ANTS: Basit bir yapılandırma hatası, 19 yaşındaki bir gencin 12 milyon kişinin verilerini çalmasına nasıl izin verdi?

Hatalarından ders çıkarılır. Ancak bazen söz konusu hata önlenebilir. Bu, Nisan ayında Ulusal Güvenli Belgeler Ajansı'nın (ANTS) yaşadığı veri sızıntısı için fazlasıyla geçerlidir. İsim, doğum tarihi, benzersiz hesap tanımlayıcısı... Yaklaşık 12 milyon kişinin verileri bir siber saldırı sonucu açığa çıktı. Bu güvenlik olayının arkasında Rusya, Çin veya Kuzey Kore ile bağlantılı bir hacker grubu değil, genç bir Fransız vatandaşı bulunuyor. Ve sanılanın aksine, bu verileri çalmak için sofistike bir yönteme veya ileri düzey teknik bilgiye ihtiyaç duymadı. ANTS portalını hacklemek onun için çok basitti... çünkü bir insan hatası vardı.

Genç Fransız, hizmetin baştan itibaren önlenebilecek kötü bir yapılandırması sayesinde sisteme sızmayı başardı. SaxX takma adıyla bilinen etik hacker Clément Domingo'nun belirttiğine göre, saldırganın ANTS portalına giriş yapıp kişisel alanına eriştikten sonra URL'deki (site adresi) bir rakamı değiştirmesi yeterliydi. BFM Tech'in Surfshark tarafından düzenlenen bir etkinlikte canlı olarak gözlemlediği gibi, bu küçük değişiklik portaldaki başka bir hesabın bilgilerine erişim sağladı. Buradan hareketle, Anthropic'in Claude sohbet robotunu kullanarak siteden çok sayıda veri indirmek için bir script (programlama dilinde bir dizi talimat) elde etti.

Bu basit manevra aslında bir hata sayfasıyla sonuçlanmalıydı. Etik hacker Clément Domingo, "Birçok kişi [ANTS'in teknik sorumlularının] bunu nasıl gözden kaçırdığını merak ediyor. Oysa bu, sızma testleri ve denetimler sırasında test edilmesi gereken en temel noktalardan biridir" diye vurguladı. Bu güvenlik açığı o kadar basitti ki ajansın düzeltmesi yalnızca birkaç gün sürdü. Sorun şu ki, siber suçlulara karşı kendini iyi savunamayan tek kurum ANTS değil. Bu koruma eksikliği nedeniyle, yapay zeka ile birleşen basit bir güvenlik açığı, gençlerin bilgisayar sistemlerine sızmasına ve veri çalmasına olanak tanıyor.

"Ne Rus, ne Çinli ne de hayal edebileceğiniz başka bir şey olmayan yeni bir siber suçlu türüyle karşı karşıyayız. Onlar Fransız" diye uyardı Clément Domingo. Bu olay, kurumların temel güvenlik önlemlerini bile atlayabildiğini ve siber tehditlerin her zamankinden daha erişilebilir hale geldiğini gösteriyor. Yapay zeka araçlarının yardımıyla, teknik bilgisi sınırlı kişiler bile büyük çaplı veri ihlalleri gerçekleştirebiliyor.