Expedia, tedarikçi üzerinden saldırıya uğradığını doğruladı; n0n grubu yaklaşık 1 milyar yolcu kaydı çaldığını iddia ediyor
Expedia Group, sistemlerine güvenilen bir üçüncü taraf veri platformu sağlayıcısı üzerinden erişildiğini doğruladı. Rus n0n grubunun 830 milyonu aşkın sadakat programı kaydı dahil yaklaşık bir milyar kayıt aldığı iddiası ise şirket tarafından doğrulanmadı.
Dünyanın en büyük çevrim içi seyahat şirketlerinden Expedia Group, saldırganların sistemlerine güvenilen bir üçüncü taraf veri platformu sağlayıcısı üzerinden ulaştığını doğruladı. Şirketin açıklamasını ilk aktaran Skift'e göre saldırı, aynı sağlayıcıyı kullanan başka şirketleri de etkileyen bir tedarik zinciri saldırısı.
Doğrulama, eylül ortasında ortaya çıkan Rus extortion grubu n0n'un Expedia verisini çaldığını öne sürmesinden sonra geldi. Security Affairs'in 14 Kasım tarihli derlemesine göre Expedia, grubun açıkladığı rakamları doğrulamadı ve incelemenin sürdüğünü söylüyor.
İddia edilen veri
Forbes ve Security Affairs'in aktardığına göre n0n şunları aldığını iddia ediyor: - 35 programdan 830 milyonu aşkın sadakat programı kaydı (e-posta adresi, üyelik numarası, puan bakiyesi) - 58 milyon yolcu profili - Parola benzeri hash'lenmiş token'lar içeren 333 milyon hesap kaydı - Kaynak kodu (grubun ayrı iddiası)
Bu rakamların hiçbiri şirket tarafından doğrulanmadı; SiberMagazin verileri görmedi ve doğrulamadı. Grubun sızıntı sitesi, kurbanları adsız ve geri sayımlı biçimde listeleyip ödeme yapılmazsa adını açıklamasıyla biliniyor; bir fidye müzakerecisi Forbes'a rakamların baskı aracı olabileceğini söyledi.
Qubole bağlantısı
Wiz ve Sentra, saldırının data lake platformu Qubole'a ait çalınmış bir erişim anahtarıyla yapıldığını belirtiyor. Wiz'in Qubole'un müşteri bulut hesaplarına güvenilen erişiminin kötüye kullanıldığını açıklamasını 10 Kasım'da yazmıştık. Expedia olayı, bu zincirde adı açıkça doğrulanan en büyük şirket.
Ne yapılmalı?
- Expedia, Hotels.com veya Vrbo hesabı olanlar parolalarını güvendikleri bir cihazdan değiştirmeli; aynı parolayı başka serviste kullanıyorlarsa orada da değiştirmeli.
- Sadakat puanı, rezervasyon veya hesap doğrulaması bahanesiyle gelen e-postalara karşı dikkatli olunmalı; bağlantıya tıklamak yerine uygulamaya doğrudan girilmeli.
- Qubole kullanan kurumlar, Qubole'a verdikleri bulut rollerini ve bu rollerin son haftalardaki kullanım kayıtlarını gözden geçirmeli; ihtiyaç kalmayan güven ilişkilerini kaldırmalı.
- Üçüncü taraf veri platformlarına verilen erişim anahtarlarının süresi ve kapsamı tedarikçi risk değerlendirmesine eklenmeli.
