NAIC PeopleSoft ஊடுருவலைப் புரிந்துகொள்வது: தாக்குதல்தாரர்கள் மறைக்கப்பட்ட மென்பொருள் பாதுகாப்புக் குறைபாடுகளை எவ்வாறு பயன்படுத்திக் கொண்டார்கள்

National Association of Insurance Commissioners இல் ஏற்பட்ட ஒரு பெரிய ஊடுருவல், மில்லியன் கணக்கான மக்களின் காப்பீட்டுக் கணக்குகளுடன் தொடர்புடைய பல தசாப்த கால மென்பொருளில் உள்ள மறைக்கப்பட்ட குறைபாடுகளைத் தாக்குதல்தாரர்கள் எவ்வாறு பயன்படுத்திக் கொள்கிறார்கள் என்பதை வெளிப்படுத்துகிறது.

ஜூன் 30, 2026 அன்று, Oracle PeopleSoft சர்வரில் உள்ள zero-day பாதுகாப்புக் குறைபாட்டைக் கண்டறிந்து பயன்படுத்திக் கொண்ட பிறகு, ShinyHunters என்ற அறியப்பட்ட பணம் பறிக்கும் கும்பல் தனது அமைப்புகளுக்குள் ஊடுருவியதாக NAIC அறிவித்தது. பெரும்பாலும் பகிரங்கமாகக் கிடைக்கக்கூடிய தரவுகளே திருடப்பட்டதாக அந்த அமைப்பு தெரிவித்தாலும், இந்தச் சம்பவம் ஒரு முக்கியமான நிதர்சனத்தை வெளிப்படுத்துகிறது: நுகர்வோரைப் பாதுகாக்கும் பொறுப்பில் உள்ள அமைப்புகள் கூட பெரும்பாலும் ஆபத்தான பாதுகாப்பு இடைவெளிகளுடன் கூடிய காலாவதியான மென்பொருளையே இயக்குகின்றன.

NAIC என்றால் என்ன, அதை பற்றி நீங்கள் ஏன் கவலைப்பட வேண்டும்?

National Association of Insurance Commissioners என்பது அனைத்து 50 மாநிலங்கள் மற்றும் பிரதேசங்களைச் சேர்ந்த காப்பீட்டு ஒழுங்குமுறை அதிகாரிகள் தொழில் நுட்ப விதிகள் மற்றும் தரநிலைகளில் ஒன்றாகச் செயல்படும் ஒருங்கிணைப்பு அமைப்பாகும். உங்கள் காப்பீட்டு நிறுவனங்களைக் கண்காணிப்பவர்கள் அவற்றை எவ்வாறு நிலையானதாகவும் விதிகளுக்குட்பட்டதாகவும் வைப்பது என்பதை விவாதிக்கும் முக்கிய சந்திப்பு இடமாக இதை நினைக்கலாம்.

உங்களிடம் சுகாதாரம், வாகனம் அல்லது வீட்டு உரிமையாளர் காப்பீடு இருந்தால், NAIC-இன் பணி மறைமுகமாக உங்கள் பாலிசியைப் பாதிக்கிறது. காப்பீட்டு நிறுவனங்களைக் கண்காணிக்கவும், நுகர்வோரைப் பாதுகாக்க வடிவமைக்கப்பட்ட விதிகளை அவை பின்பற்றுவதை உறுதிசெய்யவும் மாநில ஒழுங்குமுறை அதிகாரிகள் பயன்படுத்தும் தரவுத்தளங்களை இந்த அமைப்பு பராமரிக்கிறது. NAIC-இன் அமைப்புகள் பாதிக்கப்படும்போது, உங்களைப் பாதுகாக்க வடிவமைக்கப்பட்ட நிறுவனங்களில் கூட பாதுகாப்பு பலவீனங்கள் இருக்கலாம் என்பதற்கான அறிகுறியாகும்.

ShinyHunters யார், அவர்களுக்கு என்ன வேண்டும்?

ShinyHunters என்பது நிறுவனங்களுக்குள் ஊடுருவி, தரவைத் திருடி, பின்னர் அந்தத் தகவலை இரகசியமாக வைக்க பணம் கோரும் ஒரு பணம் பறிக்கும் கும்பலாகும். இலக்கு வைக்கப்பட்ட நிறுவனம் பணம் செலுத்தவில்லை என்றால், திருடப்பட்ட தகவலை விற்கப்போவதாகவோ அல்லது பகிரங்கமாக வெளியிடப்போவதாகவோ அவர்கள் அச்சுறுத்துகிறார்கள். அவர்கள் தங்கள் குற்றங்களை மறைக்க முயலவில்லை — பணத்திற்காக நிறுவனங்களை பகிரங்கமாக மிரட்டிப் பறிக்கிறார்கள்.

சமீபத்திய ஆண்டுகளில் பல பெரிய நிறுவனங்களில் நடந்த ஊடுருவல்களுடன் இந்த குழுக்கள் தொடர்புபடுத்தப்பட்டுள்ளன. பணம் செலுத்த முடியும் என்று அவர்கள் நினைக்கும் நிறுவனங்களை இலக்கு வைப்பதற்கும், பணம் கிடைக்காதபோது அச்சுறுத்தல்களைச் செயல்படுத்துவதற்கும் பெயர் பெற்றவர்கள். ShinyHunters NAIC-ஐ இலக்கு வைத்தது, அந்த அமைப்பில் இந்த முயற்சிக்கு மதிப்புள்ள மதிப்புமிக்க தகவல்கள் இருப்பதாக அவர்கள் நம்பியதைக் காட்டுகிறது.

zero-day பாதுகாப்புக் குறைபாடு என்றால் என்ன?

zero-day பாதுகாப்புக் குறைபாடு என்பது நிறுவனத்திற்கு வெளியே உள்ள எவருக்கும் தெரியாத ஒரு மென்பொருள் குறைபாடாகும். "zero-day" என்ற பெயர், நிஜ உலகில் அது ஆயுதமாகப் பயன்படுத்தப்படுவதற்கு முன்பு அந்த மென்பொருள் நிறுவனத்திற்கு அந்தச் சிக்கலைச் சரிசெய்ய பூஜ்ஜிய நாட்கள் இருந்தன என்பதைக் குறிக்கிறது.

எந்தவொரு பாதுகாப்பு பேட்சும் இன்னும் இல்லாததாலும், ஆன்டி-வைரஸ் மற்றும் ஃபயர்வால் மென்பொருட்களால் இதைப் பயன்படுத்தும் தாக்குதல்களைக் கண்டறிய முடியாததாலும், பாதிக்கப்பட்டவர்களுக்குத் தங்களைப் தற்காத்துக் கொள்ள வழியில்லாததாலும், கண்டறியப்பட்டவுடன் இந்த குறைபாட்டைப் பல குழுக்கள் பயன்படுத்திக் கொள்ள முடியும் என்பதாலும் இவை மிகவும் ஆபத்தானவை. இந்த வழக்கில், zero-day என்பது பெரும்பாலான பெரிய நிறுவனங்கள் தங்கள் ஊழியர்கள் மற்றும் நிதியை நிர்வகிக்க இன்னும் பயன்படுத்தும் Oracle PeopleSoft மென்பொருளில் மறைக்கப்பட்டிருந்தது. PeopleSoft என்பது பழைய மென்பொருள் — இது 1990 களில் இருந்து பயன்படுத்தப்பட்டு வருகிறது — ஆனால் அதை மாற்றுவது விலையுயர்ந்தது மற்றும் ஆபத்தானது என்பதால் இது ஆயிரக்கணக்கான நிறுவனங்களில் ஆழமாகப் பதிந்துள்ளது.

தாக்குதல்தாரர்கள் ஏன் PeopleSoft-ஐ இலக்கு வைப்பார்கள்?

PeopleSoft பல காரணங்களுக்காக ஒரு கவர்ச்சிகரமான இலக்காகும். முதலாவதாக, இது எங்கும் உள்ளது — அரசு முகமைகள், மருத்துவமனைகள், பல்கலைக்கழகங்கள் மற்றும் நிதி நிறுவனங்கள் போன்ற பெரிய நிறுவனங்கள் இன்னமும் இதை நம்பியுள்ளன. ஒரே ஒரு பாதுகாப்புக் குறைபாடு ஒரே நேரத்தில் நூற்றுக்கணக்கான அல்லது ஆயிரக்கணக்கான நிறுவனங்களைப் பாதிக்கக்கூடும்.

இரண்டாவதாக, PeopleSoft உணர்திறன் மிக்க அமைப்புகளைக் கையாள்கிறது. மென்பொருள் பணியாளர் தரவு, ஊதியம், நன்மைகள் மற்றும் அணுகல் கட்டுப்பாடுகளை நிர்வகிக்கிறது. NAIC-இல், எந்தத் தரவுத்தளங்கள் மற்றும் அமைப்புகளை யார் அணுகலாம் என்பதைக் கட்டுப்படுத்தியிருக்கலாம். PeopleSoft-ஐப் பாதிப்படையச் செய்வது என்பது தாக்குதல்தாரர்கள் நிறுவனத்தின் நெட்வொர்க்கிற்குள் ஆழமாகச் செல்ல முடியும் என்பதாகும்.

மூன்றாவதாக, PeopleSoft ஒரு பழமையான மென்பொருள். நவீன மென்பொருள் வழக்கமாக பாதுகாப்புப் புதுப்பிப்புகளைப் பெறுகிறது. பழைய அமைப்புகளுக்கு சில நேரங்களில் புதுப்பிப்புகள் விரைவாகக் கிடைப்பதில்லை, அதாவது பாதுகாப்புக் குறைபாடுகள் பேட்ச் செய்யப்படும் முன் பல மாதங்கள் அல்லது ஆண்டுகள் வரை நீடிக்கக்கூடும்.

உண்மையில் என்ன திருடப்பட்டது?

NAIC மூன்று வகையான தகவல்களை ShinyHunters திருடியதாகக் கூறியது: பகிரங்கமாகக் கிடைக்கக்கூடிய தரவு, காலாவதியான பதிவுகள் மற்றும் உள்ளமைப்புக் கோப்புகள்.

பகிரங்கமாகக் கிடைக்கக்கூடிய தரவு மிகவும் கவலைப்படத் தேவையில்லாதது — இது NAIC ஏற்கனவே பகிரங்கமாகப் பகிர்ந்த தகவலாக இருக்கலாம். காலாவதியான பதிவுகள் மற்றும் உள்ளமைப்புக் கோப்புகள் மிகவும் தீவிரமானவை. உள்ளமைப்புக் கோப்புகள் என்பது அமைப்புகள் எவ்வாறு அமைக்கப்பட்டுள்ளன, என்ன சர்வர்கள் உள்ளன, பயனர் கணக்கு அமைப்புகள் மற்றும் பாதுகாப்பு அமைப்புகளைக் காட்டும் வரைபடங்கள் போன்றவை. ஒரு தாக்குதல்தாரருக்கு, இந்தத் தகவல் மதிப்புமிக்கது — இது எதிர்காலத் தாக்குதல்களைத் திட்டமிட அல்லது தகவலை பிற குற்றவாளிகளுக்கு விற்க உதவுகிறது.

பெரும்பாலும் பொதுத் தரவுகளே திருடப்பட்டதாக NAIC அளித்த அறிக்கை ஒப்பீட்டளவில் நல்ல செய்தி, ஆனால் உள்ளமைப்புக் கோப்புகள் மட்டுமே அதே மென்பொருளை இயக்கும் பிற நிறுவனங்களுக்கு எதிரான தொடர் தாக்குதல்களுக்குப் பயன்படுத்தப்படலாம்.

இது இப்போது ஏன் முக்கியமானது

2026 இல், மேகக்கணி பயன்பாடு மற்றும் செயற்கை நுண்ணறிவு பற்றி நாம் தொடர்ந்து பேசுகிறோம், இருப்பினும் பழைய மென்பொருள் மூலமாகவே பெரிய ஊடுருவல்கள் இன்னமும் நிகழ்கின்றன. நிறுவனங்கள் தங்களை எவ்வாறு சந்தைப்படுத்துகின்றன — அதிநவீன மற்றும் நவீனமானவை — மற்றும் 1990 களில் இருந்து 30 ஆண்டுகள் பழமையான மென்பொருளை இயக்கி அவை உண்மையில் எவ்வாறு செயல்படுகின்றன என்பதற்கிடையே ஒரு தொடர்ச்சியான இடைவெளி இருப்பதை இது காட்டுகிறது.

NAIC ஊடுருவல் மிகவும் முக்கியமானது, ஏனெனில் இது காப்பீட்டு நுகர்வோரைப் பாதுகாக்கும் பொறுப்புள்ள நிறுவனங்களைப் பாதிக்கிறது. காப்பீட்டு நிறுவனங்களை ஒழுங்குபடுத்த வடிவமைக்கப்பட்ட அமைப்புகள் பாதுகாப்பாக இல்லை என்றால், பரந்த காப்பீட்டு அமைப்பை நம்ப முடியுமா என்ற கேள்விகளை இது எழுப்புகிறது. சாதாரண மக்களுக்கு, உடனடி ஆபத்து வரம்பிற்குட்பட்டது — திருடப்பட்ட தரவு பெரும்பாலும் பொதுவானது என்று NAIC கூறுகிறது. ஆனால் நீங்கள் சார்ந்திருக்கும் அமைப்புகள், உங்களைப் பாதுகாக்க வடிவமைக்கப்பட்ட அமைப்புகள் கூட, போதுமான விரைவாகச் சரிசெய்யப்படாத பாதுகாப்புக் குறைபாடுகளைக் கொண்டுள்ளன என்பதற்கான ஒரு அறிகுறியாகும்.

zero-days-க்கு எதிராக நிறுவனங்கள் எவ்வாறு போராடுகின்றன

zero-day பாதுகாப்புக் குறைபாடுகளுக்கு அதிகாரப்பூர்வ பேட்ச் எதுவும் இல்லாததால், முழுமையான தற்காப்பு சாத்தியமற்றது. இருப்பினும், தங்களது பாதுகாப்பு ஊடுருவப்படும் என்று கருதி, ஒரு பகுதி பாதிக்கப்பட்டாலும் மற்றவை பாதுகாப்பாக இருக்கும் வகையில் அமைப்புகளை வடிவமைப்பதன் மூலம் நிறுவனங்கள் சேதத்தைக் குறைக்கலாம். பிணையப் பிரிவு முக்கிய அமைப்புகளைப் பிரித்து வைப்பதால், தாக்குதல்தாரர்கள் ஒரு அமைப்பிலிருந்து மற்றொரு அமைப்பிற்கு எளிதாக நகர முடியாது. செயல்பாட்டைக் கண்காணிப்பது ஊடுருவல் காரரைச் சுட்டிக்காட்டக்கூடிய அசாதாரண நடத்தையை வெளிப்படுத்துகிறது, மேலும் பேக்கப்புகளைப் பராமரிப்பது கப்பம் செலுத்தாமல் மீட்டெடுக்க அனுமதிக்கிறது.

அறியப்பட்ட பாதுகாப்புக் குறைபாடுகளை உடனுக்குடன் புதுப்பிப்பதன் மூலமும் நிறுவனங்கள் பலனடைகின்றன — zero-days-ஐத் தடுப்பது கடினம் என்றாலும், பெரும்பாலான ஊடுருவல்கள் பேட்ச்கள் கிடைக்கக்கூடிய அறியப்பட்ட குறைபாடுகளையே பயன்படுத்திக் கொள்கின்றன.

முடிவுரை

PeopleSoft zero-day பாதுகாப்புக் குறைபாடு மூலம் NAIC இல் ShinyHunters நடத்திய ஊடுருவல், பழமையான மென்பொருள்கள் ஏன் ஒரு முக்கியமான பாதுகாப்பு சவாலாக இருக்கின்றன என்பதை விளக்குகிறது. நுகர்வோரைப் பாதுகாக்கும் பொறுப்பில் உள்ள நிறுவனங்கள் கூட மறைக்கப்பட்ட குறைபாடுகளுடன் கூடிய பல தசாப்த கால பழைய அமைப்புகளை இன்னமும் இயக்குகின்றன. உடனடிச் சேதம் வரம்பிற்குட்பட்டதாகத் தோன்றினாலும், இந்தச் சம்பவம் விரைவான பாதுகாப்புப் புதுப்பிப்புகளின் அவசியத்தையும் முக்கிய உள்கட்டமைப்பை அதிவிரைவாக நவீனமயமாக்குவதையும் அடிக்கோடிட்டுக் காட்டுகிறது.

நன்மைகள்

• வெளிப்படைத்தன்மை — NAIC ஊடுருவலை மறைக்காமல் பகிரங்கமாக வெளிப்படுத்தியது, இதுவே ஒழுங்குபடுத்தப்பட்ட நிறுவனங்கள் செய்ய வேண்டிய ஒன்றாகும்
• வரம்பிற்குட்பட்ட பாதிப்பு — பெரும்பாலும் பகிரங்கமாகக் கிடைக்கக்கூடிய தரவுகளே திருடப்பட்டன, இது நுகர்வோருக்கு நேரடிப் பாதிப்பைக் குறைக்கிறது
• அதிகரித்த விழிப்புணர்வு — இது போன்ற ஊடுருவல்கள் zero-day பாதுகாப்புக் குறைபாடுகள் எவ்வளவு பொதுவானவை என்பது பற்றிய விழிப்புணர்வை உயர்த்துகின்றன
• பொறுப்புக்கூறல் — பகிரங்க வெளிப்படுத்தல் என்பது NAIC-இன் பாதுகாப்பு நடைமுறைகள் போதுமானவையா என்பதை ஒழுங்குமுறை அதிகாரிகள் பரிசீலிக்க முடியும் என்பதாகும்

குறைபாடுகள்

• Zero-day கண்டறியப்படாமல் இருந்தது — பாதுகாப்புக் குறைபாடு பயன்படுத்திக் கொள்ளப்படுவதற்கு முன்பு பல மாதங்கள் அல்லது ஆண்டுகள் இருந்திருக்க வாய்ப்புள்ளது
• உள்ளமைவு வெளிப்பாடு — திருடப்பட்ட கோப்புகள் PeopleSoft அமைப்புகளுக்கு எதிரான எதிர்காலத் தாக்குதல்களுக்கு ஒரு வழிகாட்டியை வழங்குகின்றன
• பழமையான மென்பொருள் ஆபத்து — உலகம் முழுவதிலும் உள்ள மில்லியன் கணக்கான நிறுவனங்கள் தீவிர பாதுகாப்பு இடைவெளிகளுடன் கூடிய பல தசாப்த கால பழைய மென்பொருளையே நம்பியுள்ளன
• தொடரும் அச்சுறுத்தல் — ShinyHunters தொடர்ந்து செயலில் உள்ளது மற்றும் இதுபோன்ற பாதுகாப்பற்ற அமைப்புகளைப் பயன்படுத்தும் பிற நிறுவனங்களை இலக்கு வைக்கும்

எச்சரிக்கை

இந்தக் கட்டுரையில் உள்ள விவரங்கள் NAIC-இன் அறிக்கைகள் மற்றும் பாதுகாப்புச் செய்தி அறிக்கைகளை அடிப்படையாகக் கொண்டவை. ஊடுருவலின் உண்மையான அளவு மற்றும் zero-day இன் முழுமையான தொழில்நுட்ப விவரங்கள் மாறுபடலாம். பாதுகாப்பு முடிவுகளை எடுப்பதற்கு முன், அதிகாரப்பூர்வ NAIC தொடர்புகள் மூலம் தகவலைச் சரிபார்த்து, உங்கள் சொந்தப் பாதுகாப்புக் குழுக்களைக் கலந்தாலோசிக்கவும். விசாரணைகள் தொடரும்போது ஊடுருவல் விவரங்கள் பெரும்பாலும் உருவாகின்றன என்பதையும், ஆரம்ப அறிக்கைகள் முழுமையான படத்தைப் பிரதிபலிக்காமல் போகலாம் என்பதையும் புரிந்து கொள்ளுங்கள். உங்கள் சொந்த ஆபத்து மதிப்பீடு மற்றும் சரிபார்ப்புடன் தொடரவும்.

அடிக்கடி கேட்கப்படும் கேள்விகள்

• PeopleSoft என்றால் என்ன, பல நிறுவனங்கள் ஏன் அதை இன்னமும் பயன்படுத்துகின்றன?
• zero-day பாதுகாப்புக் குறைபாடுகள் கண்டறியப்படுவதற்கு முன்பு பொதுவாக எவ்வளவு காலம் அறியப்படாமல் இருக்கும்?
• zero-day பாதுகாப்புக் குறைபாட்டிற்கும் அறியப்பட்ட பாதுகாப்புக் குறைபாட்டிற்கும் என்ன வித்தியாசம்?
• காப்பீட்டு வாடிக்கையாளர்கள் தங்கள் தனிப்பட்ட தரவு பாதிக்கப்பட்டதா என்பதை எவ்வாறு தீர்மானிக்க முடியும்?
• இந்த ஊடுருவலைப் பற்றி காப்பீட்டு வாடிக்கையாளர்கள் கவலைப்பட்டால் அவர்கள் என்ன செய்ய வேண்டும்?
• அரசு முகமைகள் zero-day ஊடுருவல்களை பகிரங்கமாக அறிவிக்க வேண்டுமா?
• அச்சுறுத்தல் செய்பவர்கள் zero-day பாதுகாப்புக் குறைபாடுகளை எவ்வாறு கண்டறிந்து பயன்படுத்துகிறார்கள்?
• zero-day தாக்குதல்களுக்கு எதிராகத் தங்களைப் தற்காத்துக் கொள்ள நிறுவனங்கள் என்ன செய்ய முடியும்?

குறிச்சொற்கள்

#zerodayvulnerability #cybersecurity #NAIC #PeopleSoft #datasecurity #insurancesecurity #legacysoftware #breachresponse #extortion #threatintelligence