İspanyol Ulusal Polisi, çeşitli devlet kurumlarına ait hassas bilgileri sızdıran bir bireyi tutukladı. Bu olay, özellikle ulusal güvenlik açısından büyük riskler taşıdığı için önemlidir.

Saldırı Nasıl Çalışıyor?

Saldırının arka planında, “doxing” adı verilen bir yöntem bulunmaktadır. Doxing, kişisel verilerin hedef alınarak yayınlanması sürecidir. Bu durumda sızdırılan veriler arasında şöyle bilgiler yer almıştır:

• İspanyol Devlet Savcılığı verileri
• INCIBE (Ulusal Siber Güvenlik Enstitüsü)
• Ulusal Polis ve Sivil Gard
• Ulusal Güvenlik Konseyi belgeleri

Veriler, eski veri ihlalleri, kimlik bilgisi dökümleri ve OSINT (Açık Kaynak İstihbaratı) araçları kullanılarak toplandı. Bazı sızdırılan belgelerdeki bilgiler, güncel olmamakla birlikte, yıllar önce INCIBE’den ayrılan çalışanların bile isimlerini içerdiği belirtilmiştir.

Etkilenen Sistemler

Bu olay, özellikle devletin kritik kurumlarını hedef alarak, bir güvenlik açığını gözler önüne sermektedir. İlgili kurumlar ve çalışanlar, aşağıdaki gibi potansiyel sorunlarla karşı karşıyadır:

• Kişisel verilerin kötüye kullanımı
• Ulusal güvenlik tehditleri
• Güvenlik protokollerinin ihlali

Saldırının arkasındaki grup, “Police-ESP-Doxed” olarak adlandırılmış ve veriler BreachForum aracılığıyla yayınlanmıştır. Ayrıca, Mart ayında, yüzlerce İspanyol hakim ve savcısının kişisel verileri Doxbin üzerinde yayınlanmıştır.

Çözüm ve Korunma

Tutuklamaların ardından, polisin el koyduğu cihazlar, olayda başka katılımcılar olup olmadığını belirlemek amacıyla incelenmektedir. Bu nedenle, benzer olayların yaşanması ihtimali gün yüzüne çıkmaktadır.

Bireyler ve kurumlar, siber güvenliklerini artırmak adına aşağıdaki tedbirleri almalıdır:

• Güvenlik yamalarını uygulamak (versiyon kontrolleri)
• Portları kapatmak ve gereksiz erişimleri sınırlamak
• Kimlik bilgilerini düzenli olarak güncellemek

INCIBE, bu ihlalin doğrudan sistemlerine bir saldırı olmadığını, aksine hedef alınan kişilerin verilerinin toplandığını ve yayımlandığını belirtmiştir.

Sonuç

Bu tür veri sızıntılarına karşı hazırlıklı olmak son derece önemlidir. Kullanıcıların ve sistem yöneticilerinin hemen yapması gerekenler:

• Yazılımları güncelleyin ve güvenlik açıklarını kapatın.
• Portları kapatın veya sadece gerekli olanları açık tutun.
• Kişisel ve kurumsal kimlik bilgilerinizi dikkatlice yönetin.

Unutulmamalıdır ki, siber güvenlik bir süreçtir ve sürekli dikkat gerektirir.

North Carolina’da bir şahıs, 7 milyon yaşlı Amerikalının kişisel bilgilerini Jamaikalı dolandırıcılara satmaktan 10 yıldan fazla ceza alarak hapse girdi. Troy Murray, bu faaliyetlerden kasasına 5,2 milyon dolar koyarak, yaşlı vatandaşların ciddi maddi zararlara uğramasına sebep oldu.

Saldırı Nasıl Çalışıyor?

Murray,  2016  ile  2023  yılları arasında yaşlılara ait ad, telefon numarası, adres ve e-posta bilgilerini içeren listeyi dolandırıcılara satmıştır. Bu bilgileri kullanan dolandırıcılar, hedeflerini  lottery fraud  (lotarya dolandırıcılığı) yöntemiyle istismar etti. Murray, listeler için genellikle  500 dolar  talep ederken, toplamda  22,000 ‘den fazla liste göndererek  5.2 milyon dolar  kazandı.

Etkilenen Sistemler

Murray’ın dolandırıcılık şemasında kullandığı bilgi akışı, yaşlı bireylerin kişisel bilgilerini hedef alan birçok dolandırıcılık operasyonunu içermektedir. Bu süreçlerde, aşağıdaki unsurlar etkilenmiştir:

• Yaşlı Amerikalılar (60 yaş ve üzeri)
• Jamaikalı dolandırıcılar
• Dijital iletişim ve ödeme sistemleri

Murray’ın eylemleri sonucunda yılda ortalama 38,500 dolar kayba uğrayan yaşlı bireylerin mağduriyetleri, 9.5 milyon dolar üzerinde toplam kayıpla sonuçlanmıştır.

Çözüm ve Korunma

Bu durumda, yaşlı bireyler ve aileleri için alınması gereken önlemler şunlardır:

• Güvenlik yazılımları kullanın: Bilgilerinizi korumak için güncel güvenlik yazılımları kullanmalısınız.
• Kişisel bilgilerinizi başkalarıyla paylaşmayın: Özellikle tanımadığınız kişilerle paylaşmaktan kaçının.
• Şüpheli aktiviteleri bildirin: Dolandırıcılık girişimlerini hemen yetkililere bildirin.

Murray’ın eylemleri, yaşlı bireylerin dolandırıcılara karşı ne kadar savunmasız olduğunu gözler önüne sererken, bu tür saldırıların önlenmesi için toplumun her kesiminde bir farkındalık oluşturmak şarttır.

Sonuç

Bu tür durumda, yaşlı bireylerin ve yakınlarının dikkatli olmaları ve güvenlik önlemlerini artırmaları gerekmektedir. Bilgilerinizi korumak için güncellenmiş yazılımlar kullanın, şüpheli durumları bildirin ve tanımadığınız kişilere bilgileriniz hakkında bilgi vermekten kaçının. Dolandırıcılıkla mücadele etmek için bilinçli hareket edilmelidir.

Telefon sağlayıcısı Trump Mobile, müşterilerin isimleri, e-posta adresleri, fiziksel adresleri, telefon numaraları ve sipariş tanıtıcılarının açık internet üzerinden ifşa edildiğini doğruladı.

Trump markalı telefon üreticisinin sözcüsü Chris Walker, TechCrunch’a yaptığı açıklamada, şirketin bu durumu araştırdığını ve çevrimiçi ortamda içerik veya finansal bilgi sızıntısına dair herhangi bir kanıt bulamadığını belirtti. Walker, Trump Mobile’ın ağında, sistemlerinde veya altyapısında bir ihlal olmadığını vurguladı.

Sözcü, bu ifşanın “belirli Trump Mobile operasyonlarını” destekleyen bir üçüncü taraf platform sağlayıcısına bağlı olduğunu ifade etti. Walker, sağlayıcının ismini vermedi.

Şirketin bu açıklaması, Trump Mobile müşterilerinin verilerinin internette kamuya açık olduğuna dair önceki haftaki raporların ardından geldi.

Çarşamba günü, Trump Mobile’ın telefonunu sipariş eden iki YouTuber, bir araştırmacının kişisel bilgilerinin çevrimiçi olarak ifşa olduğuna dikkat çektiğini bildirdi. YouTuber’lar Coffeezilla ve penguinz0, araştırmacının bu durumu şirketle paylaşmasının ardından kendilerinin de durumu Trump Mobile’a bildirmeye çalıştığını ancak başarılı olamadıklarını aktardı.

Walker, Trump Mobile’ın müşterilere kişisel verilerinin ifşası hakkında bir bildirimde bulunup bulunmama durumunu değerlendirdiğini duyurdu.

Community Bank, Pennsylvania, Ohio ve Batı Virginia’da faaliyet gösteren bir banka, müşterilerin isimlerini, doğum tarihlerini ve Sosyal Güvenlik numaralarını ifşa eden bir siber güvenlik olayı duyurdu.

Banka, 7 Mayıs tarihinde ABD Menkul Kıymetler ve Borsa Komisyonu’na gönderdiği 8-K dosyasında müşterilerin kişisel verilerinin, “yetkisiz bir yapay zeka tabanlı yazılım uygulamasının” kullanımı nedeniyle ifşa edildiğini açıkladı.

Banka, olayı “söz konusu gizli bilgilerinin hacmi ve hassasiyeti nedeniyle” bildirdi. Ne olduğuna dair kesin bilgiler yok, ancak dosyadaki ifadelerden, Community Bank’te çalışan birinin müşteri verilerini çevrimiçi bir yapay zeka sohbet botuna yüklemiş olabileceği anlaşılıyor. Böylece bu bilgiler, sohbet botunu geliştiren firma tarafından erişilebilir hale gelebilir.

Community Bank, olaydan etkilenen müşteri sayısını veya kullanılan yapay zeka uygulamasını açıklamadı, ancak etkilenen müşteri verilerini “değerlendirdiklerini” ve ilgili yasalara uygun olarak bildirim gönderdiklerini belirtti.

Community Bank CEO’su John Montgomery, TechCrunch’ın yorum talebine hemen yanıt vermedi.

The Register, güvenlik açığını ilk olarak bildirdi.