Kripto para ve blockchain tabanlı finans alanında faaliyet gösteren Figure Technology, resmi olarak bir veri ihlali yaşadığını duyurdu. Şirket, saldırının teknik bir sistem açığından değil, sosyal mühendislik yöntemiyle bir çalışanın kandırılması sonucu gerçekleştiğini açıkladı. Bu yöntemle saldırganların şirket içi bazı dosyalara erişim sağladığı ve sınırlı sayıda veriyi ele geçirdiği belirtildi. Olayın tespit edilmesinin ardından iç soruşturma başlatıldığı ve güvenlik önlemlerinin artırıldığı ifade edilse de, ihlalin kapsamına ilişkin belirsizlik sürüyor.
Şirket sözcüsü Alethea Jadick, TechCrunch’a yaptığı açıklamada, “Sınırlı sayıda dosya yetkisiz kişiler tarafından ele geçirildi. Etkilenen kişi ve kurumlarla iletişim halindeyiz ve bildirim alan tüm kullanıcılara ücretsiz kredi izleme hizmeti sunacağız.” ifadelerini kullandı. Ancak kaç kullanıcının etkilendiği, hangi veri kategorilerinin sızdırıldığı ve olayın finansal boyutu hakkında net rakam paylaşılmadı. Bu durum, kripto sektöründe veri güvenliğine yönelik endişeleri artırdı.
TechCrunch tarafından incelenen sızdırılmış veriler arasında müşterilere ait tam ad, ev adresi, doğum tarihi ve telefon numarası gibi hassas bilgilerin bulunduğu belirtildi. Bu tür kişisel verilerin ifşa edilmesi, kimlik hırsızlığı ve finansal dolandırıcılık riskini ciddi şekilde artırıyor. Özellikle blockchain tabanlı finans şirketlerinde kullanıcı bilgilerinin finansal hesaplarla doğrudan bağlantılı olması, potansiyel zararın boyutunu büyütebiliyor.
Siber saldırıyı, daha önce birçok yüksek profilli veri ihlaliyle gündeme gelen ShinyHunters adlı hacker grubu üstlendi. Grup, dark web üzerindeki platformda yayımladığı mesajda Figure’ın fidye ödemeyi reddettiğini ve bu nedenle yaklaşık 2,5 GB büyüklüğündeki veriyi kamuya açık şekilde paylaştıklarını iddia etti. Sızdırıldığı öne sürülen verilerin kullanıcı bilgilerini içerdiği belirtiliyor.
ShinyHunters üyelerinden biri, saldırının tekil bir olay olmadığını savunarak özellikle Okta tarafından sağlanan tekli oturum açma (SSO) hizmetini kullanan kurumları hedef alan daha geniş çaplı bir kampanyanın parçası olduğunu öne sürdü. Bu iddia, saldırının yalnızca Figure ile sınırlı kalmayabileceğine işaret ediyor. Aynı kampanya kapsamında Harvard University ve University of Pennsylvania gibi kurumların da hedef alındığı iddiaları, siber tehdidin kripto sektörü dışına taşmış olabileceğini gösteriyor.
Yaşanan olay, kripto ve blockchain tabanlı finans platformlarında insan faktörünün en zayıf halka olmaya devam ettiğini bir kez daha ortaya koydu. Teknik altyapı ne kadar güçlü olursa olsun, sosyal mühendislik saldırıları çalışanları hedef alarak güvenlik zincirini kırabiliyor. Uzmanlar, şirketlerin yalnızca teknik savunma sistemlerini değil, çalışan farkındalığını artıracak eğitim programlarını da güçlendirmesi gerektiğini vurguluyor.
Kullanıcılar açısından ise iki faktörlü kimlik doğrulama kullanımı, hesap hareketlerinin düzenli kontrolü ve kimlik bilgilerine yönelik olağan dışı aktivitelerin anında rapor edilmesi kritik önem taşıyor. Artan regülasyon baskısı ve kurumsal yatırımcı ilgisiyle büyüyen kripto sektöründe, veri güvenliği ve siber dayanıklılık artık rekabet avantajı değil, temel bir zorunluluk haline gelmiş durumda.
