ABD'de faaliyet gösteren EdFinancial ve Oklahoma Öğrenci Kredisi Otoritesi (OSLA), 2,5 milyondan fazla öğrenci kredisi borçlusuna kişisel verilerinin bir veri ihlali sonucu ifşa olduğunu bildirdi. İhlalin hedefi, OSLA ve EdFinancial'ın hizmet sistemlerini ve web portalını sağlayan Nebraska merkezli Nelnet Servicing oldu. Nelnet, 21 Temmuz 2022'de etkilenen kredi sahiplerine gönderdiği bir mektupla sızıntıyı duyurdu.
Mektupta, 'Siber güvenlik ekibimiz bilgi sistemini güvence altına almak, şüpheli etkinliği engellemek ve sorunu gidermek için derhal harekete geçti. Olayın niteliğini ve kapsamını belirlemek üzere üçüncü taraf adli bilişim uzmanlarıyla bir soruşturma başlattık' ifadeleri yer aldı. 17 Ağustos'a kadar süren soruşturma, yetkisiz bir tarafın kullanıcı bilgilerine eriştiğini ortaya koydu. İfşa olan bilgiler arasında isimler, ev adresleri, e-posta adresleri, telefon numaraları ve sosyal güvenlik numaraları bulunuyor. Toplamda 2.501.324 öğrenci kredisi hesap sahibi etkilendi ancak kullanıcıların mali bilgileri açığa çıkmadı.
Nelnet'in genel danışmanı Bill Munn tarafından Maine eyaletine sunulan ihlal bildirimine göre, sızıntı 1 Haziran 2022 ile 22 Temmuz 2022 arasında bir tarihte meydana geldi. Ancak müşterilere gönderilen mektup, ihlalin 21 Temmuz'da gerçekleştiğini belirtiyor. İhlal 17 Ağustos 2022'de tespit edildi. Nelnet, '21 Temmuz 2022'de hizmet sistemimiz ve müşteri web portalı sağlayıcımız Nelnet Servicing, LLC bize bu olaya yol açtığına inandığımız bir güvenlik açığı keşfettiklerini bildirdi' dedi. Güvenlik açığının ne olduğu ise henüz netleşmedi.
Tanium'dan uç nokta güvenlik araştırma uzmanı Melissa Bischoping, kullanıcıların en hassas mali bilgileri korunmuş olsa da, Nelnet ihlalinde erişilen kişisel bilgilerin 'gelecekteki sosyal mühendislik ve kimlik avı kampanyalarında kullanılma potansiyeli olduğunu' belirtti. Bischoping, 'Öğrenci kredisi affıyla ilgili son haberler göz önüne alındığında, bu durumun dolandırıcılar tarafından suç faaliyetleri için bir geçit olarak kullanılması beklenebilir' dedi. Geçtiğimiz hafta Biden yönetimi, düşük ve orta gelirli borçlular için 10.000 dolarlık öğrenci kredisi borcunu silme planını açıklamıştı.
Bischoping, kredi affı programının, kurbanları kimlik avı e-postalarını açmaya çekmek için kullanılacağını söyledi. Sızdırılan verilerin, öğrencileri ve yeni mezunları hedef alan kimlik avı kampanyalarında etkilenen markaları taklit etmek için kullanılabileceği uyarısında bulundu. 'Mevcut iş ilişkilerinden gelen güveni kullanabildikleri için özellikle aldatıcı olabilirler' diye yazdı. Nelnet Servicing, EdFinancial ve OSLA'ya siber güvenlik ekibinin 'bilgi sistemini güvence altına almak, şüpheli etkinliği engellemek, sorunu gidermek ve olayın niteliğini ve kapsamını belirlemek için üçüncü taraf adli bilişim uzmanlarıyla bir soruşturma başlattığını' bildirdi.
Sonuç ve Değerlendirme
İhlalin giderilmesi kapsamında, etkilenen kullanıcılara iki yıl ücretsiz kredi izleme, kredi raporları ve 1 milyon dolara kadar kimlik hırsızlığı sigortası sunuldu. Uzmanlar, özellikle öğrenci kredisi affı döneminde, kullanıcıların şüpheli e-postalara ve mesajlara karşı dikkatli olmaları, kişisel bilgilerini talep eden iletişimlere itibar etmemeleri gerektiğini vurguluyor. Ayrıca, güçlü parolalar kullanmak ve iki faktörlü kimlik doğrulamayı etkinleştirmek gibi temel siber güvenlik önlemlerinin alınması öneriliyor.
Kaynak: threatpost.com