2021 tarihli bir T-Mobile veri sızıntısı, milyonlarca müşterinin verisini ortaya çıkardı. Washington Eyaleti şimdi telekom devine dava açıyor. Davada, T-Mobile’ın müşterileri koruyamadığı ve bilgilendirmediği iddia ediliyor.

ABD’nin Washington Eyaleti, 2021 veri sızıntısı sonrasında tüketici korumalarındaki başarısızlıklarından dolayı telekomünikasyon devi T-Mobile’a yasal işlem başlatıyor. Sızıntı sonucunda dünya çapında yaklaşık 79 milyon tüketici, eyaletteki neredeyse 184.000 müşterinin sosyal güvenlik numaralarını da içeren verilerinin ifşa olduğu belirtiliyor. Washington’ın dava dosyasına göre T-Mobile’ın ‘2 milyondan fazla Washingtonlu’nun hassas kişisel bilgilerini yeterince koruyamadığı’ iddia ediliyor. Devlet, bu başarısızlığın bu tüketicileri dolandırıcılığa ve kimlik hırsızlığına karşı savunmasız bıraktığını iddia ediyor. Dava, sızıntının ‘tamamen önlenebilir’ olduğunu ve T-Mobile’ın siber güvenlik sistemlerindeki temel zayıflıkları düzeltmek için yıllarının olduğunu, ancak bunları doğru şekilde ele almadığını açıklıyor. Güvenlik izleme eksikliği, T-Mobile’ın sızıntıdan haberdar olmadığı anlamına geliyordu.

T-Mobile müşterileri yanıltıldı

Dava, T-Mobile’ın etkilenen tüketiciye sızıntının ciddiyetini kasıtlı olarak küçülttüğünü, etkilenen müşterilere eksik bilgi verdiğini iddia ediyor. Bu durum, müşterilerin ‘kimlik hırsızlığı veya dolandırıcılık riskini yeterince değerlendirmelerine’ engel oldu. Şirket, etkilenen müşterilere metin mesajları gönderdi ancak yasal olarak gereken bilgileri içermedi. Kart bilgileri veya sosyal güvenlik numaraları tehlikeye girmeyen müşterilere bu durum bildirilirken, bu bilgileri tehlikeye düşen müşterilere herhangi bir bilgi verilmedi. Dava dosyasına göre, T-Mobile ‘zayıf kimlik bilgileri’ kullandı ve ‘kolayca tahmin edilebilir bir kullanıcı adı ve parola’ kullandı ve çalındıktan hemen sonra ifşa olan veriler karanlık webde satışa sunuldu.

T-Mobile, son zamanlarda 2021 ve 2023 yılları arasındaki bir dizi yüksek profilli veri sızıntısı sonrasında FCC’ye 15 milyon doların üzerinde ceza ödemeyi kabul etti. Şirket ayrıca siber güvenlik altyapısında önemli değişiklikler yapmaya ve daha güçlü kimlik ve erişim yönetimi çerçeveleri benimsemeye zorlandı.