Florida’daki araç veritabanı hacklendi, veriler yayımlandı

Florida’da araç sahipleri ve sürücülerle ilgili bilgileri barındıran bir devlet veritabanı siber saldırının ardından gündeme geldi. ShinyHunters adlı hacker grubu, Florida Otoyol Güvenliği ve Motorlu Taşıtlar Kurumu’nun (FLHSMV) kullandığı DAVID sisteminden alındığını söylediği yüz binlerce dosyayı kendi sızıntı platformunda yayımladı.

Grup, verileri fidye talebinin karşılanmaması ve kurumun saldırganlarla iş birliği yapmaması üzerine paylaştığını belirtti. Hackerlar, DAVID sistemine eylül ayının başlarında eriştiklerini öne sürdü. İddialarını desteklemek amacıyla, Florida’da ikamet etmiş hayatını kaybetmiş cinsel suçlu Jeffrey Epstein ile ilişkilendirilen bir kayda ait olduğu ileri sürülen ekran görüntüsünü de yayımladılar.

FLHSMV, saldırıyı geçen hafta yaptığı açıklamayla doğruladı. Kurumun ilk açıklamasına göre saldırganlar, kişisel bir cihazda saklanan bir polis memuruna ait kimlik bilgilerini ele geçirdikten sonra veritabanına erişti. Bu ayrıntı, kamu kurumlarında kullanılan hesap bilgilerinin kişisel cihazlarda tutulmasının oluşturabileceği riski yeniden ortaya koyuyor.

Çalınan dosyalarda hangi bilgiler var?

Yayımlanan veri örneklerinin incelenmesi, saldırının yalnızca sınırlı sayıdaki kullanıcı kaydıyla sınırlı kalmadığını gösteriyor. Dosyaların büyük bölümünü araç sahipliği sertifikaları oluşturuyor. Bu belgelerde araç alıcılarının ve satıcılarının adlarıyla adresleri yer alıyor. Ayrıca araçları tanımlamak için kullanılan araç kimlik numaraları da kayıtlarda bulunuyor.

Daha az sayıdaki dosyada sosyal güvenlik numaraları ve devlet tarafından düzenlenen başka belgeler tespit edildi. Bunlar arasında ABD vatandaşı olmayan kişilere ait pasaportlar ile göçmenlik belgeleri bulunuyor. Ancak incelenen dosyalarda sürücü ehliyetlerinin veya kişilerin fotoğraflarının yer aldığına dair bir bulgu aktarılmadı.

Bu ayrım, saldırının etkisini değerlendirirken önem taşıyor. Ehliyet görüntülerinin veya fotoğrafların bulunmaması, kimlik sahteciliği riskinin ortadan kalktığı anlamına gelmiyor. Ad, adres, araç bilgileri ve bazı hassas resmi belge verilerinin aynı veri setinde toplanması; hedefli dolandırıcılık, kimlik doğrulama süreçlerinin kötüye kullanılması ve kişilere yönelik sosyal mühendislik saldırıları için kullanılabilecek bir bilgi kaynağı oluşturuyor.

Florida kurumu açıklama yapmadı

FLHSMV, ihlali doğrulamasına rağmen yayımlanan dosyaların kapsamı hakkında yeni bir açıklama yapmadı. Kurumun sözcüsü, verilerin sızıntı platformunda paylaşılmasının ardından yöneltilen sorulara yanıt vermedi. Bu nedenle yayımlanan dosyaların DAVID sistemindeki toplam kayıtların ne kadarını içerdiği ve kaç kişinin doğrudan etkilendiği henüz bilinmiyor.

Saldırının arkasındaki grup, verileri yayımlayarak kurum üzerinde baskı kurmayı ve fidye sürecini kamuoyuna taşımayı amaçlıyor. Ancak sızıntı sitelerinde paylaşılan dosyaların tamamının gerçek, güncel veya eksiksiz olup olmadığı bağımsız biçimde doğrulanmış değil. Buna karşın kurumun veri ihlalini kabul etmesi, saldırının gerçek bir erişime dayandığını gösteriyor.

Olay, sürücü ve araç kayıtlarının merkezi sistemlerde tutulmasının yanında bu verilere erişim sağlayan hesapların korunmasının da kritik olduğunu ortaya koyuyor. Özellikle kişisel cihazlarda saklanan kimlik bilgilerinin ele geçirilmesi, saldırganların doğrudan ana sisteme yönelik daha geniş bir erişim elde etmesine yol açabiliyor.

Sürücü verilerine yönelik saldırılar artıyor

Florida’daki ihlal, sürücü bilgilerini hedef alan başka büyük bir saldırının ardından geldi. Aynı ay içinde kimlik doğrulama şirketi IDScan’e yönelik saldırıda 150 milyondan fazla ehliyet görüntüsünün çalındığı bildirildi. İki olayın doğrudan bağlantılı olduğuna dair bir bilgi bulunmuyor; ancak saldırılar, ehliyet ve araç kayıtlarının siber suçlular açısından neden yüksek değer taşıdığını gösteriyor.

Florida vakasında şu aşamada etkilenen kişilerin tamamı, verilerin ne kadar süreyle erişilebilir kaldığı ve kurumun hangi ek güvenlik önlemlerini uygulayacağı açıklanmış değil. Yetkililerin yayımlanan dosyaların kapsamını netleştirmesi, risk altındaki kişilerin belirlenmesi ve olası kimlik hırsızlığı girişimlerine karşı uyarılması açısından belirleyici olacak.