AT&T, müşterilerinin verilerinin internete nasıl yayıldığını söylemeyecek

Bir bilgisayar korsanının AT&T müşteri verilerinin büyük miktarda çalındığını iddia etmesinden üç yıl sonra, bu hafta bir ihlal satıcısı tüm veri setini çevrimiçi olarak yayınladı. Yaklaşık 73 milyon AT&T müşterisinin kişisel bilgilerini içeriyor.

İsimleri, ev adreslerini, telefon numaralarını, Sosyal Güvenlik numaralarını ve doğum tarihlerini içeren tamamen sızdırılmış veri kümesinin yeni bir analizi, verilerin gerçek olduğuna işaret ediyor. Bazı AT&T müşterileri, sızdırılan müşteri verilerinin doğru olduğunu doğruladı. Ancak AT&T hâlâ müşterilerinin verilerinin internete nasıl yayıldığını söylemedi.

İlk olarak Ağustos 2021’de milyonlarca AT&T müşterisinin verilerini çaldığını iddia eden bilgisayar korsanı, o sırada sızdırılan kayıtların yalnızca küçük bir örneğini yayınlayarak orijinalliğini doğrulamayı zorlaştırıyordu.

ABD’nin en büyük telefon operatörü AT&T, 2021’de sızdırılan verilerin “sistemlerimizden gelmiş gibi görünmediğini” belirtmişti ancak verilerin nereden geldiği veya geçerli olup olmadığı konusunda spekülasyon yapmamayı tercih etmişti.

Güvenlik araştırmacısı ve veri ihlali bildirim sitesi Have I Been Pwned’in sahibi Troy Hunt, yakın zamanda sızdırılan veri kümesinin tamamının bir kopyasını elde etti. Hunt, AT&T müşterilerine sızdırılan kayıtlarının doğru olup olmadığını sorarak sızdırılan verilerin gerçek olduğu sonucuna vardı.

Verileri analiz eden bir blog yazısında Hunt, sızdırılan 73 milyon kayıttan 49 milyon benzersiz e-posta adresi, 44 milyon Sosyal Güvenlik numarası ve müşterinin doğum tarihini içerdiğini söyledi.

Yorum almak için ulaşıldığında AT&T sözcüsü Stephen Stokes TechCrunch’a yaptığı açıklamada şunları söyledi: “Sistemlerimizin tehlikeye girdiğine dair hiçbir belirtimiz yok. 2021 yılında bu çevrimiçi forumda sunulan bilgilerin sistemlerimizden gelmediğini belirledik. Bu, bu forumda birkaç kez geri dönüştürülen aynı veri kümesi gibi görünüyor.”

AT&T sözcüsü, TechCrunch’ın iddia edilen müşteri verilerinin geçerli olup olmadığını veya müşteri verilerinin nereden geldiğini soran takip e-postalarına yanıt vermedi.

Hunt’ın belirttiği gibi ihlalin kaynağı henüz kesin değil. AT&T’nin verilerin nereden geldiğini bilip bilmediği bile belli değil. Hunt, verilerin AT&T’den ya da “kullandıkları üçüncü taraf bir işlemciden ya da tamamen ilgisiz başka bir kuruluştan” kaynaklanmış olmasının makul olduğunu söyledi.

Açık olan şu ki, üzerinden üç yıl geçmesine rağmen hala bu gizemli ihlali çözmeye yaklaşamadık ve AT&T de müşterilerinin verilerinin nasıl çevrimiçi hale geldiğini söyleyemiyor.

Veri ihlallerini ve sızıntılarını araştırmak zaman alır. Ancak AT&T’nin şimdiye kadar milyonlarca müşterisinin verilerinin neden herkesin görebileceği şekilde çevrimiçi olduğu konusunda daha iyi bir açıklama sunabilmesi gerekiyor.

TechCrunch’tan Lorenzo Franceschi-Bicchierai raporlamaya katkıda bulundu.