ABD İç Güvenlik Bakanlığı'nın 40 binden fazla çalışanına ait iş bilgileri yayımlandı; kaynağın Okta girişi olduğu iddia ediliyor
"Department of Peace" adını kullanan bir hacker, ICE ve CBP personeli dahil 40 binden fazla DHS çalışanının ad, unvan ve iş iletişim bilgilerini yayımladı. Verinin Okta tabanlı bir SSO sisteminden alındığı iddia ediliyor; DHS ihlalin nasıl gerçekleştiğini açıklamadı.
ABD İç Güvenlik Bakanlığı'na (DHS) bağlı 40 binden fazla çalışanın iş bilgileri internette yayımlandı. Ekim sonunda gündeme gelen veri setini "Department of Peace" adını kullanan bir hacker, gazeteci maia arson crimew'e iletti; crimew verinin bir kopyasını şeffaflık kolektifi DDoSecrets ile paylaştı ve aranabilir bir veritabanı hazırladı. Haberlere göre listede Gümrük ve Sınır Koruma (CBP) ile Göçmenlik ve Gümrük Muhafaza (ICE) personeli de bulunuyor; farklı yayın organları 40 ila 41 bin arasında rakamlar veriyor.
Yayımlanan kayıtlarda ad, unvan ve e-posta, telefon, ofis konumu gibi iş iletişim bilgileri yer alıyor. DDoSecrets kurucu ortağı Emma Best, TechCrunch'a veri setinde ev adresi veya kişisel iletişim bilgisi olmadığını söyledi; TechCrunch telefon numaralarını kuruma ait hatlar olarak tanımladı. Bazı yayınlar ise farklı ayrıntılar aktarıyor; içerik konusunda raporlar tam örtüşmüyor.
Kaynak: SSO sistemi iddiası
Hacker, verileri çalışanların giriş yaptığı Okta tabanlı bir single sign-on (SSO) sisteminden elde ettiğini iddia ediyor. DHS ihlalin nasıl gerçekleştiğine dair açıklama yapmadı; bu iddia doğrulanmış değil. Bakanlığın ZeroFox aracılığıyla yayından kaldırma (takedown) bildirimi gönderdiği, Bluesky'nin de arşive verilen bağlantıları engellediği bildiriliyor. Bu, DHS ile ilgili bu yıl gündeme gelen ikinci olay; aynı hacker daha önce bakanlık ile özel tedarikçiler arasındaki sözleşmeleri ele geçirdiğini iddia etmişti.
Neden önemli?
Ad, unvan ve iş telefonu "zararsız" görünse de araştırmacılar bu tür listelerin sosyal mühendislik için ideal malzeme olduğuna dikkat çekiyor: bir saldırgan telefonda yöneticiyi taklit edebilir ya da hassas bir soruşturmanın arkasında kimin olduğunu çıkarabilir. Kurum dizinleri, help desk'e yapılan sahte "şifremi sıfırlayın" aramaları ve hedefli phishing için en çok aranan veri türlerinden biri.
SiberMagazin yayımlanan veri setini görmedi ve incelemedi.
Ne yapılmalı?
- Kurumsal dizin verisini (ad, unvan, iş telefonu) hassas veri olarak sınıflandırın; SSO ve IdP yönetim arayüzlerine erişimi en az yetki ilkesiyle sınırlayın.
- Help desk süreçlerinde parola/MFA sıfırlama için telefonda verilen ad-unvan bilgisini tek başına kimlik doğrulama saymayın; geri arama veya yönetici onayı gibi ikinci bir kanal kullanın.
- IdP denetim kayıtlarında olağan dışı toplu dizin sorgularını ve API token kullanımını izleyin.
- Çalışanları, kurum içinden geliyormuş gibi görünen aramalara ve mesajlara karşı bilgilendirin.
