Amerika Birleşik Devletleri'nde faaliyet gösteren EdFinancial ve Oklahoma Öğrenci Kredisi Otoritesi (OSLA), yaklaşık 2.5 milyon öğrenci kredisi borçlusunu etkileyen büyük bir veri ihlali yaşandığını duyurdu. İhlal, her iki kurumun da servis sağlayıcısı olan Nelnet Servicing'in sistemlerine yapılan bir siber saldırı sonucu gerçekleşti. Nelnet, Lincoln, Nebraska merkezli bir kredi yönetim sistemi ve web portalı sağlayıcısı olarak hizmet veriyor. Olay, 21 Temmuz 2022'de tespit edilmiş olsa da, yetkisiz erişimin aslında 1 Haziran 2022'den itibaren başladığı ve 22 Temmuz 2022'ye kadar devam ettiği belirlendi.
Nelnet tarafından etkilenen müşterilere gönderilen ihlal bildirim mektubunda, siber güvenlik ekibinin hemen harekete geçerek bilgi sistemini güvence altına aldığı, şüpheli aktiviteyi engellediği ve sorunu giderdiği ifade edildi. Ayrıca, olayın doğasını ve kapsamını belirlemek için üçüncü taraf adli bilişim uzmanlarıyla bir soruşturma başlatıldığı belirtildi. Soruşturma sonucunda 17 Ağustos 2022'de, 2,501,324 öğrenci kredisi hesap sahibine ait kişisel bilgilerin yetkisiz bir kişi tarafından erişildiği tespit edildi. Sızdırılan veriler arasında isimler, ev adresleri, e-posta adresleri, telefon numaraları ve Sosyal Güvenlik numaraları (SSN) yer alıyor. Neyse ki, kullanıcıların finansal bilgileri (banka hesap numaraları, kredi kartı bilgileri vb.) bu ihlalde açığa çıkmadı.
İhlal, özellikle ABD'de yeni duyurulan öğrenci kredisi affı programıyla birlikte daha büyük bir tehdit oluşturuyor. Biden yönetiminin düşük ve orta gelirli borçlular için 10.000 dolara kadar öğrenci kredisi silme planı, siber suçlular için yeni bir fırsat kapısı aralıyor. Tanium güvenlik uzmanı Melissa Bischoping, bu tür kişisel bilgilerin gelecekteki sosyal mühendislik ve kimlik avı (phishing) kampanyalarında kullanılabileceği uyarısında bulundu. Bischoping, 'Öğrenci kredisi affı haberleriyle birlikte, dolandırıcıların bu durumu bir geçit olarak kullanması beklenebilir. Sızdırılan veriler, etkilenen markaların kimliğine bürünerek özellikle öğrencilere ve yeni mezunlara yönelik phishing e-postaları göndermek için kullanılacaktır' dedi.
Nelnet, yaşanan ihlalin ardından etkilenen kullanıcılara iki yıl ücretsiz kredi izleme hizmeti, kredi raporları ve 1 milyon dolara kadar kimlik hırsızlığı sigortası sunduğunu açıkladı. Kullanıcıların, özellikle öğrenci kredisi affı ile ilgili gelen e-postalara karşı dikkatli olmaları ve herhangi bir bağlantıya tıklamadan önce gönderenin kimliğini doğrulamaları önemle tavsiye ediliyor. Ayrıca, kredi raporlarının düzenli olarak kontrol edilmesi ve şüpheli aktivitelerin derhal bildirilmesi gerekiyor.
Sistem Güvenliği
Bu ihlal, öğrenci kredisi sektöründe siber güvenlik zafiyetlerinin ne kadar ciddi sonuçlar doğurabileceğini bir kez daha gözler önüne serdi. Özellikle hassas kişisel verilerin (SSN gibi) açığa çıkması, kimlik hırsızlığı ve dolandırıcılık riskini artırıyor. Kullanıcıların, bu tür veri ihlallerine karşı proaktif önlemler alması, güçlü parolalar kullanması ve iki faktörlü kimlik doğrulamayı etkinleştirmesi büyük önem taşıyor. Ayrıca, resmi kurumlardan gelen bildirimlere karşı dikkatli olunmalı ve asla kişisel bilgileri e-posta veya telefon yoluyla paylaşmamalısınız.
Sonuç olarak, Nelnet veri ihlali, hem bireysel kullanıcılar hem de kurumlar için siber güvenliğin ne kadar hayati olduğunu hatırlatıyor. Öğrenci kredisi borçlularının, özellikle mevcut af programı sürecinde, kişisel bilgilerini korumak için ekstra dikkatli olmaları gerekiyor. Gelecekte benzer ihlallerin yaşanmaması için şirketlerin siber güvenlik altyapılarını sürekli güncellemeleri ve düzenli güvenlik testleri yapmaları şart.
Kaynak: threatpost.com
