Securitize Japan Saldırısı 617 Sony Bank Müşterisinin Adını Açığa Çıkardı

Sony Bank Dijital Menkul Kıymet İşlemlerini Askıya Aldı

Amerika Birleşik Devletleri merkezli tokenizasyon (dijital varlık tokenleştirme) şirketi Securitize'ın Tokyo ünitesi Securitize Japan, siber saldırıya uğradı. Saldırı, Sony Bank, NTT Data ve Marui Group'un elindeki müşteri verilerini açığa çıkardı. Üç şirket de sızıntıyı doğruladı ve soruşturmaları hâlâ sürüyor. İlk alarmı Sony Bank verdi: Banka, 30 Ekim'de dijital menkul kıymet işlemlerini yürüten dış yüklenicisinde bir siber saldırı tespit etti ve Çarşamba günü bu yüklenicinin Securitize Japan olduğunu açıkladı. Bankanın 4 Kasım'da yayımlanan resmi duyurusu bu tespiti doğruluyor; böylece tespit ile açıklama arasında geçen beş günlük süre de kapanmış oldu.

Banka tarafında açığa çıkan veri hacmi sınırlı kaldı. 617 kişinin adı ifşa olurken, dört müşterinin tüm profil bilgileri ele geçti. Sony Bank, bu ölçek dışında kayda değer bir zarar oluşmadığını, bugüne dek sahte işleme rastlanmadığını ve çalınan verilerin kamuya açık hale geldiğine dair bir bulgu bulunmadığını açıkladı. Dijital menkul kıymetler dışındaki hizmetler etkilenmedi. Yine de banka, gerekli güvenlik önlemlerini tamamlayana dek dijital menkul kıymet işlem hizmetini askıya aldı; etkilenen müşterilerle tek tek iletişime geçiyor ve sorular için bir destek hattı işletiyor.

Sony Bank ile tedarikçi arasındaki ilişki yıllara dayanıyor. Banka, 2023'te Securitize Japan üzerinden dijital menkul kıymet sunmaya başladı ve 2026'da müzik hakları yatırımlarına karşı fon toplamak için platformu yeniden kullandı. Dijital menkul kıymetler, sahiplik ve hak kayıtlarının bir blokzincir üzerinde takip edildiği finansal ürünler; bu da kayıtların saklamasını bankanın kendisi yerine uzman bir sağlayıcıya bırakıyor. Sızma gerçekleştiğinde, müşteri listesini başka bir şirketin ağ sınırının içine sokan yapı tam olarak buydu.

NTT Data ve Marui Group da Etkileneni Bildirdi

Securitize Japan'ın kendi zaman çizelgesi bir gün öncesine, 29 Perşembe'ye dayanıyor. Şirket, sistemlerinde olağandışı hareket fark etti, bunu dışarıdan bir sızmacıya izledi ve Sony Bank'ı bilgilendirdi. Ardından yapılan erişim kaydı incelemesi, müşteri kayıtlarının sistemden çekilmiş olduğunu gösterdi.

Bu hafta iki kurumsal müşteri daha etkileneni açıkladı. NTT Data, 4 Kasım'da şirket tahvili alıcılarının kişisel verilerinin bir Securitize Japan servisi üzerinden sızdığını bildirdi. Şirketin incelemecileri sızmanın platformun kimlik doğrulamasındaki bir açığa bağlandı; saldırganlar bu açığı kullanarak yönetici yetkilerini ele geçirip verileri çekti. Marui Group ise daha geniş bir maruz kalma yüzeyi raporladı: Yalnızca dijital tahvil başvurusu yapmak için hesap açan en fazla 9.086 kişinin adı, adresi, telefon numarası, e-posta adresi, doğum tarihi, cinsiyeti ve satın alınan yatırım birimi sayısı açığa çıktı. Yaklaşık 54 başvuru sahibinin banka hesap bilgileri de ele geçirildi.

Olay, Doğu Asya finans dünyasının zorlu bir dönemine denk geldi. Son haftalarda yaklaşık 80 Japon sigortacı, finans şirketi ve lojistik firması, Çin'de geliştirilmiş açık kaynaklı sızma testi yapay zekâ aracı ARTEX üzerinden saldırıya uğradı; 18 Eylül ile 18 Ekim arasında altı yurt dışı sunucu Japon hedeflerine karşı kullanıldı. Güney Kore'de aynı araca bağlanan sızmacılar, Shinhan Bank ve KB Kookmin Bank dahil 16 finans kurumuna ulaştı ve yaklaşık 100 bin kayıt sızdı. Kore polisi ayrıca kripto borsası Bithumb, Daishin Securities ve Mirae Asset Global Investments'teki sızıntılar hakkında ön soruşturma başlattı; bu sızıntılarda 38.490 Daishin müşterisi etkilenmiş durumda. Kamuya yansıyan bilgilere göre Securitize Japan olayları ARTEX kampanyasıyla bağlantılı değil; NTT Data da somut bir saldırgan ya da araç yerine kimlik doğrulaması açığını işaret etti.

Ortaya konan tabloda tek tek rakamlardan daha önemli olan örüntü yatıyor. Securitize Japan, aynı anda birden fazla büyük kurumun dijital menkul kıymet programının arkasında duruyor; tek bir kimlik doğrulama açığı, tek bir arıza noktasından bir bankaya, bir teknoloji grubuna ve bir tüketici kredisi kuruluşuna ulaştı. Her müşterinin seçtiği önlem kendi hikâyesini anlatıyor: Sony Bank, doğrulanmamış bir ağ sınırı üzerinde çalışmak yerine işlemi durdurmayı tercih etti; kayıt saklaması tedarikçideyken bu temkinli bir karar. Akıllı kontrat saldırılarının en yaygın türleri zincir üstündeki kodu hedeflerken bu sızma, yönetimsel katmanda yaşadı; daha sıkı kimlik doğrulaması ve rutin erişim kaydı denetiminin kapsamaya çalıştığı katman tam da burası. Bugüne dek sahte işlem görünmediği için zarar mali değil, bilgilendirici kaldı. Doğrulanmamış olan ise saldırganın kimliği: Ne NTT Data ne Marui Group bir isim verdi ve ARTEX kampanyası şimdilik ayrı, bağlantısız bir soruşturma olarak duruyor.