Britaniya Su Şirkəti Sızması Qurbanları Çarəsizdir
İngiltərənin şimalının ən böyük su təchizatı şirkətlərindən biri olan Pennine Water Services, milyonlarla müştərisinə təsir edən nəhəng bir məlumat pozuntusunu təsdiqləyib. Oğurlanan məlumatlar arasında bank hesab detalları və həssas müştəri siyahıları da var.
Nə Baş Verdi
İngiltərənin şimalını su ilə təmin edən Pennine Water Services şirkəti kiber cinayətkarların toruna düşüb. Şirkət, ötən həftə verdiyi qısa bir açıqlama ilə müştəri məlumatlarını saxlayan serverlərə icazəsiz bir girişin aşkar edildiyini bildirdi. Amma işin əsli bundan daha dərindir. Hadisə şirkətin öz təhlükəsizlik qrupları tərəfindən deyil, qaranlıq internetdə (dark web) satışa çıxarılan bir məlumat bazasını fərq edən müstəqil bir kiber təhlükəsizlik tədqiqatçısı sayəsində ortaya çıxdı. Yəni, məlumatlarınız təkcə oğurlanmadı, həm də satışa çıxarıldı və şirkətin bundan heç xəbəri belə olmadı.
Əvvəlcə əhəmiyyətsiz kimi göstərilməyə çalışılan bu sızmanın miqyası saatlar keçdikcə anlaşıldı. Məsələ sadəcə bir neçə ad və e-poçt ünvanından ibarət deyil. Milyonlarla mövcud və keçmiş müştərini əhatə edən, son dərəcə şəxsi və maliyyə məlumatlarının tam ortada olduğu bir fəlakətdən bəhs edirik. Şirkətin hadisəni ictimaiyyətə açıqlaması isə məlumatların oğurlanmasından həftələr sonra baş verdi. Bu gecikmə, müştərilərin fırıldaqçılıq cəhdlərinə qarşı tamamilə müdafiəsiz qalması deməkdir. İnsanlar, bank hesablarının təhlükədə olduğundan xəbərsiz, gündəlik həyatlarına davam edirdilər.
Ələ Keçirilən Məlumatlar
Bəs, tam olaraq nə oğurlandı? Siyahı olduqca uzundur və insanın ürəyini bulandıracaq qədər ciddidir. Kiber hücumçular sanki rəqəmsal bir soyğun həyata keçirib və arxada demək olar ki, heç nə buraxmayıblar.
E-poçtunuz sızdırılıb? Pulsuz yoxlayın — saniyələr içində nəticə.
İndi Yoxla →- Şəxsiyyət Məlumatları: Adınız, soyadınız, ev ünvanınız, telefon nömrələriniz və e-poçt ünvanlarınız. Bu məlumatlar tək başına belə fişinq hücumları üçün bir qızıl mədəni deməkdir.
- Maliyyə Məlumatları: Ən qorxulu hissə budur. Müştərilərin hesab ödənişləri üçün istifadə etdiyi bank hesab nömrələri və filial kodları (sort code) da oğurlanan məlumatlar arasındadır. Bu, cinayətkarların birbaşa bank hesablarınızdan pul çəkmək üçün saxta avtomatik ödəniş təlimatları (direct debit) yarada biləcəyi mənasına gəlir.
- Doğum Tarixləri: Şəxsiyyət oğurluğunun təməl daşlarından biridir. Adınız, ünvanınız və doğum tarixinizlə, cinayətkarlar sizin adınıza kredit kartı müraciəti edə bilər, abunəliklər aça bilərlər.
- Həssas Müştəri Qeydləri: Bəlkə də ən bağışlanmaz olanı budur. Pennine Water, dializ aparatı istifadə edənlər, körpələri olan ailələr və ya ciddi xəstəlikləri səbəbindən fasiləsiz suya ehtiyacı olanlar üçün bir "Prioritet Xidmətlər Reyestri" aparırdı. Bu siyahı da oğurlandı. İndi cinayətkarlar cəmiyyətin ən həssas təbəqəsinin kimlərdən ibarət olduğunu bilirlər. Bu şəxsləri hədəf alaraq ediləcək bir telefon fırıldaqçılığının nə qədər dağıdıcı ola biləcəyini bir düşünün.
Bu məlumatların bir araya gəlməsi kiber cinayətkarlar üçün mükəmməl bir kokteyldir. Onlar təkcə bank hesabınızı boşaltmaqla qalmaz, həm də sizin adınıza yeni bir rəqəmsal şəxsiyyət yarada bilərlər. Bu, sadə bir məlumat sızması deyil; bu, insanların şəxsi həyatlarına, maliyyə təhlükəsizliyinə və hətta fiziki təhlükəsizliyinə qarşı birbaşa bir hücumdur.
Hücum Necə Baş Verdi
Pennine Water şirkətinin açıqlamaları son dərəcə səthi qalsa da, kiber təhlükəsizlik icmasındakı mənbələr hadisənin necə baş verdiyinə dair bəzi ipucları verir. Görünən odur ki, hücum şirkətin istifadə etdiyi üçüncü tərəf bir fayl transfer proqramındakı bir boşluqdan qaynaqlanıb. "DataMover Pro" kimi, böyük şirkətlərin nəhəng faylları təhlükəsiz şəkildə ötürmək üçün istifadə etdiyi bir platformada əvvəllər bilinməyən bir "sıfır gün" zəifliyi (zero-day vulnerability) kəşf edilib.
Hücumçular bu zəiflikdən istifadə edərək Pennine Water-ın sistemlərinə sızıblar. Bu cür hücum adətən "parol nə idi" və ya "kim kliklədi" kimi sadə suallardan kənara çıxır. Hücumçular proqramın özündəki bir qüsuru istismar edərək, təhlükəsizlik divarlarını və digər müdafiə mexanizmlərini səssizcə aşıblar. İçəri daxil olduqdan sonra həftələrlə fərq edilmədən məlumatları çəkdikləri düşünülür. Bu, daxildən birinin yavaş-yavaş məlumat sızdırması kimidir, ancaq tamamilə rəqəmsal mühitdə baş verir. Şirkətin kiber təhlükəsizlik infrastrukturunun bu qədər mürəkkəb bir hücumu aşkar edə bilməməsi, öz daxili nəzarətlərinin nə qədər qeyri-kafi olduğunu göstərir.
Kimlər Təsir Altındadır
Təsirə məruz qalanlar sadəcə bir məlumat sətri deyil. Onlar hesablarını vaxtında ödəyən, dövlətin infrastrukturuna güvənən adi insanlardır. Lids şəhərində yaşayan təqaüdçü müəllim David, "Özümü xəyanətə uğramış hiss edirəm. İllərdir eyni şirkətə ödəniş edirəm. Onlara bank məlumatlarımı verərək etibar etdim. İndi gecələr yata bilmirəm, hər an hesabımın boşaldılacağı qorxusu ilə yaşayıram," deyir. Onun kimi milyonlarla insan var.
Xüsusilə "Prioritet Xidmətlər Reyestri"ndə olanlar üçün vəziyyət daha da ciddidir. Mançesterdə yaşayan və kiçik övladının sağlamlıq problemləri səbəbindən bu siyahıda olan gənc bir ana Maria, "Mənə zəng edib 'Pennine Water-dan zəng edirik, övladınızın vəziyyətinə görə su hesabınızda endirim edəcəyik, sadəcə bu məlumatları təsdiqləyin' desələr, o anki təşvişlə inana bilərəm. Ən zəif anımızda bizi ovlaya biləcəkləri məlumatı onlara şirkət öz əlləri ilə verdi," deyə üsyan edir. Bu, insanların öz evlərində, ən təhlükəsiz hiss etməli olduqları yerdə belə özlərini "təcavüzə məruz qalmış" kimi hiss etmələrinə səbəb olan bir vəziyyətdir.
Nə Edə Bilərsiniz
Yaxşı, məlumatlarınız oğurlanıbsa nə etməlisiniz? Klassik "parolunuzu dəyişdirin" tövsiyəsini bir kənara qoyun, çünki bu vəziyyətdə o qədər də işə yaramır. Həqiqətən atmanız lazım olan addımlar bunlardır:
- Dərhal Bankınızla Danışın: Bu ilk və ən vacib addımdır. Bankınızın fırıldaqçılıq departamentinə zəng edin və vəziyyəti aydın şəkildə izah edin: "Mən Pennine Water məlumat pozuntusundan təsirləndim və bank məlumatlarım oğurlandı." Hesabınıza əlavə bir izləmənin qoyulmasını tələb edin. Yeni yaradılan və ya şübhəli görünən avtomatik ödəniş təlimatlarına qarşı xüsusilə diqqətli olmalarını istəyin.
- Kredit Hesabatlarınızı Nəzarətə Götürün: İngiltərədə fəaliyyət göstərən Experian, Equifax və ya TransUnion kimi kredit reytinq agentliklərindən birinə qeydiyyatdan keçin. Hesabatlarınızı mütəmadi olaraq yoxlayaraq adınıza açılmış tanımadığınız bir kredit kartı, telefon xətti və ya kredit olub-olmadığına baxın. Bu xidmətlər vasitəsilə hesabatınıza bir "fırıldaqçılıq xəbərdarlığı" (Cifas Protective Registration) əlavə etdirməyi düşünün. Bu, sizin adınıza kredit müraciəti edildikdə, kredit verən qurumun şəxsiyyətinizi təsdiqləmək üçün əlavə addımlar atmasını təmin edir.
- Gələn Hər Mesaja və Zəngə Şübhə ilə Yanaşın: Qarşıdakı aylarda sizə Pennine Water, bankınız, vergi idarəsi və hətta polis kimi qurumlardan gəlirmiş kimi görünən fişinq e-poçtları və telefon zənglərində partlayış yaşanacaq. Unutmayın, heç bir qanuni qurum sizə zəng edib parolunuzu, PİN kodunuzu və ya tam bank hesab nömrənizi istəməz. Sizdən bir linkə klikləməyi və ya bir faylı endirməyi tələb edən hər mesaja şübhə ilə yanaşın. Şübhədə qalsanız, telefonu qapadın və qurumun rəsmi nömrəsini özünüz taparaq geri zəng edin.
- Avtomatik Ödəniş Təlimatlarınızı Yoxlayın: İnternet bankçılığınıza daxil olun və "Direct Debits" və ya "Standing Orders" bölmənizi diqqətlə nəzərdən keçirin. Tanımadığınız, təsdiq etmədiyiniz bir ödəniş təlimatı görsəniz, dərhal bankınızla əlaqə saxlayaraq ləğv etdirin və vəziyyəti bildirin.
Şirkət Nə Deyir
Pennine Water Services, təxmin edildiyi kimi standart bir korporativ açıqlama mətni yayımladı. Şirkətin CEO-su James Holloway, "Müştərilərimizin məlumatlarının təhlükəsizliyini son dərəcə ciddiyə alırıq. Bu hadisədən dolayı dərin kədər hissi keçiririk və təsirlənən hər kəsdən üzr istəyirik. Milli Kiber Təhlükəsizlik Mərkəzi (NCSC) və Məlumat Komissarlığı Ofisi (ICO) ilə birlikdə araşdırma aparırıq," dedi. Şirkət həmçinin, bütün təsirlənən müştərilərə 12 aylıq pulsuz bir kredit izləmə xidməti təklif edəcəyini də əlavə etdi.
Ancaq bu sözlər qurbanların qəzəbini yatırmağa kifayət etmir. Pulsuz kredit izləmə xidməti oğurlanan pulu geri gətirmir və ya insanların özlərini təhlükəsiz hiss etməsini təmin etmir. Bu, sanki oğru girdikdən sonra qapıya kilid taxmağı təklif etmək kimi bir şeydir. Şirkət indi Böyük Britaniyanın məlumat qoruma orqanı olan ICO tərəfindən kəsilə biləcək və qlobal dövriyyəsinin 4%-nə çata biləcək nəhəng bir pul cəzası və müştərilərin açacağı kütləvi iddialarla üz-üzədir. Lakin heç bir cəza milyonlarla insanın itirdiyi etibarı və rahatlığı geri gətirə bilməyəcək.