Veri ihlali uyarı hizmeti Have I Been Pwned (HIBP), SurveyLama'nın Şubat 2024'te 4,4 milyon kullanıcının hassas verilerini açığa çıkaran bir veri ihlali yaşadığı konusunda uyarıyor.
SurveyLama, kayıtlı kullanıcıları anketleri tamamladıkları için ödüllendiren çevrimiçi bir platformdur. Fransız firması Globe Media'ya ait olan platform, yüksek ödemeler (20 dolara kadar), hızlı ödemeler ve çoklu para çekme seçenekleriyle övgüyle karşılanıyor.
Şubat ayının başlarında, HIBP'nin yaratıcısı Troy Hunt, hizmeti etkileyen ve aşağıdakiler de dahil olmak üzere çeşitli veri türlerini içeren bir veri ihlali hakkında bilgi aldı:
- Doğum tarihleri
- E-mail adresleri
- IP adresleri
- Tam İsimler
- Şifreler
- Telefon numaraları
- Fiziksel adresler
Hunt, BleepingComputer'a, etkilenen kullanıcılardan biri tarafından bu riskin kendisine bildirildiğini ve verileri bağımsız olarak doğruladığını söyledi.
Verilerin doğruluğunu sormak için HIBP ile iletişime geçtiğinde SurveyLama, etkilenen kullanıcıları zaten e-posta yoluyla bilgilendirdiklerini ve güvenlik olayını doğruladıklarını söyledi.
Veri seti 4.426.879 hesap hakkında bilgi içeriyor ve HIBP'ye dün eklendi, dolayısıyla etkilenen kullanıcıların zaten bir e-posta bildirimi almış olması gerekiyor.
Platform, ifşa edilen şifrelerin tuzlu SHA-1, bcrypt veya argon2 hash formunda saklandığını, dolayısıyla doğrudan kullanılabilen şifresiz metin halinde olmadıklarını söyledi.
Hashing, kırılmaya karşı bir miktar direnç sağlasa da, özellikle bilinen güvenlik açıklarını taşıyan ve çarpışma saldırılarına karşı duyarlı hale getiren tuzlu SHA-1 ile korunan şifreler olmak üzere kaba kuvvete karşı dayanıklı değildir.
Bununla birlikte, SurveyLama hesap sahiplerinin hizmetteki ve aynı kimlik bilgilerini kullanabilecekleri diğer platformlardaki şifrelerini derhal sıfırlamaları gerekmektedir.
Hunt, BleepingComputer'a, tehlikeye atılan verilerin kamuya açık bir yerde yayınlandığından haberdar olmadığını ve bu durumun teşhiri şu anda sınırlı hale getirdiğini söyledi.
Ancak veri kümesi yanlış ellere düşerse, özel olarak istismar edilebilir ve daha sonra daha geniş siber suç topluluğuna sızdırılabilir; bu nedenle kullanıcıların mümkün olan en kısa sürede koruyucu önlemler alması gerekir.