Türkiye’nin en büyük çevrimiçi yemek sipariş sitesi Yemeksepeti’ni ‘hacklediğini’ iddia eden grup 20 milyondan fazla kişinin verilerinin ellerinde olduğunu söyledi.
Girişimci Nevzat Aydın tarafından 20012de kurulan ve 2015’te 589 milyon dolar karşılığında Almanya merkezli gıda dağıtım şirketi Delivery Hero’ya satılan Yemeksepeti yeni bir siber saldırı iddiasıyla yeniden gündemde.
Sekiz ay önce gerçekleşen bu saldırı sonrası güvenlik önlemlerini en üst seviyeye çıkardığını belirten şirket, Kişisel Verileri Koruma Kurumu (KVKK) tarafından veri güvenliğine ilişkin yükümlülüklere aykırı faaliyetten 2 milyon TL, Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından ise güvenlik sorumluluklarını yerine getirmemekten dolayı 1 milyon TL’lik ceza ile karşı karşıya.
Henüz bu inceleme sonuçlanmamışken yeni bir siber saldırı iddiasıyla gündeme gelen Yemeksepeti, bilgisayar korsanlarının kendilerine ulaşıp fidye talebinde bulunduklarını, uzman ekiplerin incelemesi sonucunda sistemlerinden veri sızıntısının olmadığının tespit edildiği açıklamasını yaptı.
Bunun yanında bazı gazetecilerin ve yüksek takipçili hesapların isim, soy isim, telefon ve açık adres ve adres tarifi bilgilerini paylaşan bilgisayar korsanları, DW Türkçe’den Kazım Kızıl’ın sorularına yanıt verdi. Bilgisayar korsanları Yemeksepeti’ne yeni bir siber saldırı yaptıklarını ve ellerinde yeni veriler olduğu iddiasını savunuyor.
Kişisel verileri ele geçirdiğini iddia eden grup ilk olarak 1 Kasım’da gِörevinden ayrılan eski Aydın’a maille ulaşarak taleplerini sıraladığını ileri sürüyor.
‘Yeni CEO da taleplerimizi ciddiye almadı’
Yemeksepeti’ni seçmelerinin özel bir nedeni olmadığını aktaran grup, sadece şirketin o günkü CEO’su olan Aydın’ın bu ihlal için bir ödeme yapabileceğini düşündüklerini ancak Aydın’ın ödeme yapmamasının kendilerini şaşırttığını söyledi:
“Maili attığımız tarihte şirketin CEO’su Nevzat Aydın’dı. Görüşmemizden sonra istifa etti. Yeni CEO Mert Baki’ye de taleplerimizi ilettik ancak ciddiye almadı. Belki de Delivery Hero (Yemeksepeti’nin bağlı olduğu üst kuruluş) onlara bu konuda baskı uyguladı, şimdilik bunu bilmiyoruz.”
Aydın, 1 Kasım’da “Görevimi artık genç ve farklı bir bakış açısına bırakmanın zamanı geldi” diyerek Yemeksepeti CEO’luğundan ayrılmıştı.
Korsanlar ne istiyor?
Bilgisayar korsanlarının aktardığı bilgilere gِöre hackleme işlemi yaklaşık bir ay önce gerçekleşti. Hacker’lar, bu süre zarfında şirketten olumlu bir yanıt alamayınca iletişime geçtikleri bazı sosyal medya hesaplarıyla konuyu kamuoyuna duyurdu.
Şirketin açıklamasını ise ‘komik bulduklarını, gereği yansıtmadığını çünkü şirketin sistemi nasıl hacklediklerini bilmediklerini’ söylediler. Korsanlar, verdikleri bir haftalık süre içinde olumlu bir dönüş yapılmazsa Yemeksepeti çalışanlarının açık adreslerini ve telefon numaralarını yayınlayacakları tehdidinde bulunuyor. Şirkete tanınan süre 22 Kasım’da doluyor.
Ellerinde 20 milyonun üzerinde kullanıcıya ait isim, soy isim, telefon numarası, açık adres, adres tarifi ve kredi kartlarının ilk ve son dört hanelerine ait bilgilerin olduğunu, bu bilgilerin önceki sızıntı ile ilgisi olmadığını, verilerin kasım ayı itibarıyla güncel veriler olduğu iddialarını tekrarlıyorlar.
Twitter’da bazı kullanıcılar bu verilerin 2016 yılında Merkezi Nüfus İdaresi Sistemi’ne (MERNIS) yönelik siber saldırı sonucu elde edilen veriler olduğunu iddia ediyor. Ancak bilgisayar korsanları, yazılı yanıtlarında şu anda ellerinde bulunan verilerin MERNİS sızıntısıyla ilintili olmadığını savunuyor. Grubun bilgileri paylaşmama karşılığında istedikleri miktar ise beş Bitcoin. Bugünkü değeriyle yaklaşık 3 milyon TL.
‘En yüksek teklifi verene satacağız’
Bilgisayar korsanları ayrıca şirket bu taleplerini kabul etmediği takdirde bu miktarı veren potansiyel alıcılarla gِörüşeceklerini, bu da olmazsa en yüksek teklifi veren kişiye verileri satacaklarını iddia etti.