Tek Bir Güncelleme, 147 Milyon Kişinin Verisini Koruyabilirdi

1

Saldırı Bir Hacker Filmindeki Gibi Başlamadı

2017 yılında Equifax, milyonlarca insanın kredi ve kimlik bilgilerini barındıran dev bir veri sistemine sahipti.

Mart ayında şirket, kullandığı Apache Struts yazılımında kritik bir güvenlik açığı bulunduğuna dair uyarı aldı. Açığı kapatmak için gerekli güncelleme yayımlanmıştı.

Ancak sorun tam burada başladı.

Güncellemenin uygulanması gereken sistemlerden biri zamanında güncellenmedi.

Saldırganlar bu açığı kullanarak Equifax'ın ağına erişti.

2

Sonrası Çok Daha Büyük Bir Soruna Dönüştü

Saldırganlar sisteme girdikten sonra yalnızca tek bir sunucuyla sınırlı kalmadı.

Resmî incelemelere göre ağ içerisinde hareket ederek çok sayıda veritabanındaki kişisel bilgilere eriştiler. Yaklaşık 147 milyon kişinin adı ve doğum tarihi, yaklaşık 145,5 milyon kişinin Sosyal Güvenlik numarası ve milyonlarca kişinin adres, telefon ve e-posta bilgileri ele geçirildi. Ayrıca 209 bin ödeme kartı bilgisine de erişildi.

Daha da dikkat çekici olan şu:

Saldırganlar sistem içerisinde aylar boyunca fark edilmeden hareket edebildi. ABD Hükümeti Hesap Verebilirlik Ofisi (GAO), saldırının başarılı olmasında güvenlik açığının tespit edilememesi, saldırının algılanamaması ve ağ segmentasyonundaki eksiklikler gibi birden fazla faktörün rol oynadığını belirtti.

3

Asıl Ders: Güncelleme Bir “Detay” Değildir

Equifax vakası siber güvenlik açısından önemli bir gerçeği ortaya koydu:

Bir güvenlik açığını kapatmak kadar, bunun gerçekten yapıldığını doğrulamak da önemlidir.

Tek başına “güncellemeyi yayınladık” demek yeterli değildir.

Güvenli bir sistem için kuruluşların:

• Kritik güvenlik güncellemelerini takip etmesi,
• Güncellemelerin gerçekten uygulandığını doğrulaması,
• Ağları birbirinden mümkün olduğunca izole etmesi,
• Hassas verileri sınırlı erişimle koruması,
• Şüpheli ağ hareketlerini sürekli izlemesi

gerekir.

FTC'nin Equifax vakasıyla ilgili açıklamasında da yazılım güncellemeleri, ağ segmentasyonu ve saldırganların izlenmesi temel güvenlik önlemleri arasında gösterildi.

4

Bedeli Sadece Veriler Olmadı

Olayın ardından Equifax, ABD federal kurumları, eyaletler ve diğer makamlarla yapılan küresel bir anlaşma kapsamında en az 575 milyon dolar, potansiyel olarak 700 milyon dolara kadar ödeme yapmayı kabul etti.

Fakat milyonlarca insanın kişisel bilgilerinin açığa çıkmasının maliyeti yalnızca parayla ölçülemez.

Çünkü bir parola değiştirilebilir.

Ama kimlik bilgileri bir kez sızdığında geri alınamaz.

Sonuç

Equifax saldırısı bize siber güvenliğin her zaman karmaşık saldırılardan ibaret olmadığını gösteriyor.

Bazen saldırganın ihtiyacı olan şey, kapatılmamış tek bir güvenlik açığıdır.

Bu nedenle siber güvenlikte en önemli sorulardan biri şudur:

“Sistemimiz güvende mi?” değil, “Güvenli olduğundan gerçekten emin miyiz?”

Çünkü güvenlikte gözden kaçan küçük bir detay, milyonlarca insan için büyük bir probleme dönüşebilir.