Kimlik bilgileri doldurma saldırısından 35.000 PayPal müşterisi etkilendi

PayPal Holdings Inc., bir kimlik bilgisi doldurma saldırısında 35.000 müşteriden bilgi çalınmasını içeren bir veri ihlalini ifşa etti.

bir dosyalamada Çarşamba günü Maine Başsavcılığı ile PayPal, ihlalin 6 Aralık ile 8 Aralık arasında meydana geldiğini ve 20 Aralık’ta tespit edildiğini söyledi. Erişildiğine inanılan ayrıntılar arasında isimler, adresler, Sosyal Güvenlik numaraları, vergi kimlik numaraları ve doğum tarihleri

Bir soruşturma başlatmanın yanı sıra PayPal, etkilenen tüm hesapların şifrelerini sıfırladı ve gelişmiş güvenlik kontrolleri uyguladı. Etkilenen kullanıcılara ayrıca Equifax Inc.’den iki yıllık ücretsiz kimlik izleme hizmetleri sunuluyor.

Bir kimlik bilgisi doldurma saldırısında, bilgisayar korsanları, hesap ayrıntıları çalınan kişiler tarafından tutulan diğer hesaplara erişmek için daha önce başka sitelerden çalınan kullanıcı bilgilerini kullanır. Saldırı yöntemi, insanların farklı sitelerde parolaları yeniden kullanmasına dayanır; bu, sürekli veri ihlalleri çağında yapılması tehlikeli bir şeydir, ancak hepsi çok yaygın.

Teknoloji karşılaştırma sitesinde gizlilik savunucusu Paul Bischoff, “Pek çok PayPal hesabı etkilenmiş olsa da, saldırı PayPal’ın güvenlik eksikliğinden kaynaklanmadı” dedi. Comparitech Ltd., SiliconANGLE’a söyledi. “Bunun yerine, PayPal kullanıcılarının PayPal ve diğer web sitelerinde aynı şifreyi yeniden kullanmalarının bir sonucudur.”

Bilgi teknolojisi güvenlik şirketinin kurucusu Dr. Ilia Kolochenko ImmuniWeb SA ve Europol Veri Koruma Uzmanları Ağı üyesi, çok faktörlü kimlik doğrulamanın PayPal gibi hassas bir hizmet için varsayılan olarak zorunlu tutulmamasının şaşırtıcı olduğunu söyledi.

Kolochenko, “Modern MFA teknolojilerinin uygulanmasının neredeyse hiçbir maliyeti yoktur ve finansal hizmet sağlayıcılar tarafından temel bir güvenlik kontrolü olarak varsayılan olarak etkinleştirilmelidir” dedi. “Bu arada, özellikle son LastPass veri ihlali göz önüne alındığında, tüm kullanıcılar MFA’yı her yerde acilen etkinleştirmelidir.”

Geliştirilmiş güvenlik ihtiyacı, parola yönetimi şirketinde baş teknoloji sorumlusu Craig Lurey tarafından vurgulandı. Kaleci Güvenlik A.Ş. Kimlik bilgisi doldurma saldırılarını önlemek için, bulut tabanlı platformların daha gelişmiş cihaz doğrulama sistemleri uygulaması gerektiğini, böylece saldırganların parolaları kaba kuvvetle test edemediğini savunuyor.

Lurey, “Yüksek profilli ihlaller, sıfır güven mimarisi uygulamak, MFA’yı etkinleştirmek ve güçlü ve benzersiz parolalar kullanmak için büyük ve küçük kuruluşlar için bir uyandırma çağrısı görevi görmelidir” dedi. “Kritik sistemlere kötü amaçlı yazılım yüklemeye, kullanıcı erişimini engellemeye ve hassas verileri çalmaya çalışan şüpheli kimlik avı e-postalarını veya metin mesajlarını nasıl belirleyecekleri konusunda çalışanlara eğitim vermek de eşit derecede önemlidir.”

Resim: Paypal