Meksikalı bir kargo şirketi, her küçük ve orta ölçekli işletmenin en büyük kabuslarından birini yaşadı: Ağlarında bir şeylerin ters gittiğini fark etmeden önce saldırganların üç ay boyunca gizlice içeride kalması. Sonunda fark ettiklerinde ise artık çok geçti. Siber suçlular hassas bilgileri çalmış ve Windows'un yerleşik şifreleme aracı olan BitLocker'ı kullanarak altı sunucuyu şifrelemişti. Şirket erişimi geri almak için 5.000 dolardan az ödedi, ancak bunun çok daha büyük bir sorunun sadece başlangıcı olduğu ortaya çıktı: Saldırganların dokunduğu hiçbir sisteme artık güvenemediği için dijital altyapısını tamamen yeniden kurmak zorunda kaldı.

Üç aylık görünmezlik: Kalış süresinin gerçek maliyeti

Bu vakanın en çarpıcı yanı nihai şifreleme değil, saldırganların tespit edilmeden kaldığı süredir. Üç ay, tüm bir kurumsal ağı haritalandırmak, en değerli verilerin nerede olduğunu belirlemek, bu bilgilerin kopyalarını çalmak ve ancak ondan sonra şifrelemeyi gerçekleştirmek için yeterli bir süredir. Çifte şantaj olarak bilinen bu yöntem, fidye yazılımı grupları arasında standart hale geldi: Önce verileri sızdırarak ikinci bir baskı aracı (bunları yayınlama tehdidi) elde ediyor, ardından sistemleri kilitleyerek ödemeyi zorluyorlar.

Bu saldırıda BitLocker kullanımı özellikle dikkat çekicidir. Saldırganlar, antivirüs veya güvenlik çözümleri tarafından tespit edilebilecek özel şifreleme zararlısı konuşlandırmak yerine, kurbanın kendi sunucularında zaten yüklü olan meşru bir araçtan yararlandı. "Eldekilerle yetinme" (living off the land) olarak bilinen bu taktik, güvenlik yazılımının etkinliği şüpheli olarak işaretleme olasılığını azalttığı için giderek yaygınlaşıyor. Sınırlı izleme kaynaklarına sahip bir KOBİ için bu, uyarı sinyallerinin tamamen gözden kaçabileceği anlamına gelir.

Fidyeyi ödemek temel sorunu çözmez

Bu vakanın en önemli derslerinden biri, 5.000 dolardan az gibi nispeten düşük bir miktar bile olsa fidyeyi ödemenin gerçek hasarı ortadan kaldırmadığıdır. Şirket şifre çözme anahtarlarını geri aldı, ancak bu kendi altyapısına olan güvenini geri getirmedi. Bir saldırgan bir ağa uzun süreli erişim elde ettiğinde, herhangi bir sistem, kimlik bilgisi veya yapılandırma ele geçirilmiş veya değiştirilmiş olabilir. Bu nedenle maliyetli ve yıkıcı olsa da tam yeniden kurulum genellikle tek sorumlu seçenektir.

Bunun doğrudan gizlilikle ilgili sonuçları vardır. Saldırganlar sunucuları şifrelemeden önce bilgi çaldıysa, bu veriler (müşteri, çalışan veya iş ortaklarının bilgilerini içerebilir) fidye ödenmiş olsun ya da olmasın artık şirketin kontrolü dışındadır. Bu, gözetim ve kişisel bilgilerin işlenmesiyle ilgili daha geniş endişeleri besleyen veri ifşası türüdür; özel iletişimlere kimin, hangi koşullar altında erişebileceğinin tartışıldığı Avrupa Birliği'ndeki Sohbet Kontrolü gibi düzenleyici tartışmalardan geçen bir konudur. Her iki senaryoda da çıkarılacak ders aynıdır: Veriler güvenli ellerden bir kez çıktığında, kötüye kullanılmayacağını garanti etmek neredeyse imkansızdır.

Bu sizin için ne anlama geliyor

Bir KOBİ yönetiyorsanız veya küçük bir BT ekibinde çalışıyorsanız, bu vaka uzak bir hikaye olarak değil, somut bir uyarı olarak hizmet etmelidir. KOBİ'ler tam da genellikle büyük şirketlere göre daha az savunma katmanına sahip oldukları, ancak aynı derecede değerli verileri (finansal bilgiler, müşteri verileri ve bulut sistemlerine erişim kimlik bilgileri) işledikleri için çekici hedeflerdir.

İşletmenizin benzer bir duruma düşme riskini azaltan bazı pratik önlemler şunlardır: Ana ağdan gerçekten yalıtılmış yedekler tutmak (çevrimdışı veya değiştirilemez depolamada), kimlerin yönetici ayrıcalıklarına sahip olduğunu gözden geçirip sınırlandırmak ve burada BitLocker'da olduğu gibi kötüye kullanılabilecek meşru işletim sistemi araçlarının kullanımını izlemek. Ayrıca, özellikle personel ofis dışındaki konumlardan bağlanıyorsa, dahili ve uzak ağ trafiğinin nasıl korunduğunu gözden geçirmekte fayda var; bu gibi durumlarda, El Salvador için en iyi VPN hakkındaki bu kılavuzda detaylandırıldığı gibi, bölgeniz için hangi koruma araçlarının mevcut olduğunu anlamak, Meksika ve bölgedeki diğer ülkeler için geçerli benzer seçenekleri değerlendirmenize yardımcı olabilir.

Ayrıca, bir fidye yazılımı saldırısı sırasında veri hırsızlığının izole bir olay olmadığını akılda tutmak önemlidir: Çalınan bilgiler dolaşıma girebilir veya başka amaçlarla kullanılabilir; bu risk, kolluk kuvvetlerinin reklam verilerini kullanarak cihazları takip ettiği büyük ölçekli vakalarda belgelendiği gibi, kişisel verilerin izlenmesi ve kullanımı hakkındaki daha geniş endişelerle bağlantılıdır.

Sonuç

Meksikalı bir KOBİ'ye yönelik bu fidye yazılımı saldırısı, birçok siber güvenlik uzmanının yıllardır tekrarladığı bir şeyi doğruluyor: Fidyeyi ödemek nadiren hikayenin sonu olur. Üç aylık yetkisiz erişim, veri hırsızlığı ve tüm altyapıyı sıfırdan yeniden kurma zorunluluğu, önleme ve erken tespitin, saldırganlarla yapılacak herhangi bir sonraki pazarlıktan çok daha değerli olduğunu gösteriyor. Şirketinizin hala net bir yedekleme, izleme ve olay müdahale planı yoksa, bir sonraki istatistik olmadan önce bunu gözden geçirmek için iyi bir zamandır.