150 Milyondan Fazla Ehliyet Bilgisi Çalındı: IDScan Veri İhlalini Doğruladı

Kimlik doğrulama alanında dünyanın önde gelen şirketlerinden IDScan, sistemlerinden 150 milyondan fazla ehliyet bilgisinin çalındığı bir veri ihlalini resmen doğruladı. Şirketin geçtiğimiz hafta yalnızca "olası bir olayı araştırdığını" açıklamasının ardından gelen bu itiraf, meselenin boyutunu netleştirdi.

IDScan'in web sitesinde yayımladığı bildirime göre saldırganlar, şirketin bulut sistemlerinden kişilerin tam adlarını, ehliyet numaralarını ve pasaport gibi diğer resmi kimlik belgelerine ait numaraları ele geçirdi. Louisiana merkezli şirket, eğlence mekanlarından kenevir satış noktalarına kadar geniş bir müşteri yelpazesine kimlik doğrulama hizmeti sağlıyor; yani çalınan veriler yalnızca büyük kurumları değil, günlük hayatta kimlik kontrolünden geçen sıradan tüketicileri de doğrudan ilgilendiriyor.

Olayın gün yüzüne çıkması, siber güvenlik gazetecisi Brian Krebs'in 1 Eylül'de yayımladığı bir haberle oldu. Krebs, karanlık ağda (dark web) herkesin ABD ve Kanada'da yaşayan 150 milyondan fazla kişinin ehliyet bilgilerini — fotoğrafları dahil — arayabildiği bir siteye ulaştığını ortaya koydu ve kendi kaydını inceleyerek verinin gerçekliğini doğruladı. Sızan veriler arasında ABD Savunma Bakanı Pete Hegseth gibi üst düzey isimlerin bilgileri de yer alıyor.

Pentagon, olaydan haberdar olduğunu açıklarken FBI de konuyla ilgili soruşturma başlattığını duyurdu. IDScan ise yayımladığı bildiride, verilerin tamamına erişimin "ödeme gerektirdiğini" belirterek saldırganların fidye talep ettiğine dolaylı biçimde işaret etti; ancak şirket, kaç kişinin etkilendiğini ya da fidye talebiyle ilgili herhangi bir iletişime geçilip geçilmediğini açıklamadı.

Bu tür ihlaller, kimlik doğrulama hizmetlerinin tek bir merkezi noktada bu kadar hassas veriyi toplamasının riskini bir kez daha gözler önüne seriyor. Türkiye'de de e-Devlet ve özel sektör, KVKK kapsamında benzer kimlik verilerini işliyor; IDScan vakası, bu tür merkezi veri havuzlarının neden düzenli sızma testlerine ve sıkı şifreleme standartlarına tabi tutulması gerektiğini hatırlatan çarpıcı bir örnek niteliğinde.

Şirketin soruşturmasının hâlâ sürdüğü belirtiliyor; ancak IDScan'in basın açıklama taleplerine yanıt vermemesi, şeffaflık konusunda soru işaretlerini artırıyor. Uzmanlar, etkilenmiş olabilecek kullanıcıların bu süreçte kredi izleme ve kimlik koruma hizmetlerinden yararlanmasını öneriyor.

Kaynak: TechCrunch