bir çalışanın kimlik bilgilerinin çalınmasıyla başlayan sürecin sonunda meta'nın github depolarına sızıldığı, yaklaşık 1.500 çalışanın verisi ve şirket sırlarının ele geçirildiği olay. aslında olayın can alıcı noktası hacklenen sistemin ne kadar sofistike olduğu değil, ne kadar sıradan bir vektörden çöktüğü: tek bir kullanıcının çalınan şifresi. yıllardır anlatılan o klişe cümle yine haklı çıkıyor, zincir en zayıf halkasından kopuyor. 1.500 kişilik bir veri seti ve kaynak kod erişimi, kurumsal dünyada "sıfırıncı gün" açıklarının değil, ihmallerin ve yetersiz yetki yönetiminin ne kadar pahalıya patladığının kanıtı.
burada teknik tarafta konuşulması gereken iki şey var: birincisi least privilege prensibinin hâlâ ciddiye alınmaması, ikincisi de kaynak kodun artık sadece fikri mülkiyet değil, doğrudan bir saldırı yüzeyi olması. kodun içinde gömülü kalmış api anahtarları, iç servis adresleri, yapılandırma dosyaları. bir kere depoya giren biri için bunlar altın madeni. meta gibi bir şirketin bile bu denli basit bir girişle sarsılması, sektörün tamamına "güvenlik bir ürün değil, süreçtir" dersini yeniden veriyor. mfa, donanım anahtarı, erişim logları. hepsi var ama demek ki yetmiyor.
finans tarafından bakınca işin rengi daha da koyulaşıyor. böyle bir sızıntının maliyeti sadece olay müdahalesi ve müşteri tazminatı değil; regülasyon cezaları, hisse senedi üzerindeki baskı ve en önemlisi güven kaybı. kurumsal müşteriler bulut ve altyapı sözleşmelerinde artık denetim raporlarını, pentest sonuçlarını ve sızma bildirim sürelerini madde madde istiyor. bir çalışanın şifresiyle 1.500 kişinin verisinin açığa çıkması, siber güvenlik bütçelerinin neden her yıl iki haneli büyüdüğünün en net gerekçesi. kimse "bize olmaz" diyemiyor artık, sadece "ne zaman olacak" sorusu kalıyor.