Iris Ohyama'nın online mağazası Iris Plaza'da harici bulut ihlali: 7,7 milyon kişinin bilgileri görüntülenmiş ya da alınmış olabilir
Japon ev eşyası üreticisi Iris Ohyama'nın e-ticaret kolu Iris Plaza, harici bir bulut servisinde şüpheli dosya bulduktan sonra yetkisiz erişimi doğruladı. Servisteki yaklaşık 7,7 milyon kaydın görüntülenmiş ya da alınmış olabileceğini açıkladı; kart bilgisi bu serviste tutulmuyordu.
Japon ev eşyası üreticisi Iris Ohyama'nın resmî online mağazasını işleten Iris Plaza, kullandığı harici bir bulut servisinde yetkisiz erişim yaşandığını ve burada tutulan kişisel bilgilerin açığa çıkmış olabileceğini duyurdu. Security Affairs'in aktardığına göre serviste yaklaşık 7,7 milyon kişiye ait kayıt bulunuyordu ve şirket bu verinin görüntülenmiş ya da alınmış olma ihtimalini doğruladı.
Şirket şüpheli dosyayı 28 Ekim'de fark etti. Online mağazayı ve bağlantılı sistemleri hemen kapattı, soruşturma başlattı ve üçüncü bir tarafın yetkisiz erişimini doğruladı. İlk bildirim 29 Ekim'de yapıldı. Olası etkinin ayrıntıları ise 5 Kasım'daki güncellemeyle paylaşıldı.
Hangi bilgiler risk altında?
Bildirime göre 7,7 milyon rakamı, etkilenen bulut servisinde saklanan kayıtların toplamı. Çalındığı kesinleşmiş veri miktarı bu değil. Şirketin paylaştığı dağılım şöyle:
- Yaklaşık 5,8 milyon üye ve eski üye: ad, adres, telefon, e-posta, cinsiyet, doğum tarihi ve parola.
- Yaklaşık 1,9 milyon üye olmayan müşteri: üye olmadan alışveriş yapanlar ve kampanyalara katılanlar. Bunlar için ad, adres, telefon ve e-posta.
Şirket, parolalar dahil bazı alanların şifreli tutulduğunu belirtiyor. Hangi yöntemle şifrelendiğini açıklamadı. Kredi kartı bilgileri bu serviste tutulmuyordu. Şirkete göre kart verisi açığa çıkmadı. Iris Plaza'nın başka pazaryerlerindeki mağazalarında yetkisiz erişim tespit edilmedi. 5 Kasım itibarıyla bilgilerin kötüye kullanıldığına ya da maddi kayba yol açtığına dair bir bildirim de alınmadı. Olay 29 Ekim'de Japon polisine ve Kişisel Bilgileri Koruma Komisyonu'na (PPC) bildirildi.
Neden önemli?
Olay şirketin kendi ağında değil, dışarıdan kullanılan bir bulut servisinde yaşandı. Kurumlar güvenlik bütçesini çoğunlukla kendi ağlarına ayırıyor. Oysa müşteri verisinin önemli bir kısmı artık üçüncü taraf servislerde duruyor. Saldırının yöntemi ve hangi bulut servisinin kullanıldığı açıklanmadı.
Ne yapılmalı?
- Iris Plaza müşterileri: Sitedeki parolanızı başka bir hesapta da kullanıyorsanız oradaki parolayı hemen değiştirin. Parolalar şifreli tutulsa da tekrar kullanılan parola en büyük risktir.
- Önümüzdeki haftalarda Iris Ohyama ya da Iris Plaza adına gelen e-posta, SMS ve aramalara karşı dikkatli olun. Adres, telefon ve doğum tarihi gibi bilgiler ikna edici phishing mesajlarında kullanılabilir.
- Kurumlar: E-ticaret ve kampanya verisi tutan harici bulut servislerinin envanterini çıkarın. Bu servislerde erişim anahtarlarını, paylaşım ayarlarını ve erişim loglarının açık olup olmadığını düzenli olarak gözden geçirin.
- Üye olmayan müşterilerin ve eski üyelerin verilerinin ne kadar süre saklandığını sorgulayın. Bu olayda etkilenenlerin bir kısmı üyeliğini çoktan sonlandırmış kişiler.
