Almanya'nın en büyük çevrimiçi elektronik perakendecilerinden Notebooksbilliger, Golem'in haberine göre bir siber saldırı bildirdi ve müşteri verilerinin etkilenmiş olabileceğini açıkladı. Şirketin ilgili makamları bilgilendirdiği belirtiliyor; hangi verilerin söz konusu olduğu, kaç müşterinin etkilendiği ve ödeme bilgilerinin dahil olup olmadığı ise kamuya açıklanmadı.
Böyle bir ihlalde müşteri için asıl risk genellikle sızan kaydın kendisi değil, ardından gelenlerdir: sipariş numarasına atıfta bulunan oltalama e-postaları, teslimatı hatırlatan telefon aramaları ya da başka sitelerde yeniden kullanılan parolalara yönelik 'credential stuffing' saldırıları. Sızıntı doğrulansa da doğrulanmasa da savunma aynı:
- Sipariş, fatura veya teslimatla ilgili beklenmedik e-postaları şüpheli sayın; bağlantıya tıklamak yerine mağazanın adresini kendiniz yazın. - Hesabın parolası başka bir yerde de kullanılıyorsa değiştirin; sunuluyorsa iki adımlı doğrulamayı açın. - Banka ve kart ekstrelerini küçük deneme çekimlerine karşı izleyin.
AB'nin GDPR düzenlemesine göre kişisel veri ihlali yaşayan bir kuruluş, durumu öğrendikten sonra 72 saat içinde denetim makamına bildirimde bulunmak; ihlal ilgili kişilerin hak ve özgürlükleri bakımından yüksek risk taşıyorsa onları gecikmeksizin bilgilendirmek zorunda. Bu iki aşamalı yükümlülük, bu tür duyuruların biçimini açıklıyor: adli bilişim incelemesi sürerken kasıtlı olarak muğlak bir ilk açıklama, ardından risk eşiği aşıldıysa kişiye özel bildirimler.
Olay, Avrupalı perakendecilere yönelik müşteri veritabanı saldırılarının istisna değil rutin hale geldiği bir döneme denk geliyor. Alışveriş yapanlar için soğukkanlı sonuç şu: markanın kim olduğundan çok, gelen ihlal bildirimi ve orada yeniden kullandığınız parola önemli.
Not: Saldırının kapsamına ilişkin ayrıntılar henüz tam olarak kamuya açıklanmadı. Burada dayandığımız kaynak Golem'in haberi.
