Fransa'da dev veri sızıntısı: Kimlerin bilgileri çalındı?

Fransa'da ulusal posta operatörü La Poste grubuna bağlı bir şirket, ülkenin en büyük veri sızıntılarından birinin hedefi oldu. Grubun dijital hizmetler kolu Docaposte'a bağlı Maileva'ya yönelik siber saldırıda yaklaşık 22 milyon kişinin kişisel bilgileri ele geçirildi. La Poste, saldırının eylül ayının ortasında yaşandığını 14 Kasım Cumartesi günü açıkladı.

Maileva, şirketlerin ve kurumların fatura, bildirim, hatırlatma ve iadeli taahhütlü mektup gibi yazışmalarını dijital ortamda hazırlayıp postaya veren bir platform. Bu nedenle sızıntıdan doğrudan Maileva'nın kendi müşterileri değil, Maileva'yı kullanan şirketlerin mektup gönderdiği kişiler etkilendi.

Hangi bilgiler sızdı?

Fransız basınına yansıyan La Poste açıklamasına göre ele geçirilen bilgiler, Maileva'nın müşteri şirketleri adına gönderilen yazışmaların alıcılarına ait ad, soyad ve posta adresleri. Şirket, banka bilgilerinin sızıntıdan etkilenmediğini vurguladı. Fransız basınında telefon numarası ya da e-posta adresinin sızdığına dair bir bilgi yer almıyor.

Sızıntıyı ilk olarak veri ihlallerini takip eden Fransız siteleri duyurdu. Bu siteler olayı Fransa'da şimdiye kadar yaşanan en büyük veri sızıntılarından biri olarak nitelendirdi. Fransa'nın nüfusunun yaklaşık 68 milyon olduğu düşünüldüğünde etkilenen kişi sayısı ülke nüfusunun üçte birine yakın bir büyüklüğe karşılık geliyor; ancak bu sayının tamamen benzersiz kişilerden oluşup oluşmadığı açıklanmadı.

Şirket ne açıkladı?

La Poste'un açıklamasına göre Maileva, Fransa'nın veri koruma otoritesi CNIL'e (Ulusal Bilişim ve Özgürlükler Komisyonu) bildirimde bulundu ve suç duyurusunda bulundu. Olayla ilgili adli soruşturma başlatıldı. Şirket, etkilenen bütün müşteri şirketlerin mevzuata uygun şekilde bilgilendirildiğini belirtti.

Saldırıyı hangi grubun düzenlediğine ilişkin resmî bir açıklama yok. Bir Fransız gazetesi, verilerin Maileva'yı kullanan sağlık alanındaki bir alacak tahsilat şirketi üzerinden ele geçirildiğini öne sürdü; bu iddia La Poste tarafından doğrulanmadı.

Sızan adres neden tehlikeli?

Banka bilgisi sızmamış olsa da ad ve adres bilgileri, dolandırıcıların hedefli saldırılar hazırlamasında kullanılabiliyor. Bu tür sızıntılarda en büyük risk, kişinin adını ve adresini bilen sahte mektuplar, sahte iadeli taahhütlü bildirimleri, sahte borç ve ödeme hatırlatmaları. Bu tür bir mesaj, alıcının gerçek bilgilerini içerdiği için daha inandırıcı görünebiliyor.

Bu nedenle ödeme ya da kişisel bilgi isteyen her mektup, kısa mesaj veya telefon görüşmesinde gönderen kurumun doğrudan kendi resmî iletişim kanallarından aranarak doğrulama yapılması öneriliyor. Mesajdaki bağlantıya tıklamamak, mesajdaki telefon numarasını değil kurumun resmî numarasını aramak temel önlemler arasında sayılıyor.

Türkiye'deki okurlar için ne anlama geliyor?

Sızıntı Fransa'daki bir posta platformunu ilgilendiriyor; Türkiye'de yaşayan kişilerin doğrudan etkilenip etkilenmediğine dair bir bilgi yok. Ancak Fransa'da yaşayan ya da orada bir şirketten fatura, bildirim veya mektup alan Türk vatandaşları da etkilenenler arasında olabilir. Bu kişilerin Fransız kurumları adına gelen ödeme taleplerine karşı dikkatli olması gerekiyor.

Türkiye'de kişisel verilerin korunmasından Kişisel Verileri Koruma Kurumu (KVKK) sorumlu. Veri sorumluları, bir ihlali öğrendikten sonra en kısa sürede ve en geç 72 saat içinde kuruma bildirmekle yükümlü. Avrupa Birliği'ndeki Genel Veri Koruma Tüzüğü (GDPR) de benzer şekilde 72 saatlik bildirim süresi öngörüyor.