Kozmetik devi Estée Lauder, Oracle E-Business Suite açığı üzerinden İK verilerinin çalındığını açıkladı. Müşteriler ve çalışanlar etkilenebilir.
Ne oldu?
Estée Lauder, şirketin insan kaynakları (İK) operasyonlarında kullandığı Oracle E-Business Suite yazılımındaki bir güvenlik açığının hedef alındığını ve bu yolla yetkisiz erişim sağlandığını doğruladı. Şirket, olayın ardından etkilenen müşterilere ve çalışanlara veri ihlali bildirimi göndermeye başladı. Açıklanan bilgilere göre, saldırganlar bu açığı kullanarak sistemdeki bazı kişisel verilere erişmiş olabilir. Henüz hangi verilerin etkilendiği tam olarak netleşmedi; ancak İK süreçlerinde yer alan verilerin risk altında olduğu belirtiliyor.
Neden önemli?
Bu olay, kurumsal yazılımlardaki bilinen güvenlik açıklarının hızla istismar edilebileceğinin ve büyük ölçekli veri ihlallerine yol açabileceğinin önemli bir örneği. Oracle E-Business Suite, birçok büyük şirketin kritik operasyonlarında kullanılıyor; bu tür bir açık, yalnızca Estée Lauder’ı değil, aynı yazılımı kullanan diğer kurumları da risk altına sokuyor. Ayrıca, kozmetik sektöründe lider bir markanın veri ihlali yaşaması, marka itibarı ve müşteri güveni açısından ciddi sonuçlar doğurabilir.
Kim veya ne etkileniyor?
Öncelikle, Estée Lauder’ın İK verilerinin işlendiği sistemler üzerinden çalışanlar ve başvuru sahipleri etkilenmiş olabilir. Ayrıca, şirketin müşteri verilerinin de aynı sistemde tutulup tutulmadığı kesin değil; ancak ihlal bildiriminin müşterilere yapıldığı belirtiliyor. Bu nedenle hem çalışanlar hem de müşteriler potansiyel olarak etkilenen gruplar arasında. Oracle E-Business Suite kullanan diğer kuruluşlar da benzer açıkları kapatmadıysa risk altında olabilir.
Ne yapılmalı?
Estée Lauder, etkilenen kişilere resmi bildirimler yaparak bilgilendirmeli ve onlara kimlik avı veya dolandırıcılık girişimlerine karşı dikkatli olmaları yönünde uyarılarda bulunmalı. Etkilenen kullanıcıların, şifrelerini ve hesap bilgilerini güncellemeleri, şüpheli e-postalara tıklamaktan kaçınmaları ve kredi raporlarını izlemeleri önerilir. Şirketin, Oracle’ın yayınladığı güvenlik yamalarını acilen uyguladığından emin olması ve adli bilişim incelemesi başlatması gerekir. Diğer kurumlar da kendi Oracle E-Business Suite sistemlerini güncel tutmalı ve sızma testleri yapmalıdır.