Bir veri ihlali bildirimini okumak: kapsam dili, şifre hash'leri ve zamanlama aslında ne söylüyor
Bir ihlal bildirimi tuhaf bir türdür: avukatlar tarafından yazılır, düzenleyici baskı altında yayımlanır ve olabildiğince az şeyi doğrulamak üzere kurgulanır. Marks & Spencer'ın Mayıs 2025'te müşterilerine, online mağazasını haftalardır kapalı tutan saldırıda bazı kişisel müşteri verilerinin ele geçirildiğini bildirmesi üzerine, bu cümle uzunluğunun ima ettiğinden fazlasını taşıdı. Her bildirim üç soruya yanıt verir: izinsiz giriş nereye kadar ulaştı, çalınan veriler ne kadar kullanılabilir durumda ve kuruluş bunu ne zamandır biliyor.
Kapsam dili: hikâyeyi fiiller anlatır
Bir bildirimdeki en bilgilendirici kelime fiildir. Yetkisiz bir taraf erişim sağlamış olabilir demek, soruşturmanın henüz hiçbir şeyi doğrulamadığı anlamına gelir. Veriler kopyalandı ya da dışarı sızdırıldı demek, adli analizin veri hareketi gördüğü anlamına gelir. Düzenleyiciler de aynı şekilde temkinli konuşur: Kaliforniya'nın ihlal mevzuatı, şifrelenmemiş kişisel veriler yetkisiz bir kişi tarafından ele geçirildiğinde ya da ele geçirildiği makul şekilde düşünülürken devreye girer. Kanıt ile kanaat arasındaki bu boşluk, bildirimlerin çoğunun yaşadığı yerdir.Kaliforniya, şifrelenmemiş kişisel veriler "yetkisiz bir kişi tarafından ele geçirildiğinde ya da ele geçirildiğinin makul biçimde varsayıldığında" bildirim zorunlu tutar (Office of the Attorney General).İhlal kelimesinin kendisi, insanların düşündüğünden daha geniş bir alana yayılır. Have I Been Pwned bunu, verilerin savunmasız bir sistemde istem dışı açığa çıktığı, genellikle yetersiz erişim kontrolleri nedeniyle gerçekleşen bir olay olarak tanımlar; izinsiz giriş şart değildir. Aynı SSS, verilerin gerçek göründüğü ama meşruiyetlerinin doğrulanamadığı doğrulanmamış ihlalleri, diğer kaynaklardan derlenmiş uydurma ihlallerden ayırır. Kapsam da büyür. Zacks Aralık 2022'de bir ihlal duyurdu; ilk haberler bunu 820 bin müşteriyle sınırlıyordu. Haziran 2023'e gelindiğinde neredeyse 9 milyon hesaplık bir yığın bir hacker forumunda ortaya çıktı; Şubat 2025'te bir siber suçlu 12 milyon kayıt olduğu bildirilen bir veri seti yayımladı. Şirketin hiçbir bildirimi daha büyük rakamları hiçbir zaman doğrulamadı. İlk sayıyı gerçek gibi değil, taban değeri gibi okuyun.
Şifre cümlesi ne kadar hızlı hareket edeceğinizi belirler
Şifreler işin içindeyse saklama biçimi aciliyet ayarıdır. bcrypt, scrypt veya Argon2 ile korunan hash'ler bilerek yavaş kırılır; makul iş katsayılarında saldırganların çoğu kolay hedeflere yönelir. Tuzsuz MD5, SHA-1 ya da tek geçişlik SHA-256, saniyede milyarlarca deneme yapan tüketici grafik kartlarına yenilir. Düz metnin kırılmasına bile gerek yoktur. Zacks yığını ders kitabı örneğidir: tuzsuz SHA-256 hash'leri — şirket, saldırganların şifrelenmiş şifrelere eriştiğini ama yalnızca şifreli biçimde olduklarını söyleyerek müşterilerini rahatlatmıştı. Şifreli kurumsal dilin gözde kelimesidir. Tuzlu olan sizi koruyan kelimedir. Bir sızıntı ilanı düz metin iddia ediyorsa, onu felaket senaryosu sayın ve aynı zamanda ilanın kendisinin ayakta kalıp kalmadığını sorun. Kore yemek teslimat uygulaması FLY'dan iddia edilen 47,9 milyon kayıtlık döküm, ağustosta değindiğimiz, düz metin şifreler ve aktif ödeme anahtarları iddia ediyordu ve yayımlandığında doğrulanmamıştı. Doğrulanmamış olması zararsız demek değildir; kanıtlanmamış demektir ve Have I Been Pwned açıktır: kanıtın yokluğu yokluğun kanıtı değildir. Her iki durumda da yapılacak şey aynı: şifrenin ele geçirildiğini varsayın ve yeniden kullanıldığı her yerde değiştirin.Ödeme verileri neyi ima eder, neyi etmez
Ödeme bilgisi etkilendi ifadesi alarmlı gelir ama çoğu zaman öyle değildir. İfade, CVV'li tam kart numaraları gibi anında tehlikeli olandan, üzerinden hiçbir tahsilat yapılamayan maskelenmiş ya da kısaltılmış rakamlara kadar her şeyi kapsar. Satıcılar tam numarayı çoğunlukla hiç saklamaz; onu ödeme aracıları saklar. M&S müşteri verilerinin ele geçirildiğini doğruladığında verilerin kullanılabilir ödeme ya da kart bilgisi içermediğini söyledi, çünkü şirket bunları etkilenen sistemlerde tutmuyor, hesap şifrelerini de tutmuyor. Tersinden okununca: iletişim bilgileri ve sipariş geçmişi alınmış — kart dolandırıcılığından çok inandırıcı oltalama için yakıt. Tepkiyi kelimeye göre değil, veri sınıfına göre ayarlayın.Bildirim neden haftalarca gecikir
Keşif ile açıklama arasındaki gecikme yapısal bir şeydir, mutlaka örtbas etmek değil. Adli analiz zaman ister, loglar okundukça kapsam büyür, düzenleyiciler de kendi saatlerini üstüne koyar. Birleşik Krallık'ın ICO'su, kuruluşlardan öğrendikleri anda mümkün olan en kısa sürede ve mümkün olduğunda 72 saat içinde bildirim ister; ayrıntılar sonradan gelebilir. Kaliforniya, 500'den fazla sakine gönderilen her müşteri bildiriminin bir örneğinin eyalete sunulmasını istiyor; bu da o veri tabanını gerçek bildirimlerin kamuya açık bir arşivi yapıyor. NIST'in olay müdahale rehberi, Nisan 2025'te güncellendi, sıkıştırma, kanıtın korunması ve koordineli toparlanmayı kasıtlı olarak yavaş tek bir süreç olarak ele alır. M&S, 13 Mayıs'ta müşteri verilerinin ele geçirildiğini doğruladığında online mağazasını üç haftadan uzun süredir kapalı tutuyordu. Sessizlik, şüphe ile bir şirketin yazılı hale getirmeye hazır olduğu şey arasındaki mesafeydi.Önce ne yapılmalı, ne görmezden gelinmeli
İlgili bir bildirimden sonraki ilk saat, telafi kuponundan daha önemlidir. Sırayla:- Etkilenen hesaba benzersiz bir şifre koyun ve eski şifre yeniden kullanıldıysa her yerde değiştirin.
- Oturumların kapanmasını sağlayın: şifre değişimi bunu genelde yapar, ama sunulan yerlerde bağlı girişleri ve API tokenlarını da iptal edin.
- Hâlâ giriş yapmışken çok faktörlü kimlik doğrulamayı açın.
- Veri sınıfını takip edin: tam kart numaraları demek bankanızı izleyin, satıcıyı değil; iletişim bilgileri demek, sipariş geçmişinizi aktaran oltalama mesajları bekleyin demektir.