Trezor veri ihlali sanılandan çok daha büyük çıktı

ShipMonk, ihlalin daha fazla müşteriyi kapsadığını 2 Eylül'de Trezor'a bildirdi. Trezor bu bilgiyi cuma günü kamuoyuyla paylaştı. Yeni tespit edilen kayıtlar Kasım 2019 ile Ağustos 2021 arasında verilen siparişlere ait ve müşterilerin adlarını, e-postalarını, telefon numaralarını, teslimat adreslerini ve sipariş numaralarını içeriyor. Bazı kayıtlar yaklaşık yedi yıl öncesine uzanıyor. Trezor ihlali ilk kez 13 Ağustos'ta açıklamış ve o dönemde 13 bin 689 müşterinin etkilendiğini bildirmişti. Son açıklamayla ihlalden etkilendiği bilinen müşteri sayısı yaklaşık altı katına çıktı.

Şirket, ilk açıklamada ihlalin sınırlı kalmasını, lojistik ortaklarının sipariş verilerini teslimattan 90 gün sonra silmesini ya da anonimleştirmesini gerektiren bir politikaya bağlamıştı. Trezor'un son açıklaması, 90 günlük silme politikasına rağmen yıllar önceki sipariş kayıtlarının da sızdığını ortaya koydu. Trezor, ilişkileri boyunca ShipMonk'tan verileri silmesini defalarca istediğini ve sözleşme ile veri politikasına uygun biçimde silindiğine dair yazılı teyit aldığını belirtti. Şirket, "Bu teyide rağmen verilerin sistemlerinden silinmemiş olması bizi büyük hayal kırıklığına uğrattı." dedi.

SIZAN ADRESLER FİZİKSEL RİSK DE YARATIYOR

Trezor, kendi sistemlerinin ele geçirilmediğini, cihazların, özel anahtarların ve cüzdan yedeklerinin etkilenmediğini vurguladı. Sızan kayıtlar, donanım cüzdanı satın alan kişilerin teslimat adreslerini de içerdiği için risk oltalamayla sınırlı kalmıyor. Şirket, etkilenen müşterileri sahte e-postalara, telefon aramalarına ve mektuplara karşı uyardı. Fiziksel güvenlik risklerine de dikkat çeken Trezor, cüzdan yedeğinin hiçbir koşulda paylaşılmaması ya da bir web sitesine yazılmaması gerektiğini yineledi.

Benzer bir ihlal 2020'de rakip Ledger'da yaşanmıştı. 270 binden fazla müşterinin kişisel bilgileri sızmış ve çalınan veri tabanları daha sonra bilgisayar korsanlarının kullandığı bir forumda yayımlanmıştı. Şubat ayında Trezor ve Ledger cüzdanı sahipleri, hologram ve sahte imza taşıyan mektuplar almıştı. Bu mektuplarda kullanıcılardan gerçekte bulunmayan bir güvenlik doğrulamasını tamamlamaları istenmişti. Siber suç danışmanı David Sehyeon Baek, ad ve ev adresi taşıyan bir mektubun kişiye "sizi bulabiliriz" mesajı verdiğini söylemişti. Baek, çalınan verilerin yıllar boyunca dolandırıcılık amacıyla kullanılabildiğine dikkat çekmişti.

İHLALİN KAYNAĞI BİR YAZILIM AÇIĞINA UZANIYOR

ShipMonk'un müşterilere gönderdiği bildirime göre saldırganlar, 6 Ağustos'ta duyurulan bir yazılım açığından yararlandı. Metabase adlı analiz yazılımındaki kritik SQL enjeksiyonu açığı, saldırganların oturum açmadan veri tabanı sorgularına müdahale edip yönetici yetkisi kazanmasına imkân tanıyordu. Bu yetkiyle bağlantılı veri tabanlarının erişim bilgileri ve erişilebilen kayıtlar çalınabiliyordu. Aynı açığın kullanıldığı saldırılarda dizüstü bilgisayar üreticisi Framework ve çevrim içi form oluşturma hizmeti Tally de etkilendi. ShipMonk'un, ShinyHunters adlı grupla ilişkilendirilen şantaj e-postaları aldığı bildirildi. Grubun olayla bağlantısı ise doğrulanmadı.

Trezor ise alıcıların ev adresi vermek zorunda kalmaması için yeni bir önlem üzerinde çalışıyor. Hazırlanan anonim teslimat seçeneğinde paketlerin teslimat dolaplarından alınması, markayı belli etmeyen ambalajlar ve genel gönderici bilgileri kullanılması planlanıyor. Şirket, bu seçeneği hızla kullanıma sunmaya çalıştığını belirtti.