Dünyanın en büyük konteyner taşımacılık şirketlerinden Maersk, bilgisayar korsanlarının BT sistemlerinden birinden veri çıkardığını doğruladı. Açıklama, WhiteArmor adlı fidye yazılımı çetesinin şirketi sızıntı sitesine eklemesinin ve 5 milyon dolar fidye istemesinin ardından geldi.
Maersk ne açıkladı?
Danimarkalı şirket, 11 Kasım tarihli açıklamasında etkilenen sistemin daha önceki bir satın alma yoluyla devralındığını belirtti; ancak hangi şirketin satın alınmasıyla geldiğini açıklamadı. Maersk’e göre siber güvenlik ekibi izinsiz girişi kendisi fark etti, soruşturma başlattı ve etkilenen sistemi güvence altına almak için harekete geçti.
Şirket, “Şu ana kadarki bulgularımız, hassas verilerin açığa çıkmadığını güçlü biçimde gösteriyor.” dedi. Maersk ayrıca olayın yerel bir sistemle sınırlı kaldığını, diğer Maersk sistemlerinin ya da API ve EDI bağlantılarıyla bağlanan müşteri ve iş ortağı sistemlerinin etkilendiğine dair bir belirti bulunmadığını vurguladı. Şirket, müşteri operasyonlarında bir aksama beklemediğini ve gönderi rezervasyonu ile yönetimi için kullanılan platformlarının çalışmaya devam ettiğini de ekledi.
WhiteArmor ne iddia ediyor?
Çete, Maersk’i 7 Kasım’da sızıntı sitesine ekledi ve fidye ödenmezse çalınan bilgileri yayımlamakla tehdit etti. WhiteArmor, Maersk’in 2022’de satın aldığı Hong Kong merkezli lojistik şirketi LF Logistics ile bağlantılı bir platformdan yaklaşık 100 GB veri aldığını öne sürüyor.
Çetenin iddiasına göre çalınan veriler şunları içeriyor:
- Yaklaşık 29 bin sürücü kaydı; bunların 16.093’ünde parolaların düz metin olarak, yani şifrelenmeden saklandığı ileri sürülüyor.
- 33’ü en üst düzey yönetici yetkisine sahip olmak üzere 16.123 personel hesabı.
- Teslimat alıcılarına ait bilgiler, imzalı teslimat belgeleri, stok kayıtları, satın alma siparişleri ve sevkiyat bildirimleri.
- Telefon numaraları, e-posta adresleri ve IMEI cihaz kimliklerini içeren 27 binden fazla mobil cihaz kaydı.
Çete, şantaj mesajında şirkete bitcoin ile 5 milyon dolar ödemesi için 30 gün süre verdi.
Belirsizlikler sürüyor
WhiteArmor’ın iddiaları bağımsız olarak doğrulanmış değil. Maersk de çetenin olaya karıştığını teyit etmedi ve çalınan verilerin türlerini açıklamadı. Şirket, izinsiz girişin ne zaman gerçekleştiğini ve saldırganların sisteme nasıl eriştiğini de paylaşmadı. Soruşturma sürüyor; Maersk gerekirse etkilenen tarafları bilgilendireceğini belirtiyor.
Dolayısıyla şu an iki farklı anlatı var: Şirket hassas veri sızmadığını düşünürken, çete sürücü ve personel hesaplarından teslimat belgelerine kadar geniş bir veri yığını ele geçirdiğini iddia ediyor. Gerçek tablonun ne olduğu, soruşturmanın sonuçları ve çetenin olası veri yayınlarıyla netleşecek.
Çifte şantaj yöntemi
WhiteArmor’ın yaptığı, fidye çetelerinin son yıllarda sıkça başvurduğu “çifte şantaj” yönteminin tipik bir örneği. Bu yöntemde saldırganlar yalnızca sistemleri kilitlemekle yetinmiyor, önce verileri kopyalıyor, ardından kurbanı bu verileri internete sızdırmakla tehdit ediyor. Böylece kurumun yedekleri sağlam olsa bile baskı sürüyor. Sızıntı sitesinde isim yayımlamak, belirli bir süre vermek ve kripto parayla ödeme istemek de bu baskının parçaları.
Çetelerin iddiaları her zaman doğru çıkmıyor; bazı gruplar pazarlık gücünü artırmak için çaldıkları verinin miktarını ya da önemini abartabiliyor. Bu nedenle uzmanlar, şirket açıklamalarıyla çete iddialarını birlikte, ancak ikisine de temkinle bakarak değerlendirmeyi öneriyor. Kurbanların fidye ödemesi ise verilerin gerçekten silineceğinin ya da yayımlanmayacağının bir garantisi değil.
Satın almalar yeni bir saldırı yüzeyi
Olayın en dikkat çekici yanı, saldırının merkezde değil, satın alma yoluyla devralınan bir sistemde yaşanması. Büyük şirketler satın aldıkları firmaların BT altyapısını çoğu zaman yıllarca ayrı tutuyor. Bu “miras” sistemler, ana şirketin güvenlik standartlarına tam olarak uyarlanmadığında saldırganlar için kolay bir giriş kapısına dönüşebiliyor. İddia edilen düz metin parolalar da eski sistemlerde sık görülen bu tür zafiyetlere bir örnek.
Lojistik sektörü, tedarik zincirindeki kritik konumu nedeniyle fidye çetelerinin hedefinde olmaya devam ediyor. Bu olay, şirketlerin satın alma sonrası entegrasyon süreçlerinde güvenlik denetimlerini öncelikli hâle getirmesi gerektiğini bir kez daha gösteriyor.
Sürücüler ve iş ortakları ne yapmalı?
- LF Logistics ya da Maersk platformlarında hesabı olanlar parolalarını değiştirmeli; aynı parolayı başka hizmetlerde kullanıyorlarsa oralarda da yenilemeli.
- Maersk veya LF Logistics adına gelen beklenmedik e-posta, SMS ve aramalara karşı dikkatli olunmalı; bağlantılara tıklamadan önce gönderen doğrulanmalı.
- Şirketlerin, devraldıkları sistemlerdeki parola saklama yöntemlerini ve yönetici hesaplarını acilen gözden geçirmesi gerekiyor.
Kaynak: SecurityWeek, Maersk açıklaması
