Lidl, bir hizmet sağlayıcısının hacklenmesiyle Almanya, Belçika ve Hollanda'daki online mağaza müşterilerinin kişisel verilerinin çalındığını açıkladı.
Ne oldu?
Alman perakende devi Lidl, Almanya, Belçika ve Hollanda'da hizmet veren çevrimiçi mağaza platformunun müşterilerini etkileyen yeni bir veri ihlali yaşandığını kamuoyuna duyurdu. Yapılan resmi açıklamalara göre bu sızıntı, Lidl firmasının kendi ana sunucularına veya e-ticaret altyapısına yönelik doğrudan bir siber saldırı sonucunda gerçekleşmedi. Güvenlik açığı, şirketin dışarıdan destek aldığı üçüncü taraf bir bilgi teknolojileri (BT) servis sağlayıcısının sistemlerinin hacklenmesiyle ortaya çıktı. Siber saldırganlar, söz konusu servis sağlayıcının ağında depolanan ve Lidl müşterilerinin belirli kişisel verilerini içeren ikincil bir dosyaya yetkisiz ve kısa süreli bir erişim sağladı. Durumu fark eden Lidl yönetimi, vakit kaybetmeden ilgili ülkelerdeki resmi veri koruma otoritelerine ve düzenleyici kurumlara bildirimde bulunduğunu açıklayarak yasal merciler nezdinde suç duyurusunda bulundu.
Neden önemli?
Bu siber güvenlik olayı, günümüz dijital ekosisteminde tedarik zinciri güvenliğinin (third-party risk) ne kadar kritik bir unsur olduğunu bir kez daha kanıtlıyor. Kuruluşlar kendi sunucularını ve veri tabanlarını ne kadar güçlü savunursa savunsun, veri paylaştıkları dış ortakların veya servis sağlayıcıların zayıf halka haline gelmesi tüm sistemi riske atabiliyor. Lidl olayında çalınan veriler arasında kullanıcı şifreleri ya da banka hesabı ve kredi kartı gibi doğrudan finansal bilgiler bulunmasa da sızıntının boyutu hafife alınmamalıdır.
Ad-soyad, e-posta adresi, telefon numarası ve doğum tarihi gibi hassas kişisel veriler, siber suçlular için oldukça değerli malzemelerdir. Saldırganlar bu bilgileri kullanarak, mağdurlara yönelik son derece gerçekçi ve ikna edici oltalama (phishing) e-postaları veya sahte telefon aramaları (vishing) gerçekleştirebilirler. Bu durum, etkilenen müşterilerin ilerleyen süreçte finansal dolandırıcılıklara maruz kalma riskini ciddi şekilde artırmaktadır.
Kim veya ne etkileniyor?
Siber saldırıdan doğrudan etkilenen kesim, Lidl'ın Almanya, Belçika ve Hollanda'daki çevrimiçi mağaza platformlarında hesabı bulunan veya alışveriş yapmış olan müşterilerdir. Saldırganların ele geçirdiği dosyada müşterilerin unvanları, adları, soyadları, telefon numaraları, e-posta adresleri, doğum tarihleri ve müşteri numaraları yer almaktadır. Lidl, müşterilerinin içinin rahat etmesi adına yaptığı ek açıklamada, ana müşteri hesabı veritabanlarının, giriş şifrelerinin, fatura/teslimat adreslerinin ve özellikle banka hesap numaraları ile kredi kartı bilgileri gibi hassas finansal verilerin bu olaydan hiçbir şekilde etkilenmediğini kesin bir dille doğruladı. Hacklenen üçüncü taraf BT iş ortağının ticari ismi ise şirket tarafından güvenlik ve soruşturma süreçleri gerekçesiyle henüz açıklanmadı.
Ne yapılmalı?
Lidl'ın bu üç ülkedeki online mağazalarından alışveriş yapan kullanıcıların, önümüzdeki günlerde e-posta kutularına veya telefonlarına gelebilecek şüpheli bildirimlere karşı azami dikkat göstermesi gerekmektedir. Lidl veya başka bir resmi kurum adına gönderilmiş gibi görünen, aciliyet hissi uyandıran veya kişisel bilgi talep eden mesajlardaki bağlantılara tıklanmamalıdır. Şirketler için ise bu olay, dış hizmet sağlayıcıları seçerken siber güvenlik standartlarının sıkılaştırılması, veri erişim izinlerinin sınırlandırılması ve periyodik tedarik zinciri denetimlerinin aksatılmaması gerektiğini açıkça göstermektedir.