Basit Bir Şifre Hatası Danimarka'nın Ulusal Veri Tabanını Nasıl Çökertti?

Siber güvenlik dünyası, son yılların en çarpıcı ve aynı zamanda en kaçınılabilir skandallarından biriyle çalkalanıyor. Danimarka'nın Merkezi Kişi Kayıt Sistemi (CPR), teknoloji tarihine geçecek düzeyde ilkel bir zafiyet nedeniyle siber saldırganların hedefi oldu. Ülke genelinde tam 8.8 milyon vatandaşın hassas verilerini barındıran bu devasa ulusal veri tabanı, küçük ölçekli bir bilişim şirketinin kullandığı şaşırtıcı derecede zayıf bir parolanın kurbanı haline geldi. Olayın detayları, modern kurumsal siber güvenlik standartlarının hâlâ ne kadar temel hatalarla sekteye uğrayabildiğini gözler önüne seriyor.

123456 Parolasıyla Gelen Ulusal Felaket

Danimarka basınının güvenilir kaynaklarından Politiken'in aktardığı bilgilere göre, siber saldırganlar ulusal sisteme sızmak için Danimarka merkezli küçük bir BT hizmet sağlayıcısı olan Pays ApS şirketinin hesaplarını kullandı. Şirketin sistemine erişim sağlayan fail, saldırının arkasında veri satma veya sızdırma gibi kötü niyetli bir amacın olmadığını iddia etse de, ortaya çıkan tablo son derece vahim. Yapılan incelemelerde, şirket bünyesindeki en az üç farklı hesabın —bunlardan birinin doğrudan yönetici hesabı olduğu belirtiliyor— popüler ama bir o kadar da tehlikeli olan "123456" parolasıyla korunduğu ortaya çıktı.

Danimarka'nın CPR idaresi, 5 Ekim tarihinde yaptığı resmi açıklamada 8.8 milyon kişinin bilgilerinin etkilendiği bir veri ihlali yaşandığını doğruladı. Açıklamada, Danimarkalı bir şirketin yasal olarak sahip olduğu sistem erişim haklarının kötüye kullanıldığı vurgulandı. Skandalın merkezindeki Pays ApS şirketinin genel müdürü Sophie Laursen, 9 Ekim'de yaptığı kısa açıklamada şirketlerinin erişim haklarının suiistimal edildiğini kabul etmek zorunda kaldı. Yaşananların ardından Pays'in web sitesi tamamen çevrimdışı duruma getirilirken, şirket yönetimi konuyla ilgili yöneltilen detaylı soruları yanıtsız bıraktı.

Milyonlarca Kayıt Sessiz Sedasız Taranmış

Danimarka parlamentosuna ve yayın kuruluşu TV 2'ye sızan belgelere göre, siber saldırganlar CPR sistemine ilk olarak 10 Eylül tarihinde giriş yaptı. Sistem içerisindeki hareketlilik, 10 Eylül ile 20 Eylül tarihleri arasında aralıksız olarak devam etti. Bu süreçte tam 14 milyon otomatik arama gerçekleştirildiği tespit edildi. Son derece yüksek bir hacme sahip olan bu sorgulamaların, sistemin normal işleyişini zorlamasına rağmen günlerce fark edilmemiş olması ise ayrı bir ihmaller zincirine işaret ediyor.

Saldırının fark ediliş hikayesi ise siber güvenlik denetimlerinin ne denli kritik olduğunu bir kez daha kanıtladı. Danimarka Yüksek Eğitim ve Bilim Bakanlığı direktörü Mikkel Leihardt, basın mensuplarına düzenlediği açıklamada, sızma olayının bir bakanlık çalışanının faturadaki anormal hareketliliği fark etmesiyle çözüldüğünü belirtti. Pays şirketinin CPR sistemine sağladığı hizmetler karşılığında kestiği ve olağandışı bir yoğunluğa işaret eden fatura, yetkililerin dikkatini çekti. Durumun anlaşılmasının ardından 4 Ekim'de Danimarka veri koruma otoritesi Datatilsynet bilgilendirildi ve bir gün sonra kamuoyuna resmi açıklama yapıldı.

Üçüncü Taraf Riskleri ve Kurumsal Güvenlik Açmazı

Bu olay, ulusal düzeyde kritik altyapılara sahip ülkelerin üçüncü taraf tedarikçileri (third-party vendors) nasıl denetlemesi gerektiği sorusunu bir kez daha acil bir gündem maddesi haline getirdi. Pays ApS, kurumsal müşterilerin kayıtlarını doğrulamak gibi görece dar kapsamlı hizmetler sunmak üzere CPR sistemine resmi erişim yetkisine sahipti. Ancak bu tip küçük ve orta ölçekli işletmelerin (KOBİ), ulusal güvenliği ilgilendiren devasa sistemlere bağlanırken hangi güvenlik testlerinden geçirildiği veya geçirilmediği belirsizliğini koruyor.

Danimarka hükümeti, toplamda yaklaşık 11 milyon kaydın bulunduğu (vefat edenler ve yurt dışına taşınanlar dahil) bu hayati veritabanının korunmasında yaşanan parola zafiyetine dair soruları yanıtsız bırakmayı tercih etti. Ancak siber güvenlik uzmanları, bu tür olayların sadece teknik bir hata olmadığını, kurumsal düzeyde bir güvenlik kültürü eksikliğini temsil ettiğini vurguluyor.

• Küçük işletmelerin ulusal ağlara erişiminde çok faktörlü kimlik doğrulama (MFA) gibi temel güvenlik katmanlarının zorunlu tutulmaması, benzer krizlerin kapısını aralamaya devam ediyor.
• Otomatik sorgulama ve veri çekme işlemlerinin (scraping) anlık olarak tespit edilmesini sağlayacak yapay zeka tabanlı Anomali Tespit Sistemleri'nin (IDS) merkezi veri tabanlarında hâlâ yetersiz kalması büyük bir risk oluşturuyor.
• Tedarik zinciri güvenliği (Supply Chain Security), sadece yazılım bileşenlerini değil, bu sistemleri kullanan dış kaynaklı ortakların personel ve parola politikalarını da kapsayacak şekilde sıkılaştırılmalıdır.

Sonuç Yerine: Alınması Gereken Kritik Dersler

Danimarka'da yaşanan bu olay, en gelişmiş devlet altyapılarının bile en zayıf halkaları olan insan faktörü ve temel parola hijyeni eksikliği yüzünden nasıl saniyeler içinde savunmasız kalabileceğini gösterdi. 8.8 milyon insanın kişisel verilerinin "123456" gibi siber güvenliğin ilk ders kitabında bile "sakın kullanmayın" denilen bir şifreyle korunmuş olması, dijital çağın en ironik ve düşündürücü manzaralarından biri olarak kayıtlara geçti. Hükümetler ve kurumlar, tedarikçi ekosistemlerini acilen yeniden yapılandırmazsa, bu tarz skandalların ardı arkası kesilmeyecektir.