Timehop İhlali: Şifre Güvenliğinin Önemini Hatırlatma
Yıllar önce aynı güne ait gönderileri "öncesi ve sonrası" tarzında görüntülemek için kullanıcıların geçmiş sosyal medya verilerini tarayan popüler sosyal uygulama Timehop'u duymuş olabilirsiniz. Uygulamanın doğası, kullanıcıların sosyal medya verilerine erişim izni vermesi gerektiği anlamına gelir; bu da Timehop'un çok sayıda kişisel tanımlanabilir bilgiye (PII) erişebileceği anlamına gelir.
Görünüşe göre verileriniz Timehop'un elinde sandığınız kadar güvende değildi. Şirket, kullanıcılarının 21 milyonunu (yaklaşık beşte birini) etkileyen bir veri ihlaline maruz kaldığını doğruladı. Bu yılki diğer yüksek profilli veri ihlallerinde olduğu gibi, kullanıcıların adları, adresleri ve telefon numaraları da dahil olmak üzere kişisel bilgileri yasa dışı bir şekilde elde edildi.
GDPR uyarınca Timehop, ihlali devam ederken ilgili yetkililere bildirdi ve ilk tespitinden yaklaşık 2 saat sonra kapattı. Timehop, ihlalin ilk olarak Aralık 2017'de ele geçirilen bir yönetici hesabından kaynaklandığını doğruladı. Timehop'un bulut ortamına erişildi ve saldırganlar muhtemelen 4 Temmuz'da saldırıyı başlatmadan önce bu ortamın kapsamını belirlediler. Neyse ki Timehop'un doğası gereği, saklanmadığı için bu türden hiçbir kredi kartı bilgisi, finansal veri veya PII tehlikeye atılmadı.
Peki, Yönetici Hesabının Güvenliği Nasıl Ele Geçirildi?
Saldırgan, çok faktörlü kimlik doğrulamayla korunmayan bir yönetici hesabı üzerinden erişim elde edebildi. İhlalin kamuya açıklanmasında Timehop şunları söyledi: "Artık tüm hesaplarda yetkilendirme ve erişim kontrollerimizi güvence altına almak için çok faktörlü kimlik doğrulamayı içeren adımlar attık. ”
Peki bu neden halihazırda mevcut değildi? Alıntı, Timehop'un bulut ortamında çok faktörlü kimlik doğrulamayla korunmayan çok sayıda hesabın bulunduğunu ima ediyor; bu, BT güvenliği açısından ciddi bir değerlendirme hatasıdır.
Potansiyel olarak hassas bilgileri saklayan ve işleyen kuruluşlar, çok faktörlü kimlik doğrulama da dahil olmak üzere yönetici hesaplarının güvenliğini sağlamak için ellerinden gelen her şeyi yaptıklarından emin olmalıdır. Birçok kişi doğal olarak birden fazla hesap için aynı şifreyi kullanır; bu da Timehop senaryosunda olduğu gibi bir hesabın ele geçirilmesi durumunda kabusa dönüşebilir. Adminlerin bu tuzağa düşmemesi gerekiyor. Karmaşık bir şifre kullanarak ve onu en az 90 günde bir değiştirerek hesabınızın korunduğundan emin olun.
GDPR Bu İhlali Nasıl Etkiledi?
Timehop, bu ihlali yasal olarak bildirmek zorunda olup olmadıklarından emin olmadıklarını belirtti. AB vatandaşlarının kişisel verilerini içeriyordu ancak kuruluşların yalnızca "bireylerin hak ve özgürlüklerine yönelik risk oluşturması muhtemel" bir ihlali bildirmesi gerekiyor. ”
Timehop'un takdirine göre inisiyatif almaya ve etkilenenleri bilgilendirmeye karar verdiler. Ayrıca düzenlemelerin herhangi bir kısmına aykırı düşmemelerini sağlamak için bir dizi GDPR uzmanıyla yakın işbirliği içinde çalışıyorlar.
Bir ihlali eylem halindeyken ne kadar hızlı tespit edebileceğiniz konusunda endişeleriniz varsa büyük olasılıkla Lepide Veri Güvenliği Platformu gibi bir değişiklik denetim çözümü dağıtmanız gerekecektir. Bu tür çözümler, kritik şirket içi veya bulut tabanlı sistemlerinizdeki istenmeyen veya yetkisiz değişiklikleri izlemenizi, tespit etmenizi ve bunlara yanıt vermenizi sağlar.