Google, Finans Devlerini Taklit Eden Fidye Korsanlarına Karşı Uyardı

Google uyardı. Siber korsanlar fidye aramaya başladı

Google ve internet istihbarat verilerine göre fidye arayan siber korsanlar, son bir ayda ABD'li önde gelen çok sayıda finans kuruluşunu ve şirketi hedef aldı. Korsanların telefon aramaları üzerinden çalışanların parolalarını çalmak amacıyla Blackstone, KKR ve Apollo gibi dev şirketlerin adına 72 sahte internet sitesi kurduğu belirlendi. Google verilerine ve Reuters tarafından incelenen internet istihbarat kayıtlarına göre fidye hedefleyen siber korsanlar, son bir ay içerisinde ABD'deki önde gelen çok sayıda finans kuruluşuna ve sivil işletmeye yönelik saldırı girişiminde bulundu. Toplanan veriler, korsanların özel sermaye şirketleri ve finans kuruluşlarında çalışan personelin parolalarını ele geçirmek amacıyla özel internet siteleri tasarladığını gösteriyor. Hedef alınan yapılar arasında Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital ve Moody's gibi dev kurumların yanı sıra farklı ticari işletmeler de yer alıyor. İnternet devi Google tarafından perşembe günü yayımlanan blog yazısında, söz konusu siber saldırı kampanyasını yürüten korsanların Redact, Pink, Falcon ve Helix gibi çeşitli isimler altında faaliyet gösterdiği kaydedildi. Şirketin yayımladığı raporda, adları açıklanmayan bazı kurumların siber korsanlara fidye ödemek zorunda kaldığı aktarıldı. Ancak korsanların hangi şirketlerin sistemlerine erişmeyi başardığı henüz netleşmedi. Uzmanlar, gelişmiş güvenlik yazılımlarına ve yapay zeka destekli tehditlere rağmen korsanların telefon araması gibi düşük teknolojili yöntemlerle finans sektörünü hedef almasının, geleneksel taktiklerin hâlen en etkili araçlar arasında yer aldığını gösterdiğini vurguluyor. Saldırıların başarıya ulaşması halinde, şirketlere sermaye sağlayan ABD'nin en büyük özel sermaye fonlarına ait kritik verilerin sızması ihtimali bulunuyor. Retail and Hospitality ISAC bünyesinde siber tehdit istihbaratı ürün yöneticisi olarak görev yapan Lee Clark, konuya ilişkin değerlendirmesinde, "Çevredeki çitler artık çok gelişmiş ve yüksek teknolojiye sahip olduğu için güvenlik görevlisini kapıyı bize açması yönünde kandırmamız yetiyor" ifadesini kullandı. Clark, bu yöntemlerin hızla yayılmasının temel nedeninin insan unsuru olduğunu kaydetti. KORSANLAR HEDEFLERİNİ DEĞİŞTİRDİ Alphabet çatısı altında faaliyet gösteren Google, blog yazısında siber korsanların son dönemde odak noktalarını özel sermaye şirketlerine, hukuk bürolarına ve finansal derecelendirme kuruluşlarına çevirdiğini duyurdu. Google Tehdit İstihbarat Grubu Kıdemli Tehdit Analisti Austin Larsen, korsanların genellikle finansal getirileri yüksek sektörleri hedef aldığını ve bu girişimlerinde çoğu zaman başarılı olduklarını söyledi. Larsen, "Mesele tamamen maddi çıkarla ilgili. Bu şirketlerin elinde, çalındığı takdirde sızdırılmasını önlemek için fidye ödemeyi kabul edecekleri hassasiyette veriler bulunduğunu düşünüyorlar" dedi. Google raporunda hedef alınan şirketlerin adlarına yer vermedi. Reuters ise raporda listelenen 72 zararlı internet sitesini DomainTools ve urlscan gibi ağ istihbarat platformları üzerinden analiz ederek her bir kuruma özel olarak hazırlanan alt alan adlarını ortaya çıkardı. Söz konusu alt alan adlarına değinen Larsen, hepsinin muhtemelen sızma girişimlerinde kullanıldığını belirtti ancak "Tamamı başarıya ulaşmadı" diyerek ihtiyat uyarısında bulundu. Google'a göre korsanlar titizlikle kurgulanmış sosyal mühendislik yöntemlerine başvurdu. Şirketlerin bilgi işlem destek ekibinden aradıklarını belirterek çalışanlara kişisel cep telefonlarından ulaşan korsanlar, bazı durumlarda arayan numara kısmında kurumun gerçek destek hattı numarasını gösterdi. Çalışanlara sistem şifrelerini veya çok faktörlü kimlik doğrulama kodlarını acilen güncellemeleri gerektiği yönünde sahte talimatlar verildi. Ardından personel "passkeyhelpdesk" veya "secure-passkey" gibi ifadeler içeren tuzak internet sitelerine yönlendirildi. Bir çalışan şifresini girdiğinde, korsanlar kısa mesajla gelen veya uygulama üzerinden üretilen güvenlik kodunu telefon görüşmesi esnasında canlı olarak ele geçirdi ve arama sonlanmadan hesabı ele geçirdi. Bu taktiğin son derece gelişmiş olarak nitelendirilmesinin yanlış olacağını vurgulayan Larsen, "Gelişmiş doğru kelime değil, sadece gerçekten çok etkili" değerlendirmesini yaptı. SALDIRGANLARIN KOD ADLARI SÜREKLİ DEĞİŞİYOR Siber korsan gruplarına doğrudan ulaşılamadı. Bir dönem Blackfile adını kullanan Redact grubu, karanlık ağdaki internet sitesinde korsanların "siyasi veya ahlaki motivasyonlarla hareket etmediğini" ve "şu aşamada basının sorularını yanıtlamadıklarını" ilan etti. Larsen, korsanların tam olarak kimler olduğunun veya aralarındaki ilişkinin niteliğinin henüz belirsizliğini koruduğunu söyledi. Farklı isimler altında hareket etmelerine rağmen grupların ortak bir altyapı üzerinden birbirine bağlı göründüğünü aktaran Larsen, "Burada hâlen bilinmeyen bazı unsurlar var" diye konuştu. Bir kısmı daha önce Bloomberg tarafından duyurulan siber saldırı girişimleri Wall Street dünyasında hareketliliğe yol açtı. Reuters'a konuşan bir kaynağın aktardığına göre Point72 Asset Management, çarşamba günü yatırımcılarına siber korsanların hedefi olduğunu bildirdi. Aynı kaynak ve süreç hakkında bilgi sahibi ikinci bir kişi, korsanların Two Sigma Investments ve Citadel dahil diğer bazı serbest yatırım fonlarının sistemlerine de sızmaya çalıştığını kaydetti. Google'ın raporu ve verilere göre siber suçlular, finans kurumlarına yönelmeden önce çok sayıda farklı sektörü hedef aldı. Kayıtlar, korsanların yalnızca son beş hafta içinde araç çağırma platformu Uber, çevrimiçi gayrimenkul şirketi Zillow, giyim markası Levi Strauss ile Paul Hastings ve Greenberg Traurig'in de aralarında bulunduğu birkaç hukuk firması dahil 200'den fazla şirket için dijital tuzaklar kurduğunu gösteriyor. Greenberg Traurig firmasından yapılan yazılı açıklamada ise "Müşteri verilerini ve firmayı korumak adına uyguladığımız çok katmanlı güvenlik protokolleri sayesinde bir veri ihlali yaşanmamıştır" ifadesine yer verildi.