Omaze İddia Edilen Veri Açığı
Omaze 2020 veri sızıntısı, hayır kurumlarına bağış toplamak amacıyla lüks otomobiller, malikaneler ve ünlülerle buluşma gibi benzersiz deneyimler sunan ABD merkezli küresel çevrimiçi bağış platformu Omaze (omaze.com) şirketine ait AWS RDS veritabanı yedeğinin Temmuz 2020 tarihinde siber tehdit aktörleri tarafından ele geçirilip sızdırılmasıyla meydana gelmiştir.
Sızan Veri Türleri
6- E-posta Adresleri
- İsimler
- Coğrafi Konumlar
- Cinsiyetler
- Satın Almalar
- Parolalar
Bu Kayıt Hakkında
Omaze olayında hangi bilgiler etkilendi?
Sızdırılan MySQL veritabanı dökümü (omaze_users.sql ve omaze_wpusers.sql), Omaze kullanıcılarının bağışçı profillerini ve WordPress kullanıcı tablosunu içermektedir. İncelenen kayıtlarda şu veri sınıfları tespit edilmiştir:
- Hesap ve İletişim Bilgileri: Bağışçıların e-posta adresleri (email, user_email), kullanıcı adları (user_login) ve görünen isimleri (display_name).
- Kimlik Bilgileri: Bağışçıların ad ve soyadları (firstname, lastname), cinsiyetleri (gender) ve posta kodları (zip_code).
- İşlem ve Bağış Kayıtları: İlk sipariş ID numaraları (first_order_id), platform bilgileri ve üçüncü taraf e-posta izin tercihleri.
- Kimlik Doğrulama Verileri: WordPress phpass (Portable Hash) algoritması ile özetlenmiş kullanıcı parolaları (user_pass).
Kaç kişi veya hesap etkilendi?
Veritabanı tabloları genelinde uygulanan RFC 5322 ASCII kanonik doğrulama sürecinde mükerrer ve geçersiz kayıtlar elenmiş; toplam 2.794.460 tekil geçerli e-posta adresi doğrulanmıştır.
Saldırının riskleri ve güvenlik tavsiyeleri
Bağışçı listelerinin, ad-soyad ve posta kodu verileriyle birlikte açığa çıkması, hayır kurumu temalı sahte çekiliş ve piyango dolandırıcılıkları ile hedefli oltalama (spear-phishing) riskini ciddi biçimde artırmaktadır. Etkilenen bağışçılara:
- Omaze hesaplarında kullandıkları parolayı derhal güncellemeleri,
- Aynı parolayı kullandıkları diğer çevrimiçi platformlardaki şifrelerini değiştirmeleri,
- Omaze veya hayır kurumları adına gelen şüpheli ödül kazandınız bildirimlerine ve ödeme taleplerine itibar etmemeleri önerilir.
Doğrulama ve editoryal yöntem
LeakData; olay adı, tarih, etkilenen kayıt sayısı ve veri türlerini erişilebilir kaynaklarla karşılaştırır. Doğrulanamayan alanlar kesin bilgi olarak sunulmaz ve kayıtlar yeni kanıt bulunduğunda güncellenir.
Eksik veya hatalı bilgi bildirin
