Chainalysis, 30 Ekim'de Müşteri İsim ve E-postalarını İfşa Eden Veri İhlalini Açıkladı

Düşük Hassasiyetli Müşteri Kayıtlarına Erişildi

Blokzincir analitiği firması Chainalysis, 30 Ekim'de dış kaynaklı bir saldırganın sistemlerine ve dahili araçlarına yetkisiz erişim sağladığını, saldırının düşük hassasiyetli bir grup müşteri kaydına ulaştığını duyurdu. Şirketin resmi olay bildirimi, ifşa olan kategorileri müşteri kullanıcı kimlikleri, isimler, e-posta adresleri ve her kullanıcının kendi kuruluşundaki rolünü tanımlayan bilgiler olarak sıralıyor. Chainalysis, uyum ekiplerinin ve kolluk kuvvetlerinin kamu blokzincirleri üzerinde yasadışı fonları izlemek için kullandığı takip ve soruşturma yazılımlarını üretiyor; bu yazılımlar zincirler arası köprüler üzerinden hareket eden değerleri de kapsıyor. Bu yüzden müşteri tabanının gizliliği sıradan bir yazılım tedarikçisini aşan bir öneme sahip.

Şirket, sızmanın Ekim ayı içinde fark edildiğini belirtiyor ve yöntemi ofansif ajan teknikleri olarak tanımlıyor; yani yapay zekâ ajanlarının, daha önce operatörün elle yapması gereken adımları kendiliğinden planlayıp uyguladığı saldırı akışları kastediliyor. Bağımsız siber güvenlik uzmanları çalışmaya destek veriyor ve istismar edilen açıkların giderilmesi soruşturmayla eş zamanlı yürütülüyor. Chainalysis ayrıca büyük dil modellerini savunma tarafında devreye aldığını söylüyor ve olayı, yapay zekâ destekli siber saldırıların sektör genelinde arttığı bir ortama yerleştiriyor. Şirket, olayın Binance'te yakın zamanda yaşanan kripto varlık hırsızlığıyla ilgisinin bulunmadığını da belirtiyor; iki ayrı yüksek profilli güvenlik olayını birbirine bağlayan bir okuma kuyruğunun önüne geçen bir açıklama. Fonlar el değiştirmedi ve saldırganın kimliği açıklanmadı; bu yüzden olay, varlık hırsızlığı değil veri erişimi niteliğinde bir ihlal olarak duruyor ve etkilenen hesap sayısı henüz açıklanmadı.

Ekim'in Kurumsal Veri İhlali Dalgası

Açıklama, yoğun bir ayın ortasına denk geliyor. Ekim'de kişisel veri olayları büyük Japon şirketlerinde üst üste geldi: Sagawa Express yaklaşık 53,23 milyon kaydın etkilendiğini bildirdi; MUJI markasının operatörü Ryohin Keikaku'da rakam kabaca 27,26 milyona, Source Next'te 22,52 milyona, Capcom'da 11,77 milyona ve Japonya'daki Burger King'de 11,18 milyona ulaştı. Aynı örüntü Amerika Birleşik Devletleri'nde de geçerliydi: Educational Testing Service, California'daki devlet okullarının öğrenci verileri de dahil olmak üzere yaklaşık 7 milyon kişiyi kapsayan bir sızıntı bildirdi; Cerner sağlık kayıtları işletmesi Oracle Health yaklaşık 20 milyon, kardiyak monitör üreticisi iRhythm ise kabaca 8,18 milyon kişilik olayla karşı karşıya kaldı. Perakendeci Revolve toplam sayısını henüz netleştirmedi, yalnızca Teksas için hesap yaklaşık 127 bin kişiye işaret ediyor; Quest Diagnostics ise hangi hasta bilgilerinin etkilendiğini hâlâ belirliyor.

Başlık kategorilerinin arkasındaki ayrıntı, ihlalin kendisi kadar önemli. Şirketin olay sonrası değerlendirmesine göre bugüne kadar bulunan bulgular, yetkisiz erişimin soruşturma grafiklerine, notlara veya dava dosyalarına, işlem ve sorgu sonuçlarına ya da açık metin parolalara, çok faktörlü kimlik doğrulama anahtarlarına ve kullanıcıların oturumlarını açık tutan oturum jetonlarına ulaşmadığını gösteriyor. Bu ayrım belirleyici: dokunulmamış kalan bu kalemler, bir saldırganın aktif soruşturmaları okumasını ya da doğrudan müşteri hesaplarına girmesini sağlayacak varlıklardır. Chainalysis tüm müşterilerini bilgilendirdi ve erişilen kayıtların incelemesi tamamlanınca etkilenen kullanıcılarla birebir iletişime geçmeyi planlıyor. Kullanıcılara beklenmedik parola sıfırlama taleplerine veya kimlik doğrulama istemlerine kuşkuyla yaklaşmaları ve iki faktörlü kimlik doğrulamayı açmaları söyleniyor.

Olayın şekli, analitiği firmalarının saldırganları neden çektiğini açıklıyor: bu platformlar kimin kimi soruşturduğunun haritasını elinde tutuyor ve dava dosyalarına uzanan bir ihlal, yaptırım önceliklerini ifşa eder. Olay sonrası değerlendirme, bu çizginin aşılmadığını belirtiyor. Bunun yerine sızan isimler ve e-postalar, doğrudan hesap ele geçirme yerine hedefli kimlik avı (phishing) girişimlerini besliyor; doğrudan ele geçirme, incelemeye göre dokunulmamış kalan açık metin parolaları, çok faktörlü doğrulama anahtarlarını veya oturum jetonlarını gerektirecekti ve bu verilerin çalınması, saldırganın aktif bir oturumu bir tekrar saldırısının (replay attack) izin verdiğinden çok daha doğrudan taklit etmesini sağlardı. Dış blokzincir analitiği sağlayıcılarına güvenen platform müşterileri, aralarında Coinbase Global gibi borsaların da bulunduğu kuruluşlar, artık sıradan ama gerçek bir sonuçla, sızan iletişim verileriyle yüzleşiyor. Yapay zekâ çerçevesi iki yönlü işliyor: sızmayı icra eden aynı ajan tabanlı otomasyon, şimdi şirketin savunmasında görevlendiriliyor.