Danimarka’nın Merkezi Kişi Kayıt (CPR) sisteminde yaşanan ve 8.8 milyon vatandaşın kişisel verilerini etkileyen büyük çaplı siber saldırının arkasından, son derece zayıf bir parola olan ‘123456’ çıktı. 5 Ekim’de resmen doğrulanan siber saldırı, yetkili bir BT şirketinin sistem erişiminin kötüye kullanılmasıyla gerçekleşti. Saldırganın, şirketin yönetici hesaplarında dahi aynı basit şifreyi kullandığını belirterek sisteme sızdığı iddia edildi. Danimarkalı yetkililer, 10 Eylül ile 20 Eylül tarihleri arasında yaklaşık 14 milyon otomatik sorgulama yapıldığını ve olayın ancak Ekim ayı başında fatura detaylarındaki olağandışı hareketlilik sayesinde fark edilebildiğini açıkladı.
- Danimarka’daki CPR sistemine sızan saldırganın, bir BT şirketinin ‘123456’ şifreli hesabını kullandığı belirlendi.
- Saldırı sonucunda 8.8 milyon kişinin kişisel verilerine yetkisiz erişim sağlandı.
- Saldırganın 10 gün boyunca yaklaşık 14 milyon otomatik sorgulama gerçekleştirdiği ortaya çıktı.
- Danimarka Veri Koruma Otoritesi Datatilsynet, olayın ardından resmi soruşturma başlattı.
Zayıf Parola Güvenlik Açığını Ortaya Çıkardı
Saldırıya uğrayan Pays ApS isimli şirketin, CPR sistemine iş müşterilerinin kayıtlarını doğrulama amacıyla yasal erişim yetkisi bulunduğu anlaşıldı. Şirket yöneticisi Sophie Laursen, erişimin kötüye kullanıldığını doğrularken, web sitelerinin tedbir amaçlı olarak kapatıldığını duyurdu. Uzmanlar, devlet kurumlarıyla çalışan özel şirketlerin güvenlik standartlarının ne kadar kritik olduğunu bu olayla bir kez daha vurguladı.
Saldırı 12 Gün Boyunca Fark Edilemedi
Saldırganın 10 Eylül’de sisteme giriş yapıp 20 Eylül’e kadar 14 milyon sorgulama gerçekleştirdiği belirlendi. İhlalin, bir bakanlık çalışanının Pays firmasından gelen anormal bir fatura tutarını fark etmesiyle 2 Ekim’de keşfedildiği bildirildi. Bu gecikme, kurumların siber güvenlik izleme süreçlerinde ne kadar savunmasız kalabildiğini gözler önüne serdi. Hükümet yetkilileri, sistemin toplamda 11 milyon kaydı barındırdığını, saldırıdan ise 8.8 milyon kişinin etkilendiğini bildirdi.
Kurumsal Güvenlik Politikaları Gözden Geçiriliyor
Danimarka Veri Koruma Otoritesi Datatilsynet, olayın detaylı incelenmesi için süreci yakından takip ediyor. Hükümet, sistemdeki parola politikaları ve erişim denetimleri konusundaki soruları yanıtsız bırakırken, kamuoyunda şirketlerin devlet sistemlerine erişim yetkilerinin daha sıkı denetlenmesi gerektiği yönünde bir görüş birliği oluştu. Özellikle basit şifrelerin kullanılması, siber saldırılara karşı alınacak en temel önlemlerin bile ihmal edildiğini gösteriyor.
Sizce kurumların verilerini korumak için kullandığı güvenlik standartları yeterli mi, yoksa devletler özel şirketlere verdiği erişim yetkilerini kısıtlamalı mı? Görüşlerinizi yorum kısmında bizimle paylaşabilirsiniz.
