25 Milyon Amerikalı Tehlikede: Conduent Hükümeti Veri İhlali
Hükümet kurumları adına hassas bilgileri işleyen bir şirket olan Conduent'te yaşanan büyük çaplı bir veri ihlali, 25 milyondan fazla Amerikalının kişisel kayıtlarını tehlikeye attı. SafePay fidye yazılımı grubu tarafından gerçekleştirilen ihlalde; Sosyal Güvenlik numaraları, tıbbi kayıtlar ve sağlık sigortası bilgileri dahil olmak üzere 8,5 terabayt veri çalındı. Oregon veya Texas'ta yaşıyorsanız, bilgilerinizin bu olayda ele geçirilmiş olma ihtimali oldukça yüksek.
Bu ihlal, kişisel verilerinizin yalnızca kendi cihazlarınızda durmadığını çarpıcı biçimde hatırlatıyor. Verileriniz; adını bile duymadığınız, güvenlik uygulamaları üzerinde hiçbir denetiminizin bulunmadığı yüklenicilerin, veri işleyicilerin ve üçüncü taraf tedarikçilerin sistemlerinde yaşıyor.
Conduent Kimdir ve Bu Neden Önemlidir?
Conduent, Amerika Birleşik Devletleri genelinde hükümet kurumları için idari ve veri işleme hizmetleri yürüten bir iş süreci hizmetleri şirketidir. Bu, şirketin düzenli olarak en hassas türdeki bilgileri işlediği anlamına gelir: gerçek kişilerin kimliklerine ve finansal yaşamlarına bağlı sosyal yardım verileri, sağlık kayıtları ve Sosyal Güvenlik numaraları.
Conduent gibi bir şirketin ihlale uğraması durumunda sonuçlar, tek bir kurum ya da eyaletin çok ötesine yayılıyor. Oregon, etkilenen yaklaşık 10,5 milyon sakini olduğunu bildirdi. Texas ise bu rakamın yaklaşık 15,4 milyon olduğunu açıkladı. Yalnızca bu iki eyalet bile 25 milyonluk toplam mağdur sayısının önemli bir bölümünü oluşturuyor; ancak ihlalin, Conduent ile hükümet hizmetleri sözleşmesi yapmış birden fazla eyaletteki sakinleri etkilemiş olması kuvvetle muhtemel.
SafePay fidye yazılımı grubu saldırının sorumluluğunu üstlendi. Bu tür fidye yazılımı grupları, sistemleri şifrelemeden önce verileri genellikle dışarı sızdırır; bu yöntem hem ödeme talep etmede pazarlık kozu sağlar hem de fidye ödense bile çalınan kayıtları satma ya da sızdırma imkânı tanır.
Asıl Risk: Sosyal Güvenlik Numaraları ve Tıbbi Kayıtlar Eskimez
Tüm veri ihlalleri aynı uzun vadeli riski taşımaz. Çalınan parolalar değiştirilebilir. Ele geçirilen e-posta adresleri izlenebilir. Ancak Sosyal Güvenlik numaraları ve tıbbi kayıtlar bambaşka bir kategoridir.
Sosyal Güvenlik numaranız fiilen kalıcıdır. Bir kez suçluların eline geçti mi; sahte kredi hesapları açmak, sahte vergi beyannamesi vermek veya tıbbi kimlik hırsızlığı yapmak için kullanılabilir; üstelik bu, asıl ihlalden yıllar sonra bile gerçekleşebilir. Tıbbi kayıtlar ise teşhisler, ilaçlar ve sigorta bilgilerini gün yüzüne çıkararak sigorta dolandırıcılığında ya da hedefe yönelik kimlik avı saldırılarında istismar edilmek üzere maruziyeti daha da artırır.
Conduent ihlalinin tipik bir kimlik bilgisi sızıntısından daha fazla dikkat çekmesi gereken neden tam da budur. Söz konusu veriler, kimlik hırsızlığını yalnızca olayın hemen ardından gelen birkaç hafta boyunca değil, yıllarca besleyecek türdendir.
Bu Sizin İçin Ne Anlama Geliyor?
Conduent ile hiç doğrudan muhatap olmamış olsanız bile, etkilenen bir eyalette sosyal yardım, sağlık sigortası veya sosyal hizmetlerden yararlandıysanız verileriniz onların sistemlerinden geçmiş olabilir. Şimdi yapmanız gerekenleri şöyle sıralayabiliriz:
- İhlal bildirim mektuplarını kontrol edin. Oregon veya Texas sakiniyseniz, kayıtlarınızın bu ihlale dahil olup olmadığına dair eyalet kurumlarından gelecek resmi bildirimleri takip edin.
- Kredi dondurma işlemi uygulayın. Üç büyük kredi bürosu (Equifax, Experian ve TransUnion) nezdinde uygulayacağınız bir kredi dondurma, Sosyal Güvenlik numaranız kullanılarak sahte hesap açılmasını engellemenin en etkili yöntemlerinden biridir.
- Sigorta açıklaması (EOB) belgelerinizi izleyin. Tıbbi kimlik hırsızlığı çoğunlukla sağlık sigortası belgelerinizdeki tanımadığınız talepler veya sağlayıcılar biçiminde ortaya çıkar.
- Hedefli kimlik avı saldırılarına karşı tetikte olun. Kişisel bilgilerinize sahip saldırganlar, hükümet kurumlarından veya sigorta şirketlerinden geliyormuş gibi görünen ikna edici e-postalar ya da aramalar düzenleyebilir. İstenmeyen iletişimlere sağlıklı bir şüphecilikle yaklaşın.
- Güçlü ve özgün parolalar kullanın, iki faktörlü kimlik doğrulamayı etkinleştirin. Bunu özellikle devlet hizmetlerine veya sağlık portallarına bağlı hesaplarınız için yapın.
Dijital gizlilik alışkanlıklarınızı daha geniş bir perspektiften değerlendirmeniz de yerinde olur. Bu tür ihlaller giderek yaygınlaşıyor ve ifşa edilen veriler çoğunlukla paketlenip yeniden satıldığı karanlık web pazarlarına düşüyor. Güçlü gizlilik uygulamaları ve faaliyetlerinizin izlenmesini ya da ele geçirilmesini azaltan araçlar aracılığıyla genel maruziyetinizi sınırlamak, büyük ölçekli ihlallerin olağan hâle geldiği bir dünyaya karşı makul bir tepkidir.
Üçüncü Taraf Riski Herkesi İlgilendirir
Conduent ihlali, daha geniş bir örüntünün parçasıdır. Hükümet kurumları ve büyük kuruluşlar, veri işlemeyi rutin olarak yüklenicilere devreder; bu yükleniciler ise aksi hâlde güvenli olan bir zincirde daha zayıf bir halka oluşturabilir. Bireysel olarak hangi tedarikçilerin bilgilerinizi tuttuğunu veya bu tedarikçilerin verileri ne ölçüde koruduğunu öğrenme imkânınız neredeyse yok.
Bu sinir bozucu bir gerçek; ancak bu durum, kendi gizliliğinizin sorumluluğunu almanın neden önemli olduğunu bir kez daha vurguluyor. hide.me gibi bir VPN kullanmak, hükümet yüklenicisinin ihlale uğramasını engellemez; ancak özellikle verilerinizin en fazla risk altında olduğu kamuya açık veya paylaşımlı ağlarda çevrimiçi etkinliğinizi gizli tutmaya yönelik kapsamlı bir yaklaşımın bir katmanıdır. Şifreli tarama, titiz hesap yönetimi ve sizi etkileyen ihlaller hakkında güncel bilgi edinme gibi gizlilik odaklı alışkanlıklar geliştirmek, tam anlamıyla kontrol edemeyeceğiniz bir tehdit ortamına karşı pratik bir yanıttır.
Conduent ihlaline dahil olan 25 milyon Amerikalı hiçbir hata yapmadı. Verileri yalnızca hedef hâline gelen bir kuruluş tarafından tutuluyordu. En iyi savunma; bilgi sahibi olmak, ihlaller yaşandığında hızlı hareket etmek ve kişisel veri gizliliğini sonradan akla gelen bir şey olarak değil, düzenli bir alışkanlık olarak benimsemektir.