Osaka Belediyesi 1 milyondan fazla e-posta adresinin sızdığını duyurdu; kaynak, yaklaşık 400 müşterisi etkilenen e-posta dağıtım servisi Arara
Japonya'nın üçüncü büyük kenti Osaka, çevrimiçi idari hizmet platformunun kullandığı üçüncü taraf e-posta dağıtım servisine yetkisiz erişildiğini ve 1 milyondan fazla e-posta adresinin açığa çıktığını açıkladı. Servisi işleten Arara'ya göre 2 Kasım'daki saldırı yaklaşık 400 müşteriye ait 77 milyon e-posta adresini etkiledi.
Osaka Belediyesi, çevrimiçi idari hizmet platformu üzerinden e-posta alan 1 milyondan fazla kişinin e-posta adresinin açığa çıktığını duyurdu. The Record'un 13 Kasım'da aktardığı belediye açıklamasına göre saldırganlar belediyenin kendi sistemlerine değil, platformun bakımını üstlenen TKC Corporation'ın kullandığı Arara e-posta dağıtım servisine erişti.
Belediyeye göre Temmuz 2026 ile 31 Ekim arasında bu sistemden e-posta alan herkesin adresi sızdı. Kentin 2,8 milyon sakinine, belediyeden geliyormuş gibi görünen şüpheli e-postalara karşı dikkatli olmaları, bağlantıları ve ekleri açmamaları çağrısı yapıldı.
Tek servis, yaklaşık 400 müşteri
Olay tek bir belediyeyle sınırlı değil. Arara, 2 Kasım'da yaşanan siber saldırıda yaklaşık 400 müşterisine ait 77 milyon e-posta adresinin açığa çıktığını bildirdi; etkilenenler arasında TKC'nin yanında oyun şirketi Sega da var. Şirket ayrıca saldırganların dağıtım servisini kullanarak kredi kartı şirketlerini ve finans kuruluşlarını taklit eden milyonlarca zararlı e-posta gönderdiğini belirtti.
Osaka Belediyesi'nin duyurusundan birkaç gün önce Osaka Eyaleti yönetimi de gıda destek programı katılımcılarının bilgilerini içeren ayrı bir veri ihlalini açıklamıştı.
Japonya'da olay dalgası ve acil paket
The Record'a göre Japonya aylardır kritik şirket ve kurumlara yönelik saldırılarla uğraşıyor. Başbakan Sanae Takaichi geçen hafta siber güvenlik gündemli bir kabine toplantısı yaptı ve acil önlem paketi açıkladı: siber savunmada AI kullanımının artırılması, daha güçlü bilgi toplama, saldırı kabiliyetleri ve veri ihlali mağdurlarına destek. Pakete yaklaşık 62 milyon dolar acil kaynak ayrıldı; şirketlerden saldırıları devlet kurumlarına daha hızlı bildirmeleri istendi.
NTT'nin baş siber güvenlik stratejisti Mihoko Matsubara, Recorded Future News'e yaptığı değerlendirmede Japon sistemlerine yönelik saldırıların temmuzda artmaya başladığını ve ekimde sıçradığını söyledi. Matsubara'ya göre bu yıl bildirilen olayların yüzde 58'i ekim ayında yaşandı ve yıl içinde yaklaşık 380 milyon kişisel veri kaydı çalındı. Matsubara, son ihlallerin bir bölümünde saldırganların açık bulmak için AI araçlarından yararlandığının görüldüğünü, ancak dalgadaki her ihlalin AI'a bağlanamayacağını da ekledi.
Neden önemli?
Sızan veri yalnızca e-posta adresi gibi görünse de olayın iki yönü kurumlar için ders niteliğinde. Birincisi, ihlal kurumun kendi ağında değil, yüklenicinin kullandığı bir alt servis sağlayıcıda yaşandı; yani risk iki halka ötedeydi. İkincisi, ele geçirilen servis meşru bir toplu e-posta altyapısı olduğu için saldırganlar hem adres listesine hem de güvenilir bir gönderim kanalına aynı anda ulaştı. Bu, alıcıların tanıdığı bir göndericiden gelen phishing e-postalarının filtrelerden geçme olasılığını artırır.
Ne yapılmalı?
- Toplu e-posta, SMS ve bildirim servislerini üçüncü taraf envanterinize ayrı kalem olarak yazın; yüklenicilerinizin hangi alt servis sağlayıcıları kullandığını sözleşmeyle bildirim konusu yapın.
- E-posta dağıtım servislerine verilen API anahtarlarını ve gönderim yetkilerini gözden geçirin; kullanılmayan anahtarları iptal edin, gönderim hacmindeki ani artışlar için uyarı kurun.
- Kendi alan adınız adına gönderim yapan servisleri SPF, DKIM ve DMARC kayıtlarınızla karşılaştırın; artık çalışmadığınız sağlayıcıları kayıtlardan çıkarın.
- Bir tedarikçiniz ihlal bildirdiğinde, o kanaldan e-posta alan kullanıcılarınızı "kurum adına gelen bağlantı ve eklere" karşı açıkça uyarın; uyarıyı aynı e-posta kanalıyla değil, web sitesi ve uygulama içi duyuruyla yapın.
- Türkiye'de faaliyet gösteren veri sorumluları için not: veri işleyen ya da alt işleyen kaynaklı ihlallerde de KVKK'ya bildirim yükümlülüğü veri sorumlusundadır; sözleşmelerinizdeki ihlal bildirim sürelerini bu gözle kontrol edin.
