ABD İç Güvenlik Bakanlığına bağlı kurumlarda görev yapan 41 binden fazla mevcut ve eski çalışanla yükleniciye ait veriler, 28 Ekim’de “Icepick” adıyla aranabilir biçimde internette yayımlandı. Veri setinde adlar, iş unvanları, kurumsal e-posta adresleri, telefon numaraları, ofis bilgileri ve bazı kurum içi grup üyeliklerinin bulunduğu bildirildi.
Yayımlanan dosyaların kapsamı ve teknik kaynağı için inceleme sürerken, İç Güvenlik Bakanlığı olası ihlalin farkında olduğunu ve durumu gidermek için çalıştığını açıkladı. Bakanlık, çalışanların korunmasına öncelik verildiğini, yeni bilgiler elde edildiğinde kamuoyunun bilgilendirileceğini bildirdi.
Icepick veri setinde hangi bilgiler yer alıyor
“Icepick” olarak adlandırılan veri setinin yaklaşık 41 bin 191 kişiyi kapsadığı bildirildi. Bazı haberlerde sayı 40 binin üzerinde, bazı haberlerde ise 41 binin üzerinde yuvarlanarak verildi. Farklı rakamlar, veri setinin büyüklüğüne ilişkin hesaplama ve yuvarlama yöntemlerinden kaynaklanıyor.
Dosyalarda İç Göçmenlik ve Gümrük Muhafaza, Gümrük ve Sınır Koruma, İç Güvenlik Soruşturmaları, Federal Koruma Hizmeti ve Siber Güvenlik ve Altyapı Güvenliği Ajansı gibi birimlerdeki personelin bilgileri yer alıyor. Bildirilen alanlar arasında iş telefonu, kurumsal e-posta, görev yeri, unvan ve kurum içi e-posta grupları bulunuyor.
Haberlere göre veri seti, gözetim, insan istihbaratı, özel operasyonlar, bilgisayar adli incelemeleri ve gizli görevlerle bağlantılı bazı görev ve gruplara dair işaretler de içeriyor. Ev adresleri ile sosyal güvenlik numaralarının dosyada bulunduğu ise doğrulanmış bilgiler arasında yer almıyor.
Aranabilir bir arayüzün kullanıma açılması, verilerin ad, ofis veya görev unvanı üzerinden hızlıca eşleştirilebilmesine imkân tanıyor. Bu durum, kurum çalışanlarını taklit etmeye yönelik hedefli oltalama girişimleri ve taciz riski bakımından güvenlik kaygısı yaratıyor.
Veri setini kim yayımladı, iddia neye dayanıyor
Veri şeffaflığı platformu Distributed Denial of Secrets, dosyaları Department of Peace adını kullanan bir hacktivist gruptan aldığını bildirdi. Grubun kimliği, bulunduğu ülke ve saldırının teknik ayrıntıları hakkında kamuya açık, bağımsız biçimde doğrulanmış ayrıntı bulunmuyor.
Department of Peace, bilgileri İç Güvenlik Bakanlığının kullandığı Okta tek oturum açma hizmeti üzerinden elde ettiğini öne sürdü. Ancak grubun erişimi hangi yöntemle sağladığı açıklanmadı. Yönetici hesabının ele geçirilmesi, oturum belirtecinin çalınması, yanlış yapılandırma veya başka bir yöntem kullanılıp kullanılmadığı bilinmiyor.
Okta, kendi sistemlerinin veya verilerinin ele geçirildiğine dair kanıt bulunmadığını açıkladı. Okta’nın açıklaması, şirketin altyapısına yönelik bir ihlal tespit edilmediğini söylüyor; buna karşılık Bakanlığa ait kullanıcı hesapları, erişim izinleri ya da müşteri tarafındaki yapılandırmalar konusunda kesin bir sonuç ortaya koymuyor.
Bazı kayıtların doğruluğu sınırlı örneklerle kontrol edildi. İncelenen örneklerde çalışanlara ait telefon ve iletişim bilgilerinin başka veri kayıtlarıyla eşleştiği bildirildi. Buna rağmen veri setindeki tüm kayıtların güncel, doğru veya aktif çalışanlara ait olduğu bağımsız bir denetimle henüz doğrulanmadı. Dosyaların mevcut personelin yanı sıra eski çalışanları ve yüklenicileri de içerdiği belirtiliyor.
Hassas görev bilgileri neden risk oluşturuyor
Kamuya açık kurumsal iletişim bilgileri tek başına kimlik hırsızlığı anlamına gelmeyebilir. Buna karşın isim, görev, kurum içi grup ve ofis bilgilerinin aynı veri setinde birleşmesi, sahte e-posta veya telefon aramalarını daha inandırıcı hâle getirebilir.
Örneğin saldırganlar, belirli bir birimde çalışan personelin yöneticisinin adı, görev grubu veya kullandığı iç araçlar hakkında bilgi sahibi olursa hedefli mesajlar hazırlayabilir. Yükleniciler ve eski çalışanlar, güncel güvenlik bildirimlerine erişimlerinin sınırlı olabilmesi nedeniyle ayrı bir risk grubu oluşturuyor.
Gizli görevler, gözetim ve insan istihbaratıyla bağlantılı birimlere dair kayıtlar ise güvenlik endişesini artırıyor. Bir kaydın güncel olmaması veya yanlış sınıflandırılması da riski bütünüyle ortadan kaldırmıyor; yanlış biçimde gizli görevle ilişkilendirilen bir kişi de hedef hâline gelebilir.
İç Güvenlik Bakanlığı ve Göçmenlik ve Gümrük Muhafaza, ABD Başkanı Donald Trump yönetiminin göçmenlik uygulamalarında öne çıkan kurumlar arasında bulunuyor. Yayımlanan veriler, sınır denetimi ve sınır dışı operasyonlarında görev alan personelin kimliklerinin daha kolay araştırılabilmesine neden olabilir.
Kurumlar ve çalışanlar için atılabilecek adımlar
İhlalin kaynağı kesinleşmeden önce kurumların erişim kayıtlarını, dizin sorgularını ve geniş kapsamlı veri dışa aktarma yetkilerini incelemesi önem taşıyor. Çok sayıda personel kaydına kısa sürede erişen hesapların tespit edilmesi, olası yetkisiz faaliyetlerin erken fark edilmesine yardımcı olabilir.
Yönetici hesaplarında donanım anahtarı veya geçiş anahtarı gibi oltalamaya dirençli çok faktörlü kimlik doğrulama yöntemleri kullanılması da riski azaltabilir. Ayrıcalıklı hesapların oturum sürelerinin sınırlandırılması ve erişim yetkilerinin düzenli gözden geçirilmesi, tek bir hesabın ele geçirilmesi hâlinde ortaya çıkabilecek zararı daraltır.
Çalışanların beklenmedik parola sıfırlama, ödeme, dosya paylaşımı veya acil işlem taleplerini ikinci bir iletişim kanalıyla doğrulaması gerekiyor. İnternette aranabilir hâle gelen veri setlerinin kopyalanma ihtimali yüksek olduğundan, Bakanlığın olay müdahalesini yalnızca içeriğin kaldırılmasına değil, uzun vadeli kimlik ve tehdit takibine de dayandırması bekleniyor.
Soruşturmanın yanıtlaması gereken başlıklar
Soruşturmanın en önemli soruları, veri setinin hangi tarihte alındığı, hangi hesap veya entegrasyon üzerinden erişildiği ve kayıtların ne kadarının güncel olduğu olacak. Ayrıca yayımlanan bilgilerin tamamının Bakanlık dizininden mi geldiği, yoksa başka veri kaynaklarıyla mı birleştirildiği henüz açıklığa kavuşmadı.
İç Güvenlik Bakanlığının yapacağı teknik değerlendirme, etkilenen personelin sayısını ve alınacak koruma önlemlerini belirleyecek. Okta iddiasına ilişkin bulgular ise olayın bir platform açığından mı, müşteri tarafındaki erişim zafiyetinden mi, yoksa ele geçirilmiş kimlik bilgilerinden mi kaynaklandığını ortaya koyacak.
Sıkça Sorulanlar
ABD İç Güvenlik Bakanlığı veri sızıntısında kaç kişi etkilendi?
Icepick adlı veri setinin yaklaşık 41 bin 191 mevcut ve eski çalışan ile yükleniciyi kapsadığı bildirildi. Bazı kaynaklar toplamı 40 binin üzerinde, bazıları 41 binin üzerinde olarak yuvarladı.
Icepick veri setinde hangi bilgiler bulunuyor?
Bildirilen alanlar adlar, iş unvanları, kurumsal e-posta adresleri, telefon numaraları, ofis bilgileri ve kurum içi grup üyeliklerini içeriyor. Ev adresleri ve sosyal güvenlik numaralarının bulunduğu doğrulanmadı.
Verileri kimin yayımladığı bildirildi?
Distributed Denial of Secrets, veri setini Department of Peace adını kullanan hacktivist gruptan aldığını açıkladı. Grubun kimliği ve veriye nasıl eriştiği bağımsız olarak doğrulanmış değil.
Okta sistemleri saldırıya uğradı mı?
Department of Peace, verilerin İç Güvenlik Bakanlığının Okta tek oturum açma hizmetinden alındığını öne sürdü. Okta ise kendi veri veya sistemlerinin ele geçirildiğine dair kanıt bulunmadığını açıkladı; teknik erişim yolu kesinleşmedi.
Sızıntı neden güvenlik riski taşıyor?
İsim, görev, ofis ve kurum içi grup bilgilerinin birlikte yayımlanması, hedefli oltalama ve çalışan taklidi girişimlerini kolaylaştırabilir. Gizli görevler ve gözetimle bağlantılı kayıtlar, personel güvenliği ile devam eden operasyonlar bakımından ek risk oluşturabilir.