Brezilyalı sigortacı Caixa Vida e Previdência'da veri ihlali: 7,6 milyon aktif müşterinin tamamının adı ve vergi kimlik numarası açığa çıktı
Caixa Seguridade, iştiraki Caixa Vida e Previdência'nın sistemlerine yetkisiz erişildiğini ve müşteri kayıt verilerinin kopyalandığını piyasaya bildirdi. Şirkete göre ad ve CPF numaraları açığa çıktı; finansal veriler ve parolaların etkilendiğine dair kanıt yok.
Brezilya'nın büyük sigorta gruplarından Caixa Seguridade, iştiraki Caixa Vida e Previdência (CVP) bünyesinde bir veri ihlali yaşandığını 12 Kasım tarihli piyasa bildirimiyle duyurdu. Bildirime göre CVP, 6 Kasım'da sistemlerine yetkisiz erişildiğini ve kişisel verilerle müşteri kayıt verilerinin teknoloji ortamının dışına kopyalandığını tespit etti.
Şirket olayı 11 Kasım'da Brezilya veri koruma otoritesi ANPD'ye, diğer yetkili kurumlara ve etkilenen kişilere bildirdi. Bildirim, hayat sigortası ve bireysel emeklilik alanında çalışan şirketin 7,6 milyon aktif müşterisinin tamamını kapsıyor.
Hangi veriler etkilendi?
Şirketin bugüne kadarki analizine göre:
- CVP'nin kayıt veritabanındaki ad ve CPF numaraları (Brezilya'daki bireysel vergi kimlik numarası) açığa çıktı. Veritabanı mevcut müşterilerin yanında eski müşterileri de içeriyor.
- Bazı kayıtlarda adres, telefon numarası, e-posta adresi ve doğum tarihi de yer alıyordu.
- Ön değerlendirmeye göre poliçe tutarları, emeklilik planı bakiyeleri, banka bilgileri ve parolalar gibi finansal ya da kimlik doğrulama verilerinin ele geçirildiğine dair kanıt yok.
Eski müşteriler dahil toplam kaç kişinin etkilendiği bildirimde yer almıyor. Saldırının nasıl gerçekleştiği ve arkasında kimin olduğu da açıklanmadı.
Şirket ne yaptı?
Bildirime göre saldırıda kullanılan mekanizmalar tespit edilip engellendi, ardından ek koruma önlemleri devreye alındı. Olayın kaynağını, kapsamını ve etkisini belirlemek için adli bilişim alanında uzman bir dış firmayla teknik inceleme başlatıldı; verilerin internette ortaya çıkıp çıkmadığı izleniyor. Cep telefonu numarası ya da e-posta adresi açığa çıkan kişiler ile kırılgan gruplar öncelikli olarak bilgilendiriliyor ve müşteri soruları için ayrı bir e-posta adresi açıldı.
Neden önemli?
Ad ile ulusal kimlik ya da vergi numarasının birlikte açığa çıkması, parola sızıntısından farklı bir risktir: parola değiştirilebilir, kimlik numarası değiştirilemez. Bu ikili, telefon ve doğum tarihiyle birleştiğinde kurum adına arayan ya da yazan dolandırıcıların inandırıcılığını artırır. Sigorta ve emeklilik müşterileri, "poliçenizde sorun var" ya da "birikiminizi güncelleyin" gibi senaryolara özellikle açık bir hedef kitledir.
Olay, kamuya açık şirketlerin ihlalleri yalnızca veri koruma otoritesine değil yatırımcılara da duyurduğu örneklerden biri. Türkiye'de de veri sorumluları ihlali öğrendikten sonra en geç 72 saat içinde KVKK'ya bildirmekle yükümlü.
Ne yapılmalı?
- Kimlik numarasını tek başına doğrulama unsuru olarak kullanan süreçlerinizi (çağrı merkezi, şifre sıfırlama, poliçe işlemleri) gözden geçirin; ad ve kimlik numarası bilen birinin müşteri sayılmadığı bir akış kurun.
- Eski müşteri kayıtlarını ne kadar süre ve hangi gerekçeyle tuttuğunuzu denetleyin; saklama süresi dolan veriyi silmek, sızabilecek veriyi de azaltır.
- Kayıt veritabanlarından toplu veri çıkışını izleyin: olağan dışı sorgu hacmi ve dışa aktarma işlemleri için alarm tanımlayın.
- İhlal bildirimi planınızı hazır tutun: otorite, etkilenen kişiler ve (halka açık şirketseniz) piyasa bildirimi için kim, hangi sürede, hangi metinle hareket edecek?
- Bireysel kullanıcılar için: verinizin sızdığını söyleyen bir kurumdan gelen arama ya da mesajı, kurumun resmi kanalından kendiniz arayarak doğrulayın; telefonda şifre ve doğrulama kodu paylaşmayın.
