Singapur medya grubu SPH Media, beş sistemine siber saldırı düzenlendiğini ancak müşterilere ait finansal bilgilerin ya da hesaplara erişimin ele geçirilmediğini salı günü (10 Kasım) açıkladı.
Şirket sözcüsü, CNA'in sorularına yanıt olarak saldırıların aynı tehdit aktörü tarafından yürütülen koordineli bir çaba olduğuna inanıldığını söyledi. Sözcü, tehdit aktörünün niteliği hakkında ayrıntı vermedi.
Saldırılar SPH Media'nın iki sistem grubunu hedef aldı. Bunlardan biri bazı kişisel veriler içeren sistemlerdi. Diğeri ise bu tür veri barındırmayan sistemlerdi.
Ele geçirilen bilgiler çoğunlukla e-posta adresleri, isimler, posta adresleri ve telefon numaralarından oluştu. Bu bilgiler şirketin veritabanının yüzde 9'una karşılık geldi.
Sözcü şunları kaydetti: “Hiçbir ödeme kartı bilgisi, finansal ya da bankacılık bilgisi veya müşteri hesabına erişim ele geçirilmedi.”
Açıklamada, kişisel veri içermeyen sistemlere yönelik saldırılardan etkilenen veritabanının ne kadarlık bir bölümünün açığa çıktığı belirtilmedi.
Şirket, olayların fark edilmesinin ardından attığı adımları da anlattı. “Olayları fark eder etmez, etkilenen sistemleri güvence altına almak için hemen adım attık. Olayları incelemek ve ihlalleri durdurmak üzere dış siber güvenlik uzmanlarını görevlendirdik.”
SPH Media, olayı Kişisel Verileri Koruma Komisyonu'na (PDPC), Singapur Siber Güvenlik Ajansı'na (CSA), Bilgi-İletişim Medya Geliştirme Kurumu'na (IMDA) ve polise de bildirdiğini açıkladı.
Şirket ayrıca etkilenen tüm tarafları olay hakkında bilgilendirdiğini ve alınması gereken önlemler konusunda uyardığını ekledi.
Şirketin açıklamasında şu ifadeler yer aldı: “SPH Media, müşterilerinin bilgilerinin güvenliğini ve gizliliğini çok ciddiye alıyor. İlgili yetkililer ve üçüncü taraf uzmanlarla çok yakın bir şekilde çalışmaya devam ediyor.”
SPH Media'ya ait The Straits Times, ilk siber saldırı olayının 4 Kasım'da, en son olayın ise 8 Kasım'da tespit edildiğini bildirdi. SPH Media sözcüsü bu tarihleri doğrulamaktan kaçındı.
CNA, daha fazla bilgi almak için IMDA'ya bağlı olan PDPC ile CSA'ya başvurdu.
Olay, 6 Kasım'da telekomünikasyon şirketi M1 ile tele-sağlık hizmeti sağlayıcısı Doctor Anywhere'i de etkileyen veri ihlallerinin ardından geldi.
M1 veri ihlalinde müşterilerin kişisel bilgileri açığa çıktı. Bu bilgiler arasında isimler, NRIC (Singapur kimlik numarası) ya da FIN numaraları, doğum tarihleri, cep telefonu numaraları, e-posta adresleri ve ikamet adresleri yer alıyor.
Doctor Anywhere de kullanıcılarının kişisel verilerinde sızıntı yaşandığını bildirdi. Ancak siber güvenlik ve adli bilişim uzmanı Ensign InfoSecurity, klinik kayıtların etkilenmediğini söyledi.
Ayrıca, en az sekiz havayolunu etkileyen Amadeus yazılım sağlayıcısını kapsayan bir ihlalde yaklaşık 46.000 Singapore Airlines rezervasyon kaydına erişildi.
