16 finans kuruluşunda ihlal doğrulandı, yaklaşık 100 bin bilgi sızdırıldı

Finans sektöründeki 16 kuruluşta güvenlik ihlali tespit edildi ve yaklaşık 100 bin bilgi kaydının sızdırıldığı belirlendi. Kripto varlık hizmet sağlayıcıları Streami ve Prabang da olayların doğrulandığı kuruluşlar arasında yer aldı.

Finansal Hizmetler Komisyonu (FSC), 14 Ekim’de düzenlenen kurumlar arası toplantıda Shinhan Bank’taki ihlal öncesinde ve sonrasında bankalar, tasarruf bankaları, kredi finansmanı şirketleri, elektronik finans kuruluşları ve kripto varlık hizmet sağlayıcıları dahil 16 kuruluşta olay tespit edildiğini açıkladı. Finans kuruluşları, saldırılarda kullanılan IP adreslerini temel alarak başka ihlaller olup olmadığını araştırıyor.

FSC’nin belirlediği sızıntı, ad-soyad, iletişim bilgileri, kimlik numarası ve e-posta adresi gibi yaklaşık 100 bin kaydı kapsıyor. Açıklama sırasında hesap şifresi veya kart numarası gibi yetkisiz ödemelere yol açabilecek bilgilerin sızdırıldığı doğrulanmadı. Bu rakam finans sektörünün toplam verisini yansıtıyor; kuruluş bazında dağılım açıklanmadı.

Streami, GOPAX borsasının işletmecisi. FSC açıklamasında Streami ve Prabang’dan sızan bilgilerin türü, etkilenen müşteri sayısı ve ihlallerin nasıl gerçekleştiği ayrıca paylaşılmadı. FSC’nin dışarıya açık sistemlerde yaptığı güvenlik incelemesinin ardından bu kez finans sektöründeki genel olay tablosu ve güvenliği artırma planları açıklandı.

FSC, 555 finans kuruluşunda 12 maddelik güvenlik kontrol listesini inceleyerek 130 kuruluşta bazı eksiklikler bildirildiğini açıkladı. Başlıca bulgular arasında güncel güvenlik yamalarının uygulanmaması, teknik desteği sona ermiş sistemlerin yönetimi, 24 saatlik güvenlik izleme düzeninin bulunmaması ve dış sistemlerde kimlik doğrulama ile erişim kontrollerinin yetersizliği yer aldı. İnceleme kuruluşların kendi değerlendirmelerine dayanıyordu. Eksiklik bildiren kuruluşlar iyileştirme planlarını sundu ve gerekli adımları atmaya başladı.

Finansal düzenleyiciler, dış ağlara bağlı bilişim sistemlerinin envanterinin çıkarılmasını, kimlik doğrulama ve erişim yetkilerinin sıkı biçimde yönetilmesini teşvik edecek. Üst yöneticiler (CEO), bilgi güvenliği yöneticileri (CISO) ve bilgi işlem yöneticileri (CIO) arasındaki raporlama düzeni ile sorumluluk alanlarının da netleştirilmesi planlanıyor.

Büyük finans kuruluşlarının güvenlik açığı kontrollerinin yılda en az iki kez yapılması, kuruluşlar arasında tehdit bilgilerinin paylaşılması, yapay zekâ (AI) destekli güvenlik açığı tespiti ve küçük ve orta ölçekli finans kuruluşlarına güvenlik desteği sağlanması da planlar arasında. Ayrıntılı denetim kapsamı ve takvimi finans sektörüyle yapılacak görüşmelerin ardından belirlenecek.

Finansal Denetleme Servisi (FSS) ile Finansal Güvenlik Enstitüsü; ihlallerin sisteme giriş yollarını, saldırı türlerini, olaylar arasındaki bağlantıları, saldırganların aynı olup olmadığını ve yapay zekâ kullanım olasılığını araştırıyor.