Son zamanların en büyük siber saldırılarıyla karşılan iki şirketin tepe yöneticileri, sistemlerine yönelik saldırı anıyla ilgili önceliklerini günlük işleri ikinci plana atarak saldırıya derhal karşılık vermek şeklinde değiştirdiklerini anlattı.
Bir siber güvenlik zirvesinde bir araya gelen yöneticiler, muhtemel siber saldırılar durumunda neler yapılabileceği konusundaki düşüncelerini paylaştı. Yakın zamanda önemli saldırılara muhatap olan Colonial Pipeline ve Accellion’un CEO’ları geçmiş tecrübelerini aktardı ve tehdit anında en tepe yönetimin dahi aktif olarak plana dâhil olduğunu belirtti.
Mandiant Siber Güvenlik Zirvesi Washington’da gerçekleşti. Colonial Pipeline’ın başkanı ve CEO’su Joe Blount, Accellion başkanı ve CEO’su Jonathon Yaron ve Mandiant kıdemli başkan yardımcısı ve CTO’su Charles Carmakal açılış paneli sırasında görüşlerini ve deneyimlerini paylaştı.
Blount, şirketinin büyük bir siber saldırıya uğradığını öğrendiklerinde, var güçleriyle anında karşılık vermek için günlük işlerini ikinci plana attıklarını söyledi. Firmasının 4,4 milyon dolarlık bir fidye ödemek zorunda bırakıldığı bir saldırı anında aklında geçen düşünceleri paylaşan Blount, “Alışageldiğiniz CEO’luk işi birkaç saat önce adeta kapıdan çıktı ve bir süre gelecek gibi de görünmüyor.” ifadelerini kullandı.
Kolay Erişim
“CEO’NUN SORUMLULUĞU SALDIRIYI KONTROL ALTINA ALMAK”
Blount, bu saldırıda tüm diğer yöneticiler ve çalışanlar gibi, şirketin verdiği karşılıkta aktif rol almış. Blount, “Böyle bir olay yaşandığında, yeteri kadar zaman ya da insan olmuyor. Mecburen iş başa düşüyor.” şeklinde konuştu.
Saldırıya dair ayrıntılar, karşılık verme ve toparlanma hakkında ABD Enerji Bakanlığı ile iletişimi kuran “kanal” olarak görev yapan üst düzey yönetici, “Bizim durumumuzda saldırının ardından, CEO’nun sorumluluğu saldırıyı hemen kontrol altına almak ve durumu düzeltmek oluyor. Odak noktası buna dönüşüyor.” dedi.
Söz konusu saldırıda Blount, bakanlık aracılığıyla federal hükümetle neler yaşandığı hakkında ve Colonial Pipeline ve Mandiant da dâhil olmak üzere olay müdahale ekibinin elde ettiği bulgular hakkında brifinglere katılmış.
Blount, “Hükümetle o tek kanalı kurmuş olmak, bize Beyaz Saray’dan, tüm düzenleyicilere ve benzer şirketlerle bilgi paylaşımı konusunda yardımsever davranan lobici gruplara kadar birçok kişi ve kurumla iletişim kurma imkânı sağladı” değerlendirmesini yaptı ve bu yolla diğer kurumlara da tehditlere karşı dolaylı olarak uyarılmış olduğunu söyledi.
İsrailli 8200 istihbarat biriminin eski bir üyesi olan Accellion’dan Yaron ise şirketin eski Dosya Transfer Cihazı platformunda bir ay arayla gerçekleşen iki saldırıyı hatırlattı. Ocak sonunda gerçekleşen ikinci saldırı hakkında birilerinin bize zekasıyla alt ettiğini anlıyoruz yorumun yapan Yaron, “[Bu kişiler] bizim bilmediğimiz bir şeyleri biliyorlardı.” diye konuştu.
Saldırı ilk olarak, bazı şirketler tarafından büyük dosyaların transferi için kullanılan 20 yıllık bir teknolojinin bir akademik kurumda alarm vermesinin ardından Accellion ile temasa geçmesiyle fark edildi. İlk etapta saldırının bir devlet tarafından mı yoksa ticari bir kuruluş tarafından mı düzenlediği ya da tekil bir olay vaka olup olmadığı belirsizdi. Bankalar, ABD devlet kurumları ve büyük bir sağlık kuruluşu hala eski ürünü kullanan müşteriler arasındaydı.
“BÜYÜK ÇOĞUNLUK BİZİ DİNLEDİ VE SİSTEMLERİ KAPATTI”
“Birinci öncelik saldırının büyüklüğünü anlamaktı.” diyen Yaron, ilk değerlendirmelere göre, 300’e yakın kuruluşun mağdur olabileceği değerlendirildiğini söyledi. Araştırmalar sonunda, 90’a yakın saldırının gerçekleştiğini ve bunların 35’inin ciddi zarar verebildiği tespit edildi.
Saldırı sonucunda müşteri verileri çalındı ve daha sonra siber suçlular tarafından kaldıraç olarak kullanılan gasp girişimleri yaşandı. Satıcı, saldırının fark edilmesinden sonraki 72 saat içinde Aralık ayındaki ilk 0-day gün saldırısı için bir yama yayınladı ve ayrıca müşterilerini mevcut Kiteworks güvenlik duvarı platformuna geçmeye davet etti. Ancak 1 Şubat’ta, platformda bir zafiyeti daha tespit eden hackerlar tekrar saldırıya geçti.
Mandiant; ABD, Kanada, Hollanda ve Singapur’daki şirketlerden gelen verilerin Fin11 olarak bilinen Rus siber suç çetesiyle bağlantılı bir Dark Web sitesine düştüğünü tespit etti. Saldırının önde gelen kurbanları arasında Kroger, Jones Day ve Singtel gibi ünlü firmalar yer aldı.
Müşterilerini derhal müşterileri FTA sistemlerini kapatmaya çağırdıklarını söyleyen Yaron, “Büyük çoğunluk bizi dinledi ve sistemleri kapattı ve müşterilerimizden en fazla %10’u ağır hasar aldı.” dedi.
