Letonya’da faaliyet gösteren bir telekomünikasyon sağlayıcısı, güvensiz bir veritabanı aracılığıyla 125 milyondan fazla metin mesajını açığa çıkararak, Baltık ülkelerindeki bankalar, sağlık hizmeti sağlayıcıları, perakendeciler ve kamu kurumlarından gelen hassas iletişimleri potansiyel olarak tehlikeye attı. Kayıtlar arasında kimlik kodları, finansal işlemler, tıbbi bilgiler ve kişisel iletişim bilgileri yer alıyordu.
Bu ifşada, Letonya, Litvanya ve Estonya’daki kuruluşlara iş mesajlaşma hizmetleri sunan CSCTelecom şirketi içeriyordu. Güvenlik araştırmacıları, 28 Eylül 2026’da halka açık ClickHouse veritabanını keşfetti ve Ekim 2022’den Eylül 2026’ya kadar olan kayıtları buldu.
Sıradan bir tarihsel veri sızıntısının aksine, veritabanı gerçek zamanlı olarak yeni mesajlar alıyordu. Sadece Eylül ayında üç milyondan fazla SMS mesajı işlenmişti, bu da erişimi olan herkesin iletilen iletişimleri takip edebileceği anlamına geliyordu.
Ortaya çıkan bilgiler arasında alıcı telefon numaraları, tam mesaj içerikleri, gönderme zaman damgaları, müşteri kuruluş isimleri ve mobil ağ yönlendirme bilgileri bulunuyordu. Bazı kayıtlar ayrıca mesaj teslim maliyetleri ve diğer operasyonel meta verileri içeriyordu.
Etkilenen kuruluşlar arasında Letonya’daki Swedbank ve SEB operasyonları da vardı. Swedbank ile ilişkili mesajlar arasında banka hesap numaraları, işlem tutarları, ödeme alıcıları, kalan bakiyeler ve belirli satın alımları tespit eden bilgiler yer alıyordu.
Diğer açığa çıkan iletişimler arasında tek seferlik kimlik doğrulama kodları, geçici şifreler ve hesap doğrulama mesajları vardı. Bu tür bilgiler, kimlik doğrulama sürecini başlatırken veya sistimar ederken geçerli kodları ele geçiren suçluların çevrimiçi hesaplara erişmesini sağlayabilir.
Veritabanı ayrıca Letonya’nın 112 acil servisiyle ilgili mesajlar, telefon numaraları ve olay detayları da içeriyordu. ERGO ve Compensa gibi sigorta sağlayıcıları temsil edildi; bazı iletişimler poliçeyle ilgili bilgileri, araç kayıt numaralarını ve fatura tutarlarını ortaya koydu.
Açıklanan kayıtlarda IKI, Akropolis, PerlasGo, Autoplius ve EuroCash gibi birkaç Litvanya işletmesi yer aldı. Bilgiler, müşteri doğrulama kodları ve satın alma güncellemelerinden korunan mülklerle ilgili güvenlik bildirimlerine kadar uzanıyordu.
airBaltic’ten gelen seyahatle ilgili mesajlarda yolcu iletişim bilgileri, uçuş bilgileri ve soyadlar bulunuyordu. Litvanya diş klinikleri dahil sağlık kuruluşları da etkilendi; bazı kayıtlar tıbbi test bilgileri ve randevuyla ilgili iletişimleri ortaya koydu.
Bu olay, bireysel mesajların anında ortaya çıkmasının ötesinde endişeler yaratıyor. Tek bir telefon numarasıyla ilişkilendirilen birkaç yıllık iletişimin birleştirilmesi, bir kişinin banka ilişkilerini, alışveriş alışkanlıklarını, seyahat düzenlemelerini, sağlık ilişkilerini ve finansal durumlarını ortaya çıkarabilir.
Araştırmacılar ayrıca, maruz kalmanın gerçek zamanlı doğasının hesap ele geçirme fırsatları yarattığını belirtti. Gelen kimlik doğrulama kodlarını veya şifre sıfırlama bağlantılarını izleyen suçluların, hedef alıcıları ilgili güvenlik prosedürlerini tamamlamadan önce bunları sömürebilir.
Araştırmacılar, 29 Eylül’de CSCTelecom’a açığa çıkan veri tabanı hakkında bilgi verdi. Daha sonra, ilk keşiften yaklaşık bir ay sonra, 27 Ekim itibarıyla kamuya açık erişimin kapatıldığını doğruladılar.
Ancak, soruşturma kötü niyetli aktörlerin veritabanı güvence altına alınmadan önce bilgiye erişip erişmediğini veya indirip indirmediğini tespit etmedi. Şu anda açığa çıkan mesajların müşteri hesaplarını tehlikeye atmak için kullanıldığına dair kesin bir kanıt yok.
Bu olay, mesajlaşma sağlayıcısının neden yıllarca hassas kişisel bilgiler içeren iletişimleri sakladığı konusunda da sorular gündeme getiriyor. Avrupa veri koruma kurallarına göre, kuruluşlar kişisel veri saklanmasını meşru işleme amaçlarıyla haklı olarak sınırlandırmalıdır.