Dünyayı Sarsan Veri Kaçakları: “Bir USB Bellek, Bir E-Posta ve Milyarlarca Dolar”

Giriş: Bir Veri Kaçağı Ne Kadar Kötü Olabilir?

Bir düşünün…

Telefonunuza bir SMS geliyor:

“Sayın müşterimiz, hesabınızda şüpheli işlem tespit edildi.”

İlk tepkiniz büyük ihtimalle bankanızı aramak olur.

Peki ya banka size şu cevabı verse?

“Maalesef bilgileriniz birkaç ay önce internete sızdırılmış.”

İşte tam da bu yüzden veri güvenliği bugün şirketlerin BT departmanlarının değil, herkesin problemi haline geldi.

Eskiden bankalar soyguncular tarafından silahla soyulurdu. Günümüzde ise bir dizüstü bilgisayar, kötü yazılmış bir SQL sorgusu veya yanlış yapılandırılmış bir bulut sunucusu milyarlarca dolarlık zarara yol açabiliyor.

Üstelik işin en ilginç tarafı şu:

Dünyanın en büyük veri ihlallerinin çoğu Hollywood filmlerindeki gibi karmaşık hacker saldırıları sonucu değil; basit hatalar, dikkatsizlikler ve “Bunu sonra düzeltiriz.” denilen ayarlar yüzünden gerçekleşti.

Yaşanan bu ihlaller nasıl önlenebilirdi? Nerelerde hata yapıldı? Tüm bunları mercek altına alacağız. Ayrıca benzer bir durumda “IBM Guardium” kullanılıyor olsaydı ne faydası olurdu?

Gelin, dünyanın en dikkat çekici veri kaçaklarına ve olası çözümlerine birlikte bakalım.

1. Yahoo: Tarihin En Büyük Veri Kaçağı

Yıl 2016…

Yahoo, yıllarca internetin en büyük şirketlerinden biri olmuştu. Milyarlarca kullanıcıya sahipti.

Derken bir açıklama yaptı.

İlk açıklamada:

“500 milyon kullanıcı etkilenmiş olabilir.”

Herkes şok oldu.

Bir süre sonra yeni açıklama geldi.

“Aslında 1 milyar kullanıcı.”

Sonra bir açıklama daha…

“Galiba 3 milyar hesabın tamamı.”

Evet…

Yanlış okumadınız.

Neredeyse bütün kullanıcılar.

Sızdırılan bilgiler arasında şunlar bulunuyordu;

• İsim
• E-posta
• Telefon
• Doğum tarihi
• Güvenlik soruları
• Şifre özetleri

 En trajikomik kısmı ise Verizon’un Yahoo’yu satın alma sürecinde bu olayın ortaya çıkmasıydı.

Satın alma bedeli yaklaşık 350 milyon dolar düşürüldü.

Bir siber saldırı sadece kullanıcıları değil şirket değerini de değiştirmişti.

Ders:

Bir veri ihlali bazen onlarca yıllık marka değerinden daha pahalıya mal olabilir.

Olay Nasıl Önlenebilirdi?

Yahoo saldırısının en büyük problemi saldırının uzun süre fark edilmemesiydi. Saldırganlar aylar boyunca sistem içerisinde hareket etmelerine rağmen güvenlik ekipleri bunu tespit edemedi.

Eksik Güvenlik Kontrolleri

• Merkezi log yönetimi
• Anormal kullanıcı davranışlarının izlenmesi
• Ayrıcalıklı hesapların sürekli denetlenmesi
• Güçlü parola politikaları
• Çok faktörlü kimlik doğrulama (MFA)

MITRE ATT&CK Teknikleri

IBM Guardium Nasıl Yardımcı Olurdu?

Guardium doğrudan kullanıcı hesabı ele geçirilmesini engelleyemez. Ancak saldırgan veritabanına ulaştığında;

• Hassas tabloları okumasını,
• Olağan dışı SQL sorgularını,
• Mesai dışındaki erişimleri,
• Aynı kullanıcı ile farklı lokasyonlardan yapılan işlemleri

alarm olarak üretebilir.

Örneğin normalde günde 500 kayıt okuyan bir kullanıcı bir anda 15 milyon kayıt çekmeye başlarsa Guardium bunu davranış analizi sayesinde tespit edebilir.

---

2. Equifax: Bir Güncelleme Yapmamanın Bedeli

BT ekiplerinin en sık duyduğu cümlelerden biri:

“Patch’i haftaya yükleriz.”

İşte Equifax tam olarak bunun bedelini ödedi.

2017 yılında Apache Struts isimli yazılımda kritik bir açık duyuruldu.

Güncelleme yayınlandı.

Uyarılar yapıldı.

Fakat sistem güncellenmedi.

Sonuç?

147 milyon kişinin;

• Kimlik bilgileri
• Sosyal güvenlik numaraları
• Adresleri
• Doğum tarihleri
• Kredi bilgileri

internete sızdı.

Bu sayı ABD nüfusunun yaklaşık yarısına denk geliyor.

Şirket milyarlarca dolar tazminat ödemek zorunda kaldı.

Bugün hâlâ siber güvenlik eğitimlerinde bu olay “Patch yönetimi neden önemlidir?” sorusunun ilk cevabıdır.

Olay Nasıl Önlenebilirdi?

Bu olay aslında dünyanın en pahalı “Patch Management” hatasıdır.

Apache Struts için güvenlik güncellemesi yayınlanmış olmasına rağmen sistem güncellenmedi.

Eksik Güvenlik Kontrolleri

• Patch yönetimi
• Zafiyet taramaları
• Konfigürasyon yönetimi
• Varlık envanteri
• Sürekli güvenlik doğrulaması

MITRE ATT&CK

IBM Guardium Burada Ne Yapabilirdi?

Saldırıyı durdurmasa bile;

• Milyonlarca müşteri kaydının okunmasını,
• Kredi bilgilerinin topluca sorgulanmasını,
• Hassas kolonlara yapılan sıra dışı erişimleri

anında güvenlik ekibine bildirebilirdi.

---

3. Target: Hackerlar Kapıdan Giremedi, Klimacıdan Girdi

Belki de en ilginç hikâyelerden biri.

Target, Amerika’nın en büyük perakende zincirlerinden biri.

Hackerlar doğrudan Target sistemlerini aşamadılar.

Bunun yerine…

Klima bakımını yapan taşeron firmanın sistemlerine girdiler.

Evet…

Klima şirketi.

Oradan Target ağına geçiş yaptılar.

Sonuç?

40 milyon kredi kartı,

70 milyon müşteri bilgisi,

Noel alışverişi döneminde ele geçirildi.

Bu olay “Third Party Risk” kavramını tüm dünyaya öğreten saldırılardan biri oldu.

Artık şirketler sadece kendilerini değil;

• Tedarikçilerini,
• Danışmanlarını,
• Dış kaynak firmalarını

da denetlemek zorunda olduklarını öğrendiler.

Olay Nasıl Önlenebilirdi?

Saldırganlar aslında Target çalışanı değildi.

HVAC (klima) firmasının hesabını kullandılar.

Bugün buna Supply Chain Attack diyoruz.

Eksik Güvenlik Kontrolleri

• Üçüncü taraf erişim yönetimi
• Ağ segmentasyonu
• Zero Trust
• PAM çözümleri

MITRE ATT&CK

IBM Guardium’un Katkısı

Taşeron kullanıcıların;

• Hangi veritabanına,
• Hangi tabloya,
• Hangi IP’den,
• Hangi saatlerde

eriştiği ayrıntılı olarak kayıt altına alınabilir.

Beklenmeyen veri sorguları anında engellenebilir.

---

 4. Ashley Madison: Kimse Bu Verilerin Sızmasını İstemiyordu

Ashley Madison’ın sloganı oldukça iddialıydı:

“Life is short. Have an affair.” (Hayat kısa. Bir ilişki yaşa.)

Yani evli kişilere yönelik bir arkadaşlık platformuydu.

2015 yılında saldırganlar şirketten şu talepte bulundu:

“Siteyi kapatın.”

Şirket kabul etmedi.

Bunun üzerine yaklaşık 30 GB veri internete bırakıldı.

Milyonlarca kullanıcının;

• İsimleri
• Adresleri
• Kredi kartı bilgileri
• Özel mesajları

herkes tarafından erişilebilir hale geldi.

Bu olay teknik olarak büyük bir veri ihlaliydi.

Ancak asıl etkisi psikolojikti.

İnsanların özel hayatları bir anda dünyanın gözü önüne serildi.

Bazı kullanıcılar işlerini kaybetti.

Aileler dağıldı.

Şantaj vakaları yaşandı.

Veri güvenliği bazen para değil, insanların hayatıdır.

Olay Nasıl Önlenebilirdi?

Bu olay bize yalnızca güvenliğin değil, gizliliğin de ne kadar önemli olduğunu gösterdi.

Eksik Güvenlik Kontrolleri

• Hassas veri sınıflandırması
• Şifreleme
• Veri maskeleme
• İç tehdit izleme

MITRE ATT&CK

IBM Guardium’un Katkısı

Guardium;

• Kredi kartı verilerine,
• Kişisel bilgilere,
• Özel mesaj tablolarına

erişen kullanıcıları sürekli izleyebilir.

Veri dışarı aktarımı başladığında alarm oluşturabilir.

---

 5. Capital One: Hacker Değil, Yanlış Bulut Ayarı

Bulut teknolojileri hayatımızı kolaylaştırdı.

Ama yanlış yapılandırılırsa…

Hayatı zorlaştırabiliyor.

Capital One saldırısında saldırgan, AWS üzerindeki yanlış yapılandırılmış güvenlik kurallarını kullanarak yaklaşık 100 milyon müşterinin verisine ulaştı.

İlginç olan ise saldırganın eski bir bulut mühendisi olmasıydı.

Yani sistemin nasıl çalıştığını biliyordu.

Bu olaydan sonra şirketlerin çoğu şu soruyu sormaya başladı:

“Buluttayız ama gerçekten güvende miyiz?”

Olay Nasıl Önlenebilirdi?

Bulut güvenliği “kur ve unut” mantığıyla yönetilemez.

Yanlış yapılandırılmış IAM politikaları milyonlarca müşteriyi etkileyebilir.

Eksik Güvenlik Kontrolleri

• Cloud Security Posture Management (CSPM)
• IAM denetimi
• Least Privilege (İhtiyaç Kadar Yetki)
• Sürekli konfigürasyon kontrolü

MITRE ATT&CK

IBM Guardium Data Security Center

Bulut veritabanlarında;

• Amazon RDS
• Azure SQL
• Google Cloud SQL

üzerindeki tüm sorgular izlenebilir.

Büyük veri çekimleri gerçek zamanlı olarak raporlanabilir.

---

 6. Facebook: Telefon Numaranızı Kim İster?

 2021 yılında yaklaşık 533 milyon Facebook kullanıcısının bilgileri internete düştü.

İşin ilginç tarafı bu olay klasik anlamda bir hack değildi.

Bir özellik kötüye kullanılarak kullanıcı bilgileri toplandı.

Telefon numaraları, isimler, konumlar, e-posta adresleri milyonlarca kişi için yayınlandı.

Bugün dolandırıcılık SMS’lerinin önemli bir kısmının kaynağı olarak bu veri setleri gösteriliyor.

Demek ki bazen saldırganların sisteme girmesine bile gerek kalmıyor.

Olay Nasıl Önlenebilirdi?

Veri sızıntısı bazen sistem hacklenmeden de gerçekleşebilir.

API’ler ve uygulama özellikleri kötüye kullanılabilir.

Eksik Güvenlik Kontrolleri

• API güvenliği
• Rate Limiting (Hız Sınırlaması)
• Bot tespiti
• Anormal sorgu analizi

MITRE ATT&CK

IBM Guardium’un Katkısı

Veritabanına gelen API sorguları analiz edilerek;

• Milyonlarca telefon numarası
• Toplu kullanıcı sorguları

tespit edilip güvenlik ekipleri uyarılabilir.

---

 7. Uber: “Ben IT Destekten Arıyorum”

Siber güvenlik bazen teknik değil, tamamen psikolojidir.

2022 yılında Uber saldırganı şirkete zararlı yazılım yüklemedi.

Firewall kırmadı.

Şifre brute force yapmadı.

Sadece çalışanı sürekli MFA isteği göndererek bıktırdı.

Sonra WhatsApp üzerinden yazdı.

“Ben IT destek ekibindenim.”

Çalışan onay verdi.

Kapılar açıldı.

Bazen en güçlü güvenlik cihazı bile insan faktörünü yenemiyor.

Olay Nasıl Önlenebilirdi?

Bu olay teknik değil tamamen insan psikolojisiyle ilgiliydi.

MFA bile yanlış kullanıldığında işe yaramayabiliyor.

Eksik Güvenlik Kontrolleri

• Güvenlik farkındalık eğitimi
• Phishing simülasyonları
• MFA Push koruması
• Conditional Access (Conditional Access)

MITRE ATT&CK

IBM Guardium’un Katkısı

Ele geçirilen hesap veritabanına bağlandığında;

• Olağan dışı SQL sorguları,
• Beklenmeyen saatlerde erişim,
• Toplu veri okuma işlemleri

anında alarm üretebilir.

---

 8. Tesla İçeriden Gelen Tehlike

Veri ihlalleri her zaman dışarıdan gelmez.

Tesla’da iki eski çalışan binlerce çalışanın kişisel bilgilerini dışarı sızdırdı.

Bu olay bize önemli bir gerçeği gösterdi.

Şirket içindeki kullanıcılar bazen dışarıdaki saldırganlardan daha fazla yetkiye sahip olabilir.

Bu yüzden;

• Yetki yönetimi
• Davranış analizi
• Veri erişim takibi

en az antivirüs kadar önemlidir.

Olay Nasıl Önlenebilirdi?

İç tehditler en zor tespit edilen saldırılar arasında yer alır.

Çünkü saldırgan zaten yetkili kullanıcıdır.

Eksik Güvenlik Kontrolleri

• User Behavior Analytics (UBA) (Kullanıcı Davranış Analizi)
• Veri sınıflandırması
• Least Privilege (İhtiyaç Kadar Yetki)
• Ayrıcalıklı kullanıcı izleme

MITRE ATT&CK

IBM Guardium’un Katkısı

Guardium;

• DBA’ları,
• Sistem yöneticilerini,
• Servis hesaplarını,
• Ayrıcalıklı kullanıcıları

24 saat izleyebilir.

Bir DBA normalde 500 satır sorgularken bir gecede 5 milyon satır çekmeye başlarsa sistem bunu davranış analizi ile tespit ederek alarm üretebilir.

---

Ortak Nokta Ne?

Bu kadar farklı olay…

Farklı şirketler…

Farklı ülkeler…

Ama sonuç aynı.

Çünkü veri ihlallerinin çoğunda ortak nedenler bulunuyor.

En sık karşılaşılan hatalar şunlar:

• Güncellenmeyen sistemler
• Zayıf parolalar
• Çok geniş kullanıcı yetkileri
• Yanlış bulut yapılandırmaları
• Kimlik avı saldırıları
• İç tehditler
• Üçüncü taraf riskleri
• İzlenmeyen veritabanları

İşin ilginç tarafı, bu maddelerin hiçbiri yeni değil.

Hepsi yıllardır biliniyor.

Yani teknoloji gelişiyor ama hatalar pek değişmiyor.

 Peki Bu Olaylardan Nasıl Korunabiliriz?

Mükemmel güvenlik diye bir şey yok.

Ancak riski ciddi şekilde azaltmak mümkün.

Bunun için şirketlerin şu temel prensipleri benimsemesi gerekiyor:

• Hassas verileri sürekli izlemek.
• Kimlerin hangi verilere eriştiğini kayıt altına almak.
• En az yetki prensibini uygulamak.
• Çok faktörlü kimlik doğrulamayı zorunlu hale getirmek.
• Sistemleri gecikmeden güncellemek.
• Düzenli sızma testleri yaptırmak.
• Çalışanlara farkındalık eğitimleri vermek.
• Veri hareketlerini anlık izleyen çözümler kullanmak.
• Yedeklerin gerçekten geri yüklenebilir olduğundan emin olmak.
• “Bizim başımıza gelmez.” cümlesini şirket sözlüğünden çıkarmak.

  Veri Kaçakları Kronolojisi

En Çok Çalınan Veri Türleri

🥇 Kimlik Bilgileri

• Ad
• Soyad
• T.C./SSN
• Doğum tarihi

🥈 İletişim Bilgileri

• Telefon
• E-posta
• Adres

🥉 Finansal Bilgiler

• Kredi kartı
• Banka hesapları
• Kredi geçmişi

🏅 Kurumsal Veriler

• Ticari sırlar
• Ürün tasarımları
• Kaynak kodları
• Patentler

🎖️ Kimlik Doğrulama Bilgileri

• Kullanıcı adı
• Parola özeti (hash)
• API anahtarları
• OAuth erişim belirteçleri (token)

 Bir Veri Kaçağının Yaşam Döngüsü

Bir Hacker’ın Gözünden Veri Kaçağı

Saldırganlar çoğu zaman filmlerde gördüğümüz gibi saniyeler içinde güvenlik duvarlarını kırmaz.

Onlar sabırlıdır.

Bazen haftalarca, hatta aylarca yalnızca sistemi izlerler.

Bir çalışanın hangi saatlerde giriş yaptığını öğrenirler.

Hangi veritabanına kimlerin eriştiğini analiz ederler.

Yedekleme saatlerini takip ederler.

Ve en sonunda tek seferde milyonlarca kaydı indirirler.

İyi planlanmış bir veri hırsızlığı bazen yalnızca birkaç dakika sürer; ancak hazırlığı aylar alabilir.

 İlginç Gerçekler

Bir USB Bellek Her Şeyi Değiştirebilir

Araştırmalar, otoparklara bırakılan USB belleklerin önemli bir kısmının çalışanlar tarafından merak edilerek kurumsal bilgisayarlara takıldığını gösteriyor. Merak, saldırganların en sık kullandığı “araçlardan” biri olabiliyor.

 Parolalar Hâlâ Çok Tahmin Edilebilir

Her yıl yayımlanan parola analizlerinde benzer örnekler ilk sıralarda yer alıyor:

• 123456
• password
• qwerty
• admin
• 111111

Saldırganların işini kolaylaştıran en büyük etkenlerden biri hâlâ zayıf parola kullanımı.

 En Pahalı E-Posta

Tek bir oltalama e-postası nedeniyle milyonlarca dolar zarara uğrayan şirket örnekleri bulunuyor.

Siber güvenlikte bazen en pahalı yatırım yeni bir güvenlik cihazı değil, çalışan farkındalığı eğitimidir.

 Bir Veri Kaçağının Maliyeti

Bir veri ihlalinin faturası yalnızca teknik ekiplerin harcadığı mesai değildir.

Olası etkiler şunlardır:

• Müşteri güveninin kaybolması
• Hisse değerinde düşüş
• Hukuki yaptırımlar
• Düzenleyici kurum cezaları
• Operasyonel kesintiler
• Olay müdahale maliyetleri
• Adli bilişim incelemeleri
• İtibarın zedelenmesi
• Yeni müşteri kazanımında azalma

Bazı şirketler saldırıdan teknik olarak kurtulsa bile itibar kaybının etkisini yıllarca taşımaktadır.

 Güvenlik Uzmanlarının Altın Kuralları

✔ Güncellemeleri ertelemeyin.

✔ Verileri sınıflandırın.

✔ Her kullanıcıya yalnızca ihtiyacı kadar yetki verin.

✔ Ayrıcalıklı hesapları sürekli izleyin.

✔ Kimlik avı simülasyonları düzenleyin.

✔ Kritik sistemleri merkezi olarak kayıt altına alın.

✔ Yedeklerinizi düzenli olarak geri yükleme testinden geçirin.

✔ “Biz küçük şirketiz, bize bir şey olmaz.” düşüncesinden uzak durun.

✔ En önemlisi: Verilerinize kimlerin, ne zaman ve neden eriştiğini her zaman bilin.

 Kapanış: Veri Yeni Petrol müdür? Aslında Hayır! Sadece Yeni Sorumluluktur.

Eskiden şirketlerin en değerli varlığı fabrikaları, depoları ya da makineleriydi.

Bugün ise en değerli varlık çoğu zaman görünmeyen bir hazinedir: veri.

Müşteriler, çalışanlar ve iş ortakları size yalnızca bilgi emanet etmez; aynı zamanda güvenlerini de teslim ederler. Bu güveni kaybetmek, yalnızca bir siber saldırının sonucu değil, yıllarca inşa edilmiş bir itibarı birkaç saat içinde yıkabilecek bir olaydır.

Teknoloji gelişmeye devam edecek. Saldırganlar da yöntemlerini değiştirecek. Ancak değişmeyecek tek gerçek şudur: Veriyi korumak, yalnızca BT ekiplerinin değil, kurumdaki herkesin sorumluluğudur.

Çünkü bazen milyonlarca kaydın kaderi, ertelenen bir güncelleme, yanlış verilen bir yetki veya dikkatsizce tıklanan tek bir bağlantıyla belirlenebilir.

Son Söz

Siber güvenlik dünyasında sık kullanılan bir söz vardır:

“Şirketler ikiye ayrılır. Verisi çalınanlar ve henüz bunu fark etmeyenler.”

Biraz karamsar görünebilir.

Ama gerçek şu ki günümüzde veri, şirketlerin en değerli varlığı haline geldi.

Sunucular değişebilir.

Bilgisayarlar yenilenebilir.

Hatta ofis binası bile yeniden yapılabilir.

Ancak internete düşen bir müşteri verisini geri toplamak neredeyse imkânsızdır.

Bu yüzden veri güvenliği yalnızca BT ekiplerinin sorumluluğu değildir; yönetim kurulundan stajyere kadar herkesin ortak görevidir.

Çünkü bazen milyarlarca dolarlık bir felaket, yalnızca tıklanan tek bir bağlantıyla başlayabilir.

Seyhan Tekelioğlu