Küresel dijital kimlik doğrulama sektörünün önde gelen oyuncularından IDMerit, büyük bir güvenlik ihmaliyle gündeme oturdu. Şirkete ait bir MongoDB veritabanı, herhangi bir şifreleme veya erişim kısıtlaması olmaksızın tamamen korumasız bir şekilde internete açık bırakıldı. Bu skandal veri sızıntısı, 26 farklı ülkeden yaklaşık 1 milyar kişisel kaydı doğrudan etkiledi ve siber güvenlik uzmanları tarafından “dijital çağın en büyük ihmallerinden biri” olarak nitelendiriliyor.
Cybernews araştırma ekibi tarafından 11 Kasım 2025 tarihinde keşfedilen açık veritabanı, toplamda 1 terabayt büyüklüğünde veri içeriyordu. Araştırmacılar, aynı gün şirketle iletişime geçerek durumu bildirdi ve IDMerit ekibi veritabanını hızla güvence altına aldı. Ancak uzmanlar, otomatik tarayıcıların bu tür açık veritabanlarını saniyeler içinde tespit edip indirdiğini belirterek, verilerin büyük olasılıkla kötü niyetli kişiler tarafından ele geçirilmiş olabileceğini vurguluyor.
Sızan veriler neler içeriyor?
KYC yani Kimlik Doğrulama süreçlerinde kullanılan hassas bilgiler, şu detayları kapsıyordu:
- Tam ad ve soyad
- Doğum tarihi ve cinsiyet
- Ev adresi ve posta kodu
- Telefon numaraları
- E-posta adresleri
- Ulusal kimlik numaraları (nüfus cüzdanı, pasaport vb.)
- Telekomünikasyon meta verileri
- Sosyal medya profilleri ve ihlal durumlarına ilişkin notlar
En fazla etkilenen ülke ABD oldu; yaklaşık 203-204 milyon kayıt bu ülkeye ait. Bunu Meksika (123 milyon), Filipinler, Almanya, İtalya, Fransa, Çin, Brezilya ve diğer ülkeler izliyor.
Bu sızıntı neden bu kadar kritik?
IDMerit, finansal hizmetler, fintech şirketleri, sigorta ve telekomünikasyon sektörlerinde kimlik doğrulama çözümleri sunan bir firma. Yani bu veriler, banka hesap açılışlarından kredi başvurularına, kripto para platformlarından online alışverişe kadar pek çok alanda kullanılabiliyor. Açığa çıkan bilgilerle siber suçlular şu riskleri yaratabilir:
- Kimlik hırsızlığı
- Hesap ele geçirme
- Hedefli kimlik avı saldırıları
- Kredi kartı dolandırıcılığı
- Sahte hesap oluşturma
Şirketin AI tabanlı dijital kimlik doğrulama teknolojisiyle çalıştığı düşünüldüğünde, bu kadar büyük ölçekli bir korumasız veritabanı bırakılması sektördeki güvenilirlik tartışmalarını alevlendirdi.
IDMerit ne yaptı?
Şirket, bildirimin ardından veritabanını derhal kapattı ve erişimi engelledi. Henüz resmi bir açıklama yayınlanmasa da, kaynaklar herhangi bir kötü niyetli erişim veya veri indirilmesinin doğrulanmadığını belirtiyor. Ancak sızıntının süresi ve veritabanının açıkta kalma süresi nedeniyle, verilerin dark web’de dolaşıma girmiş olma ihtimali yüksek.
Kullanıcılar ne yapmalı?
- Tüm hesaplarınızda güçlü ve benzersiz şifre kullanın
- İki faktörlü kimlik doğrulamayı (2FA) mutlaka etkinleştirin
- Kredi ve banka hesaplarınızı düzenli takip edin
- Şüpheli e-posta veya mesajlara karşı dikkatli olun
Bu olay, şirketlerin veritabanı güvenliği konusunda sıfır tolerans politikası uygulaması gerektiğini bir kez daha gösterdi. IDMerit veri sızıntısı, dijital kimlik yönetiminin ne kadar kırılgan olabileceğini acı bir şekilde hatırlatıyor.
