Target tedarikçi üzerinden ihlal, saldırganların perakende zincirine doğrudan değil, ona hizmet veren bir dış firma üzerinden girdiği 2013 tarihli veri sızıntısı olayıdır. Küçük bir iklimlendirme tedarikçisinin ele geçirilen kimlik bilgileri, saldırganları adım adım Target’ın satış noktası sistemlerine ve oradan da milyonlarca müşterinin kart verisine taşıdı.

Target ihlali, bir kurumun güvenliğinin, ağına eriştirdiği en küçük tedarikçinin güvenliği kadar olduğunu gösterdi.

Saldırı Nasıl İlerledi?

Saldırı, Target’a fatura ve proje portalı üzerinden erişimi olan bir iklimlendirme firmasının ele geçirilmesiyle başladı. Çalınan tedarikçi kimlik bilgileriyle kurumun dış portalına giriş yapan saldırganlar, ağ içinde yanal hareketle satış noktası terminallerine ulaştı. Bu terminallere yerleştirilen bellek kazıyıcı kod, kartların işlendiği kısa an içinde manyetik şerit verisini bellekten okudu.

Saldırının kritik zafiyeti, tedarikçiye açılan erişimin kurumun asıl ödeme ortamından yeterince ayrılmamış olmasıydı. Dışarıdan bir portal hesabıyla giren birinin, ağın en hassas bölgesine kadar ilerleyebilmesi, erişim sınırlarının ve iç bölümlemenin ne kadar önemli olduğunu somutlaştırdı.

Etkisi

Olayda on milyonlarca kredi kartı ve müşteri kaydı çalındı; kurum ağır mali kayıp, dava ve itibar zararıyla karşılaştı. Vaka, bir dış firmanın zayıflığının nasıl ana şirketin ihlaline dönüştüğünü gösteren örnek bir tedarik zinciri saldırısı olarak literatüre girdi.

Kurumlar İçin Dersler

Olay, ağa eriştirilen her dış tarafın bir risk kapısı olduğunu ve bu tarafların erişiminin en aza indirilerek sürekli izlenmesi gerektiğini ortaya koydu. Tedarikçilerin güvenlik olgunluğunun sözleşme öncesinde değerlendirilmesi ve erişimlerinin düzenli gözden geçirilmesi, ancak sistemli bir üçüncü taraf risk yönetimi programıyla mümkün oldu.

Kişisel ve finansal verinin sızdığı böyle bir olayda, teknik müdahalenin yanında yasal yükümlülükler de devreye girer; ilgili kişilerin ve otoritenin bilgilendirilmesi, bir veri ihlali bildirimi KVKK süreciyle yürütülür. Böyle bir ihlalin kapsamının doğru çıkarılması ve kanıtların usulüne uygun toplanması için kurumlar Privia Security’nin olay inceleme ve olay müdahalesi hizmetine başvurabilir.