York Üniversitesi ihlali doğruladı: 14 web sitesindeki formlarla 2007'den bu yana toplanan kişisel veriler çalındı
Kanada'nın Toronto kentindeki York Üniversitesi, bir saldırganın birimlerin çevrim içi formlarına erişip kişisel bilgi çaldığını açıkladı. Etkilenen formlar 14 üniversite sitesinde 2007–2026 arasında doldurulmuş; etkilenen kişi sayısı açıklanmadı.
Toronto'daki York Üniversitesi, bir tehdit aktörünün sistemlerine erişerek birimlerin çevrim içi formları üzerinden gönderilmiş kişisel bilgileri çaldığını doğruladı. BleepingComputer'ın aktardığına göre yetkisiz erişim 25 Ekim'de fark edildi; etkilenen formlar üniversiteye ait 14 web sitesinde 2007 ile 2026 arasında doldurulmuş.
Üniversite cuma günkü açıklamasında olayı hızla kontrol altına aldığını, ancak bazı birim formlarından kişisel bilgi çalındığını teyit etmek zorunda kaldığını belirtti. 55 binden fazla öğrencisi bulunan üniversite, etkilenen kişi sayısını henüz açıklamadı. Saldırının arkasında kimin olduğu da bilinmiyor; habere göre yazım sırasında olayı üstlenen bir ransomware grubu görülmedi.
Hangi veriler etkilendi?
Üniversitenin listesine göre formlarda bulunan ve erişilen bilgiler kişiden kişiye değişiyor. Kategoriler arasında e-posta adresi, telefon, doğum tarihi, York kimlik numarası, resmi kimlik bilgileri, üçüncü kişilerin iletişim bilgileri, sağlık bilgileri, akademik ve iş geçmişi, finansal durum, sabıka geçmişi, demografik bilgiler ve fotoğraflar var. Üniversite, çalınan kayıtların çoğunda temel iletişim bilgisi ve York kimlik numarası bulunduğunu söylüyor.
Resmi kimlik veya finansal hesap bilgisi açığa çıkan kişilere doğrudan bildirim yapılacak ve iki yıllık kredi izleme ile kimlik hırsızlığı koruması sunulacak. Bildirim almayanlar, kendi verilerinden hangilerinin etkilendiğini öğrenmek için üniversiteyle iletişime geçebiliyor.
Neden önemli?
Olay, yıllar içinde farklı birimlerin açtığı formların sessizce büyük bir veri havuzuna dönüşebildiğini gösteriyor. 19 yıllık form verisinin hâlâ erişilebilir durumda tutulması, saklama süresi politikalarının web formlarına da uygulanması gerektiğini hatırlatıyor. İletişim bilgileriyle birlikte hassas verilerin açığa çıkması, etkilenenleri hedefli phishing ve sosyal mühendislik saldırılarına karşı daha savunmasız hale getiriyor.
Ne yapılmalı?
- Kurumlar, tüm web sitelerindeki formların envanterini çıkarmalı; hangi formun hangi veriyi topladığı ve nerede sakladığı belirlenmeli.
- Amacı biten form yanıtları için saklama süresi tanımlanmalı ve süresi dolan kayıtlar silinmeli ya da arşivden çıkarılmalı.
- Sağlık, kimlik, sabıka gibi hassas bilgileri toplayan formlar ayrı, erişimi kısıtlı ve kayıt altına alınan sistemlerde tutulmalı.
- York ile yolu kesişmiş kişiler, üniversite adına gelen ve kişisel bilgi ya da ödeme isteyen e-posta ve aramalara karşı dikkatli olmalı; doğrulamayı yalnızca üniversitenin resmi kanallarından yapmalı.
