Who Gives A Crap'te tedarikçi kaynaklı ihlal: ABD'li pazarlama yazılımı sağlayıcısında Avustralya, İngiltere ve ABD müşterilerinin iletişim bilgileri erişildi
Avustralyalı geri dönüştürülmüş tuvalet kâğıdı markası Who Gives A Crap, adını vermediği ABD merkezli bir pazarlama yazılımı sağlayıcısında yaşanan olayda müşterilerin ad, e-posta, telefon, posta adresi ve toplam harcama bilgilerine yetkisiz erişildiğini açıkladı. Ödeme bilgileri ve parolalar etkilenmedi.
Avustralyalı geri dönüştürülmüş tuvalet kâğıdı markası Who Gives A Crap, müşterilerine ait kişisel bilgilerin bir pazarlama yazılımı sağlayıcısı üzerinden yetkisiz kişilerce erişildiğini doğruladı. Şirket, sağlayıcının yalnızca "ABD merkezli" olduğunu söylüyor; adını açıklamadı.
ABC News'in aktardığı şirket açıklamasına göre yetkisiz erişim 30 Ekim'de başladı, 31 Ekim'de fark edildi ve 1 Kasım'da kapatıldı. Who Gives A Crap olaydan 6 Kasım Cuma günü haberdar edildi, müşterilere ertesi gün e-posta gönderdi.
Hangi bilgiler etkilendi?
Şirketin Avustralya, İngiltere ve ABD mağazalarına ait müşteri bilgilerini tutan sistemler etkilendi; Kanada müşterilerinin verisine erişilmedi. Erişilen alanlar şunlar:
- Ad ve soyad
- E-posta adresi ve telefon numarası
- Posta adresi
- Şirketle yapılan toplam harcama tutarı
Şirkete göre ödeme bilgileri, sipariş ayrıntıları ve parolalar etkilenmedi; Who Gives A Crap hesaplarına doğrudan erişilmedi. CEO Simon Griffiths, verinin kopyalanıp kopyalanmadığını bilmediklerini ve şu ana kadar kötüye kullanıma dair kanıt görmediklerini söyledi. Etkilenen kişi sayısı açıklanmadı.
Şirket ne yaptı?
Who Gives A Crap, sağlayıcının sistemlerine bağlantısını tamamen kestiğini, erişim bilgilerini değiştirdiğini ve gerektiğinde ilgili düzenleyicilerle temas kuracağını bildirdi. SmartCompany'nin haberine göre Have I Been Pwned'ın kurucusu Troy Hunt, sorumluluğun dış sağlayıcıya yüklenemeyeceğini, müşterinin veriyi şirkete verdiğini hatırlattı ve tedarikçilerde verinin ne kadar süre tutulduğunun gözden geçirilmesini önerdi.
Olay, son haftalarda sıklaşan tedarikçi kaynaklı ihlallerin bir yenisi; Crédit Mutuel Arkéa'da hizmet sağlayıcı üzerinden yaşanan saldırı da aynı örüntüyü taşıyordu.
Ne yapılmalı?
- Müşteriler: Who Gives A Crap ya da kargo bildirimi gibi görünen beklenmedik e-posta, SMS ve aramalara karşı dikkatli olun; adres ve harcama bilgisi içeren mesajlar daha inandırıcı olabilir. Bağlantılara tıklamak yerine siteye kendiniz gidin.
- Kurumlar: Pazarlama, CRM ve e-posta otomasyonu sağlayıcılarına hangi müşteri alanlarını aktardığınızı envantere çıkarın; kampanya için gerekmeyen alanları (ör. toplam harcama) göndermeyin.
- Sözleşmelerde tedarikçinin ihlal bildirim süresini ve veri saklama süresini netleştirin; eski kayıtların silindiğini düzenli olarak teyit edin.
- Tedarikçi erişim anahtarlarını ve API token'larını periyodik olarak yenileyin, kullanılmayan entegrasyonları kapatın.
