Bu ayın başlarında, National Public Data adlı veri toplama hizmetinden devasa bir veri hazinesi çevrimiçi olarak yayınlandı. Döküm, yüz milyonlarca insanın verilerini ve Sosyal Güvenlik Numaralarını içerdiği için uluslararası manşetlere çıktı.
Sanki bu yeterince kötü değilmiş gibi, KrebsOnSecurity şimdi de başka bir Ulusal Kamu Veri şirketinin, internet sitesinin arka ucuna ait kullanıcı adları ve parolaları (site yöneticisi de dahil) içeren bir dosyayı çevrimiçi olarak barındırdığını bildiriyor.
Bu şirketin web sitesi, Records Check, recordscheck.net adresinde barındırılıyor ve aynı giriş sayfalarıyla nationalpublicdata.com’a çok benziyor. Artık çevrimdışı olan ve herkesin erişebildiği dosya, tüm RecordsCheck kullanıcılarına aynı 6 karakterli parolanın verildiğini ve bu parolayı değiştirme talimatlarının verildiğini gösteriyordu. Birçoğu bunu yapmayı başaramadı.
National Public Data’nın kurucusu Salvatore “Sal” Verini, Krebs’e ifşa edilen dosyanın şirketin internet sitesinden kaldırıldığını ve sitenin tamamının “önümüzdeki hafta veya daha kısa bir süre içinde” faaliyetlerini durduracağını söyledi.
Ama bu biraz fazla az ve çok geç. Bu tür şirketlerin verilerimizi toplaması konusunda ne kadar kötü hissetsek de, kişisel bilgilerimizi ne kadar dikkatsizce ele aldıklarını görmek daha da kötü.
Farklı
Orijinal NPD veri dökümüne geri dönersek, artık bu veritabanı hakkında çok daha fazla şey biliyoruz.
İddiaya göre, 277 GB veri seti yaklaşık 2,9 milyar kişinin Sosyal Güvenlik numaralarını ve diğer hassas verilerini içeriyordu. Bu biraz abartılı görünüyor, bu yüzden bunu araştırdık.
Araştırmacılarımızın tahminlerine göre 272 milyon benzersiz sosyal güvenlik numarası içeriyor. Bu, ABD vatandaşlarının çoğunluğunun etkilenebileceği anlamına gelebilir, ancak çok sayıda kişi BleepingComputer’a bunun ölen akrabalar hakkında da bilgi içerdiğini doğruladı.
Bu davayı diğer veri ihlallerinden çok farklı kılan birkaç husus var.
Birincisi, veriler “kazınmıştı”, yani çeşitli kaynaklardan çekilmiş ve büyük bir veritabanında birleştirilmişti. Yani bu, verilerin zaten “dışarıda” olduğu anlamına gelir. Veri kümelerini birleştirmek genellikle yinelenen kayıtlara yol açar, örneğin aynı kişi ancak farklı bir adreste yaşıyorsa iki kez listelenir.
Ancak, verilerin bu kadar büyük bir veri tabanında birleştirilmesi, erişimi olanların her kişi hakkında çok büyük miktarda veri toplamasına olanak tanır.
İkincisi, kazıma nedeniyle, ihlal edilen varlık ile sızdırılan veritabanındaki verileri olan kişiler arasında doğrudan bir bağlantı yoktur. Normalde, işletmeler etkilenen müşterilerini ne olduğu konusunda bilgilendirir, kredi izleme hizmetleri sunar ve tam olarak neyin çalındığını bildirir.
ABD Güney Florida Bölge Mahkemesi’ne yapılan şikayetin sonucuna bağlı olarak, bunlardan bazıları yine gerçekleşebilir; ancak bunun, müşterileri konusunda endişe duyan bir şirketin yapmaya istekli olabileceği seviyeye yakın olması pek olası değildir.
National Public Data, ihlal hakkında bir web sitesi kurdu (sadece bir ABD IP adresiyle erişilebilir, bu nedenle ABD dışından bir VPN kullanmanız gerekebilir). Bu web sitesine göre:
“İhlal edildiğinden şüphelenilen bilgiler arasında isim, e-posta adresi, telefon numarası, sosyal güvenlik numarası ve posta adresi(leri) yer alıyordu.”
Veri ihlalinden sonra kendinizi koruma
Veri ihlalinin kurbanı olduysanız veya olduğunuzdan şüpheleniyorsanız alabileceğiniz bazı önlemler vardır.
- Satıcının tavsiyesini kontrol edin. Her ihlal farklıdır, bu nedenle ne olduğunu öğrenmek için satıcıyla görüşün ve sundukları özel tavsiyeleri izleyin.
- Şifrenizi değiştirin. Çalınan bir parolayı değiştirerek hırsızlar için işe yaramaz hale getirebilirsiniz. Başka hiçbir şey için kullanmadığınız güçlü bir parola seçin. Daha da iyisi, bir parola yöneticisinin sizin için bir tane seçmesine izin verin.
- İki faktörlü kimlik doğrulamayı (2FA) etkinleştirin. Eğer yapabiliyorsanız, ikinci faktörünüz olarak FIDO2 uyumlu bir donanım anahtarı, dizüstü bilgisayar veya telefon kullanın. İki faktörlü kimlik doğrulamanın (2FA) bazı biçimleri, bir parola kadar kolay bir şekilde dolandırıcılık yoluyla ele geçirilebilir. FIDO2 cihazına dayanan 2FA dolandırıcılık yoluyla ele geçirilemez.
- Sahte satıcılara dikkat edin. Hırsızlar sizinle satıcı gibi davranarak iletişime geçebilir. Mağdurlarla iletişime geçip geçmediklerini görmek için satıcının web sitesini kontrol edin ve sizinle farklı bir iletişim kanalı kullanarak iletişime geçen herhangi birinin kimliğini doğrulayın.
- Acele etmeyin. Kimlik avı saldırıları genellikle tanıdığınız kişileri veya markaları taklit eder ve teslimatların kaçırılması, hesapların askıya alınması ve güvenlik uyarıları gibi acil müdahale gerektiren temaları kullanır.
- Kart bilgilerinizi saklamamayı düşününSitelerin kart bilgilerinizi hatırlaması kesinlikle daha kullanışlıdır, ancak bu bilgileri web sitelerinde saklamamanızı şiddetle öneririz.
- Kimlik izlemeyi ayarlayın. Kimlik izleme, kişisel bilgilerinizin yasadışı olarak çevrimiçi ticaretinin yapıldığı tespit edilirse sizi uyarır ve sonrasında toparlanmanıza yardımcı olur.
Hangi kişisel verilerinizin çevrimiçi olarak ifşa edildiğini öğrenmek istiyorsanız, ücretsiz Dijital Ayak İzi taramamızı kullanabilirsiniz. Merak ettiğiniz e-posta adresini girin (en sık kullandığınızı göndermek en iyisidir) ve size ücretsiz bir rapor gönderelim.