EUPHRAT
Yönetici
- Katılım
- 3 Ocak 2017
- Mesajlar
- 1,197
- Tepkime puanı
- 2,691
- Puanları
- 113
Pazartesi günü Capital One Financial Corporation, Amerika Birleşik Devletleri'nde 100 milyon insanı ve Kanada'da 6 milyon insanı etkileyen bir veri ihlali olduğunu açıkladı. FBI, Seattle'daki ihlal iddiasının failini tutukladı.
19 Temmuz'daki Capital One, birinin çevrimiçi olarak depolanan verilerine eriştiğini ve kredi kartı müşterilerinin ve kredi kartı ürünleri için başvuran kişilerin kişisel bilgilerini edindiğini keşfetti.
Şirket, 12 aydan 17 Temmuz'a kadar sürenin beş ay sürdüğüne inanılan ihlalde kredi kartı hesap numaralarının veya giriş kimlik bilgilerinin tehlikeye girmediğini belirtti.
Bununla birlikte, davetsiz misafir 140.000 Sosyal Güvenlik numarasına ve güvenli kredili müşterilere ait 80.000 banka hesap numarasına erişmiştir. Güvenli kredi kartları, kredisiz veya düşük kredi derecesine sahip kişilere verilir.
Bugüne kadarki analizine dayanarak, Capital One, bilgilerin yaygın bir saldırıda kullanılmasının muhtemel olmadığına inanıyor.
Florida'nın Coral Gables kentinde bulunan güvenli bir altyapı platformu sağlayıcısı olan Cyxtera Technologies'in CISO'su eski FBI ajanı Leo Taddeo, “İhlalin iddia edilen hacker'ın istismar bilgilerini yaygın bir şekilde yayma şansına sahip olmadan önce keşfedildiği görülüyor” dedi .
TechNewsWorld’e yaptığı açıklamada, “Öyleyse, başka bir bilgisayar korsanı aynı giriş noktasına erişemezse, ihlalin ortaya çıkma ihtimali var” dedi.
Etkilenen kişilere, çeşitli kanallar aracılığıyla bildirileceği belirtildi, şirket ve olaydan etkilenen herkese ücretsiz kredi izleme ve kimlik koruma hizmetleri sağlanacak.
Şirket, 2019 yılında 100 milyon ABD doları ile 150 milyon ABD doları arasında bir ihlale neden olacak masrafları beklemektedir.
Capital One CEO'su Richard D. Fairbank, "Failin yakalanmasına minnettar olduğum için minnettarım, olanlar için çok üzgünüm." Dedi. “Bu olayın etkilenenlere neden olması gerektiği konusundaki anlaşılabilir endişe için içtenlikle özür dilerim ve düzeltmeyi taahhüt ediyorum.”
Hacker Yakalandı
Fairbank veri ihlali için özür dilerken, FBI Capital One ihlali için eski bir Amazon yazılım mühendisi olan 33 yaşındaki Paige A. Thompson'ı tutuklamakla meşguldü.
Thompson, Seattle'daki federal mahkemede açılan suç duyurusuna göre GitHub'a Capital One'ın verilerini çalmakla övündükten sonra iddia edilen fail olarak tanımlandı. GitHub, geliştiriciler için dünyanın en büyük web sitesidir.
Thompson, Amazon Web Hizmetleri bulutunda depolanan verileri korumak için ayarlanan yanlış yapılandırılmış bir güvenlik duvarından yararlanarak verilere eriştiğini söyledi.
Thompson'ın yorumlarını gören bir GitHub kullanıcısı Capital One'ı uyardı. Capital One, Thompson’ın ikametgahı için arama emri alan FBI’yı uyardı. Temsilciler orada Capital One'ın verilerinin bir kopyasını içeren elektronik depolama aygıtlarını ele geçirdi.
Thompson, beş yıl hapis cezasına çarptırılabilecek ve 250.000 dolar para cezasına çarptırılacak olan bilgisayar dolandırıcılığı ve suiistimal suçlamasıyla karşı karşıya kalacak.
Bu durumda, Başkent Bir şanslı görünüyordu.
San Jose, Kaliforniya'daki bir uygulama güvenlik şirketi olan Virsec'in CTO'su Satya Gupta “Bu saldırgan dikkatsiz ve övünç duyuyordu. Kendi becerilerini geliştirmeye çalışan çoğu bilgisayar korsanı yakalanacak” dedi .
TechNewsWorld'e yaptığı açıklamada, "Bilgisayar korsanının, onu çalıştıran Capital One veya AWS tarafından farkedilmemesi daha rahatsız edici. Bu gerçeğe kadar hiçbir ipucu yoktu," dedi.
Cyxtera'dan Taddeo, "Başkent Bir için, onları ihlale uyaran bireyin" iyi adamlardan "biri olduğu görülmesi tesadüf etti." Dedi.
Bununla birlikte, Chicago’da bulunan global bir strateji ve yönetim danışmanlığı firması olan AT Kearney’deki dijital dönüşüm uygulamasının ortağı ve başkan yardımcısı Arjun Sethi’nin hala endişe kaynağı olabileceği belirtildi .
Güvenlik açığı bulunan Web uygulamasıyla ilgili olarak, "bu güvenlik açığının önceden davetsiz misafirlerince tehlikeye atılıp atılmadığını veya mevcut saldırıya maruz kalan verilerin başkalarının yararlanmasına açık bırakılıp bırakılmadığını bilmiyoruz" dedi.
Ortak bir Snafu
Bir güvenlik duvarı kurulumunu yapmak ağ güvenliğinde sıkça rastlanan bir konudur, dedi , McLean, Virginia’daki mobil ve web sitesi uygulama güvenliği şirketi The Media Trust’ın dijital güvenlik ve işletme müdürü Usman Rahim .
TechNewsWorld, "Şirketler, Web uygulamasına erişilebilecek herhangi bir meşru noktada istenen sonuçları elde etmek için güvenlik duvarı yapılandırmasını rutin olarak değiştirmektedir. Ancak, işlem sırasında güvenlik duvarını yanlış yapılandırma riski taşımaktadırlar." Dedi.
Rahim, "Sofistike saldırganlar, güvenlik duvarı yapılandırmasındaki yaygın hatalar da dahil olmak üzere, bulutta hizmetlerin nasıl yürüdüğünü çok iyi biliyorlar." Dedi.
Yanlış yapılandırılmış güvenlik duvarı, Capital One'ın verilerine yetkisiz erişime izin verdi, ancak sorunu aylarca tespit edememe sorunu da vardı , Washington, DC merkezli bir kurumsal şifre yönetimi yazılımı üreticisi olan Thycotic’te bilgi güvenliği sorumlusu Terence Jackson
TechNewsWorld'e yaptığı açıklamada, "Bekleme süresi diğer yüksek profilli ihlallerde de bir sorun olmuştur." "Şirketler, bu gibi boşlukların kapatıldığından emin olmak için bu bulut hizmetlerinin yapılandırmalarını sürekli denetlemelidir."
Taddeo, teknik açıdan Amazon'un bulutunun kırılmasının çok zor olduğunu belirtti.
“AWS'nin dahil olduğu neredeyse tüm ihlaller teknik bir istismardan ziyade insan hatası veya niyetinin bir sonucudur” dedi.
Taddeo, "Bildiklerimize dayanarak, güvenlik duvarının yanlış yapılandırılmasının daha kötü niyetli içeriden öğrenenlerin eylemlerinden kaynaklanabileceğini iddia ediyorum - iddia edilen hacker'ın sahip olmaması gereken ayrıcalıklardan yararlandığını iddia etti." Dedi. “Yine de, gerçek bir yanlış yapılandırma sonucu olsaydı, gerçek şu ki, insanların yapabilecekleri hatalara, hatta yetenekli güvenlik uygulayıcılarına karşı hala savunmasız olduğumuzu söylüyor.”
Bulut için Kasvet Yok
Bulut göçü eleştirmenleri, Capital One ihlalini, genel bulutun kritik veriler için güvenli olmadığı yönündeki konumlarını güçlendirmek için kullanabilir, ancak bu bir hata olurdu , San Francisco merkezli bir San Francisco merkezli sağlayıcısı Digital Shadows'un güvenlik mühendisliği başkanı Richard Gold dijital risk koruma çözümleri.
TechNewsWorld’e verdiği demeçte, "Bu bulut için bir hüzünlü ve kasvetli bir senaryo değil."
Gold, “Bunun gibi saldırılar, bulut ortamınızı çok iyi tanıma ihtiyacının altını çiziyor, ancak saldırganın fayda sağladığı yanlış yapılandırma muhtemelen önlenebilirdi, insan hatası sonucu”
Başbakan, "Capital One'ın bu kadar hızlı yanıt verebilmesi kısmen AWS tarafından sağlanan araçlardan kaynaklandı" dedi. "Güvenlik gruplarının, ağların ve benzerlerinin beklendiği şekilde yapılandırıldığından emin olmak için insanların bulut ortamlarını kontrol etme konusunda proaktif olmaları gerekiyor."
Tüketiciler de, Başkent Bir ihlali ışığında proaktif olmak isteyebilirler. Şifre kullanımını incelemek ve şifreleri bir kereden fazla kullanmaktan kaçınmak iyi bir fikirdir. Bir süredir kredi ve finansal işlemleri izlemek de değerli bir alıştırma olabilir.
Endüstri analisti Ted Rossman, “Tüketicilerin kimliklerini korumak için yapması gereken 1 numaralı şey Equifax, Experian ve TransUnion ile temasa geçerek kredilerini dondurmak. Ücretsiz, hızlı ve kolay. Bunu çevrimiçi veya telefonda yapabilirsiniz” diye belirtti.
TechNewsWorld'e “Bir suçlunun adınıza yetkisiz bir hesap açmasını önlemenin en iyi yolu bu” dedi. “Ne yazık ki, dört ABD'li yetişkinden sadece bir tanesi kredisini dondurdu.”
19 Temmuz'daki Capital One, birinin çevrimiçi olarak depolanan verilerine eriştiğini ve kredi kartı müşterilerinin ve kredi kartı ürünleri için başvuran kişilerin kişisel bilgilerini edindiğini keşfetti.
Şirket, 12 aydan 17 Temmuz'a kadar sürenin beş ay sürdüğüne inanılan ihlalde kredi kartı hesap numaralarının veya giriş kimlik bilgilerinin tehlikeye girmediğini belirtti.
Bununla birlikte, davetsiz misafir 140.000 Sosyal Güvenlik numarasına ve güvenli kredili müşterilere ait 80.000 banka hesap numarasına erişmiştir. Güvenli kredi kartları, kredisiz veya düşük kredi derecesine sahip kişilere verilir.
Bugüne kadarki analizine dayanarak, Capital One, bilgilerin yaygın bir saldırıda kullanılmasının muhtemel olmadığına inanıyor.
Florida'nın Coral Gables kentinde bulunan güvenli bir altyapı platformu sağlayıcısı olan Cyxtera Technologies'in CISO'su eski FBI ajanı Leo Taddeo, “İhlalin iddia edilen hacker'ın istismar bilgilerini yaygın bir şekilde yayma şansına sahip olmadan önce keşfedildiği görülüyor” dedi .
TechNewsWorld’e yaptığı açıklamada, “Öyleyse, başka bir bilgisayar korsanı aynı giriş noktasına erişemezse, ihlalin ortaya çıkma ihtimali var” dedi.
Etkilenen kişilere, çeşitli kanallar aracılığıyla bildirileceği belirtildi, şirket ve olaydan etkilenen herkese ücretsiz kredi izleme ve kimlik koruma hizmetleri sağlanacak.
Şirket, 2019 yılında 100 milyon ABD doları ile 150 milyon ABD doları arasında bir ihlale neden olacak masrafları beklemektedir.
Capital One CEO'su Richard D. Fairbank, "Failin yakalanmasına minnettar olduğum için minnettarım, olanlar için çok üzgünüm." Dedi. “Bu olayın etkilenenlere neden olması gerektiği konusundaki anlaşılabilir endişe için içtenlikle özür dilerim ve düzeltmeyi taahhüt ediyorum.”
Hacker Yakalandı
Fairbank veri ihlali için özür dilerken, FBI Capital One ihlali için eski bir Amazon yazılım mühendisi olan 33 yaşındaki Paige A. Thompson'ı tutuklamakla meşguldü.
Thompson, Seattle'daki federal mahkemede açılan suç duyurusuna göre GitHub'a Capital One'ın verilerini çalmakla övündükten sonra iddia edilen fail olarak tanımlandı. GitHub, geliştiriciler için dünyanın en büyük web sitesidir.
Thompson, Amazon Web Hizmetleri bulutunda depolanan verileri korumak için ayarlanan yanlış yapılandırılmış bir güvenlik duvarından yararlanarak verilere eriştiğini söyledi.
Thompson'ın yorumlarını gören bir GitHub kullanıcısı Capital One'ı uyardı. Capital One, Thompson’ın ikametgahı için arama emri alan FBI’yı uyardı. Temsilciler orada Capital One'ın verilerinin bir kopyasını içeren elektronik depolama aygıtlarını ele geçirdi.
Thompson, beş yıl hapis cezasına çarptırılabilecek ve 250.000 dolar para cezasına çarptırılacak olan bilgisayar dolandırıcılığı ve suiistimal suçlamasıyla karşı karşıya kalacak.
Bu durumda, Başkent Bir şanslı görünüyordu.
San Jose, Kaliforniya'daki bir uygulama güvenlik şirketi olan Virsec'in CTO'su Satya Gupta “Bu saldırgan dikkatsiz ve övünç duyuyordu. Kendi becerilerini geliştirmeye çalışan çoğu bilgisayar korsanı yakalanacak” dedi .
TechNewsWorld'e yaptığı açıklamada, "Bilgisayar korsanının, onu çalıştıran Capital One veya AWS tarafından farkedilmemesi daha rahatsız edici. Bu gerçeğe kadar hiçbir ipucu yoktu," dedi.
Cyxtera'dan Taddeo, "Başkent Bir için, onları ihlale uyaran bireyin" iyi adamlardan "biri olduğu görülmesi tesadüf etti." Dedi.
Bununla birlikte, Chicago’da bulunan global bir strateji ve yönetim danışmanlığı firması olan AT Kearney’deki dijital dönüşüm uygulamasının ortağı ve başkan yardımcısı Arjun Sethi’nin hala endişe kaynağı olabileceği belirtildi .
Güvenlik açığı bulunan Web uygulamasıyla ilgili olarak, "bu güvenlik açığının önceden davetsiz misafirlerince tehlikeye atılıp atılmadığını veya mevcut saldırıya maruz kalan verilerin başkalarının yararlanmasına açık bırakılıp bırakılmadığını bilmiyoruz" dedi.
Ortak bir Snafu
Bir güvenlik duvarı kurulumunu yapmak ağ güvenliğinde sıkça rastlanan bir konudur, dedi , McLean, Virginia’daki mobil ve web sitesi uygulama güvenliği şirketi The Media Trust’ın dijital güvenlik ve işletme müdürü Usman Rahim .
TechNewsWorld, "Şirketler, Web uygulamasına erişilebilecek herhangi bir meşru noktada istenen sonuçları elde etmek için güvenlik duvarı yapılandırmasını rutin olarak değiştirmektedir. Ancak, işlem sırasında güvenlik duvarını yanlış yapılandırma riski taşımaktadırlar." Dedi.
Rahim, "Sofistike saldırganlar, güvenlik duvarı yapılandırmasındaki yaygın hatalar da dahil olmak üzere, bulutta hizmetlerin nasıl yürüdüğünü çok iyi biliyorlar." Dedi.
Yanlış yapılandırılmış güvenlik duvarı, Capital One'ın verilerine yetkisiz erişime izin verdi, ancak sorunu aylarca tespit edememe sorunu da vardı , Washington, DC merkezli bir kurumsal şifre yönetimi yazılımı üreticisi olan Thycotic’te bilgi güvenliği sorumlusu Terence Jackson
TechNewsWorld'e yaptığı açıklamada, "Bekleme süresi diğer yüksek profilli ihlallerde de bir sorun olmuştur." "Şirketler, bu gibi boşlukların kapatıldığından emin olmak için bu bulut hizmetlerinin yapılandırmalarını sürekli denetlemelidir."
Taddeo, teknik açıdan Amazon'un bulutunun kırılmasının çok zor olduğunu belirtti.
“AWS'nin dahil olduğu neredeyse tüm ihlaller teknik bir istismardan ziyade insan hatası veya niyetinin bir sonucudur” dedi.
Taddeo, "Bildiklerimize dayanarak, güvenlik duvarının yanlış yapılandırılmasının daha kötü niyetli içeriden öğrenenlerin eylemlerinden kaynaklanabileceğini iddia ediyorum - iddia edilen hacker'ın sahip olmaması gereken ayrıcalıklardan yararlandığını iddia etti." Dedi. “Yine de, gerçek bir yanlış yapılandırma sonucu olsaydı, gerçek şu ki, insanların yapabilecekleri hatalara, hatta yetenekli güvenlik uygulayıcılarına karşı hala savunmasız olduğumuzu söylüyor.”
Bulut için Kasvet Yok
Bulut göçü eleştirmenleri, Capital One ihlalini, genel bulutun kritik veriler için güvenli olmadığı yönündeki konumlarını güçlendirmek için kullanabilir, ancak bu bir hata olurdu , San Francisco merkezli bir San Francisco merkezli sağlayıcısı Digital Shadows'un güvenlik mühendisliği başkanı Richard Gold dijital risk koruma çözümleri.
TechNewsWorld’e verdiği demeçte, "Bu bulut için bir hüzünlü ve kasvetli bir senaryo değil."
Gold, “Bunun gibi saldırılar, bulut ortamınızı çok iyi tanıma ihtiyacının altını çiziyor, ancak saldırganın fayda sağladığı yanlış yapılandırma muhtemelen önlenebilirdi, insan hatası sonucu”
Başbakan, "Capital One'ın bu kadar hızlı yanıt verebilmesi kısmen AWS tarafından sağlanan araçlardan kaynaklandı" dedi. "Güvenlik gruplarının, ağların ve benzerlerinin beklendiği şekilde yapılandırıldığından emin olmak için insanların bulut ortamlarını kontrol etme konusunda proaktif olmaları gerekiyor."
Tüketiciler de, Başkent Bir ihlali ışığında proaktif olmak isteyebilirler. Şifre kullanımını incelemek ve şifreleri bir kereden fazla kullanmaktan kaçınmak iyi bir fikirdir. Bir süredir kredi ve finansal işlemleri izlemek de değerli bir alıştırma olabilir.
Endüstri analisti Ted Rossman, “Tüketicilerin kimliklerini korumak için yapması gereken 1 numaralı şey Equifax, Experian ve TransUnion ile temasa geçerek kredilerini dondurmak. Ücretsiz, hızlı ve kolay. Bunu çevrimiçi veya telefonda yapabilirsiniz” diye belirtti.
TechNewsWorld'e “Bir suçlunun adınıza yetkisiz bir hesap açmasını önlemenin en iyi yolu bu” dedi. “Ne yazık ki, dört ABD'li yetişkinden sadece bir tanesi kredisini dondurdu.”