Hong Kong Finans Sektörüne Çifte Darbe

Hong Kong'da yaklaşık 24 saat içinde iki siber güvenlik hikayesi çakıştı: Kendini Orova olarak adlandıran bir fidye yazılımı grubu, en az bir lisanslı varlık yöneticisi dahil olmak üzere beş Hong Kong firmasında ihlal iddiasında bulundu ve Menkul Kıymetler ve Vadeli İşlemler Komisyonu (SFC), fidye yazılımıyla bağlantılı ilk yaptırım eylemini gerçekleştirdi. Raporlar, SFC'nin lisanslı bir şirketi fidye yazılımı saldırısına bağlı siber güvenlik eksiklikleri nedeniyle kınadığını ve 2,1 milyon HK doları para cezasına çarptırdığını gösteriyor; düzenleyiciler bu cezayı, siber dayanıklılıktan yalnızca BT departmanlarının değil, üst yönetimin de sorumlu olduğuna dair bir işaret olarak nitelendirdi.

Bu zamanlama bir tesadüften ziyade bir kesişmeydi. Fidye yazılımı grupları, şantajı etkili kılan hassas müşteri verilerini tam da barındırdıkları için finansal hizmet firmalarını giderek daha fazla hedef alıyor ve SFC gibi düzenleyiciler aylardır bu savunmalar başarısız olduğunda lisanslı firmaları sorumlu tutmayı amaçladıklarının sinyalini veriyordu.

Çifte Şantaj Fidye Yazılımı Oyun Planını Nasıl Değiştirdi

Geleneksel fidye yazılımı bir bakıma daha basit bir sorundu. Saldırganlar kurbanın dosyalarını şifreliyor ve şifre çözme anahtarı için ödeme talep ediyordu. Güvenilir, çevrimdışı yedeklemelere sahip kuruluşlar çoğu zaman bir kuruş bile ödemeden sistemlerini geri yükleyebiliyor ve saldırganın kozunu etkisiz hale getiriyordu.

Maze fidye yazılımı grubunun 2019 sonlarında öncülük ettiği çifte şantaj taktiği bu açığı kapattı. Saldırganlar yalnızca dosyaları şifrelemek yerine önce kurbanın hassas verilerinin bir kopyasını çalıyor. Kuruluş yedeklerden geri yükleme yapabilse ve şifre çözme için ödemeyi reddetse bile, saldırganların elinde hâlâ ikinci bir koz oluyor: Fidye ödenmediği takdirde çalınan verileri dark web sızıntı portalında yayınlamakla tehdit ediyorlar. Bu da hesabı tamamen değiştiriyor. Yedekler operasyonel aksamaya karşı koruma sağlar, ancak veri sızıntısını durdurmak için hiçbir şey yapamazlar. Orova’nın bildirilen beş Hong Konglu kurbanına karşı tam da bu baskıyı uyguladığı görülüyor.

Bu model yalnızca Hong Kong'a veya Orova'ya özgü değil. Her yerdeki mali düzenlemeye tabi kuruluşlar, hem suçlular için değerli olan hem de ifşa olduğunda verileri sızıntı sitesine düşen bireyler için son derece zarar verici olan müşteri kayıtlarını, işlem geçmişlerini ve kimlik belgelerini tutar. Bir İngiltere devlet yatırım ajansının 51 hükümet yetkilisine ait hassas verileri yaklaşık 40 saat boyunca ifşa etmesiyle ortaya çıkan risk de aynı temel risktir: Veri bir kez dışarı çıktığında, zamanlama ve kontrol altına alma büyük önem taşır, ancak ifşanın kendisi geri alınamaz.

SFC'nin Cezası Neden Hong Kong'un Ötesinde Önem Taşıyor

Bu anı kayda değer kılan şey, yalnızca başka bir fidye yazılımı grubunun kurbanlarının olduğunu iddia etmesi değil. Bir mali düzenleyicinin rehberlikten yaptırıma geçmesidir. SFC'nin, bildirildiğine göre özellikle bir fidye yazılımı olayına bağlı ilk cezası, küresel çapta mali düzenlemelerde giderek güçlenen bir mesajı gönderiyor: Siber güvenlik eksiklikleri artık tamamen teknik olaylar olarak değerlendirilmiyor. Bunlar, firma için ve giderek artan bir şekilde risk yönetimini onaylayan yöneticiler için gerçek mali ve itibari sonuçları olan uyumluluk başarısızlıklarıdır.

Fidye yazılımı gruplarının içeri girmek için yeni bir sıfır gün bulması gerekmiyor. Çoğu ihlal çok daha sıradan eksikliklerle başlar: yama yapılmamış yazılımlar, zayıf erişim kontrolleri veya kimlik avına düşen çalışanlar. Bu nedenle yama yapılmamış güvenlik açıkları ısrarlı bir giriş noktası olmaya devam ediyor; yama yapılmamış bir Windows sıfır günü hakkındaki son haberlerde ayrıntılı olarak anlatılan yüksek profilli hatalar bile, saldırganların bir yama mevcut olmadan çok önce var olan boşlukları nasıl istismar edebileceğini gösteriyor. Düzenlemeye tabi firmaların artık bu tür bir maruziyeti yalnızca bir BT talebi olarak değil, bir yönetişim sorunu olarak ele alması bekleniyor.

Bu Sizin İçin Ne Anlama Geliyor

Bir finansal hizmetler firmasının müşterisi, çalışanı veya ortağıysanız, bunun gibi olaylar verilerinizin güvenliğinin büyük ölçüde BT departmanının çok üzerinde alınan kararlara bağlı olduğunu hatırlatır. Hong Kong gibi yargı bölgelerinde yönetim kurulları ve üst yönetim artık siber dayanıklılık konusunda açıkça sorumlu tutuluyor; bu da zamanla firmaları daha iyi yedekleme hijyeni, daha hızlı yama yapma ve daha sıkı erişim kontrolleri gibi daha güçlü temel korumalara doğru itmelidir.

Bireyler için pratik tavsiyeler pek değişmedi, ancak artık daha önemli. Bir ihlal bildiren herhangi bir firmada tuttuğunuz hesapları izleyin, hesap ayrıntılarına atıfta bulunan beklenmedik iletişimlere şüpheyle yaklaşın ve bir firma verilerinizin bir sızıntının parçası olduğunu doğrularsa kredi izlemeyi düşünün. Çifte şantaj, sistemlerini hızlı bir şekilde kurtaran firmaların bile verilerinizi dolaşımda bırakabileceği anlamına gelir; bu nedenle çözümlenmiş bir fidye yazılımı olayının bilgilerinizin güvende olduğu anlamına geldiğini varsaymayın.

Temel Çıkarımlar

Orova ihlalleri ve SFC'nin cezası, fidye yazılımı hesap verebilirliğinin nereye gittiğini hep birlikte gösteriyor: Düzenleyiciler artık firmaların yalnızca bir saldırıdan kurtulmasıyla yetinmiyor. Firmaların ilk etapta bir saldırıyı önlemek için makul adımlar attığına dair kanıt istiyorlar. Okuyucular için, yargı bölgesinden bağımsız olarak pratik adımlar aynı kalıyor: İş yaptığınız herhangi bir finans kuruluşuna ihlal bildirim politikalarını sorun, sunulan her yerde çok faktörlü kimlik doğrulamayı etkinleştirin ve herhangi bir ihlal bildirimini rutin bir formalite olarak değil, kendi hesap hareketlerinizi gözden geçirmek için bir uyarı olarak değerlendirin.