RockYou2024 ve tarihteki diğer dört büyük veri ihlali

Son yıllarda güvenliği ihlal edilen veri sayısında sürekli bir artış görülüyor. Yeni sızıntılar ve bilgisayar korsanlarıyla ilgili haberler neredeyse her gün karşımıza çıkıyor ve biz de Kaspersky olarak size sağlam bir korumaya her zamankinden daha fazla ihtiyaç duyduğunuzu anlatmak için bolca elektronik mürekkep kullanmaya devam ediyoruz.

Bugün tarihe bir yolculuk yapıyor ve tüm zamanların en büyük ve en ağır veri ihlallerini (ürpererek) hatırlıyoruz. Ne kadar ve ne tür bilgilerin sızdırıldığını, kimlerin etkilendiğini ve çok daha fazlasını öğrenmek için okumaya devam edin…

1.   RockYou2024

Özet: Bilgisayar korsanları geçmiş sızıntılardan veri toplayarak gerçek kullanıcı şifrelerinin şimdiye kadarki en büyük derlemesi olan 10 milyar kayıt deşifre edildi!

Tarih: 2024

Kimler etkilendi: Tüm dünyada güçlü koruma sahibi olmayan kullanıcılar

RockYou2024, sızıntıların kralı ve hackerların kendileriyle ilgilenmediğini düşünen herkesin baş belası. Temmuz 2024’te siber suçlular, bir bilgisayar korsanlığı forumunda devasa bir parola koleksiyonu olan toplam 9,948,575,739 benzersiz kayıt, sızdırdı. Eski RockYou2021 sızıntısına dayanan bir derleme olmasına rağmen RockYou2024 hala, tabiri caizse, ortalığı kasıp kavuruyor.

Uzmanımız Alexey Antonov, ihlali analiz etti ve sızdırılan parolaların %83’ünün akıllı bir tahmin algoritmasıyla bir saatten kısa bir sürede kırılabildiğini ve sadece %4’ünün (328 milyon) güçlü olarak kabul edilebileceğini tespit etti. Güçlü kabul edilen parolaları akıllı bir algoritma kullanarak kırmak için bir yıldan fazla süre gerekiyor. Akıllı algoritmaların nasıl çalıştığına dair ayrıntılar için, dark web’e sızan gerçek kullanıcı parolalarını analiz ederek birçoğumuzun parola güvenliği konusunda hala şok edici derecede gamsız olduğunu gözler önüne seren parola gücü çalışmamıza bakabilirsiniz.

Alexey, son sızıntıyı analiz ederken ilgili olmayan tüm kayıtları filtreledi ve geriye kalan, yani düz metin olarak bir yerlerde saklanan 8,2 milyar parola ile çalıştı!

2.   CAM4

Özet: Yanlış yapılandırılmış bir sunucu, bir yetişkin sitesi olan CAM4’teki 11 milyar müşteri kaydını (ki sitenin yapısı gereği bu veriler hassas bilgiler içermekte!) herkese açık hale getirdi.

Tarih: 2020

Kimler etkilendi: Yetişkin sitesi CAM4’ün kullanıcıları

Bu hikaye; hangi bilgilerin sızdırıldığı ve nasıl sızdırıldığı olmak üzere iki nedenden dolayı ilgi çekicidir zira sızdırılan “standart” bilgiler (ad, soyad, e-posta adresi, ödeme kayıtları vb.) arasında cinsel kimlik tercihleri ve cinsel yönelim gibi çok daha mahrem nitelikte bilgiler de vardı çünkü kullanıcıların yetişkinlere yönelik yayın platformunun içeriğinden yararlanabilmeleri için kayıt sırasında bu bilgileri vermeleri gerekiyordu.

Sızıntıya güvensiz bir Elasticsearch veritabanı neden oldu. Ancak, her şey o kadar da kötü ve utanç verici bir şekilde sona ermedi. Eğer bu veri ihlali ile ilgili tüm sızıntı raporlarını fiziksel bir kitapta toplayacak olsaydık, CAM4’ün hikayesinin “Tarihte hiç yaşanmamış en büyük veri sızıntısı” adlı küçük ama önemli bir bölümünü oluşturacağı, oldukça kapsamlı bir kitap elde ederdik. Neyse ki hata fark edildikten yarım saat sonra veritabanı kapatıldı ve daha sonra bir iç yerel ağa taşındı. Kullanıcıların kişisel verileri ise silindi.

3.   Yahoo

Özet: Bir hacker saldırısı, platformun üç milyar kullanıcısının tamamını etkiledi ve Yahoo bunu ancak üç yıl sonra kabul etti.

Tarih: 2012, 2013… yoksa 2014 müydü? Yahoo bile bundan emin değil.

Kimler etkilendi: Tüm Yahoo kullanıcıları

On yıldan daha uzun bir süre önce Yahoo hacklenmiş (her şey bir kimlik avı e-postasıyla başlamıştı) ve bu da veri sızıntısı söylentileriyle ilgili bir dizi habere yol açmıştı. İlk raporlar birkaç yüz milyon hesabın hacklendiğinden bahsediyordu, daha sonra bu sayı 500 milyon civarına yükseldi ve 2017’de, şirketin Verizon ile yaptığı anlaşmanın arifesinde, üç milyar hesabın tamamının etkilendiği ortaya çıktı. Bilgisayar korsanları; isimleri, e-posta adreslerini, doğum tarihlerini ve telefon numaralarını ele geçirdi. Daha da kötüsü, parolalarını değiştirmeyen kullanıcıların hesaplarına yıllarca erişimleri vardı. Şimdi parolaları düzenli olarak değiştirmenin ve eski profilleri silmenin neden bu kadar önemli olduğunu anlıyor musunuz?

Bu olay, teknoloji devlerinin bile bazen kullanıcı verilerini düzgün bir şekilde saklayamadığının bir başka kanıtıdır. Yahoo örneğinde, saldırganlar şifrelenmemiş güvenlik soruları ve cevaplarından oluşan bir veritabanı buldular ve bazı hesaplarda iki faktörlü kimlik doğrulama hiç yoktu. Kıssadan hisse: Kişisel hesaplarınızın güvenliğini sağlamak için sosyal ağlara veya çevrimiçi platformlara güvenmeyin. Güçlü parolalar oluşturun ve bunları Kaspersky Password Manager uygulamasında saklayın. Verilerinizin zaten sızmış olabileceğinden endişeleniyorsanız, ev güvenlik çözümlerimizden herhangi birini kurabilirsiniz: Kaspersky Standard ve Kaspersky Plus hem sizin hem de ailenizin çevrimiçi hizmetlerde oturum açmak için kullandığı tüm e-posta adreslerini belirlemenizi sağlar. Uygulama bu adresleri düzenli olarak kontrol eder ve bunlarla bağlantılı hesapları içeren veri ihlalleri varsa bildirir.

Kaspersky Premium kullandığınızda, e-posta listesine ek olarak telefon numaraları da uygulamaya ekleyebilirsiniz. Bunlar genellikle bankacılık gibi daha hassas çevrimiçi hizmetlerin kullanıcılarını tanımlamak için kullanılır. Uygulamamız tüm yeni veritabanı sızıntılarında bu numaraları ve adresleri arar ve bulunduğu takdirde sizi uyarır ve ne yapmanız gerektiğini bildirir (sizi çevrimiçi veya dark web’deki kişisel veri sızıntılarına karşı nasıl koruduğumuz hakkında daha fazla bilgi edinin).

4.   UIDAI (Aadhaar)

Özet: Neredeyse tüm Hindistan vatandaşlarının ve sakinlerinin biyometrik verileri satışa çıkarıldı.

Tarih: 2018

Kimler etkilendi: Hindistan’ın 1,1 milyar vatandaşı ve sakini

Hindistan Benzersiz Kimlik Otoritesi (UIDAI), Hindistan’daki bir milyardan fazla kişinin kişisel verilerini, parmak izlerini ve iris fotoğraflarını depolayarak dünyanın en büyük biyolojik kimlik belirleme sistemini yönetir.

Dünyadaki pek çok ülke biyometrik tanımlama sistemini yeni yeni uygulamaya koymayı planlarken, Hindistan on yılı aşkın bir süredir böyle bir sisteme sahip. UIDAI, Hindistan’da ikamet eden herkesin benzersiz bir resmi devlet kimlik numarası olan Aadhaar‘a sahip olması için kurulmuştur.

Ancak 2018 yılında, yaşanan bir dizi veri sızıntısının ardından siber suçlular veritabanını ele geçirmekle kalmayıp 500 rupi (bugünkü kurla yaklaşık 6 ABD doları) gibi düşük bir fiyata sattılar. 2023’te bu kez 815 milyon Hintliyi etkileyen bir başka büyük veri ihlali meydana geldi.

Bankalar ve kolluk kuvvetleri, sızıntı mağdurlarına finansal hizmetlerde biyometrik kimlik doğrulamasını devre dışı bırakmalarını tavsiye etmeye devam ediyor. Ancak bu bir güvenlik garantisi değil, çünkü kişilerin isimleri, pasaport numaraları, fotoğrafları, parmak izleri ve diğer bilgileri muhtemelen siber suçluların elinde.

5.   Facebook

Özet: Şirket, tam iki yıldır haberdar olduğu bir veri ihlali hakkında kullanıcıları bilgilendirmedi.

Tarih: 2019

Kimler etkilendi: 533 milyon Facebook kullanıcısı

Artık “Facebook” ve “sızıntı” kelimelerini yan yana görünce kimse şaşırmıyor. Platform düzenli olarak hacker saldırılarına ve kurum içi sızıntılara maruz kalıyor. Şirket tarihindeki en büyük ihlal olan bu olayda; 533 milyon kullanıcının isimleri, telefon numaraları ve konum verileri siber suçluların eline geçti. Daha sonra verileri herkesin ücretsiz olarak indirebileceği bir bilgisayar korsanlığı forumunda yayınladılar. Sadece sıradan kullanıcıların değil, AB Adalet Komiseri Didier Reynders ve Lüksemburg’un o zamanki Başbakanı (şimdiki Dışişleri Bakanı) Xavier Bettel de dahil olmak üzere kamuya mal olmuş kişilerin hesap verileri de yayınlandı.

Facebook veri sızıntısından sizin de etkilenmiş olabileceğinizden şüpheleniyorsanız, bu veya diğer sızıntılarda şifrenizin ele geçirilip geçirilmediğini öğrenmek için Parola Denetleyicisi aracımızı kullanabilirsiniz.

Sızdırılan veriler 2018-2019 yıllarına ait olmasına rağmen, bu konudaki bilgiler ancak 2021’de ortaya çıktı. Peki bu nasıl oldu? Gerçek şu ki, bilgisayar korsanları 2019’da Facebook’un hemen yamaladığı, ancak daha sonra kullanıcıları olaydan haberdar etmeyi unuttuğu (ya da tercih etmediği) bir güvenlik açığından yararlandı. Sonuç olarak Meta, daha ağır eleştirilerin yanı sıra 265 milyon €‘luk (2021’de yaklaşık 276 milyon $) ağır bir para cezasıyla karşı karşıya kaldı.

Peki bu sızıntılar bize ne öğretiyor?

Tüm bu hikayeleri birbirine bağlayan ortak nokta şudur: “Büyük teknoloji şirketleri, kendi işini kendi görenleri sever.” Başka bir deyişle, verilerimizin güvenliğinden öncelikle biz sorumluyuz; Facebook, Yahoo ya da hükümetler değil. Hesaplarınızla kendiniz ilgilenin, güçlü parolalar oluşturun, bunları güvenli bir parola yöneticisinde saklayın ve biyometrik veriler söz konusu olduğunda özellikle dikkatli olun.

• Aynı parolaları farklı yerlerde tekrar kullanmayın . Eğer “her şey için tek parola” diyenlerdenseniz ve en azından birkaç yıldır internet kullanıyorsanız, size (linkte) kötü bir haberimiz var.
• Parolalarınızın ele geçirilip geçirilmediğini kontrol edin. Korumamıza sahipseniz, e-posta adreslerinin bir listesini girmek ve kullanıcı hesaplarınızı kontrol etmek için Veri Sızıntısı Denetleyicisi aracımızı kullanabilirsiniz. Kaspersky Premium kullanıcıları ayrıca Kimlik Hırsızlığı Koruması özelliğini kullanarak telefon numaralarını kontrol etme seçeneğine de sahiptir. Uygulamalar yeni sızıntılarda bu bilgileri otomatik olarak kontrol eder. Parola yöneticimizde, menüden Parola Denetimi’ni seçmeniz veya görev çubuğundaki anahtar simgesine tıklamanız yeterlidir. Saklanan tüm parolalar; güç, benzersizlik ve sızıntılar açısından kontrol edilir. Herkes ücretsiz Parola Denetleyicisi hizmetimizi kullanabilir.
• Mümkün olan her yerde iki faktörlü kimlik doğrulama (2FA) kullanın.
• Parolalarınızı tarayıcılarda saklamayın. Tüm önemli hesaplar için benzersiz, kriptografik olarak güçlü parolalar oluşturmak adına bir parola yöneticisi kullanın. Bu sayede diğer tüm parolalar için ana anahtar görevi gören yalnızca bir (ana) parola düşünmeniz ve onu hatırlamanız yeterlidir. Bu, parola kasanızı ve diğer hayati verilerinizi korur ve şifreler.