Thread by @ersincmt

1) Bir hack vakası daha!

Harvard Business Review Türkiye şubesi @HBRTurkiye'nin sahibi @infomag Yayıncılık şirketinin veritabanına sızıldı ve fidye saldırısı yapıldı.

152 binden fazla veri ele geçirildi.
Kişisel verilerin bulunduğu database'in korumasız olduğu ortaya çıktı!
👇

2) Dünya çapında onlarca ülkede faaliyet yürüten Harvard Business Review, iş dünyasında prestijli bir yayın olarak kabul edilir.

Türkiye'deki şubesi olan @HBRTurkiye'nin lisansı @infomag Yayıncılık adlı İstanbul merkezli şirkete ait.

Söz konusu hack, bu şirkete yapılıyor.

3) Şirkete ait bir veritabanın erişime açık ve korumasız olduğu 16 Eylül tarihinde bir grup uzman tarafından tespit edilmiş.

Not: Normalde, hassas müşteri verileri barındırdığı için çok güçlü bir şifreleme algoritmasıyla korunması gerekirken bu yapılmamış. Büyük zafiyet!

4) Uzmanlar üç gün sonra, yani 19 Eylül'de ilgili veritabanının kapatılıp kapatılmadığını görmek için tekrar inceleme yapmış ve şirketin fidye saldırısına uğradığını tespit etmiş.

Siber saldırganlar, şirketi verileri yayınlamakla tehdit etmiş ve şirketten fidye istemiş.

5) Uzmanlar, Infomag şirketinin fidyeyi ödeyip ödemediğine dair kanıt bulamamış.

Veritabanındaki bilgilere dair ise şu detaylara yer verilmiş;

- Şirketin 15 çalışanının e-posta ve "zayıf" şifre bilgileri
- Müşterilerin iletişim ve kimlik bilgileri (bazı banka bilgileri dahil)

6) - Şirketlerin ve şahısların kimlik bilgileri, fiziksel adresleri, ödemeleri, telefon numaraları ve vergi numaraları da hacklenen veritabanında yer alıyor.

Uzmanlar, hem Infomag çalışanlarının hem de müşterilerin bilgileri yer aldığı için tehlikenin büyük olduğunu vurguladı.

7) Bu tespitler üzerine uzmanlar, elde ettikleri bilgileri Harvard Business Review'in merkezi @HarvardBiz 'e gönderdiler. Yetkililer Türkiye'deki şubeye durumu ileteceklerini belirtmişler.

@infomag şirketinden ise (defalarca iletişime geçmelerine rağmen) yanıt alınamamış!

8) Bu zafiyet ve ihlaller, çok sayıda insana ve şirkete zararlar verebilir. @infomag şirketi, sorumlulara dair gerekeni yapmalıdır.

Ayrıca kişisel verileri koruma kanunu uyarınca, gereken adımlar @KVKKurumu tarafından atılmalıdır.

CC: @adalet_bakanlik @bybekirbozdag

9) Bu arada, verilerin ihlal edildiği hack olayını ilgili şirket @KVKKurumu na iletti mi, merak ediyorum 🤔

KVKK'nın websitesinde bu olaya dair hiçbir bilgi yok çünkü.

Yasal yükümlülük gereği şirket bunu yapmak zorunda. Aksi taktirde #GDPR çerçevesinde cezai yaptırım oluyor.

10) Şirketin ilgili departmanındaki bu olaya sebep olan çalışan veya çalışanlara da hesabı sorulmalıdır.

Personel veya teknik zafiyetlerden dolayı meydana gelen hack ve ihlal durumlarına sessiz kalınmamalıdır.

Özellikle @KVKKurumu ve @TRCert gibi kurumlar bilgilendirilmeli!

11) İlgili haberin kaynağı;

cybernews.com/security/hbp-t…