EdFinancial ve Oklahoma Öğrenci Kredisi Otoritesi (OSLA), 2.5 milyondan fazla kredi borçlusuna kişisel verilerinin bir veri ihlali sonucu ifşa olduğunu bildirdi. Saldırının hedefi, OSLA ve EdFinancial için web portalı ve hizmet sistemi sağlayıcısı olan Nelnet Servicing oldu. Nelnet, 21 Temmuz 2022'de etkilenen borçlulara bir mektup göndererek ihlali duyurdu.
Mektupta, 'Siber güvenlik ekibimiz bilgi sistemini güvence altına almak, şüpheli aktiviteyi engellemek ve sorunu gidermek için derhal harekete geçti ve üçüncü taraf adli bilişim uzmanlarıyla bir soruşturma başlattı' denildi. 17 Ağustos'a kadar süren soruşturma, yetkisiz bir tarafın kullanıcı bilgilerine eriştiğini ortaya çıkardı. İfşa olan veriler arasında isim, ev adresi, e-posta adresi, telefon numarası ve Sosyal Güvenlik numaraları yer alıyor. Toplam 2.501.324 hesap etkilendi. Finansal bilgilerin ifşa olmadığı belirtildi.
İhlalin 1 Haziran ile 22 Temmuz 2022 arasında gerçekleştiği, ancak müşterilere gönderilen mektupta 21 Temmuz'a işaret edildi. Nelnet'in genel danışmanı Bill Munn tarafından Maine eyaletine sunulan resmi bildirimde de benzer tarihler yer aldı. Zafiyetin ne olduğu henüz netlik kazanmadı. Ancak uzmanlar, çalınan kişisel bilgilerin gelecekteki sosyal mühendislik ve kimlik avı kampanyalarında kullanılabileceği konusunda uyarıyor.
Tanium endpoint güvenlik araştırma uzmanı Melissa Bischoping, 'Yakın zamandaki öğrenci kredisi affı haberleriyle birlikte, dolandırıcıların bu durumu suç faaliyetleri için bir kapı olarak kullanması beklenebilir' dedi. Biden yönetiminin duyurduğu 10.000 dolarlık borç silme planının, kimlik avı e-postalarında tuzak olarak kullanılabileceğini belirten Bischoping, ihlal edilen verilerin özellikle öğrenci ve yeni mezunları hedef alan phishing kampanyalarında kullanılacağını vurguladı. Nelnet, etkilenen kullanıcılara iki yıl ücretsiz kredi izleme, kredi raporları ve 1 milyon dolara kadar kimlik hırsızlığı sigortası sunuyor.
