Hindistan'da nispeten küçük görünen veri sızıntıları, kişisel olarak tanımlanabilir bilgilerin alınıp satıldığı gelişmiş yeraltı pazarı sayesinde oldukça ciddi hale gelebiliyor.
Nate Nelson, Katkıda Bulunan Yazar
Anonim bir saldırgan, Hindistan'ın Devlet Bankası State Bank of India'dan küçük bir parti hassas müşteri kaydını sızdırdı ve etkilenen binlerce kişi için potansiyel olarak ciddi sonuçlar doğurdu.
SBI son zamanlarda sosyal medyada siber güvenliğe dair çok şey paylaşıyor. Ağustos ayında yeni bir CGI maskotu olan "Kaptan Y."yi tanıttı. SBI'dan Kaptan Y, tanıtım videosunda "farkındalık onun süper gücü" diyerek "siber korucunuz" olduğunu söylüyor. SBI'nın siber güvenlik farkındalığına dair en güçlü vurgusu ise Çarşamba günü geldi; banka müşteri verilerinin sızdırıldığını kamuoyuna açıkladı.
Hindistan Ulusal Menkul Kıymetler Borsası'na yapılan bildirimde, kuruluşun uyum ve şirket sekreteri 3.897 müşteri kaydının çevrimiçi sızdırıldığını kabul etti. Bu kayıtların 3.897 ayrı müşteriye ait olup olmadığı belirtilmedi. Devlet bankası müşterilere yaptığı açıklamada olayın "çok, çok küçük sayıda müşteriyi" etkilediğini vurguladı.
500 milyondan fazla kişiye hizmet veren bir banka için birkaç bin kayıt gerçekten çok, çok küçük sayılır. Siber uzmanları ise etkilenenler için sonuçların Hindistan'daki kişisel olarak tanımlanabilir bilgilerin alınıp satıldığı gelişmiş yeraltı ekonomisi sayesinde önemli olabileceğini belirtiyor.
SBI'dan müşteri PII sızıntısı
Geçen hafta "Siriusim" adıyla yeni bir hesap, yaygın veri sızıntısı sitesi BreachForums'a SBI'dan yeni kullanıcı verileri olduğunu iddia eden bir gönderi paylaştı. Paylaşımda kişisel kullanıcı bilgileri, yeni hesap ve kredi başvuruları yer alıyordu. Veriler 375 bin satırlık tablo ve 2.722 PDF dosyası içeriyordu. Önemli olan, her iki rakamın da etkilenen birey sayısını göstermeyebileceğiydi.
Gönderinin bir parçası olarak Siriusim el yazısıyla kişisel bilgi içeren birkaç belge paylaştı. Mumbai'nin Free Press Journal gazetesi, sızıntı örneklerindeki PII'nin gerçek Hindistan vatandaşlarına ait olduğunu doğruladı. Örneğin bir kişi mobil numarasını ve kimlik doğrulama belgesini kaybetti; numarasına ait WhatsApp fotoğrafı, KYC dosyasındaki pasaport fotoğrafıyla eşleşiyordu.
SBI, sızdırılan verilerin isimler, cinsiyetler, mobil numaralar, e-posta adresleri, ev adresleri, doğum tarihleri, banka profil kimlikleri, kredilere ilişkin meta veriler ve "diğer dosyalar" içerdiğini kabul etti. Mumbai'den gelen takip haberleri, bu ek verilerin Merkezi KYC numaralarını — Hindistan'da finansal hesaplar için tek bir tanımlayıcı — ve video KYC doğrulama verilerini, yeni banka hesabı açma ya da kredi başvurusu sürecinde sunulması gereken türden dosyaları içerdiğini öne sürdü. Yayımlanan bir belgede bir kişinin istihdam ve gelir beyanı yer alıyordu; mevcut işveren, iş deneyimi ve maaşına dair ayrıntılar bulunuyordu.
Sızıntıyı neyin tetiklediği ve neden bankanın müşterilerinin yalnızca yüzde 0,0008'ini etkilediği net değil. Resmi açıklamasında SBI, "bankanın temel iş fonksiyonlarının kesintisiz olarak normal şekilde işlemeye devam ettiğini" vurguladı. Bu ipuçları, sızıntının çekirdek banka sistemi yerine çevresel bir dijital hizmet ya da veri işleme sistemine işaret edebileceğini gösteriyor.
Aslında SBI'nın son büyük müşteri veri sızıntısı da benzer bir senaryoyla gerçekleşmişti. 2019'da Mumbai'deki bir veri merkezindeki tek bir sunucu üzerinden müşteri hesap verileri açığa çıkmıştı; sunucu parola koruması olmadan bırakılmıştı. Sunucu, müşterilere temel hesap bilgilerini SMS ve arama yoluyla bildiren "SBI Quick" sistemini destekliyordu. Tek bir makine milyonlarca müşteriyi riske atmıştı; bu da yeni sızıntının gerçekten ne kadar küçük olduğunu vurguluyor.
Bankacılık sızıntısından kaynaklanan daha derin ve daha az açık siber riskler
"Veri gerçekse asıl risk doğrudan hesap çalınması değil, ikna edici görünen kimlik avı, sesli kimlik avı ve kimlik ya da kredi dolandırıcılığıdır; saldırganlar bir kişinin ayrıntılarını bildiği için bankayı ikna edici şekilde taklit edebilir," diyor bağımsız güvenlik araştırmacısı Sushant Bhardwaj.
E-posta adresleri, telefon numaraları ve doğum tarihleri kötü aktörlerin elinde oldukça açık risk taşır ve daha az yaygın PII türleri aksi halde genel kimlik saldırılarına renk katabilir. Örneğin, "KYC ayrıntıları değiştirilmesi zor olduğundan kimlik dolandırıcılığını destekleyebilir; örneğin bir başkasının adına kredi başvurusu yapmak ya da hesap doğrulama sorularını yanıtlamak için kullanılabilir," diye belirtiyor Bhardwaj. Kredi meta verileriyle ilgili olarak, "gerçek kredi ayrıntılarını alıntılayabilen bir aramanın bankayı ya da bir tahsilat görevlisini taklit etmesi ve borçluyu bir 'ücret' ödemeye ya da tek kullanımlık şifre paylaşmaya zorlaması mümkün."
Cyderes'in Howler Cell biriminden kıdemli başkan yardımcısı Brian Hussey daha derine iniyor. Ekibi geçen ay Hindistan'da bir veri komisyoncusunun Telegram botu ve iş uygulaması programlama arayüzü platformu üzerinden arama başına yaklaşık 5 rupi — yaklaşık 6 sent — karşılığında kişisel kayıtlar sattığını bildirdi. Bu basit aramalarla Hint vatandaşlarını hedef alan siber suçlular anında düzenli vatandaşlara ait geniş PII depoları elde edebiliyor. Hussey, SBI benzeri veri sızıntılarının bu yeraltı ekonomisine besleme yapabildiğini belirtiyor. "Bir sızıntı dökümü paylaşıldığı gün eskimeye başlar. Canlı bir arama hizmeti her zaman günceldir, çünkü gerçek zamanlı olarak yetkili kaynaktan sorar. Hindistan'ın yeraltı veri pazarı her ikisine de sahip ve birlikte çalışıyor," diye açıklıyor.
Örneğin bir kişi SBI'dan büyük bir kredi başvurusunda bulundu — bu da hedef alınmaya değer biri olabileceğini gösterir — ve geçen hafta kendisiyle ilgili bazı bilgiler sızdı. "Hindistan'da bir mobil numarayı abone kimliğine, istihdam geçmişine ve kayıtlı araçlar listesine dönüştüren hizmetler belgeledik," diyor Hussey. Bir saldırgan az miktarda PII'yi çok daha fazlasına çevirebilir ve bu tür çalıntı verilerin satıldığı geniş, akışkan ekonomi mağdurlar için çözüm arayışını neredeyse imkansız kılar. Hussey, böyle bir sorgunun birkaç saniye sürebileceğini ve "sağlayıcının günlüklerinde iz, anomali bırakmadığını ve sorumlu bir alıcı olmadığını" belirtiyor. "Hiç kayıt olarak oluşmayan bir olayı araştırmazsınız."
"Hindistan dünyanın en bağlantılı kimlik sistemlerinden birini kurdu ve onu sorgulamak için tüm bir endüstri var," diye uyarıyor. "Bu bağlantı, bir yerdeki sızıntıyı bir başka yerde çok etkili ve kullanışlı hale getiriyor."
