan şey yeterince zarar verici. Doğrulandığı takdirde bu veritabanlarının yayınlanması birçok sektörde ciddi sonuçlar doğurabilir. Havayolları, perakendeciler ve enerji şirketleri, kişisel ayrıntılar, iletişim verileri ve dahili kayıtlar dahil olmak üzere büyük miktarda hassas müşteri ve iş bilgilerini saklar.

Bu tür verilerin açığa çıkması, etkilenen bireyleri kimlik hırsızlığı ve dolandırıcılık riskiyle karşı karşıya bırakırken, aynı zamanda ilgili şirketlerin itibarına ve mali zararına da yol açabilir. Bu sızıntılar daha önceki iddialarla bağlantılı olduğundan Salesforce güvenlik açığıOlay aynı zamanda bu kadar kapsamlı verileri yöneten ve saklayan üçüncü taraf platformların güvenlik uygulamalarına ilişkin soruları da gündeme getiriyor.