Yemek Sepeti Hack

Türkiye&#;de milyonlarca kişinin alışveriş yaptığı yemek siparişi sitesi Yemek Sepeti&#;ne ait 60 milyon müşterinin verilerinin sızdırıldığı iddia edildi. Geçtiğimiz mart ayında müşteri veri tabanı ele geçirilen Yemek Sepeti, ikinci bir bilgi güvenliği olayıyla karşı karşıya kaldı.

ThreatMonIT siber tehdit istihbaratı platformunun Dark web üzerinden tespit ettiği bir mesajda, siber tehdit unsurları, seafoodplus.info üzerindeki veritabanında yer alan yaklaşık 60 milyon müşterinin bilgilerinin ele geçirdiğini öne sürerek satışa çıkardı.

Milyonlarca kullanıcısı olan Yemeksepeti&#;ne siber saldırı: Kişisel veriler ve parolalar ele geçirildi

Yemek Sepetinin eski CEO&#;su Nevzat Aydın&#;a pazarlık yapmak için durumu bir ay önce bildirdiklerini iddia eden tehdit aktörleri, yaptıkları yazışmanın ekran görüntüsünü de paylaştı.

Söz konusu yazışmalarda, Aydın&#;a bazı müşteri bilgileri gönderdikleri görülüyor. Buna karşı eski CEO kanıt ve bilgileri teyit için daha fazla veri seti talep ediyor.

Saldırganların paylaştığı örnek veri setinde, ad-soyad, telefon numarası, adres ile kredi kartlarının ilk ve son 4 rakamı gibi kişisel veriler yer alıyor.

Türkiye’nin en büyük yemek sipariş platformlarından olan Yemeksepeti, yaklaşık 8 ay önce hacklenmiş ve kullanıcı verileri Bitcoin karşılığında satışa çıkarılmıştı. Bu olayın ardından şirketin kurucusu Nevzat Aydın, platformun kullanıcılarından özür dilemiş ve “Benzer bir olayın tekrar yaşanmaması için tüm gelişmeleri yapmayı sürdürüyoruz.” demişti.

Ancak hem yaşanan skandaldan hem de Aydın’ın açıklamasından aylar sonra Yemeksepeti’nin tekrar saldırıya uğradığı iddia edildi.

Saldırganlar, veriler karşılığında kripto para ile ödeme istiyor

Yemeksepeti’ni hackleyen ve Nevzat Aydın’a ulaşan hackerlar, Aydın ile olduğunu iddia ettikleri konuşmaları da ayrıca Mesut Çevik’e de e-posta yoluyla gönderdi. E-postayı Twitter hesabından paylaşan Çevik, Yemeksepeti’ni etiketleyerek, “Veriler yine ortaya saçılmış sanırım. Az önce eposta aldım. Bu konuda bir açıklama yapacak mısınız?” diye sordu.

Hackerlar Nevzat Aydın'la konuştuklarını iddia ederek bu konuşmaların kaydını Mesut Çevik'e gönderdi. 

Yaşanan olayların ardından gazeteci İbrahim Haskoloğlu'da hacker'lara ulaştığını ve iddiaları kanıtlaması için adresini ve telefon numarasını göndermelerini istedi. Haskoloğlu, hackerların kendisine doğru telefon numarasını ve adresini gönderdiğini açıkladı.

İşte hackerların Nevzat Aydın'a gönderdiklerini iddia ettikleri e-posta;

Merhaba Mesut. Bu oldukça yeni veri sızıntısı olayını takipçilerinle paylaşman için bu bilgileri sana da gönderiyoruz.

Merhaba Nevzat. Sana kötü haberlerimiz var, yeniden hacklendiniz. Elimizdeki verilen Mart ayındaki sızıntıdan kalma olmadığını kanıtlamak için sana Nisan ayından sonraki bazı verileri gönderiyoruz. Lütfen dikkatlice oku ve bize hemen dönüş yap.

Soru: Ne istiyorsunuz?

Cevap: Bitcoin ile ödeme. Bize cevap verdiğinde miktari konuşabiliriz.

Soru: Elinizde ne var?

Cevap: İçinde isimlerin, telefon numaralarının, adreslerin, e-posta adreslerinin, adres tariflerinin ve bazı kredi kartlarının son 4 hanesinin olduğu 30 milyon satırdan fazla bilgi.

Soru: Size para versem bile bu verilerin hepsini paylaşmayacağınıza ya da satmayacağınıza nasıl güvenebilirim?

Cevap: Güvenemezsin, Ama senin ödemenden sonra verileri satmakla ilgilenmiyoruz.

Soru: Bu verilerin son sızıntıyla alakalı olduğunu nasıl bilebilirim?

Cevap: Dediğim gibi bunun için bir sürü kanıtım var. E-postanın sonundaki son 2 veriyi kontrol edebilirsin.

Soru: Son sızıntıdan sonra (8 ay önceki) bizi nasıl tekrar hacklediniz?

Cevap: Öncelikle, işe yaramaz güvenlik mühendislerinize ve size penetration test (sistemin siber saldırıya dayanaklılığını test etmek amacıyla kasıtlı olarak yapılan saldırılar) yapan danışmanlık şirketinde güvenmemelisiniz. Belki size tam olarak nasıl yaptığımızı söyleyebiliriz ama bu yapacağınız ödemeye göre değişir.

Soru: Bu sızıntıyı benden başka bilen var mı?

Cevap: Hayır, şu anda yok. Şirketin CEO, CTO ve diğer ortaklarınızı bile henüz bilgilendirmedik. Şu anda sadece sen biliyorsun ama bu durum davranışına göre değişebilir.

Soru: Peki ödemek istemezsem sonrasında ne olacak?

Cevap: Bir önceki sızıntıda yaklaşık 2 milyon TL ceza aldığınızı biliyoruz. Araştırmalarımıza göre bu kez 2 milyon TL'den daha fazla ceza ödeyeceksiniz ve şirketiniz yaşanan güven kaybı sebebiyle zarara uğrayacak. Bu bilgileri paylaşmak için Türkiye'deki birçok gazetecinin e-posta ve telefon numaralarını bulduk. İkinci veri ihlalinin yaratacağı kaosu tahmin edebilirsin. Ayrıca ilk sızıntıdaki verileri hiçbir yerde paylaşmadık. Önceki veriler için ödeme yapmış olabilirsin ama öncelikle bin kullanıcının verisini ücretsiz bir şekilde paylaşacağız. Ardından potansiyel alıcılarla iletişime geçeceğiz.

Türk halkının ikinci sızıntıdan sonra nasıl tepki vereceğini düşün. Şirketinin güvenini düşün. KVKK'dan gelecek olan 2 milyon TL'den fazla olan ikinci cezayı düşün.

Biz, senden sadece küçük bir miktar para talep ediyoruz. Sonrasında sana ne yaptığımızı açıklayabiliriz, çünkü bugün tester ile yaptığın testlerde bile herhangi bir sorun bulamadınız :)

Bu kez bize inanmazsan üçüncü kez hacklenebilirsin.

Yemeksepeti bir açıklama yaptı;

Yemeksepeti, olayın internette yayılmasının ardından resmi Twitter hesabından bir açıklama yayınladı. Yapılan açıklamada hackerların fidye talebine olumsuz yanıt verdiklerini ve yasal süreci başlattıklarını açıkladılar. Açıklamada ayrıca yapılan kontrollerin ardından sistemlerde herhangi bir veri ihlali ya da hırsızlığı tespit edemediklerini de açıklayan Yemeksepeti yetkilileri, süreci paylaşacaklarını söyledi.

Emoji İle Tepki Ver