ABD Savunma Bakanlığı'na bağlı Savunma İşgücü Veri Merkezi (DMDC), milyonlarca mevcut ve eski askerî personele kişisel verilerinin ele geçirildiğini bildirmeye başladı. Etkilenenlerin sayısı oldukça yüksek: yaklaşık 2,8 milyon yaşayan kişi ve yaklaşık 300 bin vefat etmiş kişi. Karşılaştırma için, ABD ordusunda yaklaşık 1,3 milyon aktif personel görev yapıyor.

Saldırganlar, adı açıklanmayan bir dosya paylaşım sistemindeki güvenlik açığını kullanmış. Erişim eylül 2025 ile temmuz 2026 ortası arasında, yani yaklaşık dokuz ay boyunca sürmüş. Bu kadar uzun bir sürenin fark edilmeden geçmesi, izleme ve tespit süreçleri açısından soru işaretleri doğuruyor.

Çalınan veriler şifrelenmemiş halde tutulmuş. Listede sosyal güvenlik numaraları, adlar, doğum tarihleri, cinsiyet, ırk bilgisi ve askerî hizmet ayrıntıları var. Bu kombinasyon, kimlik hırsızlığı ve dolandırıcılık için oldukça değerli bir paket sayılır.

DMDC sıradan bir kurum değil. Askerî ve sivil personel ile aile bireylerine ait 60 milyondan fazla kaydı tutuyor ve ordunun önde gelen kimlik yönetimi sağlayıcısı olarak akıllı kartlar ve parolalar üretiyor; bu kimlikler Pentagon sistemlerine, binalarına ve üslerine girişte kullanılıyor.

Savunma Bakanlığı verilerin kötüye kullanıldığına dair bir belirti görmediğini söylüyor. Ancak bu sonuca hangi dayanakla varıldığı açık değil.

Olay yalnız değil: eylülde FBI'ı etkileyen ve ShinyHunters grubuna atfedilen bir ihlal de yaşanmıştı. Akıllara 2015'teki, 22 milyon devlet çalışanını etkileyen Personel Yönetimi Ofisi sızıntısı da geliyor.

Türkiye'deki kurumlar için de ders net: dosya paylaşım sistemleri sık gözden kaçan bir saldırı yüzeyi, hassas kayıtların şifrelenmesi ise artık varsayılan olmalı. KVKK kapsamındaki veri sorumluları açısından da bu tür olaylar iyi bir uyarı niteliği taşıyor.

Kaynak: TechCrunch