38 Milyon Hasta Kaydı Büyük Bir Veri İhlalinden Sonra Çevrimiçi Oldu

Microsoft'un OpenAI Power Apps portallarındaki büyük bir güvenlik açığı yüzlerce uygulamayı etkileyerek şu ana kadar yaklaşık 38 milyon kaydı açığa çıkardı. İkincisi, Covid-19 aşı sertifikalarından istihdam durumu, telefon ve adres numaraları, sosyal güvenlik numaraları vb. dahil olmak üzere kişisel verilere kadar uzanır. Mağdurlar, çeşitli sektörlerdeki küçük ve büyük işletmelerde ve okullar ve hastaneler gibi kamu kurumlarında çalışmaktadır.

Aylardır Uyuyan Bir Sorun mu?

Power Apps platformuyla ilgili güvenlik sorunlarının Mayıs 2021'den beri devam ettiği görülüyor. Microsoft'un Power Apps portalında bulunan uygulamaların büyük bir kısmı, kullanıcı verilerini gizli tutmak yerine, ilgilenen tüm üçüncü taraflar için geniş çapta kullanılabilir durumda tutuyor. Böyle bir güvenlik açığının ortaya çıkmasının nedeni, yazılım geliştiricilerin kendi başlarına mobil ve web uygulamaları oluşturmasına yardımcı olmak için Power Apps platformu tarafından sunulan Uygulama Programlama Arabirimleri (API'ler) ile ilgilidir. Teorik olarak API'ler, geliştiricilerin ihtiyaç duydukları verileri başka bir yerde paylaşmadan toplamalarına izin vermelidir. Kayıtları toplarken, bu API'ler onları gizli tutmadı. Ayrıca, onları varsayılan olarak herkese açık hale getirdiler çünkü ilk etapta bu şekilde yapılandırıldılar. Bu nedenle geliştiriciler, Microsoft'un Power Apps API'lerinin, aksi takdirde gizli tutmaları gereken verileri açığa çıkarmasını önlemek için manuel ince ayar yapmak zorunda kaldı.

Yama Hakkında Neler Var?

Başlangıçta sorunu çözmek konusunda isteksiz olan Microsoft'un güvenlik uzmanları, o zamandan beri müşterilerini "ürünleri gizlilik ihtiyaçlarını en iyi şekilde karşılayacak şekilde yapılandırırken en iyi uygulamaları kullanmaya" teşvik etti. Microsoft, müşterilerin özel API ayarlarını belirlemelerine yardımcı olmak için benzersiz bir Portal Denetleyici tanılama aracını kullanıma sunarak daha da olağanüstü boyutlara gitti.

Açık Veri Dağılımı

Maruz kalan kayıtlar konu bakımından farklılık gösterir. Bazıları American Airlines çalışanlarıyla ilgiliyken, diğerleri New York City okullarını işaret etti. Yaklaşık 0,3 milyon e-posta adresi ve 40 bin Karma Gerçeklik dosyası da potansiyel olarak yanlış ellere geçebilirdi.