Bulut Güvenliğinde Yapılan Kritik Hata 26 Milyon Özgeçmişin Açığa Çıkmasına Yol Açtı
ABD merkezli TalentHook platformunda tespit edilen güvenlik açığı, yaklaşık 26 milyon özgeçmişin sızdırılmasına neden oldu. Uzmanlar, bulut depolama yapılandırmalarındaki bu tür hataların hızla yaygınlaştığı uyarısında bulunuyor.
Kişisel Veriler Herkese Açık Hâle Geldi
Siber güvenlik araştırmalarıyla bilinen Cybernews ekibi, TalentHook adlı çevrim içi işe alım platformunda yapılandırma hatası sonucu korumasız bırakılan bir Azure Blob depolama alanı keşfetti. Yapılan incelemede, milyonlarca ABD vatandaşına ait tam ad, e-posta adresi, telefon numarası, eğitim bilgileri, iş geçmişi ve mesleki detaylar gibi hassas verilerin yer aldığı belirlendi.
Uzmanlara göre bu tür kapsamlı veriler, siber saldırganlar için değerli bir kaynak niteliğinde. Cybernews araştırmacıları, ifşa edilen bilgilerin hedefli oltalama saldırılarına zemin hazırladığını belirtti. Saldırganlar bu verileri kullanarak sahte iş teklifleriyle kişileri kandırabilir, kimlik belgeleri veya banka bilgilerini ele geçirebilir.
Güvenlik araştırmacıları, bu tür veri sızıntılarının en çok iş arayan bireyleri riske attığı görüşünde. Özellikle son aylarda Kuzey Kore destekli Lazarus grubu gibi tehdit aktörlerinin, sahte işe alım mesajlarıyla kurbanlara ulaştığı ve kişisel bilgileri elde etmeye çalıştığı biliniyor.
Saldırganlar LinkedIn veya WhatsApp gibi platformlarda insan kaynakları uzmanı gibi davranarak mağdurlarla iletişim kurabiliyor. Bu yöntem, sızdırılan veriler sayesinde çok daha ikna edici hâle geliyor.
Black Duck firmasının yazılım tedarik zinciri risklerinden sorumlu yöneticisi Tim Mackey, olayın küçük gibi görünen yapılandırma hatalarının ne kadar ciddi sonuçlar doğurabileceğini gösterdiğini söyledi. Mackey, sızan verilerde e-posta ve telefon bilgilerinin maskeleme olmadan yer almasının, şifreleme eksikliği veya güvenliği zayıf bir API kullanımına işaret ettiğini belirtti.
Huntress güvenlik operasyonları yöneticisi Dray Agha ise benzer olayların sıklaştığını ve bu durumun önlenebilir olduğunu vurguladı. Agha, özellikle kişisel veri işleyen kuruluşların bulut yapılandırmalarını düzenli olarak denetlemesi, erişim izinlerini en aza indirmesi ve sistemlerini sürekli izlemeye alması gerektiğini ifade etti.
Cybernews araştırmacıları, olayın ardından TalentHook yetkilileriyle iletişime geçti. Araştırma ekibi, açık bırakılan bulut depolama alanının erişim kontrollerinin yeniden yapılandırılması gerektiğini ve yalnızca yetkili kullanıcıların erişimine izin verilmesi gerektiğini bildirdi.
Bu gelişme, işe alım ve insan kaynakları alanında faaliyet gösteren şirketlerin veri güvenliğine öncelik vermesi gerektiğini bir kez daha ortaya koydu. Uzmanlar, veri sızıntılarının sadece kurumsal itibarı değil bireylerin güvenliğini de doğrudan tehdit ettiğini hatırlatıyor.
