Ne Oldu: Her İki Taraf İçin de Çalışan Arabulucu

Bir şirket fidye yazılımı saldırısına uğradığında yaptığı ilk aramalardan biri, bir arabulucuyadır: panik içindeki bir mağdur ile bir suç çetesi arasında duran, fidye talebini düşürmek veya kurtarma için zaman kazanmak üzere çalışan güvenilir bir uzman. Bu ilişki tamamen güvene dayanır. Malwarebytes'in haberine göre, böyle bir arabulucu bu güveni olabilecek en zarar verici şekilde kötüye kullandı. Mağdurların BlackCat fidye yazılımı çetesine karşı koymasına yardımcı olmak yerine, mağdurlar adına yürütmesi gereken müzakerelerin içinden suçlulara gizlice bilgi sızdırdı.

Sonuç, mağdurlara milyonlara mal olan bir fidye yazılımı arabulucu içeriden tehdit senaryosuydu. Arabulucu, bir şirket ile saldırgan arasında bir güvenlik duvarı gibi davranmak yerine, kurbanın mali sınırlarına, hukuk stratejisine ve ödeme yapma isteğine ayrıcalıklı erişimi olan ikinci bir saldırgan hâline geldi. Bu, bir olay müdahale başarısızlığının olabileceği en kötü senaryodur, çünkü kuruluşların para ödeyerek aldığı güvenceyi bir riske dönüştürür.

Hizmet Olarak Fidye Yazılımı Çeteleri Güvenilir Aracıları Nasıl Devşiriyor?

ALPHV olarak da bilinen BlackCat, bir hizmet olarak fidye yazılımı (RaaS) grubu olarak faaliyet gösterir; yani kötü amaçlı yazılımını ve altyapısını saldırıları gerçekleştiren ve kârı paylaşan iştirakçilere lisanslar. Bu iş modeli, çalıntı kimlik bilgilerini satan ilk erişim simsarlarından asıl şifreleme yükünü dağıtan iştirakçilere kadar, gelirden pay almak için iş birliği yapmaya istekli kişilerden oluşan ağlar kurmaya her zaman dayanmıştır. Ele geçirilmiş veya suç ortağı bir arabulucu, bu ağın bir sonraki mantıklı uzantısıdır: Meşru olay müdahale ekosistemine yerleşmiş, çetenin kendi başına asla elde edemeyeceği istihbaratı paylaşabilecek biri.

Bu vaka tam da bu nedenle BlackCat'in ötesinde önem taşır. Fidye yazılımı çeteleri, bir ihlal müdahalesindeki en zayıf halkanın her zaman bir güvenlik duvarı veya yaması yapılmamış bir sunucu olmadığını giderek daha iyi anlıyor. O halka bir kişi, özellikle de mağdurun bir güvenlik olayının en stresli anında güvenmeyi seçtiği bir kişi olabilir. Güven ve erişimi istismar etme ilkesi, fidye yazılımı ve veri gaspı ortamında, saldırganların bir kez içeri girmenin yolunu bulduklarında iç erişimi ne kadar etkili biçimde kullanabildiklerini bir kez daha gösteren ShinyHunters’ın Avrupa Konseyi İK sistemleri ihlali gibi olaylarda da kendini gösterir.

Bu, İhlal Mağdurları İçin Saldırı Yüzeyini Neden Genişletiyor?

Çoğu kuruluş fidye yazılımı riskini kendi ağı açısından düşünür: uç noktalar, sunucular, yedekler, çalışan eğitimi. Çok daha azı, saldırı başladıktan sonra devreye aldıkları satıcı ve danışmanların getirdiği riski düşünür. Oysa bir arabulucu, tıpkı bir adli bilişim uzmanı veya ihlal koçu gibi, bir kriz sırasında bir şirketin sahip olduğu en hassas bilgilerden bazılarına erişebilir: Mağdurun ödemeye hazır olduğu fidye miktarı, gerçekten hangi verilerin çalındığı ve kuruluşun kamuya açıklanmaktan kaçınmak için ne kadar çaresiz olduğu.

Bu erişim kötüye kullanıldığında hasar katlanır. Mağdurlar yalnızca fidyenin kendisiyle para kaybetmekle kalmaz, müzakerelerdeki tüm kozlarını da yitirir, çünkü çete görüşmeler başlamadan onların alt sınırını zaten bilir. Bu vaka, olay müdahale tedarik zincirinin diğer herhangi bir satıcı ilişkisi kadar incelemeyi hak ettiğini ve bir kriz anında sırf doğru unvanı taşıyor diye güvenin asla varsayılmaması gerektiğini hatırlatmaktadır.

Kriz Başlamadan Önce Olay Müdahale Ekipleri ve Arabulucuları Nasıl Değerlendirmeli?

Bir fidye yazılımı arabulucusunu veya olay müdahale firmasını değerlendirmek için en doğru zaman, saldırı gerçekleşmeden öncedir; zaman baskısının özenli bir durum tespitini neredeyse imkânsız hale getirdiği saldırı sırasında değil. Kuruluşlar şu somut adımları atabilir:

  • Firmanın geçmiş performansını teyit edin ve benzer olaylar yaşamış önceki müşterilerinden referanslar isteyin.
  • Firmanın kendi personelini nasıl incelediğini sorun; geçmiş kontrolleri ve müzakere detaylarına kimlerin erişebileceğine dair iç kontroller dâhil.
  • Herhangi bir müzakere sırasında, yalnızca tek bir temas noktasına güvenmek yerine belgeli, denetlenebilir iletişim kayıtları tutulmasında ısrar edin.
  • Fidye miktarları veya ödeme zamanlaması gibi önemli kararları bağımsız olarak doğrulamak için dışarıdan hukuk danışmanı veya ikinci bir güvenlik danışmanı sürece dâhil edin.
  • Bu satıcı ilişkilerini ve sözleşmelerini, ihlal ortasında yardım aramak yerine, bir olay müdahale sözleşmesi kapsamında önceden oluşturun.

Bu Sizin İçin Ne Anlama Geliyor?

Kuruluşunuzun bir fidye yazılımı müdahale planı varsa, bu vaka, o planda gerçekte kimlerin bulunduğunu ve onları ne kadar iyi tanıdığınızı gözden geçirmek için iyi bir fırsattır. Bir fidye yazılımı arabulucu içeriden tehdit nadirdir, ancak sonuçları o kadar ağırdır ki, baştan yapılacak mütevazı bir değerlendirme çabaya değer. Aynı mantık, bir ihlal sırasında ayrıcalıklı erişime sahip herhangi bir üçüncü taraf için de geçerlidir: Adli bilişim uzmanları, hukuk danışmanları ve halkla ilişkiler firmaları, yeni bir yazılım satıcısına uygulayacağınız incelemenin aynısını hak eder.

Önemli Noktalar

  • Olay müdahale ve müzakere firmalarını, personelin geçmiş kontrolleri ve referanslar dâhil olmak üzere, krizden önce değerlendirin.
  • Tek bir güvenilir kişiye bel bağlamak yerine tüm fidye müzakerelerinin belgeli, denetlenebilir kayıtlarını talep edin.
  • Üçüncü taraf müdahale ekiplerini yalnızca savunmanızın değil, saldırı yüzeyinizin bir parçası olarak görün.
  • Fidye yazılımı ve gasp gruplarının, ilk erişimden nihai müzakereye kadar bir ihlalin her aşamasında güveni nasıl istismar ettiğinden haberdar olun.