Fuji Dağı önünde geçen JR Central N700S Tokaido Shinkansen treni (Takeshi Aida, Wikimedia Commons)

Tokyo Shibuya merkezli Japon e-posta dağıtım sağlayıcısı Ymirlink, şirketlerin müşterilerine toplu e-posta göndermek için kullandığı Cuenote FC hizmetine yönelik yetkisiz erişim olayına ilişkin üçüncü raporunu 11 Kasım 2026'da yayımladı. Şirket, müşteriye özel ASP ortamlarının bir kısmını oluşturan 49 sistemden mükerrer sayımlı toplam 47.864.147 e-posta adresi kaydının dışarı çıkarıldığını kesinleştirdi. Tek bir SaaS e-posta sağlayıcısında yaşanan veri sızıntısı, tedarik zinciri üzerinden JR Central'ın shinkansen rezervasyon hizmeti Smart EX, @cosme, Gundam Base, Animate, DCM ve Resona grubu bankalar dahil çok sayıda markanın müşterilerine uzandı.

Ymirlink olaya ilişkin ilk raporunu 19 Ekim'de, ikinci raporunu ise 26 Ekim'de yayımlamıştı. İkinci raporda dışarı çıkarılan alıcı verisi için üst sınır tahmini yaklaşık 51,62 milyon kayıt olarak açıklanırken, yapılan günlük ve veritabanı eşleştirmesiyle mükerrer kayıtlar ayıklanarak sayı 47.864.147 kayıt olarak netleştirildi. CNET Japan'a göre mükerrer sayımlı bu toplam gerçek kişi sayısını göstermiyor; birden fazla hizmete kayıtlı kullanıcıların e-posta adresleri birden çok kez sayılmış olabileceği için etkilenen gerçek kişi sayısı daha az olabilir.

Çalınan Oturum Bilgisi, CSV Dışa Aktarma ve İç Ağda Yanal Hareket

Ymirlink'in paylaştığı bulgular, saldırganın Cuenote FC altyapısında iki farklı yöntem izlediğini ortaya koydu. Birinci yöntemde saldırgan bir program açığını kullanarak sunucuya zararlı program yerleştirdi ve sistemin merkezindeki veritabanına doğrudan girerek veri aldı. Ardından yönetim amaçlı iç ağ üzerinden başka sunuculara da yanal hareketle yayıldı. Ymirlink, iç ağdaki bu yayılmaya yol açan ortak bakım/QA hesabını tüm altyapıdan sildi.

İkinci yöntemde ise saldırgan aynı program açığından yararlanarak o sırada oturumu açık olan meşru kullanıcıların geçici oturum bilgisini çaldı. Ele geçirilen oturum bilgisi ile web yönetim ekranına meşru kullanıcı gibi giren saldırgan, yönetim panelinin standart CSV dışa aktarma işlevini kullanarak verileri indirdi. Bu yöntem zararlı program yerleştirilmesini ya da doğrudan veritabanı erişimini gerektirmediği ve normal yönetici işlemi gibi göründüğü için fark edilmesi zordu. İlk raporda etkilenen sistem sayısı 5 olarak duyurulmuşken, 25 Ekim'deki tam günlük analizinde oturum çalma ve CSV dışa aktarma yöntemiyle 42 sistemden veri çıkarıldığı belirlendi ve ikinci raporda toplam sayı 49 sisteme yükseldi.

Sızan Veri Türleri ve Diğer Cuenote Hizmetlerinin Durumu

Ymirlink'in yayımladığı tabloya göre Cuenote FC'den dışarı çıkarılan kayıtların veri türüne göre dağılımı şu şekilde kesinleşti:

Kredi kartı gibi ödeme bilgilerinin ise Ymirlink'e göre şu ana kadar sızdığı tespit edilmedi; sızan veri alanlarının ayrıntısı incelenmeye devam ediyor. Bunun yanında Ymirlink'in müşteri yönetim sistemi Cuenote BASE'te de bir program açığı nedeniyle sözleşmeli şirket adı, ad soyad, telefon ve e-posta verilerini içeren 190 kayıt dışarıdan görüntülenebilir durumdaydı; alınan önlemlere rağmen bu sistem kapalı tutuluyor. Cuenote SR-S, SMS, Auth, Survey, Push ve afet durum teyidi hizmetlerinde ise yetkisiz erişim ya da sızıntı yaşanmadı.

Tek Tedarikçiden Büyük Markalara Uzanan Aşağı Akış Etkisi

Çok sayıda kurumun toplu e-posta dağıtımı için tek bir SaaS tedarikçisini kullanması, ihlalin farklı sektörlerdeki markaların müşteri listelerine yansımasına yol açtı. ITmedia ve CNET Japan'da yer alan bilgilere göre sızıntıdan etkilenen başlıca kuruluşlar şunlar oldu:

Müdahale Takvimi, Sıfır Güven Önlemleri ve Japonya Bağlamı

Ymirlink'in zaman çizelgesine göre yetkisiz erişim, 16 Ekim saat 06.49'da (Japonya saati) bir çalışanın kendi hesabında anormallik fark etmesiyle ortaya çıktı. Aynı gün saldırı kaynağı IP adresi engellendi ve açığın yaması geliştirilip tüm altyapıya uygulandı. 17 Ekim'de zararlı program yerleştirilen sunucu durdurularak yalıtıldı ve dış güvenlik kuruluşuyla tüm sunucular tarandı. 18 Ekim'de tüm yönetim ekranlarına ve API'lere IP kısıtlaması getirildi; 19 Ekim'de Tokyo Emniyeti siber ihbar hattına ve Kişisel Bilgileri Koruma Komisyonu'na (PPC) bildirim yapılarak ilk rapor yayımlandı. JIPDEC'e de rapor verilirken IPA ile işlemler sürüyor.

Şirket acil müdahalede zararlı programı temizledi, açığı yamaladı ve bağlantı kaynağı IP kısıtlamasını devreye aldı. Kalıcı önlemler kapsamında dosya erişimi gibi işlemlerde katı girdi doğrulaması, yapay zekâ destekli kaynak kod incelemesi ve olası açıkların otomatik tespiti ile düzenli dış sızma ve açık testleri uygulanacak. Ayrıca sistemlerde kalıcı paylaşılan yönetici yetkisi kaldırılarak çok faktörlü kimlik doğrulamalı güvenli ağ geçidi üzerinden yalnız görev anında en az yetki tanıyan sıfır güven yapısına geçilecek ve tüm sunucularda şüpheli dosya yerleşimini bildiren 7/24 izleme yürütülecek. Dış adli bilişim kuruluşunun son raporu alındığında nihai rapor yayımlanacak; olayın 2026 mali yılı sonuçlarına etkisi inceleniyor.

Sitede daha önce Japonya'daki Nitori'deki 37 milyon müşteri kaydı, Sourcenext'in 22 milyon üye verisi ve JR East ve Bookoff sızıntısı haberleştirilmişti.

Türkiye açısından bakıldığında, kaynaklarda Türkiye'den etkilenen kişi ya da kurum bilgisi yer almıyor.

Kaynaklar

Kapak görseli: Fuji Dağı önünde N700S Tokaido Shinkansen treni, Takeshi Aida / Wikimedia Commons, CC BY-SA 2.0 (16:9 kırpıldı, 1200x675).