Siber güvenlik uzmanları, özellikle yetkililerin bu tür verilere geniş ve kontrolsüz erişime sahip olduğu bir ülkede, çevrimiçi olarak çok miktarda hassas kişisel veri toplama ve saklama risklerini vurgulayarak, sızıntının tarihte kaydedilen en büyüklerden biri olabileceğini söylüyor.
Bir site olan LeakIX’e göre, en az Nisan 2021’den bu yana, Çin’in kişisel verilerinin büyük hazinesi, güvenli olmayan bir arka kapı bağlantısı gibi görünen bir şey aracılığıyla – bilgisi olan herkese sınırsız erişim sağlayan bir kısayol web adresi – aracılığıyla herkesin erişimine açıktı. açıkta kalan veritabanlarını çevrimiçi olarak algılar ve dizine ekler.
Parola gerektirmeyen veritabanına erişim, anonim bir kullanıcının geçen Perşembe günü bir hacker forumunda yaptığı bir gönderide 23 terabayttan (TB) fazla verinin 10 bitcoin (yaklaşık 200.000 $) karşılığında satılık reklamını yapmasının ardından kapatıldı. .
Kullanıcı, veritabanının Şanghay polisi tarafından derlendiğini ve adları, adresleri, cep telefonları, ulusal kimlik numaraları, yaşları ve doğum yerleri dahil olmak üzere bir milyar Çin vatandaşı hakkında hassas bilgilerin yanı sıra polise yapılan milyarlarca telefon görüşmesi kaydı içerdiğini iddia etti. medeni uyuşmazlıklar ve suçlar hakkında rapor vermek.
Veritabanının üç ana dizininden 750.000 veri girişi örneği satıcının gönderisine dahil edildi. CNN, satıcı tarafından sağlanan örnekten iki düzineden fazla girişin gerçekliğini doğruladı, ancak orijinal veritabanına erişemedi.
Şanghay hükümeti ve polis departmanı, CNN’nin tekrarlanan yazılı yorum taleplerine yanıt vermedi.
Satıcı ayrıca, güvenli olmayan veritabanının Çinli e-ticaret devi Alibaba’nın bir yan kuruluşu olan Alibaba Cloud tarafından barındırıldığını iddia etti. Alibaba CNN’e yaptığı açıklamada olaydan haberdar olduğunu ve araştırdığını söyledi.
Ancak CNN’in konuştuğu uzmanlar, hatalı olanın veriyi barındıran şirket değil, verinin sahibi olduğunu söyledi.
Microsoft’tan Troy Hunt, “Bugün olduğu gibi, bunun şimdiye kadarki en büyük kamuya açık bilgi sızıntısı olacağına inanıyorum – kesinlikle Çin’deki etkinin genişliği açısından, buradaki nüfusun çoğundan bahsediyoruz” dedi. Avustralya merkezli bölge müdürü.
Çin 1,4 milyar insana ev sahipliği yapıyor, bu da veri ihlalinin potansiyel olarak nüfusun %70’inden fazlasını etkileyebileceği anlamına geliyor.
Hunt, “Cinin şişeye geri dönemeyeceği bir durum biraz. Veriler şimdi göründüğü biçimde orada olduğunda, geri dönüş yok” dedi.
Çevrimiçi olarak herkese açık olarak bırakıldığı 14 ay veya daha uzun süre içinde kaç kişinin veritabanına eriştiği veya indirdiği belirsizdir. CNN ile konuşan iki Batılı siber güvenlik uzmanı, geçen hafta kamuoyunun dikkatine sunulmadan önce veritabanının varlığından haberdardı ve nereye bakacağını bilen insanlar tarafından kolayca keşfedilebileceğini öne sürdü.
Siber güvenlik araştırmacısı ve dark web istihbarat firması Shadowbyte’nin kurucusu Vinny Troia, veritabanını ilk olarak çevrimiçi açık veritabanlarını ararken “Ocak civarında” keşfettiğini söyledi.
Troia, “Bulduğum site herkese açık, herhangi biri (bu siteye) erişebilir, tek yapmanız gereken bir hesap açmak” dedi. “Nisan 2021’de açıldığından beri, herhangi bir sayıda kişi verileri indirebilirdi” diye ekledi.
Troia, yaklaşık 970 milyon Çin vatandaşı hakkında bilgi içeren veritabanının ana dizinlerinden birini indirdiğini söyledi.
Troia, açık erişimin veritabanı sahiplerinden kaynaklanan bir gözetim mi yoksa az sayıda insan arasında paylaşılması amaçlanan kasıtlı bir kısayol mu olduğuna kesin olarak karar vermenin zor olduğunu söyledi.
Veritabanından sorumlu yetkililere atıfta bulunarak, “Ya unuttular ya da daha kolay eriştikleri için bilerek açık bıraktılar” dedi. “Neden yapacaklarını bilmiyorum. Kulağa çok dikkatsiz geliyor.”
Sızıntılar, ihlaller veya bir tür yetersizlik yoluyla açığa çıkan güvenli olmayan kişisel veriler, dünya genelindeki şirketlerin ve hükümetlerin giderek daha sık karşılaştığı bir sorundur ve siber güvenlik uzmanları, kamu erişimine açık bırakılmış veritabanları bulmanın alışılmadık bir durum olmadığını söylüyor. .
Ancak siber güvenlik araştırmacıları, en son veri sızıntısının yalnızca eşi benzeri görülmemiş hacmi nedeniyle değil, aynı zamanda içerdiği bilgilerin hassas doğası nedeniyle özellikle endişe verici olduğunu söylüyor.
Veritabanı örneğinin bir CNN analizi, 2001’den 2019’a kadar yaklaşık yirmi yıl süren davaların polis kayıtlarını buldu. Girişlerin çoğu hukuk uyuşmazlıkları olsa da, dolandırıcılıktan tecavüze kadar değişen ceza davalarının kayıtları da var.
Bir vakada, 2018’de bir Şanghay sakini, Çin’in güvenlik duvarından kaçmak ve Twitter’a erişmek için sanal bir özel ağ (VPN) kullandığı ve “(Komünist) Partiyi, siyaseti ve liderleri içeren gerici yorumları” retweetlediği iddiasıyla polis tarafından çağrıldı.
Başka bir kayıtta, bir anne 2010 yılında polisi arayarak kayınpederini 3 yaşındaki kızına tecavüz etmekle suçladı.
Microsoft bölge müdürü Hunt, “Orada aile içi şiddet, çocuk istismarı, her türlü şey olabilir, bu benim için çok daha endişe verici” dedi.
“Bu, şantajla sonuçlanabilir mi? Veri sızıntılarından sonra genellikle bireylerin gasp edildiğini görüyoruz, bu örnekler bilgisayar korsanlarının bireyleri fidye almaya bile çalışabileceği örnekler.”
Ukrayna merkezli bir güvenlik araştırmacısı olan Bob Diachenko, veritabanına ilk kez Nisan ayında ulaştı. Diachenko, Haziran ayı ortasında, şirketinin veri tabanına, verileri yok eden ve kopyalayan ve kurtarma için 10 bitcoin talep eden bir fidye notu bırakan bilinmeyen bir kötü niyetli aktör tarafından saldırıya uğradığını tespit etti.
Bunun, geçen hafta veritabanı bilgilerinin satışını ilan eden kişinin işi olup olmadığı belli değil.
Diachenko’ya göre 1 Temmuz’a kadar fidye notu ortadan kaybolmuştu, ancak başlangıçta reklamı yapılan 23 TB yerine yalnızca 7 gigabayt (GB) veri mevcuttu.
Diachenko, fidyenin çözüldüğünü öne sürdüğünü, ancak veritabanı sahiplerinin, hafta sonu kapatılana kadar açıkta kalan veritabanını depolamak için kullanmaya devam ettiğini söyledi.
“Belki de bunu fark eden ve üst yönetim onları fark etmeden önce notları kaldırmaya çalışan bazı küçük geliştiriciler vardı” dedi.
Şanghay Polisi, CNN’nin fidye notu hakkında yorum yapma talebine yanıt vermedi.
Kaynak : https://www.cnn.com/2022/07/05/china/china-billion-people-data-leak-intl-hnk/index.html