Pegasus, 173 GB veri çalındığı iddiasını yanıltıcı buldu, bir açığı giderdiğini açıkladı

Pegasus Hava Yolları, şirketin yaklaşık 173 GB büyüklüğündeki kurumsal ve müşteri verilerinin ele geçirildiğine dair iddialarla ilgili 4 Kasım akşamı bir açıklama yaptı. DHA’nın aktardığı açıklamada şirket, iddiaları kamuoyunu yanıltıcı olarak gördüğünü ve şirket içi destek süreçlerinde kullandığı sistemlere bağlı olarak tespit edilen bir güvenlik açığını giderdiğini duyurdu.

İddia

DonanımHaber’e göre iddia, tehdit istihbaratı paylaşımlarıyla bilinen Dark Web Intelligence (@DailyDarkWeb) hesabının 4 Kasım’daki paylaşımında yer aldı. Paylaşıma göre bir saldırgan, Pegasus’un Jira ve Confluence sunucularına eriştikten sonra şirketin Amazon Web Services (AWS) altyapısına da girdiğini ve yaklaşık 173 GB şirket içi veri ile müşteri verisi aldığını iddia ediyor. DonanımHaber’in aktardığı iddiaya göre bu veriler arasında şunlar var:

• 430 bin Jira kaydı: destek talepleri, kullanıcı yorumları ve dosya ekleri.
• 37 bin Confluence dosyası: şirket içi belgeler ve çalışan kılavuzları.
• 18 bin çalışanın adı, soyadı ve kurumsal e-posta adresi.
• PNR rezervasyon kayıtları, uçuş ayrıntıları, yolcu adları, T.C. kimlik ve pasaport numaraları, e-posta adresleri ve telefon numaraları.

Pegasus’un açıklaması dahil hiçbir kaynakta bu verilerin alındığı doğrulanmıyor. Dark Web Intelligence’ın paylaşımına X üzerinden ulaşılamadı. DonanımHaber’e göre iddianın, havayollarının kullandığı Amadeus sistemine yönelik ihlalle bağlantısı olup olmadığı bilinmiyor ve iki olay arasında doğrulanmış bir bağlantı yok.

Pegasus’un açıklaması

Pegasus’un DHA’nın aktardığı açıklaması şöyle:

“Basında ve sosyal medyada şirketimizin bilgi sistemlerine ilişkin yer alan kamuoyunu yanıltıcı olarak gördüğümüz iddialarla ilgili açıklama zorunluluğu doğmuştur. Şirket içi destek süreçlerinde kullandığımız sistemlere bağlı olarak tespit edilen güvenlik açığı şirketimizce giderilmiştir. Söz konusu sistemler, şirket içi uygulama geliştirme çalışmalarına hizmet etmektedir ve kritik operasyonel sistemlerimiz arasında değildir. Misafir veri tabanları bu sistemlerde yer almamaktadır ve söz konusu sistemler uçuş operasyonlarımızın yürütülmesinde kullanılmamaktadır. Bilgi güvenliği ve kişisel verilerin korunması konularındaki çalışmalarımız ulusal ve uluslararası yasal düzenlemeler ve standartlar çerçevesinde yürütülmektedir.”

Pegasus açıklamada açığın ne zaman ve nasıl fark edildiğini, bu sistemlere yetkisiz erişilip erişilmediğini ve sistemlerden veri alınıp alınmadığını belirtmedi. Açıklama, iddiadaki 18 bin çalışana ait bilgiler ile Jira ve Confluence içeriklerine de değinmiyor. KVKK’nın veri ihlali bildirimleri sayfasında 5 Kasım akşamı itibarıyla Pegasus’a ait bir bildirim yok.

DonanımHaber, iddia edilen rezervasyon ve uçuş bilgilerinin uçuş iptali ya da ek ödeme gibi gerekçelerle kart bilgisi isteyen sahte e-posta ve SMS’lerde kullanılabileceği uyarısında bulunuyor.