Çarşamba günü, Seattle'daki bir federal mahkeme, son yılların en büyük veri ihlallerinden birini sonuca bağladı. Ontario, Kitchener'dan 26 yaşındaki Connor Riley Moucka, en az 165 kuruluşu hedef alan ve en az 100 milyon kişiye ait kayıtları ifşa eden 2024 tarihli bir siber saldırı dizisi nedeniyle bilgisayar dolandırıcılığı, elektronik dolandırıcılık, ağırlaştırılmış kimlik hırsızlığı ve komplo suçlamalarını kabul etti. Fidye ve veri satışlarından kişisel olarak en az 495.000 dolar cebe indirdi. 27 Ekim'de hakkında karar verilecek ve yalnızca kimlik hırsızlığı suçlamasından bile iki yıllık zorunlu asgari cezayla karşı karşıya; diğer suçlamalarda ise ceza üst sınırı 30 yıla kadar çıkabiliyor.

Bu rakamlar manşetlik kısmı. Üzerinde durulmayı hak eden ayrıntı ise daha küçük ve çok daha az sinematik: savunma makamlarına göre Moucka'yı içeri asıl sokan şey eski parolalardı. Bir sıfırıncı gün açığı değil. Adalet Bakanlığı'nın hâlâ kamuoyuna açıklamadığı hedef platformdaki bir kusur da değil (Snowflake ve olay müdahale firması Mandiant, 2024'te dahil olduklarını kendileri açıklamış ve davayı o yıl Snowflake müşteri hesaplarına yönelik ihlal dalgasına bağlamıştı). Kimlik bilgileri yıllar önce bilgi hırsızı (infostealer) kötü amaçlı yazılımlar tarafından toplanmış, kullanılmadan ve değiştirilmeden öylece durmuş ve çok faktörlü kimlik doğrulaması kapalı olan hesapların kilidini açmıştı.

Cümlede asıl yükü neden 'değiştirilmemiş' kelimesi taşıyor

Bilgi hırsızı (infostealer) kötü amaçlı yazılımlar, bir cihaza bulaştıktan sonra —genellikle korsan bir uygulama, sahte bir tarayıcı güncellemesi ya da kötü amaçlı bir ek dosya aracılığıyla— o makinenin tarayıcısındaki otomatik doldurma ve kayıtlı parola depolarında bulunan tüm kimlik bilgilerini sessizce sızdırıp kötü amaçlı yazılımı işleten kişiye gönderen bir kötü amaçlı yazılım kategorisidir. Bu ne yeni ne de sıra dışı bir şey; yıllardır çalıntı kimlik bilgisi partilerinin toplu halde alınıp satıldığı, sıradan bir suç hizmeti haline gelmiş durumda.

Snowflake vakasını öğretici bir örnek haline getiren şey, çalınma ile kullanılma arasındaki zaman farkı. Bildirildiğine göre bu parolalar 'yıllar önce' toplanmıştı. Bu da şu anlama geliyor: uzun bir süre boyunca, bu hesapların sahipleri, bir yerlerdeki bir veritabanında etkin halde duran, ele geçirilmiş bir kimlik bilgisine sahipti ve onu değiştirmeleri için hiçbir şey onları zorlamadı. Hiçbir giriş denemesi şüpheli olarak işaretlenmedi, çünkü saldırgan henüz denemiyordu. Hiçbir parola sıfırlaması tetiklenmedi, çünkü kimsenin fark edebileceği aktif bir istismar yoktu. Kimlik bilgisi, biri onu Snowflake müşteri hesaplarına karşı büyük ölçekte kullanmaya karar verene kadar, geçerliliğini koruyarak öylece bekledi.

Tekrar kullanılan ve hiç değiştirilmeyen parolaların yarattığı arıza modu bu: sorun mutlaka zayıf olmaları değil —bilgi hırsızı kötü amaçlı yazılımlar, güçlü ve benzersiz bir parolayı da tarayıcının kayıtlı parola kasasından alıp götürmekten çekinmez. Sorun şu ki, bir insan ya da bir politika ona bir son kullanma tarihi vermedikçe, çalıntı bir parolanın süresi hiç dolmaz. Aradan geçen sürede kimse kimlik bilgisini değiştirmediyse, 2021'den kalma bir ihlal 2024'te hâlâ kapıları açabilir.

Orada olmayan ikinci kilit

Savunma makamlarının işaret ettiği diğer ayrıntı —etkilenen hesaplarda çok faktörlü kimlik doğrulamanın kapalı olması— çalıntı bir parolayı tam hesap erişimine dönüştüren şeydi. Çok faktörlü kimlik doğrulama tam olarak bu senaryo için tasarlanmıştır: parolaların er ya da geç sızacağını varsayar ve yalnızca çalıntı bir parolayla karşılanamayacak ikinci bir kimlik kanıtı (bir kod, bir anlık bildirim, bir donanım anahtarı) ekler. Devre dışı bırakıldığında, sızmış bir kimlik bilgisi tek başına yeterli bariyer haline gelir. 2024'teki geniş çaplı Snowflake bağlantılı ihlal dalgasına ilişkin haberler, etkilenen hesapların çoğunda çok faktörlü kimlik doğrulamanın varsayılan olarak zorunlu tutulmadığını, dolayısıyla bu ayarın her müşteri kuruluşunun bunu bizzat etkinleştirmesine bağlı olduğunu belirtti.

Peki bunun sizin için gerçek anlamı ne

Bu bültenin okuyucularının çoğu bir Snowflake veri ambarı işletmiyor, ama buradaki mekanizma, herhangi bir yerde sahip olduğunuz her hesap için geçerli:

  • Eski parolaların sadece zayıf değil, ele geçirilmiş olduğunu varsayın. Bir parolayı birden fazla sitede kullandıysanız ve o zamandan beri değiştirmediyseniz, onu yanmış sayın — biri tahmin ettiği için değil, hiç göremeyeceğiniz bir çalıntı kimlik bilgisi listesinde çoktan yer alıyor olabileceği için.
  • Kullandığınız herhangi bir hizmet bir ihlal açıkladığında kimlik bilgilerinizi değiştirin — size özel hesabınızın "etkilenmediği" söylense bile. İlk ihlal bildirimleri, soruşturmalar devam ederken sıklıkla eksik olur.
  • Sunulduğu her yerde çok faktörlü kimlik doğrulamayı etkinleştirin ve bir hizmetin bunu varsayılan olarak açık getirdiğini varsaymayın. En güvenli seçeneğin zaten etkin olduğuna güvenmek yerine, hesap güvenlik ayarlarını doğrudan kontrol edin.
  • Bir parola yöneticisi sadece belirtiyi değil, kök nedeni çözer: benzersiz, tekrar kullanılmayan parolaları, hatırlayıp yapmanız gereken bir şey olmaktan çıkarıp en kolay yol haline getirir.
  • Bir cihaza bilgi hırsızı kötü amaçlı yazılım bulaşmış olabileceğini düşünüyorsanız (tanımadığınız bir program yüklenmiş, korsan bir indirme yapılmış, şüpheli bir giriş uyarısı gelmiş), önemli olduğunu düşündüğünüz tek parolayı değil, kayıtlı tüm parolaları sonrasında değiştirmek, eski bir bulaşmanın verileri toplayan kişiye hâlâ kazanç sağlamadığını bilmenin tek yoludur.

Asıl ders, bu uyumsuzlukta gizli

Bu denli ağır sonuçları olan bir davanın —30 yıla varan azami ceza, zorunlu asgari ceza, 100 milyon kişinin kayıtları— bu kadar sıradan bir mekanizmaya dayanması insanı neredeyse rahatsız ediyor. Ortada bir istismar zinciri yok, yeni bir teknik yok; sadece kimsenin değiştirmeye vakit bulamadığı bir parola ve kimsenin açmadığı bir güvenlik ayarı var. Ceza haberlerinin manşetleri soluklaştıktan sonra bu davayı akılda tutmaya değer kılan şey de tam olarak bu uyumsuzluk: en büyük ihlallerin genellikle parlak bir saldırgana ihtiyacı yoktur. Onların ihtiyacı olan tek şey, hiç değiştirilmemiş bir kimlik bilgisi ve çok faktörlü kimlik doğrulamasının hiç açılmadığı bir hesaptır.