Amerikan medya şirketleri arasında bilinen bir isim olan Verizon Communications, çarşamba günü çalışanlarına içeriden birinin verilerine erişim kazanmış olabileceğini bildirmeye başladı. İhlale göre fark etme Yetkisiz bir çalışan, Maine Başsavcılığına 63.206 diğer çalışanın hassas verilerini içeren bir dosyayı açtı.
Verizon, müşterilerin bu ihlalden etkilendiğine inanılmasa da, açığa çıkan çalışan verilerinin Sosyal Güvenlik Numaralarını, Ulusal Tanımlayıcıları, tam adları, ev adreslerini, DOB’leri, tazminat bilgilerini, cinsiyeti ve sendika bağlantılarını içerebileceği konusunda uyarıyor.
Yetkisiz çalışan bu belgeye ilk olarak Eylül 2023’te erişim sağladı ancak Verizon, olayı neredeyse 3 ay sonra Aralık ayına kadar keşfedemedi. Şu anda, yetkisiz çalışanın verilerle ne yapmış olabileceği veya verileri kötü amaçlarla kullanmayı düşünüp düşünmediği bilinmiyor.
Bildirimde Verizon, verilerin kötü amaçlı kullanıldığına dair henüz bir kanıt bulunmadığını belirtiyor. Neyse ki Verizon olası olumsuz etkileri azaltmak için adımlar attı. Açıklamada şirket, “Bu tür bir durumun tekrarlanmasını önlemeye yardımcı olmak için teknik kontrollerimizin geliştirilmesini sağlamak için çalışıyoruz ve konu hakkında ilgili düzenleyici makamları bilgilendiriyoruz” dedi.
Verizon ayrıca etkilenen bireylerin 2 yıl boyunca ücretsiz kimlik koruması ve kredi izleme hizmetleri almasını da ayarladı.
“Verizon, bilgilerin dışarıya taşındığına veya kötü niyetli olarak kullanıldığına dair hiçbir kanıtları olmadığını söylüyor. Önemli bir ayrıntıyı atlamadıkları sürece bu, ‘içeriden tehdit ihlali’ kadar zararsızdır” yorumunu yaptı. Roger Grimes, Veriye Dayalı Savunma Evangelisti KnowBe4.
“Bunun, Verizon’un bunu fark edip harekete geçmesini sağlamak için yaptığı izlemenin bir kanıtı olduğunu söyleyeceğim. Sanırım bu çok yaygın bir durum… ve demek istediğim çoğu şirkette her zaman oluyor… belirli verilere erişme yetkisi olmayan kişilerin hâlâ bunu yapması. 30 yıl önce çalıştığım şirketlerde bunun yaşandığını hatırlıyorum. Bu nadir olmaktan çok uzaktır. Farklı olan, Verizon ve diğer birçok şirketin artık bu tür durumları arayıp izlemesi ve varsa etkilenen potansiyel kurbanları uyarmasıdır. Bu bir ilerleme!”
Diğer taraftan, Erfan Shadabi, veri güvenliği uzmanlarıyla birlikte siber güvenlik uzmanı konfor AG, İçeriden gelen tehditlerin risklerini ve kuruluşların bunu önleyebilmesinin bazı yollarını açıkladı:
“İçeriden gelen tehditler, ister kasıtlı ister kasıtsız olsun, kurumsal güvenlik ve veri bütünlüğü açısından önemli ve çoğu zaman hafife alınan bir riski temsil ediyor. Tespit edilmesi daha açık ve kolay olan dış tehditlerin aksine, kuruluşun güvenilen çevresinden kaynaklandığı için içeriden gelen tehditlerin keşfedilmesi ve etkisiz hale getirilmesi daha zordur. İçeriden saldırılarda özellikle endişe verici olan, ihlalin gecikmeli tespit edilmesidir. Kuruluşlar, herhangi bir şüpheli etkinliği veya olağandışı ağ davranışını derhal keşfedip ele almak için gelişmiş tehdit algılama araçlarını kullanmalıdır. Zamanında tespit, ihlallerin etkisini önemli ölçüde azaltabilir ve hassas verilerin uzun süre açığa çıkması olasılığını azaltabilir. Ayrıca kuruluşlar, çalışanları siber güvenliğin en iyi uygulamalarının önemi konusunda eğitmek için personel eğitimi ve farkındalık programlarına yatırım yapmaya öncelik vermelidir.”
Soru hala ortada: Bu olay kötü niyetli bir aktörün eylemleri miydi, yoksa sadece yanlış belgeye tıklayıp bir daha asla düşünmeyen bir çalışan mıydı? Yakında öğrenebiliriz.
Roger Grimes aynı şeyi merak ediyor: “Sadece onu arayıp tesadüfen mi buldular, yoksa ona erişmek için kötü bir şey mi yaptılar? Her iki durumda da Verizon, gelecekte yaşanmaması için olayın nasıl gerçekleştiğini anlattı mı? Veri ihlali yaşayan herhangi bir şirkete sorduğum soru bu: Bu nasıl oldu ve gelecekte benzer eylemleri önlemek için bir şeyler yapıldı mı?