Japon üretici Iris Ohyama'da bulut servisi ihlali: 7,7 milyon kişinin bilgileri açığa çıkmış olabilir
Iris Plaza çevrim içi mağazasını işleten Iris Ohyama, kullandığı harici bir bulut servisine yetkisiz erişim sonucu yaklaşık 7,7 milyon kişinin ad, adres, telefon, e-posta ve şifreli parola bilgilerinin etkilenmiş olabileceğini açıkladı.
Japonya'nın büyük ev aletleri ve tüketim ürünleri üreticilerinden Iris Ohyama, çevrim içi mağazası Iris Plaza'yı etkileyen ihlalde yaklaşık 7,7 milyon kişinin kişisel bilgilerinin açığa çıkmış olabileceğini duyurdu. BleepingComputer'ın aktardığına göre olayın kaynağı, şirketin kullandığı harici bir bulut servisine üçüncü bir tarafın yetkisiz erişimi.
Şirket Iris Plaza ve ilgili sistemleri 28 Ekim'de durdurdu, ilk bildirimi 29 Ekim'de yaptı. 5 Kasım tarihli güncellemeye göre etki 5,8 milyona kadar kayıtlı ve eski üyeyi ve 1,9 milyon üye olmayan müşteriyi kapsıyor; kayıt sayısının belirlenmesi sürüyor.
Hangi bilgiler etkilendi?
Şirketin açıklamasına göre erişilmiş olabilecek veriler:
- Ad soyad, adres, telefon numarası ve e-posta adresi
- Cinsiyet ve doğum tarihi
- Hesap parolaları (aktif üyelerde şifrelenmiş olarak saklanıyor; şirket yöntemi açıklamadı, eski üyelerin parolası tutulmuyor)
Kredi kartı bilgilerinin etkilenen bulut servisinde saklanmadığı belirtiliyor. Şirket 5 Kasım itibarıyla kötüye kullanım ya da maddi kayıp bildirimi almadığını, saldırgandan doğrudan bir iletişim gelmediğini ve faillerin henüz belirlenmediğini söylüyor. Japonya Kişisel Bilgileri Koruma Komisyonu ve polis 29 Ekim'de bilgilendirildi. Ev aleti aboneliği ile teslimat ve kurulum hizmetleri veren Iris Tech Service sitelerinin de etkilendiği bildiriliyor.
Neden önemli?
Olay, son haftalarda sık gördüğümüz bir deseni tekrarlıyor: ihlal şirketin kendi altyapısından değil, kullandığı üçüncü taraf bulut servisinden geliyor. Benzer şekilde DigiCert'teki arşiv sistemi ihlali ve Crédit Mutuel Arkéa'nın hizmet sağlayıcı üzerinden yaşadığı saldırı da tedarik zinciri halkasını hedef aldı. Ad, adres, doğum tarihi ve e-posta bir araya geldiğinde hedefli oltalama (phishing) için hazır bir paket oluşuyor.
Ne yapılmalı?
- Iris Plaza hesabı olan kullanıcılar parolalarını değiştirmeli; aynı parolayı başka servislerde kullanıyorsa oralarda da yenilemeli.
- Şirket adıyla gelen e-posta, SMS ve aramalara karşı dikkatli olunmalı; bağlantıya tıklamak yerine resmi siteye doğrudan gidilmeli.
- Kurumlar, müşteri verisi tutan SaaS ve bulut servislerinin erişim kayıtlarını, API anahtarlarını ve yönetici hesaplarındaki çok faktörlü doğrulamayı gözden geçirmeli.
- Üçüncü taraf sözleşmelerinde ihlal bildirimi süresi ve kayıt (log) erişimi hakkı açıkça tanımlanmalı.
