Metamask, Trust Wallet, Coinbase ve Ledger gibi önde gelen platformlar tarafından kullanılan Miami merkezli itibari para-kripto ödeme ağ geçidi Transak, bugün kullanıcı tabanının %1.14’ünü etkileyen bir veri ihlali yaşadığını açıkladı.
Yaklaşık 57.000 kullanıcıyı etkileyen ihlalin, ünlü Stormous fidye yazılımı çetesi tarafından gerçekleştirildiği bildirildi.
Transak bir blog yazısında, bir saldırganın karmaşık bir kimlik avı saldırısı yoluyla bir çalışanın dizüstü bilgisayarına yetkisiz erişim sağladığını açıkladı. Saldırgan, ele geçirdiği kimlik bilgileriyle Transak tarafından belge tarama ve doğrulama hizmetleri için kullanılan bir üçüncü taraf KYC (Müşterini Tanı) tedarikçisinin sistemine sızmayı başardı.
İhlal, isimler ve diğer kişisel olarak tanımlanabilir bilgiler (PII) dahil olmak üzere hassas kişisel bilgileri açığa çıkardı. Ancak, gözetim altında olmayan bir geçiş noktası olarak faaliyet gösteren Transak, olayda hiçbir finansal varlığın ya da sosyal güvenlik numaraları veya kredi kartı bilgileri gibi “mali açıdan hassas” verilerin tehlikeye atılmadığını garanti etti.
Transak’ın 160 ülkede 5 milyondan fazla kullanıcısı olması, veri ihlalinin boyutuna ilişkin endişeleri arttırıyor.
Stormous fidye yazılımı çetesi, çalınan verilerin bir kısmını kendi sitesinde yayınlayarak saldırının sorumluluğunu üstlendi. Daha önce başka blok zinciri ve kimlik doğrulama sistemlerini de hedef alan grup, Transak’tan 300 gigabayt veri çaldığını belirtti. Bu veriler arasında, KYC onboarding süreci sırasında toplanan kimlikler, adresler, mali tablolar ve selfie’ler gibi hassas belgelerin bulunduğu bildiriliyor.
Transak, “Şu anda verilerin kötüye kullanıldığına dair herhangi bir belirti bulunmamaktadır. Ancak, etkilenen kullanıcılara dikkatli olmalarını ve şüpheli faaliyetleri izlemelerini tavsiye ediyoruz. Etkilenen kullanıcılara, kimlik izleme hizmetleri de dahil olmak üzere, bilgilerin olası kötüye kullanımından kendilerini korumaları için tavsiye ve kaynaklarla ulaşacağız” dedi.
Saldırı, Stormous’un Temmuz ayında Web3 projeleri için merkeziyetsiz bir kimlik doğrulama sağlayıcısı olan Fractal ID’yi ihlal etme sorumluluğunu üstlenmesinin ardından geldi. Çete kısa süre önce Fractal ID’den kişisel fotoğraflar, banka ekstreleri, adresler ve kripto para cüzdan adresleri (ETH/BTC) dahil olmak üzere 12 gigabayt veri elde ettiğini açıklamıştı.
Hem Transak hem de Fractal ID veri ihlallerini değerlendirmek üzere harici müfettişler tuttu.
*Yatırım tavsiyesi değildir.