Gmarket'te elektronik kupon PIN'leri izinsiz kullanıldı, soruşturma devam ediyor

a rectangular cellular device — Vova Kondriianenko / Unsplash

Gmarket, müşterilerin satın aldığı elektronik kuponların (e-kupon) PIN numaralarının üçüncü taraflarca izinsiz olarak kullanıldığını doğruladı. Şirket, olası dış kaynaklı yetkisiz erişimi tespit ettikten sonra acil güvenlik önlemleri uyguladı ve kişisel veri sızıntısı olup olmadığı ile tam zarar miktarının belirlenmesi için soruşturma başlattı.

Gmarket, 30 Ekim'de bazı müşterilerin e-kupon PIN numaralarının kendi rızaları dışında kaydedildiğini ve kullanıldığını fark ederek Kore İnternet ve Güvenlik Ajansı'na (KISA) bir ihlal raporu sunduğunu açıkladı. Olay, kullanıcılar satın aldıkları ve sakladıkları e-kuponların kullanım kayıtlarında anormallikler fark ederek ortaya çıktı.

29 Ekim'de çevrimiçi bir topluluk sitesinde, kullanıcılar Gmarket'ten satın aldıkları kültür hediye kartlarının kendilerinin haberi olmadan kullanıldığına dair şikayetler paylaşıldı. Bazı kullanıcılar, söz konusu saatlerde Gmarket'e giriş yapmadıklarını, ancak hediye kartlarının yine de kullanıldığını iddia etti.

Gmarket, müşteri şikayetlerini değerlendirirken, e-kupon PIN numaralarının üçüncü taraflarca izinsiz olarak kaydedildiğini ve kullanıldığını tespit etti. Saldırganların PIN numaralarını nasıl elde ettiği ise henüz belirlenmedi. Müşteri hesaplarının ele geçirilmesi, e-kupon yönetim sistemindeki yetki sorunları veya dış sistem entegrasyonundaki güvenlik açıkları gibi spesifik nedenler henüz doğrulanmadı.

Gmarket, olayı tespit ettikten sonra dış kaynaklı yetkisiz erişim yollarını kapattı ve ilgili sistemlere acil güvenlik önlemleri uyguladı. Şu anda kaç müşterinin zarar gördüğü, kaç e-kuponun izinsiz olarak kullanıldığı ve kişisel verilerin sızıntı geçirdiği konusunda bir soruşturma devam ediyor. Zarar gören müşterilere tam tazminat ödenmesi planlanıyor.

Bu olayda önemli bir nokta, e-kuponların izinsiz kullanımının doğrulandığı, ancak müşterilerin kişisel verilerinin sızıntı geçirip geçirmediğinin henüz kesinleşmediği yönündedir. Saldırganın kullandığı spesifik yöntemler veya sistem ihlalinin kapsamı da açıklanmadı. E-kuponlar, PIN numaraları dışarıya sızarsa veya haksız yollarla elde edilirse, meşru sahibi kullanmadan önce üçüncü taraflarca kaydedilebilir ve kullanılabilir. Bu nedenle, soruşturma PIN numaralarının sorgulama yolu, kullanım kayıtları, kullanıcı doğrulama süreçleri ve erişim yetkilerinin doğrulanmasına odaklanıyor.

Gmarket, yetkili kurumlarla işbirliği yaparak olayın nedenini ve etkisini belirlemeyi ve müşteri verilerinin korunması için güvenlik yönetim sistemini güçlendirmeyi taahhüt etti.