9.086’ya kadar Marui Group müşterisinin bilgisi Securitize Japan ihlalinde sızdı

Securitize Japan’ın platformundaki ihlal, Marui Group müşterilerinden en fazla 9.086 kişinin bazı kişisel bilgilerini ve NTT DATA’nın sağladığı dijital menkul kıymet hizmetindeki şirket tahvili alıcılarına ait verileri açığa çıkardı.

İhlal 29 Ekim’de Securitize Japan’ın hizmet olarak yazılım (SaaS) platformunda meydana geldi. NTT DATA, kimlik doğrulama işlevindeki bir açığın kötüye kullanıldığını, yönetici yetkilerinin izinsiz elde edildiğini ve sistemdeki bilgilerin dışarı aktarıldığını açıkladı.

NTT DATA, 31 Ekim’de dışarıdan aldığı hizmette kişisel verilerin sızmış olabileceğini bildirdi. Şirket 2 Kasım’da verilerin dışarı çıkarıldığını doğruladı. İhlalin nedeni ve etkilenenlerin tamamı araştırılıyor.

Marui Group, 2 Kasım’da dijital şirket tahvili başvuru hesabı açan en fazla 9.086 müşterisinin bazı kişisel bilgilerinin sızdığını duyurdu. Bu bilgiler arasında ad, adres, telefon numarası, e-posta adresi, doğum tarihi, cinsiyet, banka hesap numarası ve yatırım miktarı bulunuyor.

Banka hesap numarasının da sızmış olabileceği müşteri sayısı 54. Marui Group, kredi kartı bilgilerini bu hizmet için dışarıya vermediğini ve kendi sistemlerinden veri sızdığına dair bir bulguya rastlamadığını belirtti.

Şirket müşterilerini kimlik bilgilerinin kötüye kullanılmasına ve şüpheli e-posta ya da kısa mesajlara karşı dikkatli olmaları konusunda uyardı. Duyuru sırasında ikincil bir zarar tespit edilmemişti.

NTT DATA’nın doğruladığı etkilenenler arasında iki ihraççının şirket tahvillerini satın alan 111 kişi bulunuyor. Bu kişilerin ad, adres, telefon numarası, e-posta adresi, cinsiyet ve doğum tarihi bilgileri açığa çıktı.

Ayrı bir ihraççının 2.678 alıcısına ait bilgiler de dışarı aktarıldı. Bu veriler kana alfabesiyle yazılmış ad, şirket tahvili alım miktarı ve e-posta adresinden oluşuyor. Kapsamları farklı olduğu için bu iki sayı toplam etkilenen kişi sayısı olarak birleştirilemez.

İhraççıların ve finans kuruluşlarının sistemlerini kullanan yetkililere ait bilgiler de dışarı çıkarıldı; etkilenen kişi sayısı araştırılıyor. NTT DATA, duyuru sırasında sızan bilgilerin kötüye kullanıldığına dair bir bulgu olmadığını bildirdi.

Sony Bank, Securitize Japan ihlali nedeniyle 621 müşterisinin bilgilerinin sızdığını ilk olarak 30 Ekim’de duyurdu ve açıklamasını 4 Kasım’da güncelledi. Banka, aynı harici platform ihlalinden kaynaklanan veri sızıntısını ilk duyurusunda bildirmişti.

Sony Bank müşterilerinden 617’sinin yalnızca adı, 4’ünün ise adı, adresi, doğum tarihi ve hesap numarası sızdı. Banka dijital menkul kıymet işlemlerini durdurdu. Diğer hizmetlerin etkilendiğini, yetkisiz işlem yapıldığını veya bilgilerin internette yayımlanıp dağıtıldığını açıklamadı.

Securitize Japan, dijital menkul kıymet ihraç ve yönetim platformu sağlayan ABD merkezli Securitize, Inc.’in yüzde 100 bağlı ortaklığı. Dijital menkul kıymetler, blokzincir gibi dijital teknolojilerle ihraç edilen ve yönetilen menkul kıymetlerdir.

Bu duyurularda doğrulanan zarar, platformda tutulan yatırımcı ve alıcıların kişisel bilgilerinin dışarı çıkarılması oldu. Kripto para borsalarından veya cüzdanlardan varlık çalındığına ilişkin bir açıklama yapılmadı.

Securitize Japan ilgili hizmetleri durdurdu, yetkisiz erişim yolunu kapattı ve ele geçirilen yönetici yetkilerini geçersiz kıldı. NTT DATA da dijital menkul kıymet hizmeti STdirectServices’ı durdurdu. Şirket, gerekli güvenlik önlemlerini kontrol ettikten sonra hizmetin yeniden başlatılıp başlatılmayacağına karar verecek.

Güney Kore’deki finans sektörüne yönelik siber olaylar Japonya’daki ihlalden ayrı kayda geçti. Güney Kore Finansal Hizmetler Komisyonu, 14 Ekim’de Shinhan Bank’taki olayın öncesinde ve sonrasında 16 finans kuruluşunda ihlal tespit edildiğini, sızan bilgi miktarının yaklaşık 100 bin kayıt olduğunu açıkladı. Listede kripto varlık hizmet sağlayıcıları Streami ve FraBank da yer aldı. Japonya’daki olaylarla Güney Kore’deki ihlaller arasında bağlantı kurulduğuna dair bir açıklama yapılmadı.