Booking.com, Vishing Saldırısı Sonrasında Para Cezasına Çarptırıldı

13 Nisan 2021 | Blog

Özet Mesaj: Bir İhlal sırasında İhlal Bildiriminizi işlemek felakete davetiye çıkarmaktır.

Aralık 2018'de Booking.com , Vishing saldırısı yoluyla bir güvenlik ihlali yaşadı . Bilmeyenler için Vishing, saygın şirketlerden geliyormuş gibi görünen telefon aramaları ve sesli mesajlar yoluyla kullanıcıları banka bilgileri, kredi kartı numaraları veya diğer gizli kişisel bilgiler gibi kişisel bilgileri vermeye ikna eden bir siber saldırı yöntemidir. Bu, kimlik avı ve SMS kimlik avına benzer , ancak e-posta veya kısa mesaj yerine telefon sistemlerini ve sesli mesajları kullanır. Bu ihlali önemli kılan şey, ihlalin kendisi değil, Hollanda Veri Koruma Kurumu (DPA) tarafından verilen para cezalarıdır. Para cezalarının neden verildiğini öğrenmek için okumaya devam edin.

Nasıl oldu?

Rapora göre, saldırı Birleşik Arap Emirlikleri'ndeki (BAE) otellere karşı, telefon üzerinden sosyal mühendislik yöntemleri kullanılarak gerçekleştirildi. Korsanlar bölgedeki 40 farklı otelin personelini arayarak, Booking.com sistemindeki otel hesaplarına ait giriş bilgilerini ele geçirdi.

Çalınan bu kimlik bilgileriyle 'Vishers', müşterilerin adları, adresleri ve telefon numaraları da dahil olmak üzere 4109 müşteri rezervasyonuna ait verileri ele geçirdi. Suçlular ayrıca bu rezervasyonların 283'ünün kredi kartı verilerini de ele geçirdi. Bilgisayar korsanları, hiçbir elektronik sistemde saklanmaması gereken 97 CVV kodunu (kartın arkasındaki 3 haneli kod) bile çaldı!

Hollanda Veri Koruma Kurumu (DPA) Başkan Yardımcısı Monique Verdier, Kurumun ihlal raporunda şu noktalara dikkat çekti:

E-postalarda veya telefonda otel personeli gibi davranarak insanlardan para çalmaya çalıştılar. Dolandırıcı, rezervasyonunuzu tam olarak ne zaman ve hangi odayı rezerve ettiğinizi biliyorsa ve ardından söz konusu gecelerin ücretini ödemenizi istiyorsa, bu yaklaşım oldukça güvenilir görünebilir. Bu şekilde büyük miktarda para çalınabilir.

Bu makalede şimdiye kadar ele alınan her şey, ihlallerin çoğunun nasıl meydana geldiğini açıklıyor. İhlal eden şirketlerin çok azı ek devlet para cezası alıyor, peki burada buna ne sebep oldu?

İhlal 2018'de gerçekleşti

Hollanda Veri Koruma Kurumu (DPA), Booking.com'a yaklaşık yarım milyon Euro para cezası verdi; bunun nedeni bir veri ihlali olması değil, şirketin ihlali yeterince hızlı bildirmemesiydi.

Hollanda Veri Koruma Kurumu (DPA), Booking.com'un veri ihlalini DPA'ya bildirmesinin çok uzun sürmesi nedeniyle şirkete 475,000 avro para cezası verdi. İhlal gerçekleştiğinde, suçlular 4,000'den fazla müşterinin kişisel verilerini ele geçirdi. Ayrıca yaklaşık 300 kişinin kredi kartı bilgilerine de eriştiler.

Tarihçesi

Aralık 2018: Veri ihlali başladı
13 Ocak 2019: Booking.com sızıntının farkına vardı.
04 Şubat 2019: Booking.com etkilenen müşterilerini bilgilendirdi.
07 Şubat 2019: Booking.com, Veri Koruma Kurumu’na bilgi verdi.

AB işletmelerinin, ihlali doğruladıkları andan itibaren 72 saat içinde bildirimde bulunmaları gerekiyor. Booking.com, 13 Ocak'ta bir sızıntı olduğunu biliyor olsa da, ihlalin boyutunu bilmiyor olabilir ve bu da hükümetin bildirimde bulunmasını gerektirebilir. Ancak, Ocak ayında Booking.com'un ihlalin 500'den fazla kaydı etkilediğini doğruladığı anda, 72 saat içinde Veri Koruma Ajansı'na (DPA) bildirimde bulunmaları gerekiyordu. Bunu yapmadıkları için ağır bir para cezasına çarptırıldılar.

Bu, KOBİ'm İçin Ne Anlama Geliyor?

İhlal Bildirimleri

İhlal bildirimi konusunda, etkilenen kullanıcıları ve Hollanda'daki Veri Koruma Ajansı (DPA) gibi ilgili kurumları hızla bilgilendirmek son derece önemlidir. 2002'den bu yana dünya çapında sayısız veri gizliliği yasası yürürlüğe girmiştir. ABD'de her eyalet için karmakarışık bir veri gizliliği yasası vardır, ancak yürürlükte olan federal bir yasa yoktur. İhlal bildirim sürecinizi hazırlarken, uluslararası alanda faaliyet gösteriyorsanız, aşağıdaki düzenlemeleri göz önünde bulundurmanız gerekecektir:

Avrupa Birliği Genel Veri Koruma Yönetmeliği (GDPR)
Kaliforniya Tüketiciyi Koruma Yasası (2018)
Avustralya'nın Gizlilik Değişikliği (Bildirilebilir Veri İhlalleri) Yasası 2017
Kişisel Bilgilerin Korunması ve Elektronik Belgeler Yasası (PIPEDA)
Almanya'nın Veri Gizliliği Yasası GDPR ile Karşılaştırıldığında (BDSG)

CyberHoot Önerileri

CyberHoot, şirketinizi etkileyen yasaları bilmenizi ve bu yasaları yansıtan bir İhlal Bildirimi süreç belgesi hazırlamanızı önerir. Süreci her yıl test etmeyi de unutmayın.

Bir ihlal bildirim süreci oluşturmanın yanı sıra, şirketinizin ihlal riskini azaltmak için alabileceği birçok başka önlem de bulunmaktadır. CyberHoot, aşağıdaki temel ihlal önleme önlemlerini önermektedir:

Çalışanları nasıl tespit edecekleri ve kaçınacakları konusunda eğitin ve test edin Kimlik avı, smishing, ve vishing saldırılar;
Şirket siber güvenlik gereksinimlerini belirleyen bir dizi siber güvenlik politikasıyla çalışanları yönetin;
İstihdam en az ayrıcalık ilkesi Kullanıcı masaüstü ve dizüstü bilgisayarlarından yönetici haklarını alarak;
Çalışanların parola hijyenini iyileştirmek için bir parola yöneticisi benimseyin;
Tüm kritik hesaplarda (e-posta, banka vb.) iki faktörlü kimlik doğrulamayı etkinleştirin; ve
Arayanların yüksek değerli taleplerde bulunduklarında (bilgi istemek, rezervasyon değiştirmek, kredi kartından ücret tahsil etmek vb.) onları işletmenize tanıtın. Müşteri cep telefonu numaralarına erişimi olan şirketler, değişiklik talep eden her kişiye bir kimlik doğrulama kodu göndermelidir.

Günümüzde herkes ihlallere uğruyor. Yetkili makamlara yeterince hızlı bildirimde bulunmadığı için herkes para cezasına çarptırılmıyor. Cyberhoot, uymanız gereken herhangi bir düzenleme için İhlal Bildirim Sürecini nasıl oluşturacağınızı öğrenmek için aşağıdaki iki videoyu izlemenizi öneriyor.