Çalınan tek şifreyle 17 milyon öğrencinin verisi sızdırıldı

Dört ay boyunca SFTP sunucusunda fark edilmeden kaldılar

Saldırganlar 22 Mayıs'tan 18 Eylül'e kadar sunucuya defalarca girip verileri indirmesine rağmen sistem alarm vermedi.

Saldırı, California Eğitim Bakanlığı adına sınav ve veri yönetimi yürüten kâr amacı gütmeyen Educational Testing Service (ETS) bünyesindeki bir SFTP (Güvenli Dosya Aktarım Protokolü) sunucusunu hedef aldı. Malwarebytes raporuna göre yetkisiz kişiler, neredeyse dört ay boyunca sisteme düzenli aralıklarla giriş yaparak öğrenci dosyalarını parça parça kopyaladı. Güvenlik ekipleri olağandışı hareketliliği ancak 25 Eylül'de fark edebildi.

İşin vahim tarafı, ortada karmaşık bir sıfır gün (zero-day) açığı ya da gelişmiş bir altyapı sızması bulunmuyor. İncelemeler, saldırganların sisteme doğrudan çalınan kimlik bilgileri ile elini kolunu sallayarak girdiğini gösteriyor. Giriş bilgilerinin nasıl ele geçirildiği henüz açıklanmadı; ancak geçtiğimiz dönemde sahte WatchGuard VPN sitesi admin şifrelerini çaldı haberinde gördüğümüz gibi, en temel kimlik doğrulama adımlarının atlanması kamu kurumlarına çalışan dev yüklenicileri bile savunmasız bırakıyor.

Üç yıllık veri tabanı: 17 milyon öğrencinin kaydı tehlikede

ETS resmi bir kurban sayısı paylaşmaktan kaçınsa da eyalet yetkilileri ihlalin üç akademik yılı kapsadığını belirtiyor. Yalnızca 2025–2026 eğitim döneminde California'daki devlet okullarında 5,7 milyondan fazla öğrenci kayıtlıydı. Kayıtlarda mükerrer temizlik yapılmadığı varsayıldığında, etkilenen mevcut ve eski öğrenci sayısının 17 milyonu bulabileceği tahmin ediliyor.

Kopyalanan veritabanında öğrencilerin adları, ev adresleri, doğum tarihleri ve eyalet öğrenci kimlik numaraları (SSID) yer alıyor. Ticari bir hedef olan Burger King Japonya hacklendiğinde 11 milyon kişinin siparişleri sızmıştı; ancak çocuklara ait verilerin çalınması çok daha sinsi riskler barındırıyor. Reşit olmayan bireyler kredi geçmişlerini veya adlarına açılan hesapları kontrol etmediği için, bu temiz kimlik verileri yıllarca fark edilmeyecek sentetik dolandırıcılık operasyonları için birincil hedef haline geliyor.

Türkiye'deki okullar ve veliler için ne anlama geliyor?

Söz konusu veri sızıntısı doğrudan California devlet okulları altyapısını ve ABD'deki ETS veritabanını kapsıyor; Türkiye'deki öğrencileri veya ulusal sınav sistemlerini doğrudan etkileyen bir durum bulunmuyor. Ancak TOEFL ve GRE gibi küresel ETS sınavlarına Türkiye'den giren kullanıcıların hesaplarının bu sunucuda tutulmadığı, sızıntının yerel bir eyalet projesine özel SFTP sunucusuyla sınırlı olduğu biliniyor.

Yine de vaka, Türkiye'deki e-okul veya özel okul portallarına hizmet veren üçüncü taraf yazılım firmalarının güvenliği açısından ciddi bir uyarı niteliğinde. Özellikle ebeveynlerin ve kurumların, çocukların T.C. kimlik numarası ve adres gibi kritik verilerini barındıran taşeron sistemlerde çok faktörlü kimlik doğrulamanın (MFA) zorunlu tutulup tutulmadığını sorgulaması gerekiyor.

Yetkililer etkilenen ailelere tebligat göndermeye başlarken, bu skandal üçüncü taraf yazılımlara verilen veri saklama ve erişim izinlerinin ne kadar sıkı denetlenmesi gerektiğini bir kez daha gösterdi. Dört ay boyunca hiçbir denetim mekanizmasına takılmayan bu ihmalin sonuçlarını temizlemek yıllar alacak.