Asos veri ihlali hangi verileri ortaya koyuyor?
Asos veri ihlali, şirketin müşterilerle iletişim kurmak için kullandığı üçüncü taraf bir platformda barındırılan verilere yetkisiz erişim sağlandığının açıklanmasıyla gündeme geldi. Şirketin Londra Borsası’na yaptığı bildirimde, ihlal kapsamında müşteri adları ile iletişim bilgilerinin alındığı belirtildi. Bu açıklama, olayın doğrulanmış veri türleri bakımından başlangıç çerçevesini oluşturuyor.
Ancak mevcut bilgi seti, ihlalden kaç müşterinin etkilendiğini göstermiyor. Asos’un internet sitesinde 17 milyon müşterisi bulunduğu ifade edilse de bu sayı ihlalden etkilenen kişi sayısı anlamına gelmiyor. Şirketin açıklaması, erişilen kayıtların toplam hacmi ya da etkilenen müşteri kitlesinin oranı hakkında bir ölçüm paylaşmıyor.
TechCrunch’ın aktardığı BBC News haberinde ise ev adresleri, telefon numaraları, e-posta adresleri ve müşteri profillerine ilişkin notların da çalınan veriler arasında olduğu bildirildi. Bu profil notlarının, müşterilerin internet sitesindeki arama sorgularını içerebildiği öne sürüldü. Bununla birlikte Asos’un borsa bildiriminde doğrudan teyit ettiği veri kategorileri ad ve iletişim bilgileriyle sınırlı görünüyor.
Olay, uygulama bildirimi üzerinden görünür oldu
Vakanın dikkat çeken yönü, yetkisiz erişim iddiasının Asos’un kendi uygulaması üzerinden müşterilere iletilen bir bildirimle görünür hâle gelmesi oldu. Asos, bilgisayar korsanlarının “yetkisiz müşteri bildirimi” gönderdiğini doğruladı. Sosyal medyada paylaşılan bu bildirimin, şirketin veri koruma sorumlusuna ve BT departmanına hitap ettiği aktarıldı.
Bildirimde saldırganların şirketin Snowflake üzerinde tutulan verilerini tamamen ele geçirdiğini ileri sürdüğü ve şirketten kendileriyle iletişime geçmesini istediği belirtildi. Bu ifade saldırganların iddiasıdır; ele geçirilen veri miktarı veya veri setinin bütünü hakkında bağımsız bir doğrulama niteliği taşımıyor. Saldırganların ellerinde bulunduğunu iddia ettikleri veri miktarını açıklamadığı da bildirildi.
Uygulama içi bildirim kanalı, ihlalin veri erişimi boyutundan ayrı bir güvenlik sorusunu da beraberinde getiriyor. Haberde, saldırganların Asos’un uygulama bildirimlerini gönderen sisteme nasıl eriştiğinin bilinmediği kaydedildi. Bu tür bildirim altyapılarının sıklıkla üçüncü taraf hizmetler üzerinden işletilebildiği belirtilirken, olayda kullanılan sistemin ayrıntısı açıklanmadı.
Veri kaynağı ve erişim yöntemi için ne biliniyor?
Asos’un açıklamasına göre saldırganlar, müşteri iletişiminde kullanılan üçüncü taraf platformda barındırılan verilere erişti. Bildirim metninde Snowflake adı geçiyor. Snowflake, kurumsal müşterilerin büyük veri kümelerini analiz etmesine imkân veren bir teknoloji şirketi olarak tanımlanıyor.
Bleeping Computer’ın haberine dayandırılan bilgiye göre saldırganlar, oturum açma bilgilerini elde etmek amacıyla güvenilir bir kişiyi taklit etmiş olabilir. Ancak bu erişim yöntemine ilişkin ayrıntı Asos tarafından doğrulanmış bir teknik inceleme sonucu olarak sunulmadı. Aynı şekilde, Asos’un kullandığı Snowflake ortamında çok faktörlü kimlik doğrulamanın etkin olup olmadığı da bilinmiyor.
Snowflake ise kendi sistemlerinde bir ihlal yaşanmadığını söyledi. Bu açıklama, olayın Snowflake’in genel altyapısındaki bir ihlalden kaynaklandığını doğrulamıyor. Eldeki bilgiler, Asos’un kullandığı ortamdaki erişim zinciri, kimlik doğrulama kontrolleri ve bildirim kanalının nasıl etkilendiği konusunda kesin bir sonuca varmak için yeterli değil.
Ölçülemeyen alanlar risk değerlendirmesini sınırlıyor
Veri ihlallerinde etki değerlendirmesi, yalnızca hangi veri türlerinin açığa çıktığıyla değil, kayıt sayısı, verilerin güncelliği, bağlantılı veri alanları ve erişimin süresiyle yapılır. Asos olayında kamuya açıklanan bilgiler, adlar ve iletişim bilgileri yönünde bir doğrulama sağlasa da bu ölçütlerin çoğu için veri sunmuyor.
Örneğin ev adresleri, telefon numaraları, e-posta adresleri ve arama sorgularına ilişkin bilgilerin kapsamı, TechCrunch’ın aktardığı BBC News haberine dayanıyor. Bu veri türlerinin kaç kayıtta yer aldığı, tüm müşterilere mi yoksa belirli bir gruba mı ait olduğu ve hangi dönemleri kapsadığı açıklanmadı. Arama sorguları gibi profil notları söz konusuysa, veri setinin müşteri davranışlarına ilişkin ek bağlam taşıyıp taşımadığı da açıklanan bilgilerden ölçülemiyor.
Bu nedenle olayın etkisini müşteri sayısı üzerinden hesaplamak veya belirli bir veri türünün herkes için açığa çıktığı sonucuna varmak mümkün değil. Mevcut bulgular, ihlalin gerçekleştiğini ve bazı kişisel bilgi kategorilerinin alındığını destekliyor; fakat kapsamı nicel olarak ortaya koyan bir rapor paylaşılmadığını gösteriyor.
Şirketin açıklaması ile saldırgan iddiasını ayırmak gerekiyor
Asos veri ihlali hakkında güvenilir bir değerlendirme için şirketin teyit ettiği unsurlar ile saldırganların ileri sürdüğü ifadeleri ayrı ele almak gerekiyor. Şirket; üçüncü taraf platformdaki yetkisiz erişimi, müşteri adları ve iletişim bilgilerinin alınmasını ve yetkisiz uygulama bildirimi gönderilmesini doğruladı. Bunlar olayın açıklanmış temel bulguları.
Buna karşılık saldırganların verileri “tamamen ele geçirdiği” yönündeki ifadesi, yayınlanan bilgilerle doğrulanmış değil. Saldırganların şirkete baskı kurmak amacıyla verileri yayımlama tehdidinde bulunduğu bildiriliyor; ancak herhangi bir veri sızıntısının gerçekleşip gerçekleşmediği ya da paylaşılmış bir veri örneğinin bulunup bulunmadığına ilişkin bilgi yer almıyor.
Asos’un kamuya açık sonraki açıklamaları, olayın gerçek boyutunu anlamak için belirleyici olacak. Özellikle etkilenen kayıt sayısı, doğrulanan veri alanları, erişimin yöntemi ve bildirim sistemine ilişkin teknik bulgular paylaşılmadıkça, olayın kapsamına dair kesin yargılar yerine açıklanmış verilerle sınırlı bir değerlendirme yapmak gerekiyor.
Bir içerik, dört format.
Okumaya vaktin yoksa özetle; paylaşacaksan platforma göre yeniden düzenle.
Asos, müşterilerle iletişim için kullanılan üçüncü taraf bir platformdaki ihlalde ad ve iletişim bilgilerinin alındığını bildirdi. Mevcut açıklamalar, etkilenen kayıt sayısı ve ele geçirilen verilerin tam dökümü konusunda netlik sağlamıyor. • Asos veri ihlali hangi verileri ortaya koyuyor? • Olay, uygulama bildirimi üzerinden görünür oldu • Veri kaynağı ve erişim yöntemi için ne biliniyor?
Bu önizleme yalnızca sayfadaki editoryal veriyi yeniden biçimlendirir. Gerçek yapay zekâ üretimi Core tarafında güvenli bir sunucu endpoint’iyle bağlanacak.
