Telekomünikasyon şirketi CSCTelecom'un Letonya şubesine ait internete açık bir ClickHouse veritabanında 125 milyondan fazla kısa mesaj (SMS) tespit edildi; anlık güncellenen kayıtlar yüzünden doğrulama kodu ve parola sıfırlama bağlantıları alıcıdan önce görülebilecek durumdaydı. Cybernews araştırma ekibi, Ekim 2022'den Eylül 2026'ya uzanan bu veri sızıntısı bulgusunu 11 Kasım 2026'da açıkladı.
Cybernews ekibine göre yeni gönderilen mesajlar veritabanına anında düşüyordu. Araştırmacılar açık veritabanını 28 Eylül 2026'da bulduklarını ve hizmetin yalnız eylül ayında 3 milyondan fazla SMS gönderdiğini belirtti.
Veritabanında neler vardı
Cybernews incelemesine göre açıkta kalan kayıtlar hem teknik meta verileri hem de mesajların tam içeriğini kapsıyordu:
- SMS hizmetini kullanan şirketlerin adları ve mesajların gittiği telefon numaraları
- Doğrulama kodları, geçici parolalar, tıbbi tahlil sonuçları ve banka işlem bildirimleri
- Rezervasyon ayrıntıları, seyahat tarihleri ile ad ve adres içeren kargo bildirimleri
- Zaman damgası, mesaj ücreti ve mobil şebeke yönlendirme bilgisi
Araştırmacılar, Swedbank'a ait mesajlarda IBAN numaraları, işlem tutarları, alıcılar ve kalan bakiyelerin; ERGO mesajlarında belge ve araç plaka numaralarının; airBaltic mesajlarında ise telefon numaraları, uçuş bilgileri ve soyadlarının yer aldığını aktardı.
Hangi kurumların mesajları açığa çıktı
Cybernews ve Delfi haberlerine göre mesajları açığa çıkan kurumlar arasında Letonya'da Swedbank ve SEB bankaları, ERGO ve Compensa sigorta şirketleri ile Letonya'nın 112 acil çağrı hattı bulunuyor. Litvanya'da IKI, Akropolis ve DEPO şirketlerinin yanı sıra airBaltic ve Porsche de listede yer alıyor. CSCTelecom esas olarak Letonya'da faaliyet gösterse de Litvanya ve Estonya'daki işletmeler ve kişiler de olaydan etkilendi.
Neden tehlikeli
Cybernews ekibi, dört yıllık SMS geçmişi üzerinden bir kişinin hangi bankayı kullandığının, nereden alışveriş yaptığının, ne zaman seyahat ettiğinin ve hangi tahlilleri yaptırdığının çıkarılabileceğini, bu bilgilerin de hedefli oltalama (phishing) saldırılarında kullanılabileceğini belirtti.
Cybernews'in sahibi Mediatech'ten Voldemaras Kadys ise Delfi'ye yaptığı değerlendirmede, mesaj içeriği görülmese bile kişinin hangi hizmetleri kullandığını bilmenin hedefli dolandırıcılığa kapı açtığını söyledi. Kadys ayrıca dört yıllık verinin açıkta tutulmasının Avrupa Birliği veri koruma tüzüğüne (GDPR) uyum sorusu doğurduğunu ifade etti.
Veritabanı ne zaman kapatıldı
Cybernews, CSCTelecom'a 29 Eylül 2026'da bildirimde bulunduğunu ve veritabanının 27 Ekim 2026'da kapatıldığını açıkladı. Araştırma ekibi, kötü niyetli kişilerin veritabanına eriştiğine dair kanıt olmadığını, ancak başkalarının da bu kayıtları bulmuş olabileceğini kaydetti. Cybernews şirketten yorum istediğini ve yanıt gelince haberi güncelleyeceğini yazarken, CSCTelecom cephesinden konuya ilişkin bir değerlendirme henüz açıklanmadı.
Türkiye açısından
Bu SMS sızıntısı olayı, bankaların ve uygulamaların SMS gönderimi için kullandığı üçüncü taraf hizmet sağlayıcılarının da sızıntı noktası olabildiğini gösteriyor. Cybernews araştırmacıları, SMS ile doğrulama yerine doğrulama uygulamalarını ve uygulama içi bildirimleri öneriyor.
Kaynaklar
- Cybernews, Huge European telecom leak exposes Swedbank, SEB, airBaltic and dozens of other companies' clients, 11 Kasım 2026
- Delfi, Kibernetinės atakos metu nutekinta 125 mln. žinučių, 11 Kasım 2026
- lrytas, Nutekinta 125 mln. SMS žinučių, 11 Kasım 2026
Kapak görseli: «Swedbank, Valmieras filiāle», Dor Shabashewitz, Wikimedia Commons, CC BY 4.0 (kırpıldı, 1200x675).
