Güvenilen Bir Arabulucu Saldırganlar İçin Çalışıyormuş
Bir şirket fidye yazılımı saldırısına uğradığında, yapılan ilk aramalardan biri genellikle profesyonel bir arabulucuya yapılır; fidye talebini düşürmek, zaman kazanmak ve panik halindeki yöneticilerle suçlu bilgisayar korsanları arasında bir tampon görevi görmek üzere işe alınan birine. Bu sistem tamamen güvene dayanır. Yakın zamanda sonuçlanan bir federal dava, bu güvenin içeriden nasıl sarsıldığını gösteriyor.
Bir fidye yazılımı arabulucusu, savcıların kendisini mağdurları temsil ettiğini iddia ederken gizlice BlackCat (ALPHV olarak da bilinir) fidye yazılımı grubuyla komplo kurduğunu tespit etmesinin ardından 70 ay federal hapis cezasına çarptırıldı. Kendisini işe alan şirketleri korumak yerine, saldırganlara müşterilerin sigorta kapsamı ve ödeme limitleri hakkında bilgiler de dahil olmak üzere hassas ayrıntıları aktararak suçlulara daha fazla para talep etmeleri ve baskıyı daha etkili bir şekilde uygulamaları için koz verdiği iddia edildi. Cezanın bir parçası olarak, bu planla bağlantılı kripto paraya da el konuldu.
Dava, başlangıçta 10 milyon dolar fidye talep edilen ve sonunda yaklaşık 1,2 milyon dolar ödeyen Florida'daki bir tıbbi cihaz şirketi, Maryland'deki bir ilaç firması ve bir doktor muayenehanesi de dahil olmak üzere en az beş mağdur kuruluşu tespit etti. Planın tam kapsamının, bir grubun diğerinin operasyonlarını ifşa etmekle tehdit ettiği rakip fidye yazılımı çeteleri arasındaki iç çatışmalarla da kesiştiği, bunun da suç ekosistemlerinin bile iç anlaşmazlık ve ihanete karşı bağışıklı olmadığının bir hatırlatıcısı olduğu bildirildi.
Plan Mağdurları Nasıl Zayıflattı
Fidye yazılımı arabulucuları benzersiz derecede hassas bir konuma sahiptir. İşlerini yapabilmek için genellikle çoğu şirketin bir dışarıdan kişiye asla vermeyeceği bilgilere erişmeleri gerekir: ne kadar nakit mevcut olduğu, siber sigorta poliçesinin gerçekte neyi kapsadığı, şirket içi son tarihler ve liderliğin durumu sessizce çözme konusunda ne kadar çaresiz olduğu. Bu bilgilerin gizli kalması ve yalnızca müzakere sırasında müşterinin çıkarlarını korumak için kullanılması gerekir.
Bir arabulucu bu bilgileri saldırganlara aktardığında, tüm olay müdahale süreci daha başlamadan tehlikeye girer. Mağdurlar bilinçli bir stratejiyle müzakere ettiklerine inanırken, gerçekte karşı taraf mali tavanlarını zaten bilmektedir. Bu dengesizlik, muhtemelen bu vakalardaki taleplerin neden bu kadar agresif bir şekilde arttığını ve tıbbi cihaz şirketinin ilk talebinin nihai ödediği miktardan neden sekiz kat daha yüksek olduğunu açıklıyor.
Bu münferit bir olay değil. Ayrı bir ABD gasp davasında mahkum edilen Florida'lı fidye yazılımı arabulucusu haberimizde de aktardığımız gibi, kolluk kuvvetleri aynı BlackCat bağlantılı gasp ağına bağlı birden fazla arabulucu tespit etti. Bu model, bunun tek seferlik bir ihanet değil, olay müdahale sektörünü içeriden istismar etmeye yönelik kasıtlı, en azından kısmen organize bir çaba olduğunu gösteriyor.
Veri İhlali Mağdurları İçin Gizlilik Etkileri
Buradaki gizlilik etkisi, fidye miktarlarının çok ötesine uzanıyor. Tıbbi cihaz şirketleri, ilaç firmaları ve doktor muayenehaneleri rutin olarak hassas hasta ve sağlık verileri bulundurur. Bir arabulucu gizlice bir mağdurun çıkarlarına karşı çalıştığında, gasp süreci sırasında başka hangi hassas bilgilerin ifşa edilmiş, kötü kullanılmış veya ek koz olarak kullanılmış olabileceğine dair gerçek soru işaretleri doğurur. Sağlık hizmetleri ve diğer düzenlenmiş sektörlerde faaliyet gösteren şirketler zaten katı gizlilik yükümlülükleri altında hasta verilerini korumakla yükümlüdür ve bir fidye yazılımı olayı sırasında bir içeriden ihanet, etkilenen bireylerin bilgilendirilip bilgilendirilmeyeceği ve nasıl bilgilendirileceğine dair sonraki tüm kararları karmaşık hale getirir.
Aynı zamanda, birçok kuruluşun iş işten geçene kadar dikkate almadığı kör bir noktaya da dikkat çekiyor: Arabulucular, adli bilişim firmaları ve hatta bir ihlal sırasında getirilen hukuk müşavirleri de dahil olmak üzere olay müdahale tedarikçileri, nadiren diğer üçüncü taraf riskleri için uygulanan aynı titizlikle değerlendirilir. Bir şirket bir bulut sağlayıcısı veya yazılım tedarikçisi hakkında kapsamlı bir durum tespiti yapabilir, ancak bir kriz sırasında büyük ölçüde itibar veya aciliyete dayanarak bir arabulucu getirebilir.
Bu Sizin İçin Ne Anlama Geliyor
Kuruluşunuzun bir gün bir fidye yazılımı arabulucusu veya olay müdahale firması kiralaması gerekirse, bu dava paniklemek yerine yavaşlamak için bir nedendir. Kimlik bilgilerini yalnızca sigortacınızdan veya tek bir temas noktasından gelen yönlendirmelere güvenmek yerine bağımsız olarak doğrulayın. Müşteri bilgilerinin nasıl ele alındığı, saklandığı ve paylaşıldığı hakkında doğrudan sorular sorun ve arabulucunun neleri açıklayıp neleri açıklayamayacağı konusunda belgelenmiş sınırlar üzerinde ısrar edin. Siber sigorta poliçeniz belirli bir tedarikçi listesini zorunlu kılıyorsa, aktif bir olay sırasında koz ve muhakeme yeteneğinin tehlikeye girdiği bir ortamda telaşla hareket etmek yerine, bir saldırı gerçekleşmeden önce bu listeyi proaktif olarak gözden geçirin.
Bireyler için çıkarılacak ders daha basit ama yine de önemlidir: Etkileşimde bulunduğunuz bir sağlık hizmeti sağlayıcısının, eczanenin veya tıbbi cihaz şirketinin bir fidye yazılımı olayı yaşadığı size bildirilirse, şirket veri ifşasının sınırlı olduğunu söylese bile bildirimi ciddiye alın. Bunun gibi vakalar, bir ihlalin şirket içindeki yönetiminin, kamuya yapılan açıklamaların önerdiğinden çok daha dağınık olabileceğini göstermektedir.
Önemli Çıkarımlar
Bu ceza, tamamen gizlilik ve güven üzerine kurulu olan fidye yazılımı arabulucusu rolünün, korumayı amaçladığı kuruluşlara karşı nasıl silah haline getirilebileceğine dair nadir, somut bir örnektir. Bir kriz vurmadan önce olay müdahale tedarikçilerinizi değerlendirin, herhangi bir sözleşmede net bilgi paylaşım sınırları oluşturun ve bir fidye yazılımı arabulucusunun kozunun, sırrın saldırgan tarafında değil, sizin tarafınızda gizli kalmasına bağlı olduğunu unutmayın.
