Kişisel bilgileriniz sosyal medyadan nasıl 'kazınıyor', bu ne kadar tehlikeli?

Sosyal medya sayfanızın profil kısmına ne kadar kişisel bilgi koyuyorsunuz?

İsim, yaşanan yer, yaş, meslek, medeni hal ve profil fotoğrafı? İnsanların sosyal medyada ne kadar kişisel bilgi paylaşmaya istekli olduğu kişiden kişiye değişiyor.

Fakat çoğu kişi sosyal medya profillerimize koyduğumuz bilgilerin artık herkesin erişimine açık olduğunun farkında.

O zaman, hakkınızdaki bütün bilgiler bir siber-korsan tarafından derlenip, milyonlarca başka insanın kişisel bilgileriyle beraber listeler halinde en yüksek fiyatı ödeyen siber-suçluya verilse ne hissedersiniz?

Kendisini Tom Liner diye tanıtan bir siber-korsan geçen ay "eğlencesine" bu şekilde dünyanın her yerinden 700 milyon Linkedin kullanıcısının kişisel bilgilerini bir veri tabanına topladı ve 5 bin dolar verene satmaya başladı.

Bu ve benzeri sosyal medyadan bilgi toplama olayları, profillerimizde açık olarak paylaştığımız kişisel bilgilerin daha iyi korunması gerekip gerekmediği konusunda hararetli bir tartışma başlattı.

Tom Liner'a dönersek, kendisini bu isimle tanıtan kişi elindeki verileri satışa çıkardığını, kötü şöhretli bir siber-korsanlık forumunda İngiltere saatiyle sabah 08:57'de ilan etti.

Bu bir siber korsan için tuhaf sayılacak kadar medeni bir saat, ama tabii kendisinin hangi zaman diliminde yaşadığı hakkında en küçük bir fikir sahibi değiliz.

Mesajda "Selam, elimde 2021'e ait 700 milyon Linkedin kaydı var" dedi.

Ayrıca, elindeki Linkedin kayıtlarının bir milyonunun görülebildiği bir internet linki verdi ve ve kendisine derlediği veriler için teklifte bulunmak isteyen diğer korsanların ona özel olarak yazması için bir de davet paylaştı.

Satış, siber-korsanlık dünyasını şöyle bir salladı ve Tom bana verilerini "çok sayıda" mutlu müşteriye 5 bin dolar karşılığında sattığını söyledi.

Elbette müşterilerinin kim olduğunu ve bu bilgileri neden elde etmek istediklerini söylemedi ama verilerin muhtemelen siber saldırılarda kullanılacağını düşünüyor.

Buradaki kritik nokta bu veri tabanlarının, korsanlık yapılmadan yani başkalarının sitelerine, sosyal ağlarına ya da hesaplarına sızmadan, açıktaki bilgilerle yaratılmış olması.

Çoğunlukla herkese açık ne kadar bilgi varsa tarayıp, tasnif eden otomatik programların yardımıyla sosyal medya platformlarındaki profillerin taranması yöntemiyle oluşturuluyorlar.

Bu yıl şu ana kadar en az üç büyük "bilgi kazıma" olayı yaşandı.

Nisan ayında bir siber korsan Linkedin'den kazıdığı 500 milyon kaydı satışa çıkardı.

Aynı hafta bir başka korsan Clubhouse profillerinden kazıdığı 1,3 milyon profil bilgisini bedava kullanıma sundu.

Yine Nisan ayında 533 milyon Facebook kullanıcısına ait eski ve yeni kazıntılar bir siber korsanlık sitesinde bağış karşılığı kullanıma sunuldu.

Facebook'tan bu "kazımayı" yaptığını söyleyen korsan, kendisini Tom Liner olarak tanıtıyor.

Telegram adlı anlık mesaj uygulaması üzerinden Tom Liner ile üç haftadan fazla süre yazıştım.

Liner kimi mesajlarını gece yarısı kimisini de iş saatlerinde atıyordu. Dolayısıyla nerede bulunduğu konusunda buradan bir ipucu çıkmıyor.

Gündelik yaşamı hakkında elde edebildiğim az sayıdaki ipucu ise kendisinin, eşi uyuduğu için telefonda konuşamadığı, düzenli bir işte çalıştığı ve korsanlığı hobi olarak yaptığı yolundaki sözlerine dayanıyor.

SOS Intelligence adlı tehdit istihbaratı raporları hazırlayan şirketin kurucusu ve CEO'su Amir Hadžipašić, gece gündüz "karanlık internet ağlarında" korsan forumlarını tarıyor.

700 milyon Linkedin kaydının satıldığı haberi patlar patlamaz ekibiyle birlikte verileri analiz etmeye girişmiş.

Hadžipašić, bu ve buna benzer büyük-kazıma olaylarındaki ayrıntıların, birçok insanın normal olarak kamusal alanda bulmayı beklemediği şeyler olduğunu söylüyor. API yani program arayüzlerinin, kullanıcılar hakkında, dışardan görülenden çok daha fazla bilgi verdiğini, bu nedenle de daha sıkı kontrol edilmesi gerektiğini düşünüyor.

"Bu tür büyük ölçekli sızıntılar, bazı durumlarda detaylara bakıldığında kaygı verici. Kişilerin nerede yaşadığı, özel telefon numaraları ya da e-posta adresleri gibi. Çoğu insan API hizmetlerinde bu kadar bilgi tutulmasını şaşırtıcı buluyor. Bu bilgiler yanlış ellere geçtiğinde bir kişi için çok önemli sonuçlar yaratabilir" diye sürdürüyor.

Tom Liner, elindeki veri tabanının kötücül saldırılar için kullanılması ihtimalinin yüksek olduğunu biliyor.

Bunun onu rahatsız etmediğini söylüyor ama neden hala kazıma faaliyetlerini sürdürdüğü sorusunu yanıtlamıyor.

İngiltere'nin güneyinde yaşayan Amir Hadžipašić, Linkedin verilerini satın alan siber-korsanların bunları şirket patronları gibi üst düzey kişilere yönelik saldırılarda kullanabileceklerini düşünüyor.

Ayrıca veri tabanındaki milyonlarca aktif e-posta adresinin dev dolandırıcılık saldırılarında kullanılabileceğini de ekliyor.

BBC