Danimarka’da 8,8 Milyon Kişinin Verisi Açığa Çıktı
Danimarka’nın CPR nüfus kayıt sisteminde 8,8 milyon kişinin verisi açığa çıktı.
Danimarka’nın Merkezi Nüfus Kayıt Sistemi CPR’de yaklaşık 8,8 milyon kayda ait isim, adres ve kişisel kimlik numaralarına yetkisiz erişim gerçekleşti. Olayda merkezi sisteme doğrudan saldırı yerine, CPR’ye yasal erişimi bulunan özel bir şirketin yetkisinin kötüye kullanılması dikkat çekti.
İlgili şirketin sisteme erişimi durdurulurken olayla ilgili soruşturma başlatıldı. Danimarka’nın mevcut nüfusunun yaklaşık 6 milyon olmasına karşın etkilenen kayıt sayısının 8,8 milyona ulaşmasının nedeni ise CPR sisteminin yalnız mevcut nüfusu kapsamaması. Sistemde vefat edenler ile ülke dışına taşınan kişilere ait kayıtlar da bulunuyor.
Yetkili Üçüncü Taraf Erişimi Kullanıldı
Olayın en önemli boyutlarından biri, saldırının merkezi nüfus kayıt sisteminin dışarıdan doğrudan ele geçirilmesi biçiminde gerçekleşmemesi.
Yetkisiz kişiler, CPR sistemine meşru erişim hakkı bulunan özel bir şirketin erişimini kötüye kullandı. Bu erişim üzerinden isim, adres ve kişisel kimlik numarası gibi hassas bilgilere ulaşıldı.
Olayın ardından şirketin CPR sistemine erişimi durduruldu ve yetkililer tarafından soruşturma başlatıldı.
8,8 Milyon Kayıt Nasıl Ortaya Çıktı?
Danimarka’nın güncel nüfusu yaklaşık 6 milyon seviyesinde bulunmasına rağmen olayda 8,8 milyon kayıttan söz edilmesi ilk bakışta dikkat çekiyor.
Bu fark, CPR sisteminin kapsamından kaynaklanıyor. Merkezi nüfus kayıt sistemi, yalnız ülkede halen yaşayan kişilerin kayıtlarını tutmuyor.
Vefat eden kişiler ile Danimarka’dan başka ülkelere taşınanlara ait kayıtların da sistemde bulunması nedeniyle toplam kayıt sayısı mevcut nüfusun üzerine çıkabiliyor.
İsim, Adres ve Kimlik Numaraları Etkilendi
Yetkisiz erişim sonucunda etkilenen bilgiler arasında kişilerin isimleri, adresleri ve kişisel kimlik numaraları yer alıyor.
Olayın ardından erişimin nasıl kötüye kullanıldığı ve verilerin hangi amaçlarla elde edildiğine ilişkin soruşturma sürüyor.
Merkezi kayıt sistemine erişimi bulunan özel şirketin bağlantısının kesilmesi de olay sonrasında alınan ilk önlemler arasında yer aldı.
Danimarka’daki olayın teknoloji ve siber güvenlik açısından dikkat çekici tarafı, riskin doğrudan sistemin dışından gelmemesi. Yetkili bir üçüncü tarafın erişiminin kötüye kullanılması, dijital altyapılarda yalnız dış saldırılara karşı güçlü güvenlik önlemlerinin yeterli olmadığını gösteren önemli bir örnek.
Kurumlar çok güçlü güvenlik duvarları ve erişim kontrolleri kurabiliyor. Ancak sisteme zaten erişim yetkisi verilmiş şirketler, çalışanlar ve hizmet sağlayıcılar ayrı bir risk alanı oluşturuyor. Burada kritik başlık, erişimin varlığından çok bu erişimin nasıl sınırlandırıldığı, izlendiği ve olağandışı kullanımın ne kadar hızlı fark edildiği.
8,8 milyon kaydın etkilenmesi de üçüncü taraf erişimlerinin ne kadar geniş çaplı sonuçlar doğurabileceğini gösteriyor. Özellikle merkezi kamu sistemlerinde tedarikçi ve iş ortaklarına verilen erişimlerin düzenli olarak denetlenmesi, siber güvenlik mimarisinin temel parçalarından biri haline geliyor.
