OnePlus, ABD’de Bir Güvenlik Açığını Kapattı
Ürettiği fiyat/performans telefonlarıyla hafızalara kazınan akıllı telefon üreticisi OnePlus, veri sızıntısına niçin olabilecek bir güvenlik açığını kapattığını duyurdu. Söz mevzusu açığın, güvence dışı onarım faturalama sisteminde meydana geldiği belirtiliyor.
Çin merkezli akıllı telefon üreticisi OnePlus, güvence dışı onarım faturalama sistemindeki bir güvenlik açığını düzelttiğini deklare etti. 30 Haziran’da keşfedilen güvenlik açığının; telefon modeli, telefon numaraları, e-posta adresleri, IMEI numaraları ve fizyolojik adresler şeklinde satın alan bilgilerini ifşa etmiş olduğu, güvenlik açığından yalnızca ABD’deki kullananların etkilendiği belirtiliyor.
Android Police, bir okuyucu tarafınca paylaşılan bilgiler yardımıyla güvenlik açığını ortaya çıkardığını ve problemi çözmek için OnePlus’a informasyon verildiğini söylüyor. Şirket tarafınca meydana getirilen açıklamada ise güvenlik açığının 2 Temmuz tarihinde giderildiği, güvenlik açığı yöntemiyle verilere “kasıtlı erişim girişimleri için hiçbir kanıt bulunamadığını” bildirildi.
Söz mevzusu güvenlik açığı, firmanın onarım faturalandırma sistemindeki bir hatadan kaynaklanıyordu:
OnePlus’tan meydana getirilen açıklamaya nazaran firmanın onarım faturalandırma sistemi, güvence kapsamı dışındaki onarımlar yada firmanın güvence değişiklik programını kullanan müşterilere benzersiz bir üçüncü taraf bağlantısı gönderdi. Kullanıcılara gönderilen bu üçüncü taraf bağlantısı, ödemeleri işlemek için kullanıldığı söyleniyor.
OnePlus, satın alan verilerinin bağlantının oluşturulmasından ödeme bilgilerinin göndermiş olduğu zamana kadar bağlantıda görünür bulunduğunu, ödeme gönderildikten sonrasında ise bağlantının dönem dışı bırakıldığını söylüyor. Şirket, işleme sürecini korumak için bağlantıya erişirken ek bir doğrulama adımı eklediğinin de altını çiziyor.
ABD’de yalnızca ufak bir satın alan grubunu etkilediğinden kuşku edilen güvenlik açığının ne zamandan beri OnePlus sistemlerinde yer almış olduğu bilinmiyor. Sadece güvenlik açığı sebebiyle şu bilgilerin saldırganların eline geçmiş olabileceğinden kuşku ediliyor:
- Sipariş numarası
- Telefon modeli
- IMEI
- Sipariş Zamanı
- Ad
- Adres
- Telefon numarası
- E-posta adresi
- Onarım tutarı
Çinli şirket, ilk kez bu şekilde bir güvenlik açığıyla anılmıyor. Geçen yıllarda da benzer problemlerle karşılaşan ve kullanıcı gizliliğine büyük ehemmiyet verdiğini söyleyen şirket, bu tür sorunların bazılarını saptamak ve gelecekte yaşanabilecek veri ihlallerinin önüne geçmek için bir hata ödül programına haiz.
