Polonya’nın finans sektörü, çevrimiçi kredi platformu SuperGrosz’un müşterilerine ait hassas verileri açığa çıkaran büyük bir siber saldırıya uğradı. Ülkenin başbakan yardımcısı ve dijital işler bakanı Krzysztof Gawkowski, ihlali doğruladı ve durumu “çok ciddi” olarak nitelendirdi.
Resmi açıklamalara göre saldırganlar, SuperGrosz müşterilerinin ve aile üyelerinin kişisel ve finansal bilgilerine erişim sağladı. Çalınan veriler arasında isimler, ulusal kimlik numaraları (PESEL), kimlik kartı bilgileri, ev ve e-posta adresleri, telefon numaraları, medeni durum, istihdam ayrıntıları, gelir beyanları ve banka hesap numaraları yer alıyor.
Etkilenen şirket SuperGrosz, kısa vadeli ve taksitli krediler sunan bir finansal hizmet sağlayıcısı olan AIQLABS sp. z oo tarafından işletilmektedir. Soruşturmalar, finansal kurumları denetleyen CSIRT KNF ve daha geniş dijital altyapıdaki olayları ele alan CSIRT NASK olmak üzere iki önemli ulusal siber güvenlik ekibi tarafından yürütülüyor. Polonya Kişisel Verileri Koruma Ofisi’ne de bilgi verildi.
Gawkowski, vatandaşları acil koruyucu önlemler almaya çağırdı. Eski adı Twitter olan X’te yayınlanan halka açık bir mesajda, müşterilere şifrelerini değiştirmelerini, iki faktörlü kimlik doğrulamayı etkinleştirmelerini ve PESEL numaralarını engellemek için hükümetin mObywatel mobil uygulamasını kullanmalarını tavsiye etti. PESEL numarasının engellenmesi, suçluların çalınan verileri kredi başvurusunda bulunmak veya kimlik sahtekarlığı yapmak için kullanmasını önler.
Bakan ayrıca siber saldırıların Polonya ve diğer Avrupa Birliği üyeleri için rutin bir tehdit haline geldiği konusunda da uyardı. Hükümetin müdahale mekanizmalarını güçlendirdiğini ancak ihlalin ardından bireylerin kimlik avı girişimlerine, sahte kredi tekliflerine ve kimlik hırsızlığı dolandırıcılıklarına karşı tetikte olmaları gerektiğini de sözlerine ekledi.
Yerel basında çıkan haberlere göre olayın, dağıtılmış hizmet reddi saldırısının mobil ödeme ağı BLIK de dahil olmak üzere Polonya’nın ulusal ödeme sistemini kesintiye uğratmasından kısa bir süre sonra meydana geldiği bildirildi. Yetkililer, sistemin o zamandan beri istikrara kavuştuğunu söyledi ancak her iki olayın da olası bağlantılar açısından incelendiğini doğruladı.
SuperGrosz kaç kişinin etkilendiğini açıklamadı. Şirket, saldırganların sistemlerine nasıl erişim sağladığını ve herhangi bir müşteri fonunun ele geçirilip geçirilmediğini belirlemek için araştırmacılarla işbirliği yaptığını söyledi. İlk kanıtlar ihlalin finansal işlemlerden ziyade kişisel verilere odaklandığını öne sürse de Polonyalı düzenleyiciler saldırıyı ciddi bir gizlilik olayı olarak sınıflandırdı.
PESEL numaralarının açığa çıkması, tam kimlik ve banka bilgileriyle birleştiğinde önemli bir dolandırıcılık riski oluşturmaktadır. Suçlular bu tür bilgileri sahte hesaplar açmak, kredi başvurusunda bulunmak veya kurbanlara karşı sosyal mühendislik saldırıları gerçekleştirmek için kullanabilir. Yetkililer, müşterilere banka hesap özetlerini yakından takip etmelerini, yeni kredi başvurularını kontrol etmelerini ve olağandışı finansal faaliyetleri bildirmelerini tavsiye etti.
Güvenlik uzmanları, ihlalin daha küçük finansal platformların veri koruma uygulamalarındaki kalıcı zayıflıkların altını çizdiğini söylüyor. Büyük bankalar genellikle özel siber güvenlik ekiplerine sahipken, daha küçük kredi verenler ve fintech firmaları üçüncü taraf güvenlik araçlarına ve sınırlı dahili izlemeye güvenme eğilimindedir. Saldırganlar, daha sonra suç forumlarında kullanılabilecek veya satılabilecek değerli kişisel verileri elde etmek için sıklıkla bu zayıf halkaları hedef alır.
Sektör gözlemcileri, saldırının Doğu Avrupa ülkelerini hedef alan daha geniş bir mali amaçlı siber suç modeline uyduğunu belirtiyor. Geçtiğimiz yıl, devlet kurumları ve bölgesel bankalar da dahil olmak üzere birçok Polonya kurumu, kimlik avı ve fidye yazılımı girişimlerinde artış olduğunu bildirdi. Analistler bu eğilimi, kimlik hırsızlığı ve kredi dolandırıcılığı için yerel fintech platformlarından yararlanan organize gruplara bağlıyor.
Polonyalı yetkililer, finans sektöründe siber güvenliğin güçlendirilmesinin ulusal bir öncelik olmaya devam ettiğini vurguladı. Şirketleri ağ segmentasyonunu, gerçek zamanlı izleme sistemlerini ve daha sıkı kimlik doğrulama yöntemlerini benimsemeye çağırıyorlar. Bireyler için dijital okuryazarlık ve olası veri kötüye kullanımına hızlı yanıt vermek en iyi savunma biçimleri olarak görülüyor.
Soruşturmalar devam ederken yetkililer, çalınan verilerin henüz satıldığına veya internette yayınlandığına dair bir kanıt bulunmadığını söylüyor. Ancak bunun önümüzdeki haftalarda değişebileceği konusunda uyarıyorlar. SuperGrosz müşterilerine, şirket daha fazla güncelleme sağlayana kadar verilerinin ele geçirildiğini varsaymaları söylendi.
Dava, veri ihlallerinin çevrimiçi finansal hizmetlere olan güveni nasıl aşındırabileceğini vurguluyor. Polonya dijital ekonomisini genişlettikçe erişilebilirlik ve güvenlik arasındaki denge hem düzenleyiciler hem de hizmet sağlayıcılar için acil bir zorluk olmaya devam edecek.