ApplyNow'da 396 bin 920 kişinin verisi sızdı: bilinen açık yamalanmadı

Üç hizmette de kurumsal kullanıcıların adı, e-posta adresi, özetlenmiş (hash) parolası ve yetki bilgileri sızdı. Interview Cloud'da başvuran adayların adı, okunuşu, telefonu ve e-postası da etkilendi; bazılarında başvuru ve mülakat tarihleri, doğum tarihi, cinsiyet ve meslek bilgisi de var.

ApplyNow Sign'da sözleşme yapan kişilerin ad, telefon ve e-posta bilgilerine ek olarak bazılarında My Number, banka adı ve hesap bilgisi, temel emeklilik numarası, oturum kartı numarası, işsizlik sigortası numarası, bakmakla yükümlü olunan kişilere ilişkin vergi indirimi bilgileri, doğum tarihi, cinsiyet ve adres de yer aldı. Kredi kartı bilgileri, kimlik belgesi görüntüleri ve mülakat videoları ise sızıntıya dahil değil. Şirket, 4 Kasım itibarıyla verilerin kötüye kullanılması gibi ikincil bir zarar saptamadı.

Saldırı nasıl gerçekleşti

Şirketin soruşturmasına göre saldırgan, dahili veri analiz aracındaki bir açığı kullanarak 9 Ağustos'ta sisteme girdi, yönetici yetkisi aldı, 23 ve 26 Ağustos'ta veri tabanının bir bölümünü görüntüledi ve 7 Eylül'de bilgileri toplu biçimde çekti. Aracın durdurulması anomaliyi ortaya çıkardı; şirket sahte hesapları devre dışı bıraktı ve giriş yollarını kapattı.

ApplyNow, nedenler olarak aracın sağlayıcısının yayımladığı açık bilgisinden haberdar olunmamasını ve düzeltme sürümünün geç uygulanmasını gösterdi. Bağlantı kaynağı kısıtlaması olmaması şüpheli işlemlerin fark edilmesini geciktirdi. Analiz aracı kişisel verilere erişebilecek biçimde yapılandırılmıştı, saklama süresi belirlenmemişti ve sözleşmesi biten kurumların verileri silinmemişti.

Şirket yamayı uyguladı ve araca erişimi belirli IP adresleriyle sınırladı. Sözleşme sonrası verilerin silinmesi, şüpheli işlemler için otomatik bildirim sistemi ve kişisel veriler için saklama süresi belirlenmesi planlanıyor.