Japon Iris Ohyama'nın çevrim içi mağazasından 7,7 milyon kişinin bilgileri sızmış olabilir

Japon ev eşyası üreticisi Iris Ohyama’nın grup şirketi Iris Plaza, 5 Kasım’da yayımladığı ikinci açıklamada, işlettiği resmî çevrim içi mağaza “Iris Plaza”nın kullandığı dış bir bulut hizmetine yetkisiz erişildiğini ve bu hizmette bilgileri tutulan yaklaşık 7,7 milyon kişinin kişisel bilgilerinin sızmış olabileceğini açıkladı. Şirkete göre verilerin görüntülenmiş ya da alınmış olabileceği doğrulandı, gerçekte kaç kaydın sızdığı ve kaç kişinin etkilendiği ise hâlâ inceleniyor.

Olayın seyri

Açıklamaya göre Iris Plaza, 28 Ekim’de kullandığı dış bulut hizmetinde şüpheli bir dosya buldu, mağazayı ve ilgili sistemleri hemen durdurdu ve incelemeye başladı. İncelemede üçüncü bir tarafın yetkisiz erişimi doğrulandı. Şirket 29 Ekim’de yayımladığı ilk açıklamada yalnızca yetkisiz erişimi ve sitenin geçici olarak kapatıldığını duyurmuş, kart bilgilerinin sızdığına dair bir iz bulunmadığını belirtmişti. Olay 29 Ekim’de polise ve Japonya’nın Kişisel Bilgileri Koruma Komisyonu’na bildirildi.

Şirket saldırganların bulut hizmetine nasıl eriştiğini ve hangi hizmetin kullanıldığını açıklamadı. BleepingComputer’ın 8 Kasım tarihli haberine göre bir şirket sözcüsü, saldırganlardan doğrudan bir iletişim almadıklarını ve failleri henüz belirlemediklerini söyledi. Bir saldırı grubunun olayı üstlendiğine dair bir bilgi de yok.

Sızmış olabilecek bilgiler

Iris Plaza’nın 5 Kasım itibarıyla açıkladığı bilgilere göre:

• Üyeler (üyeliğini bitirmiş kişiler dahil), yaklaşık 5,8 milyon kişi: ad, adres, telefon numarası, e-posta adresi, cinsiyet, parola ve doğum tarihi gibi bilgiler. Üyeliğini bitirmiş kişilerin parola bilgisi bu kapsamda değil.
• Üye olmayanlar (üye olmadan alışveriş yapan ya da kampanyalara başvuran kişiler), yaklaşık 1,9 milyon kişi: ad, adres, telefon numarası ve e-posta adresi.

Şirkete göre her kişinin bütün bu bilgileri sızmış değil, kapsam kayıt durumuna göre değişiyor. Parola dahil bazı alanlar şifrelenmiş olarak saklanıyordu. Kart bilgileri etkilenen bulut hizmetinde tutulmuyordu ve olaydan etkilenmedi. Iris Plaza’nın başka pazar yerlerinde işlettiği mağazalarda yetkisiz erişim ya da veri sızıntısı görülmedi. Şirkete göre 5 Kasım itibarıyla bilgilerin kötüye kullanıldığına ya da maddi zarara dair bir bildirim yok.

Durdurulan hizmetler

Iris Plaza mağazası, kök neden belirlenip yeniden yaşanmaması için önlemler alınana kadar kapalı kalacak, yeniden açılış tarihi henüz belli değil. Şirket önlem olarak ev tekstili ve dekorasyon mağazası SIMPLE STYLE’ı da 28 Ekim’de kapattı. Grubun Iris Tech Service şirketinin ev aleti abonelik hizmeti ile mobilya ve ev aleti teslim ve kurulum hizmetlerinin siteleri de aynı gün kapatıldı ve yeni başvuru alınmıyor. Şirkete göre bu hizmetlerde yetkisiz erişim ya da veri sızıntısı görülmedi.

Olay, Japonya’da son haftalarda art arda yaşanan veri sızıntılarından biri. Sitede yazdığımız Burger King Japonya olayında 11 milyondan fazla üyenin bilgileri sızmıştı. Japonya hükümeti de 6 Kasım’da bu saldırı dalgasına karşı acil siber güvenlik paketi hazırladı.

Müşterilere öneriler

Iris Plaza, bilgileri sızmış olabilecek müşterilere sırayla e-postayla bilgi vereceğini, bu iletişimde parola, PIN ya da doğrulama kodu gibi bilgiler istemeyeceğini ve e-posta ya da SMS’teki bağlantılarda bu bilgilerin girilmesini talep etmeyeceğini açıkladı. Şirket, aynı parolayı başka hizmetlerde kullananların o hizmetlerdeki parolalarını değiştirmesini istiyor. Şirkete göre olayla bağlantılı olarak şirketi ya da resmî kurumları taklit eden e-posta, SMS ve telefon aramaları, sahte siteler ve sahte sosyal medya hesapları ortaya çıkabilir. Tanınmayan mesajlardaki eklerin açılmaması, bağlantılara tıklanmaması ve bu tür sitelere kişisel bilgi, parola ya da kart bilgisi girilmemesi gerekiyor.