Seul, Ttareungi kamu bisiklet kiralama hizmetine yönelik siber saldırıda kişisel bilgileri ortaya çıkan 4,6 milyondan fazla kişiye ücretsiz bir aylık bisiklet paylaşım kartları sunuyor. Tazminat, milyonlarca kayıtlı kullanıcıyı etkileyen ve Güney Koreli yetkililer tarafından soruşturma başlatılan 2024 veri ihlalinin ardından geldi.
Hizmeti işleten Seul Tesisler Şirketi, uygun kullanıcıların her gün bir saat ücretsiz bisiklet kullanımına izin veren 30 günlük bir geçiş kartı alacağını söyledi. Yerel medyaya göre, kuponlar Ağustos ayında Ttareungi mobil uygulaması üzerinden dağıtılacak ve üç ay içinde kullanılmalı. Mevcut aboneler, mevcut geçiş biletleri sona erdikten sonra faydayı etkinleştirebilecek.
İhlal, Haziran 2024’te iki gencin Ttareungi’nin sunucularına yetkisiz erişim sağlaması ve yaklaşık 4,62 milyon kullanıcıya ait kişisel bilgilerini çıkarmasıyla gerçekleşti. Yetkililer, çalınan verilerin isimler, telefon numaraları, doğum tarihleri, hesap kimlikleri, cinsiyet bilgileri ve vücut ağırlığı içerdiğini söyledi.
Kullanıcıların kayıt sırasında verdiği bilgilere bağlı olarak, etkilenen bazı kayıtlar ayrıca e-posta adresleri, posta kodları, ev adresleri veya vasi bilgileri içeriyordu. Yetkililer, etkilenen her hesabın bu veri alanlarının tamamını içerdiğini söylemedi.
Müdahaleyi tespit ettikten sonra, Seul Tesisler Kurumu olayı Ulusal Polis Ajansı ve Kişisel Bilgi Koruma Komisyonu’na bildirdi. Kuruluş, ihlali tespit ettikten kısa süre sonra etkilenen kullanıcıları da bilgilendirdi.
Saldırganların hizmeti ele geçirmesine olanak tanıyan zayıflıkları araştırmak için Seul Metropol Hükümeti ile acil bir görev gücü kuruldu. Yetkililer, incelemenin uygulamanın kimlik doğrulama sistemindeki zayıflıklara odaklandığını söyledi.
Şirket, olaydan sonra güvenlik kontrollerini de güçlendirdi. Yetkililere göre, savunmasız sistem yamalandı, izleme yetenekleri geliştirildi ve benzer saldırıların riskini azaltmak için ek güvenlik testleri getirildi.
Yetkililer, bireysel kullanıcıların hangi bilgilerin açığa çıktığını belirlemek için tehlikeye giren veritabanlarını incelediklerini söylediler. Bildirimler, hangi kişisel veri kategorilerinin etkilenmiş olabileceğini açıkladı ve müşterilere olası dolandırıcılıklara karşı tetikte olmaları tavsiye edildi.
Ortaya çıkan kişisel bilgiler oltalama kampanyalarında veya kimlik dolandırıcılığında kullanılabilse de, Seul yetkilileri, çalınan Ttareungi verilerinin kötüye kullanıldığına dair hiçbir vakayı doğrulamadıklarını söyledi. Ayrıca, bilgilerin suç amaçlı dağıtıldığına dair kanıt bulamadıklarını belirttiler.
İhlal sonrası Seul Tesisler Şirketi Başkanı Han Kook-young, kullanıcılardan özür diledi ve hizmetin güvenliğini güçlendirme sözü verdi. Kuruluşun koruma önlemlerini gözden geçireceğini ve sakinlerin kişisel bilgileri konusunda endişe duymadan Ttareungi’yi kullanmaya devam edebilmeleri için yeniden düzenleneceğini söyledi.
Operatör ayrıca kullanıcılara, bisiklet paylaşım hizmetinden geldiğini iddia eden istenmeyen telefon görüşmeleri veya metin mesajlarına karşı dikkatli olmalarını tavsiye etti. Müşterilere şüpheli bağlantıları açmamaları veya oltalama saldırılarında kullanılabilecek bilinmeyen uygulamaları yüklememeleri tavsiye edildi.
Güney Kore medyasına göre, bu müdahaleyi gerçekleştirdiği şüphelenilen iki genç savcılara sevk edildi. Yasal işlemler devam ederken, yetkililer 2024 ihlali sırasında çalınan verilerin doğrulanmış herhangi bir kötüye kullanım olup olmadığını izlemeye devam ediyor.