Güncelleme: 28 Mayıs 2019
Flipboard kısa bir süre önce, kullanıcı verilerinin bir kısmını içeren bir güvenlik olayı tespit etti ve bu olayın üzerine gitti. Topluluğumuz için şeffaflığın önemli olduğunu bildiğimizden, soruşturmamız sonucunda öğrendiklerimizi, aldığımız tedbirleri ve kullanıcıların bu olay karşısında atabileceği adımları paylaşmak için bu sayfayı oluşturduk.
Olay neydi?
Son dönemde bazı Flipboard kullanıcılarının hesap giriş bilgileri gibi hesap bilgilerini içeren veritabanlarımızın bazılarına yetkisiz bir şekilde erişildiğini tespit ettik. Bu tespitin ardından derhal bir soruşturma başlattık ve sürece yardımcı olması için dışarıdan bir güvenlik firması da dahil edildi. Soruşturmadan elde edilen bulgulara göre yetkisi olmayan bir şahıs 2 Haziran 2018 ile 23 Mart 2019 ve 21-22 Nisan 2019 tarihleri arasında, Flipboard kullanıcı bilgilerini içeren bazı veritabanlarına erişip bunları muhtemelen kopyalamış.
Hangi bilgiler vardı?
Söz konusu veritabanlarında gerçek adlar, Flipboard kullanıcı adları, kripto ile korunan şifreler ve e-posta adresleri gibi kullanıcılarımızın hesap bilgileri bulunuyor.
Flipboard, şifreleri her zaman, güvenlik uzmanlarının “salted hashing” dediği bir teknikten yararlanarak kripto ile korumaktadır. Şifrelerin hashing yöntemiyle korunmasının avantajı, şifrelerin düz metin formatında saklanmasının gerekli olmamasıdır. Ayrıca her bir şifre için hashing algoritmaları ile birlikte benzersiz bir “salt” (“tuz”) kullanılması sayesinde hash işlemine tabi tutulmuş bu şifreleri kırmak hem çok zor olmakta hem de ciddi bilgisayar kaynakları gerektirmektedir. Kullanıcıların 14 Mart 2012 tarihinden sonra oluşturduğu veya değiştirdiği şifreler, bcrypt adlı bir fonksiyonla hash işlemine tabi tutulmuştur. O tarihten beri değiştirilmeyen kullanıcı şifreleri ise SHA-1 ile benzersiz bir şekilde salt ve hash işlemlerinden geçirilmiştir.
Ayrıca kullanıcılar Flipboard hesaplarını, sosyal medya hesapları gibi bir üçüncü şahıs hesabına bağlamışlarsa veritabanlarında, Flipboard hesabını ilgili üçüncü şahıs hesabına bağlamak için kullanılan dijital simgeler de olabilir. Söz konusu yetkisiz şahsın, kullanıcıların Flipboard hesaplarına bağlı üçüncü şahıs hesaplarına eriştiğine dair herhangi bir kanıt bulmadık. Yine de tedbir olarak, tüm dijital simgeleri değiştirdik veya sildik.
Burada önemli husus, kullanıcılarımızdan Sosyal Güvenlik numaralarını ve devletin verdiği diğer kimlik numaralarını, banka hesaplarını, kredi kartı ve başka finansal bilgileri toplamadığımızdan dolayı, bu olaya bu bilgiler dahil olmamıştır.
Bizim yaptıklarımız
Tüm şifreler kripto ile korunuyor ve olaydan tüm kullanıcıların hesap bilgileri etkilenmemiş olsa da tedbir amaçlı olarak tüm kullanıcıların şifrelerini yeniden ayarladık. Oturumunuzun halihazırda açık olduğu cihazlarda Flipboard’u kullanmaya devam edebilirsiniz. Flipboard hesabınıza yeni bir cihazdan erişeceğiniz zaman ya da oturumu kapattıktan sonra Flipboard’a tekrar giriş yapmak istediğinizde yeni bir şifre oluşturmanız istenecek.
Bir diğer tedbir olarak tüm üçüncü şahıs hesaplarına bağlantı için kullanılan simgelerin bağlantısını kestik ve ortaklarımızla işbirliği içinde, duruma göre tüm dijital simgelerin yerini değiştirdik ya da simgeleri sildik.
Ek olarak, gelecekte böyle bir şeyin tekrar olmasını engellemeye yardımcı olmak üzere, gelişmiş güvenlik tedbirlerini hayata geçirdik ve sistemlerimizin güvenliğini artırmak için ilave yöntemler aramaya devam ediyoruz. Emniyet yetkililerine de haber verdik.
Sizin yapabilecekleriniz
Başka bir işlem yapmadan Flipboard’u kullanmaya devam edebilirsiniz. Fakat bir sonraki hesap oturum açma işleminiz sırasında Flipboard hesabınızın şifresinin güncellenmesi gerektiğini göreceksiniz. Yeni şifrenin nasıl oluşturulacağını anlatan destek sayfamızdan (bağlantısı aşağıda verilmiştir) talimatlara ulaşabilirsiniz. Ayrıca Flipboard için oluşturduğunuz kullanıcı adı ve şifrenin aynısını başka bir çevrimiçi hizmette kullanıyorsanız oradaki şifrenizi de değiştirmenizi öneririz.
Flipboard hesabınızı içerik görmek üzere bir üçüncü şahıs hesabına bağladıysanız bazı durumlarda bağlantıyı tekrar kurmanız gerektiğini fark edebilirsiniz. Destek sayfamızda bunun nasıl yapılacağı ile ilgili talimatları da bulabileceksiniz.
Daha fazla bilgiye nasıl ulaşılabilir?
Bu olaydan dolayı büyük üzüntü içindeyiz. Daha fazla bilgi için sunmak amacıyla olayla ilgili sıkça sorulan soruları bu sayfada yanıtlıyoruz. Bunun dışında yardıma ihtiyacınız olursa Help Center sayfamızda İletişim kısmını seçebilirsiniz.
===
SIKÇA SORULAN SORULAR
Söz konusu olayın Flipboard kullanıcı bilgilerimle ilgisi var mı?
Olaydan tüm Flipboard kullanıcılarının hesap bilgileri etkilenmedi. Etkilenen hesapları tespit etme çalışmalarımız devam ediyor. Bu sırada tedbir olarak tüm kullanıcıların şifrelerini yeniden ayarladık ve tüm dijital simgeleri değiştirdik veya sildik.
Bu olaya ne tür bilgiler dahil olmuş olabilir?
Söz konusu veritabanında aşağıdaki bilgi türleri bulunmaktaydı:
- kullanıcı adları;
- hash ve benzersiz salt işlemlerinden geçirilen şifreler;
- bazı Flipboard kullanıcılarının e-posta adresleri ile üçüncü taraf hesaplarını Flipboard hesaplarına bağlayan dijital simgeler.
Şifrelerin çoğu bcrypt adı verilen bir fonksiyonla hash edilmişti. Hesaplarına 14 Mart 2012 tarihinden beri girmemiş olan Flipboard kullanıcılarının şifreleri benzersiz şekilde salt işlemine tabi tutulmuş şekilde SHA-1 ile korunuyordu.
Flipboard hesabınızı sosyal medya hesapları gibi bir üçüncü şahıs hesabına bağladıysanız, veritabanlarında Flipboard hesabınızı ilgili üçüncü şahıs hesabına bağlamak için kullanılan dijital simgeler de olabilir. Yine de tedbir olarak, kötüye kullanım olasılığını ortadan kaldırmak için tüm dijital simgeleri değiştirdik veya sildik.
Şunu özellikle belirtmek isteriz: Flipboard kullanıcılardan devletin verdiği kimlik numaralarını (Sosyal Güvenlik numaraları, sürücü belgelerinin numaraları vb.) ya da ödeme kartı, banka hesabı ve başka finansal bilgilerini toplamadığından dolayı, bu olaya bu bilgiler dahil olmamıştır.
Gelecekte benzer bir olayın olmasının önüne geçmek için neler yaptınız?
Gelecekte böyle bir şeyin tekrar olmasını engellemeye yardımcı olmak üzere, gelişmiş güvenlik tedbirlerini hayata geçirdik ve sistemlerimizin güvenliğini artırmak için ilave yöntemler aramaya devam ediyoruz. Güvenlik kaygılarından dolayı ayrıntıları paylaşmıyoruz.
Hash işlemine tabi tutulmuş şifre ne demektir?
Bir şifre, hash işlemine tabi tutulduğunda kriptografik algoritmalarla rastgele gibi görünen bir dizi karaktere dönüştürülür. Bu, özel bir anahtarla çözmenin imkânsız olduğu tek yönlü bir fonksiyondur. Şifrelerin hashing yöntemiyle korunmasının avantajı, şifrelerin düz metin formatında saklanmasının gerekli olmamasıdır. Ayrıca her bir şifre için hashing algoritmaları ile birlikte benzersiz bir “tuz” kullanılması sayesinde hash işlemine tabi tutulmuş bu şifreleri kırmak hem çok zor olmakta hem de ciddi bilgisayar kaynakları gerektirmektedir.
“bcrypt” nedir?
Bcrypt; şifrelerin kırılmasına karşı ileri düzeyde koruma sağlamak üzere, bir blok şifreleme kriptolama algoritması ve birden fazla kez hesaplama dahil başka güvenlik özellikleri kullanan bir uyarlanır şifre hashing mekanizmasıdır.
Şifre salting işlemi nedir?
Hash işleminden geçirilmiş bir şifreye “tuz” eklenmesiyle özellikle kaba kuvvet saldırılarına karşı ilave bir güvenlik tabakası katılır. Flipboard’un kullandığı tuzlar, her kullanıcı için özel ve benzersizdir.
Dijital simge nedir?
Flipboard kullanıcıları, Flipboard hesaplarını, sosyal medya ve yayıncı hesapları gibi üçüncü taraf hesaplarına bağlayabilmektedir. Bu tür bir bağlantı yapıldığında dijital simge oluşturulur. Bu dijital simge, kullanıcının Flipboard hesabı ile sosyal medya hesabı arasında, kullanıcıların ilgili üçüncü taraf içeriklerini Flipboard üzerinde görebilmelerini sağlayan benzersiz bir bağlantı sağlar. Bazı durumlarda, kullanıcılara Flipboard’daki makalelere yorum yapma ya da bu makaleleri üçüncü taraf hesaplarıyla paylaşma olanağını da sağlar. Flipboard kullanıcı dijital simgelerinden bazılarının olaydan etkilenen veritabanlarında olması dolayısıyla, tüm kullanıcıların dijital simgelerini değiştirdi veya sildi. Flipboard kullanıcılarının yeni bir dijital simge oluşturmak ve ilgili hesaplara ait içerikleri tekrar görebilmek için Flipboard hesapları için yeniden kimlik doğrulamaları veya yeniden bağlantı kurmaları gerekebilir.
Bu olaydan ne zaman haberiniz oldu?
23 Nisan 2019 tarihinde mühendislik ekibimiz, 21-22 Nisan 2019 tarihlerinde meydana gelen yetkisiz bir faaliyet tespit etti. O sırada 23 Mart 2019 tarihinde olmuş olan şüpheli bir faaliyet ile ilgili araştırma yapıyorduk.
Olaydan nasıl haberiniz oldu?
Mühendislik ekibimiz, veritabanlarının bulunduğu ortamda şüpheli faaliyetler tespit ettikten sonra olaydan haberdar oldu.
Tüm Flipboard kullanıcı hesapları olaydan etkilendi mi?
Hayır. Olaydan tüm Flipboard kullanıcılarının hesapları etkilenmedi. Yine de tedbir olarak tüm kullanıcıların şifrelerini yeniden ayarladık. Flipboard hesabınız varsa hesabınızla bağlantılı e-posta adresinize Flipboard’dan bir e-posta duyurusu gönderildi. Gönderilen e-postanın konusu satırında “Flipboard Güvenlik Duyurusu” yazıyordu.
Kaç tane hesap etkilendi?
Toplam sayısı belirleme çalışmalarımız devam ediyor. Yine de tüm hesapların gizliliğinin ihlal edilmediğini biliyoruz.
Flipboard hesabıma Twitter/Google/Samsung/Facebook ile giriş yapıyordum. Aynı şekilde giriş yapmaya devam edebilir miyim? Şifremi yeniden ayarlamam gerekir mi?
Flipboard hesabınıza Twitter/Google/Samsung/Facebook ile giriş yapıyorsanız aynı şekilde giriş yapmaya devam edebilirsiniz. Şifreniz veritabanımızda saklanmamaktadır. Dijital simgeler ise rotasyon sürecinden geçirilmiştir.
Bu olayı emniyet yetkililerine bildirdiniz mi?
Evet, emniyet yetkililerine haber verdik.
Verilerim olaydan etkilendiyse ne tür riskler söz konusu? Kimliğim çalınabilir mi?
Flipboard kullanıcılardan devletin verdiği kimlik numaraları gibi hassas kişisel bilgilerini (Sosyal Güvenlik numaraları, sürücü belgelerinin numaraları vb.) ya da ödeme kartı, banka hesabı ve başka finansal bilgilerini toplamadığından dolayı, bu olaya bu bilgiler dahil olmamıştır.
Tedbir olarak, Flipboard şifrenizin aynısını ya da benzerini kullandığını diğer hesaplarınızın şifrelerini değiştirmenizi öneririz. Tüm şifreleri düzenli olarak değiştirmeli, farklı internet hesapları için aynı şifreyi veya benzer şifreler kullanmamalısınız.
Dijital simgeleri üçüncü taraf hesaplarıma erişmek için kullanabilirler mi?
Flipboard, tüm dijital simgeleri değiştirdi veya sildi. Bu simgeler artık geçerli değildir ve kötüye kullanılamaz. Dijital simgeler değiştirilmeden veya silinmeden önce yetkisiz kişinin Flipboard hesaplarıyla bağlantılı üçüncü taraf hesaplarına erişme hakkı hem bağlantılı hesabın türüne hem de kullanıcının bağlantıyı kurarken verdiği izinlere göre değişse de yetkisiz kişinin ilgili hesap üzerinden gönderi okuyup paylaşmasına ve mesaj okumasına, kullanıcı adı, profil bilgileri, site gönderileri ve bağlantılar gibi bazı kullanıcı hesabı bilgilerine ulaşmasına izin verilmiş olabilir. Bazı durumlarda bu erişim, bu tür bilgilerde değişiklik yapılmasına, örneğin yeni insanlarla bağlantı davetiyesi gönderilmesine de izin vermiş olabilir. Söz konusu yetkisiz şahsın Flipboard hesaplarınıza bağlı üçüncü şahıs hesaplarına eriştiğine dair herhangi bir kanıt bulmadık.
Flipboard hesabımı güvenli bir şekilde kullanmaya devam edebilir miyim?
Evet. Tüm kullanıcıların şifrelerini yeniden ayarladık ve kullanıcıların hesapları ile bağlantısı olan tüm dijital simgeleri sildik. Dolayısıyla Flipboard’u güvenle kullanmaya devam edebilirsiniz.
Flipboard hesabınıza girmeye çalıştığınız zaman Flipboard hesabınızın şifresinin artık geçerli olmadığını göreceksiniz. Flipboard hesabına e-posta adresi kullanarak giriş yapan kullanıcılara, yeni şifrelerini nasıl oluşturacaklarına ve sosyal medya hesaplarıyla nasıl tekrar bağlantı kuracaklarına ilişkin talimatları içeren bir e-posta gönderdik.
Flipboard hesabına Twitter, Facebook, Samsung veya Google hesaplarından biri ile erişen kullanıcılar içinse oturum açma süreci güvenli olmaya devam etmekte ve şifre değişikliği gerekmemektedir.
Şifremi nasıl yeniden ayarlarım?
Web üzerinden şifrenizi şu adrese giderek yeniden ayarlayabilirsiniz: https://accounts.flipboard.com/. Şifrenizi yeniden ayarlamak için Flipboard hesabınızla bağlantılı e-posta adresinize girmeniz gerekeceğini unutmayın.
İşlemi mobil cihazınızla yapmak isterseniz Flipboard uygulamasında aşağıdaki adımları izleyin:
Android telefonlarda:
- Oturum açma sayfasında önce Get Started (Başlarken), sonra da sağ üst köşedeki Login (Giriş Yap) öğelerini seçin;
- Email (E-posta) öğesini seçip Flipboard ile bağlantılı e-posta adresinizi yazın
- Account Help (Hesap Yardım) sayfasını açmak için Forgot username or password? (Kullanıcı adını veya şifreni mi unuttun?) öğesini seçin;
- Forgot Password? (Şifreni mi Unuttun?) öğesini seçin;
- Hesap e-posta adresinizi girin;
- Send (Gönder) seçeneğine dokunun.
Apple telefonlarda:
- Oturum açma sayfasında önce sağ üst köşedeki Login (Oturum Aç), sonra da Log in with Email (E-posta ile Oturum Aç) öğelerini seçin;
- Account Help (Hesap Yardım) sayfasını açmak için Forgot your password? (Şifreni mi unuttun?) öğesini seçin;
- Forgot Password? (Şifreni mi Unuttun?) öğesini seçin;
- Hesap e-posta adresinizi girin;
- Send (Gönder) seçeneğine dokunun.
Apple iPad’de:
- Already have an account? (Hesabın var mı?) Log In (Oturum Aç) öğesini seçerek başlayın;
- Account Help (Hesap Yardım) sayfasını açmak için Need Help? (Yardıma mı İhtiyacın Var?) öğesini seçin;
- Forgot Password? (Şifreni mi Unuttun?) öğesini seçin;
- Hesap e-posta adresinizi girin;
- Send (Gönder) seçeneğine dokunun.
Android tabletlerde:
- Existing account? (Hesabın var mı?) Tap to log in (Giriş yapmak için dokun) öğesini seçerek başlayın;
- Email (E-posta) öğesini seçip Flipboard ile bağlantılı e-posta adresinizi yazın;
- Account Help (Hesap Yardım) sayfasını açmak için Forgot username or password? (Kullanıcı adını veya şifreni mi unuttun?) öğesini seçin;
- Forgot Password? (Şifreni mi Unuttun?) öğesini seçin;
- Hesap e-posta adresinizi girin;
- Send (Gönder) seçeneğine dokunun.
İlgili bağlantının kullanım süresi belirli bir süre sonra dolacağından şifre yeniden ayarlama işlemini kısa süre içinde tamamlamaya çalışın. Şifre yeniden ayarlama bağlantı artık çalışmıyorsa yeni bir şifre ayarlama e-postası gönderilmesini isteyebilirsiniz. Hesap güvenliğini sağlamak için şifrenizi zaman zaman güncellemenizi öneririz.
Bunların dışında yardıma ihtiyacınız olursa Account Help (Hesap Yardımı) sayfasında Contact Us (Bize Ulaşın) öğesini seçin ya da buraya tıklayarak bize e-posta gönderin.
Flipboard hesabımı tekrar sosyal medya hesaplarıma basıl bağlarım?
Flipboard; kullanıcı dijital simgelerinden bazılarının olaydan etkilenen veritabanlarında olması dolayısıyla, tüm kullanıcıların dijital simgelerini değiştirdi veya sildi. Pek çok durumda erişiminiz bundan etkilenmeyecektir ama haber akışınızı görmek için bağlantıyı tekrar kurmanız gerekebilir.
iOS’ta sosyal hesabınızı Flipboard’a tekrar şöyle bağlayabilirsiniz:
1. Following (Takip Edilenler) sekmenize dokunun;
2. Accounts (Hesaplar) öğesini seçin;
3. Tekrar bağlamak istediğiniz hizmeti seçin;
4. Sosyal hesabınızın giriş bilgilerini girin.
Not: iPad’de “Kırmızı Şerit”e dokunun > Following (Takip Edilenler) > Accounts (Hesaplar) seçimlerini yapın.
Android’de sosyal hesabınızı Flipboard’a tekrar şöyle bağlayabilirsiniz:
1. Profile (Profil) sekmenize dokunun;
2. Settings (Ayarlar) öğesine dokunun;
3. Accounts (Hesaplar) öğesini seçin;
4. Tekrar bağlamak istediğiniz hizmeti seçin;
5. Sosyal hesabınızın giriş bilgilerini girin.
Not: Android tablette profil sayfanızı açın > Settings (Ayarlar) öğesine dokunun > Accounts (Hesaplar) öğesini seçin.
Artık sosyal hesabınızla yepyeni bir oturumunuz var ve normal şekilde kullanmaya devam edebilirsiniz.
Bunun dışında yardıma ihtiyacınız olursa Help Center sayfamızda İletişim kısmını seçebilirsiniz.
Diğer hesaplarımın şifrelerini de yeniden ayarlamam gerekir mi?
Flipboard şifreniz, kripto ile korunuyordu. Bununla birlikte tedbir amaçlı olarak, aynı giriş bilgilerini kullandığınız diğer site veya hesaplarınızın şifrelerini de değiştirmenizi öneririz. Her bir hizmet için ayrı bir şifre kullanmak en iyisidir.
Aldığım e-posta bildiriminin Flipboard’dan olduğunu nasıl anlarım?
Alabileceğiniz e-posta bildiriminin Flipboard’dan olduğu konusunda emin olmanızı isteriz. İlgili e-posta şu e-posta adresinden gelecektir: security-notification@flipboard.com. Başka şirketler geçmişte bu tip bildirimler gönderdiklerinde bunu, sahte web sitelerine yönlendiren bağlantılar kullanarak (oltalama) veya insanların güvendiği birini taklit ederek (sosyal mühendislik) insanları kandırmak ve kendileri hakkında bilgi vermeye sevk etmek üzere kullananlar olmuştu. Bu tip durumların bilincinde olmanız önemlidir. Bizden alacağınız e-postalarda hiçbir ek veya bilgi talebi olmayacağını, verilen bağlantıların ise sizi yalnızca bu web sayfasına ulaştıracağını unutmayın.