Ankara'nın Çankaya ilçesindeki DNC Sağlık Hizmetlerinde bilgi işlem personeli sunucunun ekranında Türkçe yazılmış bir fidye mesajıyla karşılaştı. Veri tabanına artık erişilemiyordu. Kilitlenen sunucuda hastaların T.C. kimlik numaraları duruyordu. Hangi doktora görünüldüğü, hangi tahlilin yapıldığı, konulan teşhisler ve yazılan ilaçlar da bu sunucudaydı. SGK ile özel sigortalara gönderilen onay kayıtları da aynı yerde tutuluyordu.
Yaşananlar, Kişisel Verileri Koruma Kurumunun (KVKK) 21 Ekim'de internet sitesinden duyurduğu 10 veri ihlalinden biri olarak kayıtlara geçti. Saldırıya uğrayanlar arasında İzmir'in büyükşehir belediyesi, Samsun'daki bir devlet üniversitesi, sağlık sektöründen iki firma, yıllardır bilinen iki gıda markası ve turizm şirketleri yer alıyor. Kurul her vaka için ayrı karar verdi ve soruşturmalar devam ediyor.
EN BÜYÜK SIZINTI GÜLLÜOĞLU'NDA
En fazla kişiyi etkileyen ihlal Güllüoğlu Gıda'da yaşandı. Şirketin verilerini tutan hizmet sağlayıcının uyarısıyla 8 Ekim'de anlaşılan saldırıda 67 bin 193 kişinin adı, telefonu, e-postası, adresi ve kayıtlı şifresi etkilendi. Satıcıların kullandığı panel hesapları da sızıntıdan nasibini aldı.
Saldırganlar aynı yöntemi Dermojet Sağlık Ürünleri ile Kurukahveci Mehmet Efendi Mahdumları'na karşı da kullandı. Üç şirketin verilerini barındıran sistemlerde kullanılan dışarıdan alınmış bir yazılım kütüphanesindeki açıktan sunuculara sızıldı. Dermojet'te 10 Eylül'de fark edilen ihlal 50 bin 636 müşteri ve müşteri adayını kapsıyor. Sızan bilgilerin içinde şifrelenmiş parolalar da var. Mehmet Efendi'de 7 Ekim'de ortaya çıkan saldırıdan en çok 15 bin 303 müşteri ile 18 yönetici hesabı zarar gördü.
ÇOCUKLARIN PASAPORT BİLGİLERİ DE RİSKTE
Fidye yazılımının hedefi olan bir başka kurum Enka Spor Eğitim ve Sosyal Yardım Vakfı oldu. Saldırıdan vakfın çalışanları, öğrencileri, mezunları ve çocuklar etkilendi. Vakfın elindeki pasaport fotokopileri de saldırganların erişebildiği belgeler arasında yer alıyor. Bu kopyalarda kişilerin kimlik bilgileri, fotoğrafları ve pasaport numaraları bulunuyor. Saldırganların sisteme nereden girdiği ve kaç kişinin etkilendiği teknik incelemeyle belirlenecek.
DNC Sağlık'ta ise veri tabanı tamamen şifrelendiği için kaç hastanın bilgilerinin ele geçirildiği henüz bilinmiyor. Kanun sağlık bilgilerini en hassas veri grubunda sayıyor ve bu bilgiler için çok daha sıkı güvenlik önlemi alınmasını istiyor.
BELEDİYEYE ÇALINMIŞ ŞİFREYLE GİRDİLER
İzmir Büyükşehir Belediyesinde 30 Eylül'de kurumsal bir e-posta hesabından alışılmadık sayıda ileti çıktığı fark edildi. Belediyeye göre saldırganlar sunucudaki bir zafiyetten yararlanarak değil önceden çalınmış bir şifreyle hesaba girdi. Saldırganlar iki çalışanın posta kutusundaki her şeyi kopyaladı. Ardından gelen iletileri otomatik silen bir ayar kurup toplu halde istenmeyen e-posta yolladılar. Hesabın imzasına da dolandırıcılık için hazırlanmış bir metin yerleştirdiler. Belediye çalışanlarının isimleri, e-posta adresleri ve iç hat numaraları ele geçirildi ancak etkilenen kişi sayısı netleşmedi.
Ondokuz Mayıs Üniversitesinde (OMÜ) kullanılan bir programdaki zafiyet üzerinden 109 kişinin bilgilerine ulaşıldı. Sızıntı Ulusal Siber Olaylara Müdahale Merkezinin (USOM) uyarısıyla 14 Ekim'de ortaya çıktı. Bu kişilerin kimlikleri, iletişim bilgileri ve bulundukları yere dair bilgiler sızdı. Etkilenenlerin öğrenci mi yoksa personel mi olduğu henüz açıklanmadı.
KANDIRILAN ÇALIŞANLAR KAPIYI AÇTI
Bazı ihlallerde saldırganlar teknik açık yerine insanları hedef aldı. Choice Hotels International'da 5-6 Haziran'da bir çalışan kandırıldı ve şirket ağındaki hesabı saldırganların eline geçti. Güvenlik sistemlerinin alarmıyla anlaşılan olayda 9 bin 550 müşterinin ismi ve iletişim bilgileri sızdı. Bir kısım müşterinin geçmiş konaklama ayrıntıları da sızdırıldı.
Baxter Turkey Renal Hizmetler'de 4 Ağustos'ta başlayan saldırı ancak 6 Ekim'de fark edildi. Telefonla yapılan oltalama saldırısında bir çalışanın hesabı kullanılarak şirketin Salesforce veri tabanına ve Active Directory sistemine girildi. Sızıntıda iş için kullanılan isim, e-posta ve adres bilgileri yer aldı.
MW Phokaia Beach & Resort'un işletmecisi Akropol Turizm'in de bilgisayar sistemleri ve şirket e-postaları hedef alındı. Şirkete göre misafirlerin kimlik ve rezervasyon bilgileri, yazışmalar, çalışanların özlük dosyaları ve mali kayıtlar sızmış olabilir. Kaç kişinin etkilendiği ise henüz bilinmiyor.
ETKİLENENLERE BİLDİRİM YAPILMALI
KVKK duyuruları 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 12'nci maddesine dayanarak yayımladı. Kanun bilgileri sızdırılan kurumlara ağır bir sorumluluk yüklüyor. Kurumlar olayı vakit kaybetmeden hem bilgileri çalınan kişilere hem de Kurula haber vermekle yükümlü. Kurul da gerek görürse olayı herkese açık şekilde ilan ediyor. Kişisel verilerin korunması dünyada da gündemin üst sıralarında bulunuyor. Meta'ya kesilen 25 milyar dolarlık rekor ceza da bu tartışmayı yeniden alevlendirdi.
