Teknoloji dünyası, yaşanan büyük bir güvenlik olayıyla sarsıldı. Meta GitHub kaynak kod sızıntısı, şirketin yazılım depolarının ne kadar savunmasız kalabileceğini gözler önüne serdi.

Bir çalışanın çalınan şifresini ele geçiren bilgisayar korsanları, şirketin kod depolarına girmeyi başardı. Bu durum, kurumsal güvenlik protokollerinin tek bir zayıf noktada nasıl çöktüğünü kanıtladı.

Sızıntının Boyutları ve Ele Geçirilen Veriler

Olayın merkezinde yaklaşık 1.500 Meta çalışanının dataları yer alıyor. Etkilenen çalışanın büyük bir çoğunluğunun ABD merkezli olduğu belirtiliyor.

Meta tarafından yapılan resmi açıklamaya nazaran, saldırganlar şirketin iç sistemlerine yahut ana sunucularına direkt erişim sağlayamadı. Fakat bu durum, ele geçirilen bilgilerin değerini azaltmıyor.

Saldırganların eline geçen bilgilerin büyük bir kısmı, şirketin yazılım kaynak kodlarından ve ticari sırlarından oluşuyor. Verilerin yaklaşık yüzde 99’luk kısmı bu kritik teknik bilgilerden meydana geliyor.

Kalan yüzde 1’lik dilim ise ferdî dataları kapsıyor. Bu ferdî bilgilerin GitHub depolarına ezkaza yüklenmiş olması, güvenlik zincirindeki en büyük zayıflığı oluşturuyor.

Hassas bilgilerin kod depolarında bulunması, yalnızca çalınan bir şifre sıkıntısı olmadığını gösteriyor. Bu durum, şirket içi bilgi idaresinde önemli bir güvenlik riski teşkil ediyor.

Saldırganların eline geçen bilgilerin tamamı gerçek çalışanlara ilişkin değil. Paketin bir kısmı, yazılım testlerinde kullanılan anonimleştirilmiş yahut sentetik datalardan oluşuyor.

Yani korsanların elindeki bilgilerin bir kısmı, gerçek bireyleri değil test gayesiyle oluşturulmuş profilleri işaret ediyor. Yeniden de araya uydurma kayıtların karışması, gerçek şahıslara ilişkin bilgilerin de depolarda bulunduğu gerçeğini değiştirmiyor.

Meta’nın Aldığı Güvenlik Önlemleri

Meta, sızıntının fark edilmesinin çabucak akabinde korsanların erişimini kesti. Olayla ilgili kapsamlı bir isimli bilişim incelemesi başlatıldı.

Şirket, depolarda bulunan tüm bâtın API anahtarlarını yeniledi. Bu adım, potansiyel daha büyük sızıntıların önüne geçmek için atıldı.

Olaydan etkilenen çalışanlara kimlik hırsızlığına karşı kredi izleme hizmetleri sunulmaya başlandı. Ayrıyeten ferdî bilgilerinin yasa dışı platformlarda paylaşılıp paylaşılmadığı yakından takip ediliyor.

Şirketin iç sistemlerine erişilememiş olması tek teselli kaynağı olarak görünüyor. Lakin kaynak kodlarının ve şahsî bilgilerin korsanların eline geçmesi, güvenlik standartlarının tekrar gözden geçirilmesini mecburî kılıyor.

Bazı bilgilerin ezkaza kod depolarına yüklenmesi, kurumsal güvenlik kültüründeki diğer bir zayıf noktayı da ortaya koyuyor. Şirketler, yazılım geliştirme süreçlerinde bu çeşit kusurların önüne geçmek için daha sıkı kontrol düzenekleri kurmak zorunda.

Meta’nın bu olaydan sonra güvenlik siyasetlerini nasıl güncelleyeceği merak konusu. Sizce büyük teknoloji şirketleri, çalışanlarının şifre güvenliği konusunda kâfi tedbiri alıyor mu?

Kaynak: Shiftdelete