Şirketinizin Verileri Sızdı mı? Infostealer Sızıntıları, KVKK Bildirimi ve Önlemler
Oktay Alver · Kurucu, ADEA SistemKısaca. Bugün kurumsal hesapların büyük kısmı sunucu hacklenerek değil, çalışan ve müşteri bilgisayarlarına bulaşan infostealer zararlılarıyla sızıyor. ADEA Sistem'in SiberKapan projesindeki Sızıntı Kontrol aracı, alan adınızın bu tür sızıntılarda geçip geçmediğini şifre göstermeden ücretsiz raporlar. Sızıntı varsa çok faktörlü doğrulama, oturumların sonlandırılması ve bulaşan cihazın temizlenmesi gerekir. Kişisel veri etkilendiyse KVKK bildirimi değerlendirilmelidir.
Veriler artık nereden sızıyor?
Veri sızıntısı denince akla saldırganın şirket sunucusuna girmesi gelir. Oysa son yıllarda en sık rastlanan yol başka. Çalışanların ya da müşterilerin kendi bilgisayarlarına bulaşan infostealer zararlıları, tarayıcıda kayıtlı şifreleri, oturum çerezlerini ve giriş yapılan adresleri toplayıp saldırganlara gönderiyor. Bu veriler daha sonra satılıyor.
İncelediğimiz bir vakada, bir şirketin müşteri portalına saldırı yapıldığı düşünülüyordu. İnceleme sonunda portalda bir açık bulunmadı. Bin kadar müşteri girişi, müşterilerin kendi bilgisayarlarındaki infostealer'lar tarafından çalınmıştı. Birkaç çalışanın webmail bilgileri de aynı şekilde ele geçirilmişti. Sunucuyu ne kadar korursanız koruyun, şifre kullanıcının bilgisayarından çalınıyorsa tek başına yetmiyor.
Sızıntı olup olmadığını nasıl kontrol edersiniz?
SiberKapan Sızıntı Kontrol aracı, şirketinizin alan adının infostealer verilerinde ve bilinen veri ihlallerinde geçip geçmediğini gösterir.
- Alan adınızı ve bu alan adındaki kurumsal e-posta adresinizi girersiniz.
- Rapor yalnızca bu adrese gönderilir. Böylece raporu yalnızca alan adının sahibi görür.
- Raporda düz metin şifre bulunmaz.
- Veriler Hudson Rock ve XposedOrNot kaynaklarından gelir.
- Kontrol ücretsizdir.
Sızıntı çıkarsa ilk adımlar
- Şifreleri sıfırlayın. Sızıntıda geçen bütün hesapların şifresini değiştirin. Aynı şifrenin kullanıldığı başka sistemleri de unutmayın.
- Oturumları sonlandırın. Infostealer oturum çerezlerini de çalar. Webmail, VPN ve portallardaki açık oturumları kapatın.
- Bulaşan cihazı bulun. Sızıntı bir çalışanın bilgisayarından geliyorsa o cihaz hâlâ bulaşık olabilir. Temizlenmeden değiştirilen şifre de çalınır.
- Çok faktörlü doğrulamayı açın. Webmail, VPN, uzak masaüstü ve müşteri portallarında. Çalınan şifre tek başına giriş için yetmemeli.
- Gereksiz kapıları kapatın. İnternete açık test ve deneme portallarını kaldırın, bütün girişlerde HTTPS kullanın.
KVKK bildirimi gerekir mi?
Sızan bilgiler çalışanlara ya da müşterilere ait kişisel veriler içeriyorsa veri ihlali bildirimi gündeme gelebilir. Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararına göre veri sorumlusu, ihlali öğrendiği andan itibaren en geç 72 saat içinde Kurula bildirim yapmalıdır. Sızıntının bildirim gerektirip gerektirmediği ve sürenin hangi andan itibaren işlediği yoruma açık olabilir. Bu değerlendirmeyi hukuk danışmanınızla birlikte yapın.
Kaynak: Kişisel Verileri Koruma Kurumu, 2019/10 sayılı Kurul kararına ilişkin duyuru. Bu yazı hukuki tavsiye değildir.
Önlemler
- Çok faktörlü doğrulama. En etkili tek önlem budur.
- Tarayıcıda şifre saklamayın. Infostealer'ların ilk baktığı yer tarayıcıdaki kayıtlı şifrelerdir. Kurumsal bir şifre yöneticisi kullanın.
- Uzak erişimi onaya bağlayın. VPN ve uzak masaüstü bağlantılarını yönetici onayına bağlamak, çalınan bir şifrenin tek başına içeri girmesini engeller.
- Düzenli kontrol edin. Sızıntı kontrolünü bir kez değil, belirli aralıklarla yapın.
Saldırı zaten gerçekleştiyse ilk saatlerde yapılması gerekenler fidye yazılımından sonra ilk 24 saat yazımızda.
Bizim altyapımızda
Sunucularımızda uzak masaüstü portu internete açılmaz, bağlantı VPN ile yapılır. İsterseniz AdeGate ile her VPN ve uzak masaüstü oturumu yöneticinizin telefonuna onay isteği olarak düşer. Onay gelmeden bağlantı açılmaz, böylece çalınan bir şifre tek başına sunucunuza ulaşmaya yetmez. Ayrıntılar Windows sunucu sayfamızda.