Tayvanlı seyahat platformu ezTravel'de üye merkezi saldırısı: 690 binden fazla kişinin sipariş iletişim bilgileri ele geçirildi
Tayvanlı çevrim içi seyahat platformu ezTravel, 7 Kasım'da üye merkezine yönelik dış saldırı tespit ettiğini ve geçmiş siparişlere ait ad, e-posta, telefon ve sipariş bilgilerinin 690 binden fazla kişiyi etkilediğini açıkladı. Şirkete göre kart numarası, parola ve kimlik numarası etkilenmedi.
Tayvan'ın büyük çevrim içi seyahat platformlarından ezTravel (易遊網), 9 Kasım'da yayımladığı açıklamada üye merkezinin dışarıdan gelen anormal bir saldırıya uğradığını duyurdu. INSIDE ve TechNews aktarımına göre saldırı 7 Kasım'da tespit edildi; geçmiş siparişlere ait iletişim bilgileri yetkisiz biçimde alındı ve ilk incelemeye göre etkilenen kişi sayısı 690 binin üzerinde.
Şirket, sayının ön tarama sonucu olduğunu, soruşturma sürdükçe kişi sayısının ve veri kapsamının değişebileceğini belirtiyor.
Hangi veriler etkilendi?
Şirketin açıklamasına göre ele geçirilen bilgiler şunları kapsayabilir:
- Ad soyad
- E-posta adresi
- Telefon numarası
- Satın alınan ürün ve sipariş bilgileri
ezTravel'e göre kredi kartı numarası ve güvenlik kodu, hesap parolaları, kimlik ve pasaport numaraları bu olayın kapsamında değil. Şirket, sipariş verilerinin ödeme sisteminden ayrı yönetildiğini, bu nedenle ödeme altyapısının etkilenmediğini söylüyor.
Şirket ne yaptı?
Bildirilen adımlar: anormal trafik engellendi, bağımsız bir siber güvenlik ekibiyle soruşturma ve dijital adli inceleme başlatıldı, olay düzenleyici kurumlara ve polise bildirildi. Etkilenen üyelere SMS ve e-postayla bildirim gönderildi; şirket bu bildirimlerde bağlantı (link) bulunmadığını özellikle vurguluyor.
Saldırının nasıl gerçekleştiği, bir tehdit aktörünün üstlenip üstlenmediği ve verilerin satışa çıkarılıp çıkarılmadığı konusunda açıklama yok.
Asıl risk: sipariş bilgisiyle dolandırıcılık
Kart verisi gitmemiş olsa bile ad, telefon ve gerçek sipariş ayrıntısı bir arada olduğunda dolandırıcılar kendini müşteri hizmetleri ya da banka görevlisi gibi tanıtıp son derece inandırıcı aramalar yapabilir. "Siparişinizde hata oldu, taksit iptali için işlem yapmanız gerek" senaryosu seyahat ve e-ticaret ihlallerinden sonra sık görülen bir phishing kalıbı. ezTravel de parola, SMS doğrulama kodu ya da ATM işlemi istemeyeceğini hatırlatıyor.
Türkiye'den doğrudan etkilenen kullanıcı olduğuna dair bir bilgi yok; ancak benzer seyahat ve rezervasyon platformlarındaki ihlaller (bkz. Amadeus rezervasyon ihlali) aynı dolandırıcılık riskini taşıyor.
Ne yapılmalı?
- ezTravel kullanıcıları, kendilerine sipariş ayrıntısıyla ulaşan aramalara ve mesajlara güvenmeden önce şirketin resmî müşteri hizmetlerini kendileri arayarak doğrulamalı.
- Hiçbir arayana parola, tek kullanımlık SMS kodu veya kart bilgisi verilmemeli; "iade/taksit iptali" gerekçesiyle ATM ya da internet bankacılığı işlemi yaptırma girişimi dolandırıcılık işaretidir.
- Kurumlar için ders: sipariş ve iletişim verisini tutan müşteri portalları, ödeme sistemi kadar sıkı izlenmeli; olağan dışı toplu sorgu ve veri çekme hareketleri için uyarı kuralları tanımlanmalı.
- Seyahat ve e-ticaret şirketleri, ihlal bildirimlerinde ezTravel'in yaptığı gibi bağlantısız bildirim göndermeyi ve bunu müşterilere açıkça duyurmayı bir uygulama olarak benimseyebilir.
