BtcTurk’ten siber hücum açıklaması – Ekonomist

Türkiye’de etkinlik gösteren kripto para borsası BtcTurk, sızıntı iddialarına ilişkin izahat yapmış oldu. Açıklamada, Temmuz 2018’de yaşanmış olan sızıntıda 516 bin 954 kullanıcının verilerinin etkilendiği kaydedildi.

Şirket bu tarihten sonrasında BtcTurk’e ilişik olan kullanıcılarının verilerinin etkilenmediğini aktardı. Ek olarak BtcTurk’ten meydana getirilen açıklamada, bahse mevzu veri ihlalinde kullanıcılara ilişik selfie/özçekim kayıtları, bakiye detayları, banka hesapları, finansal şifreleri ve nitelikli verileri ile ilgili herhangi bir veri sızıntısının söz mevzusu olmadığı açıklandı.

BtcTurk’ten meydana getirilen izahat şu şekilde:

Kıymetli Kullanıcılarımız;

Şirketimiz, kullanıcılarımızın veri güvenliğini sağlayabilmek amacıyla sanayi standartlarındaki üst düzey güvenlik önlemlerini almaktadır. Bununla birlikte Kişisel Verilerin Korunması Kanunu (KVK) başta olmak suretiyle yürürlükte bulunan mevzuat yükümlülüklerine uygun bir halde faaliyetimizi devam ettirdiğimizi ve kişisel verilerin korunmasına yönelik lüzumlu önleyici ve koruyucu nitelikteki yönetimsel ve teknik tedbirleri azami seviyede aldığımızı belirtmek isteriz.

Bununla beraber, her kurumun karşılaşmış olduğu şeklinde ikimiz de bazen veri ihlali yönünde iddialarla karşı karşıya kalmaktayız. Bu tür iddiaları devamlı dikkate alarak inceleyen Şirketimiz, son dönemdeki veri sızıntısı iddiasını da titizlikle incelemiştir.

Ilk olarak, kullanıcılarımızın Türk Lirası ve kripto varlıklarının güvenliği ve sistemimizde herhangi bir güvenlik ihlali olup olmadığı incelenmiş, meydana getirilen detaylı araştırma neticesinde güvenlik zafiyetine niçin olabilecek bir problem yada siber saldırının söz mevzusu olmadığı görülmüştür. Bu suretle, siz kıymetli kullanıcılarımızın BtcTurk nezdindeki Türk Lirası ve kripto varlıklarının güvende bulunduğunu ve güvenle saklandığını belirtmek isteriz. Kullanıcılarımız devamlı olduğu şeklinde Türk Lirası ve kripto varlıklarını 7/24 güvenle yatırıp çekebilirler.

Sistemlerimizde güncel herhangi bir problem, siber hücum yada tehdit olmadığından güvenilir olunduktan sonrasında siber güvenlik ekiplerimiz tarafınca geçmişe yönelik incelemelere başlanılmıştır. Şirketimiz nezdinde titizlikle meydana getirilen geriye dönük araştırma neticesinde Şirketimiz ana sistemlerinde herhangi bir veri ihlali söz mevzusu olmadığı sadece;

– Bahse mevzu iddiada sunulan örnek verilerin, iş ortaklığı içinde olduğumuz kurumlar ile KVK kapsamında meydana getirilen sözleşmelere uygun olarak paylaşılmasından ilkin, Temmuz 2018 tarihinde sistem dışına çıkartılan veri setlerinden birinin taslak hali (veritabanından alınan ilk hali) olduğu değerlendirilmiştir.

– Bahse mevzu veri setinin depolandığı ortamda oluşan bir güvenlik ihlali neticesinde şirket dışına çıkmış olduğu düşünülmektedir.

– Bahse mevzu veri ihlalinde kullanıcılarımızın selfie/özçekim kayıtları, bakiye detayları, banka hesapları, finansal şifreleri ve nitelikli verileri ile ilgili olarak herhangi bir veri sızıntısının söz mevzusu olmadığını önemle bildiririz.

Sızan veriler

Bahse mevzu veri ihlalinden, ihlale mevzu Temmuz 2018 tarihinden ilkin kayıt olmuş 516.954 tane kullanıcımızın Temmuz 2018 tarihinde güncel olan aşağıdaki verilerinin etkilendiği düşünülmektedir;

BtcTurk’te kayıtlı Ad Soyad, TC Kimlik Numarası ve kullanıcı numarası/User ID bilgisi,
BtcTurk’te kayıtlı E-Posta Bilgisi,
BtcTurk’te Kayıtlı Adres Bilgisi,
BtcTurk’te kayıtlı Doğum Zamanı,
BtcTurk’te Kayıtlı Cep Telefonu Numarası,
Temmuz 2018 öncesi hesaba son olarak giriş zamanı,
Temmuz 2018 öncesi hesaba son olarak giriş meydana getirilen IP Adresi ve
Geri döndürülemez şekilde PBKDF2 Algoritması ile Maskelenmiş Kullanıcı Şifreleri

İhlalden etkilenen kullanıcılarımızın veri seti muhteviyatında yer almayan verileri (selfie/özçekim kayıtları, bakiye detayları, banka hesapları, finansal şifreleri ve nitelikli verileri) ile Temmuz 2018 tarihinden sonrasında Şirketimize üye olan kullanıcılarımızın bu ihlalden etkilenmediğini sizlere duyurmak isteriz.

Kullanıcılarımızın işlem güvenliği açısından büyük ehemmiyet teşkil eden gizyazı/parola şeklinde verileri ise sistemlerimizde güvenle saklanmaktadır. PBKDF2 algoritması ile parolalar tek taraflı şekilde saklanarak, ilgili gizyazı sahibi kullanıcı haricinde kimsenin bilemeyeceği ve geriye döndürülemez bir halde korunmaktadır. PBKDF2 algoritmasının mevcut teknolojik imkanlarla geri döndürülmek suretiyle şifrelerin tespiti mümkün değildir.

Yukarıda anlatılan verileri sızıntıya uğrayan kullanıcılarımız ile sırasıyla iletişime geçilmeye başlanmıştır.

BtcTurk sistemlerinde mevcut durumda, kullanıcılarımızın kişisel verilerini ya da işlem güvenliğini etkileyebilecek bir güvenlik zafiyeti söz mevzusu değildir. Bu hususun Şirket içi siber güvenlik ekibi ve bağımsız şirketlere yaptırılan rutin denetimler ve sızma testleri ile durağan(durgun) bulunduğunu belirtmek isteriz.

Bugün uyguladığımız politikalar neticesinde benzeri bir ihlalin yaşanması ise söz mevzusu değildir. Hazırlanan veri setleri, küresel ve mahalli itibarlı finansal kuruluşların da tercih etmiş olduğu, DLP sistemleri ile takip edilmekte olup, veri transferleri siber güvenlik ekiplerince sınırlandırılmakta ve kayıt altına alınmaktadır. BtcTurk, kullanıcı güvenliği ve işlem güvenliğini arttırmak için devamlı kendini geliştirmekte ve güncel tehdit yada siber hücum metotlarına karşı yeni önlemler almaya devam etmektedir.

Şirketten koruma önerileri

Bununla beraber kullanıcılarımızın devamlı olduğu şeklinde hesap güvenliklerini temin etmek için;

Gizyazı/parola mahremiyetine itina göstermelerini,
Gizyazı/parola bilgilerini hiçbir şekilde üçüncü kişilerle paylaşmamalarını,
Oltalama/phishing saldırılarına karşı dikkatli olmalarını,
2FA kodlarını ve/yada şifrelerini/parolalarını isteyen yada gönderilen bağlantılara tıklamaya yönlendirilen e-posta mesajlarına, aramalara, web sitelerine vb. karşı dikkatli olmalarını,
Hesap bilgilerini ve/yada gizyazı/parolalarını kamuya açık bilgisayarlarda ve web bağlantılarında kullanmamalarını,
Cihazların güvenliğine itina göstermelerini ve lüzumlu gördükleri öteki tedbirleri almalarını tavsiye etmekteyiz.
Yukarıda açıklanan söz mevzusu hususlar ile ilgili olarak Şirketimiz nezdinde tüm ek tedbirler alınmış, KVVK (Kişisel Verileri Koruma Kurulu), USOM (Ulusal Siber Vakalara Müdahale Merkezi) ve İstanbul Cumhuriyet Başsavcılığı’na lüzumlu bildirimler yapılmış ve kabahat unsuru içeren eylemlerde bulunan kişiler hakkında da ilgili yasal mercilere başvurulmuştur.

Bu suretle, tüm kullanıcılarımızın Şirketimiz nezdinde tutulan Türk Lirası bakiyelerinin ve kripto varlıklarının güvende bulunduğunu ve güvenle saklandığını kamuoyuna bildiririz.

Bu süreçte bizlere destek olan tüm kıymetli kullanıcılarımız ile yapıcı eleştiri ve katkıda bulunan tüm paydaşlarımıza sağduyulu yaklaşımları ve BtcTurk’e duydukları itimat için teşekkürlerimizi sunarız.

Türkiye’nin ilk ve dünyanın dördüncü kripto para alım satım platformu olarak faaliyetlerimiz kesintisiz olarak sürmektedir; BtcTurk olarak kullanıcılarımıza bugüne dek olduğu şeklinde mevcut durumda da 7/24 canlı destek vermeye ve devamlı yazışma halinde olmaya devam ediyoruz.