Expedia Group, 12 Kasım Perşembe günü, saldırganların birlikte çalıştığı bir veri platformu sağlayıcısı üzerinden sistemlerine ulaştığını doğruladı. Şirket, sektör yayını Skift’e yaptığı açıklamada “güvenlik araştırmacılarının bildirdiği bir tedarik zinciri saldırısından” haberdar olduğunu, sorunu fark eder etmez kontrol altına aldığını ve dışarıdan siber güvenlik uzmanlarıyla inceleme yürüttüğünü bildirdi. Açıklamaya göre platformlar yolcular ve iş ortakları için güvenli.
Doğrulanan bu kadar. Expedia sağlayıcının adını vermedi, hangi verinin, kimin verisinin ve ne kadarının etkilendiğini söylemedi. Saldırının başka şirketleri de vurduğunu belirtmekle yetindi.
Boşluğu saldırıyı üstlenen grup dolduruyor. Güvenlik firması SOCRadar’a göre eylül ortasında ortaya çıkan ve Security Affairs’in Rus kökenli olarak tanımladığı n0n adlı fidye grubu, Expedia’dan büyük miktarda veri aldığını öne sürüyor. Grubun iddiaları şöyle: 35 sadakat programından 830 milyondan fazla kayıt, 58 milyon yolcu profili, parola benzeri belirteçler içeren 333 milyondan fazla hesap kaydı, 2,5 milyona yakın kredi kartı harcama kaydı ve konaklama ayrıntılarını içeren 500 bin misafir kaydı. Cybernews’in aktardığına göre grup, Expedia bir uzlaşmaya yanaşmazsa verileri yayımlamakla tehdit ediyor. Karanlık ağdaki sayfasında fidye tutarı yer almıyor.
Bu rakamların hiçbiri bağımsız bir kaynakça doğrulanmış değil. Expedia da sayıları doğrulamadığını, incelemenin sürdüğünü açıkladı. Saldırının n0n ile bağlantısını da teyit etmedi.
Olayın arka planında, üç gün önce yayımlanan bir teknik rapor var. Bulut güvenliği şirketi Wiz, 9 Kasım’da Qubole adlı veri platformu sağlayıcısına ait bir Amazon Web Services hesabının kimlik bilgilerinin kötüye kullanıldığını duyurdu. Rapora göre saldırgan 14 ile 26 Ekim arasında bu kimlik bilgileriyle, müşterilerin Qubole’a güvenerek tanımladığı erişim rollerini devraldı. Ardından depolama alanlarını ve veritabanlarını taradı, Lambda yapılandırmalarından ve Secrets Manager’dan parola ve anahtar topladı, bazı oturumlarda S3 depolama kovalarının tamamını indirdi. Bir başka güvenlik şirketi Sentra, etkilenen kuruluş sayısının bir düzineyi aştığını bildirdi.
Sentra’nın bulgusu işin en rahatsız edici yanı: Qubole’u kullanmayı bırakan şirketler, sağlayıcıya verdikleri erişim iznini kaldırmamıştı. Wiz de devralınan rollerin çoğunun ekim ayında başka hiçbir amaçla kullanılmadığını, yani unutulmuş ama hâlâ geçerli izinler olduğunu yazdı.
Qubole, Skift’in ifadesiyle Expedia’nın bir dönem çalıştığı bir sağlayıcı. Skift, Expedia’nın tarifinin Qubole vakasıyla örtüştüğünü yazdı. Ancak ne Wiz ne Sentra etkilenenler arasında Expedia’nın adını anıyor, Expedia da sağlayıcısının Qubole olduğunu söylemiyor. Risky Business’ın haberine göre n0n, Qubole saldırısını da üstlendi. Wiz bu atfı doğrulamadığını belirtiyor. İki olayın aynı saldırı olduğuna dair kesin bir kanıt yok.
Expedia’nın kamuoyu önünde doğrulama yapması, fidye vakalarında alışılmış bir adım değil. Security Affairs’in aktardığına göre olayla ilgisi bulunmayan fidye müzakerecisi Alex Waintraub Forbes’a, n0n’un iddialarının kurbanı ödemeye zorlamak için tasarlanmış göründüğünü, şirketin açıklamasının ise bu baskıyı zayıflatabileceğini söyledi. Security Affairs’e göre grup, kurbanlarını sızıntı sitesinde önce numarayla ve “ifşa bekleniyor” sayacıyla listeliyor, adını yalnızca ödeme yapılmazsa açıklıyor. Site eylülden bu yana 224 saldırı iddia ediyor.
Şirketin ölçeği iddiaları ciddiye almayı gerektiriyor. Expedia Group 2025’te 14,7 milyar dolar gelir açıkladı. Hotels.com, Vrbo, Travelocity, Orbitz, Hotwire ve Trivago aynı çatı altında. Bu markaların hesaplarının aynı veri havuzundan beslenip beslenmediği ise doğrulanmış değil.
Türkiye’deki okur için konunun iki yüzü var. Expedia ya da Hotels.com hesabı olan yolcu için güvenlik yayınlarının tavsiyesi sade: parolayı güvenilir bir cihazdan değiştirmek, aynı parolayı başka sitelerde kullanmamak ve puan bakiyesi ya da rezervasyon ayrıntısı içeren e-postalara karşı tetikte olmak. İddia edilen veriler arasında e-posta adresleri ve puan bakiyeleri bulunduğu için, sızıntı gerçekse en olası sonuç inandırıcı oltalama mesajları olur.
Odalarını Expedia üzerinden satan oteller için Hospitality.today’in önerileri daha operasyonel. Yayın, otelcilere Expedia’daki pazar yöneticisine iş ortağı ya da misafir verisinin etkilenip etkilenmediğini sormalarını, Expedia rezervasyonuna atıf yapan şüpheli misafir mesajlarını izlemelerini ve kendi sistemlerinde erişim temizliği yapmalarını öneriyor: eski çalışanların, bırakılmış kanal yöneticilerinin ve artık kullanılmayan gelir yönetimi araçlarının yetkileri kapatılmalı.
Son öneri, Qubole vakasının dersiyle aynı yere çıkıyor. Wiz’in tespitine göre erişim rolü yalnızca sağlayıcının IP adreslerine sınırlanmış olsaydı, gözlenen devralmaların tamamı engellenirdi.
Expedia’nın bir sonraki açıklamasında yanıtlaması gereken üç soru duruyor: sağlayıcı kimdi, hangi veri çıktı ve etkilenen müşterilere bildirim yapılacak mı?
Görsel: T014y / Wikimedia Commons (CC BY-SA 4.0)
Yorum Yap