Siber Korsanlara Fidye Ödenmeli mi?

2021 yılında düzenlenen en büyük fidye yazılımı saldırısı; siyasetçiler, siber güvenlik uzmanları ve şirket yöneticileri arasında yeni bir tartışmaya yol açtı. Tartışmanın özü, giderek büyüyen siber tehditlerle mücadele etmek için şirketlerin siber suçlulara fidye ödemesinde bulunmalarının yasaklanması gerekip-gerekmediğiyle ilgili.

Siber saldırılara maruz kalan şirketler ya da diğer kuruluşlar, bilgisayar ağlarının kontrolunu yeniden sağlamak için fidye ödemesi yapmak ya da geri getirilemeyecek verileri kaybetme ve kurumsal faaliyetlere yeniden başlama kapasitesini yitirmek pahasına fidye ödemesi yapmayı reddetmek arasında bir seçim yapmaya zorlanıyor.

Başkan Joe Biden, özellikle fidye yazılımı saldırıları tehdidini kontrol altına alması için artan baskılara yanıt olarak Çarşamba günü üst düzey ulusal güvenlik yetkilileri ve uzmanlarla yeni taktik ve uygulamaları görüşmek üzere biraraya geldi.

Beyaz Saray Sözcüsü Jen Psaki, görüşmeden sonra gazetecilere yaptığı açıklamada, yetkililerin Başkan Biden'a "fidye yazılımlarıyla mücadele konusunda devam etmekte olan çalışmaları hakkında bilgi verdiğini" söyledi. Psaki, Başkan'ın "her türlü fidye yazılımı ağına ve bu ağlara yataklık yapanlara yanıt verme hakkını saklı tuttuğunu" kaydetti.

ABD'de 4 Temmuz Bağımsızlık Günü'nün kutlandığı haftasonunda Amerikan yazılım tedarikçisi Kaseya firmasını ve firmanın dünya genelindeki binden fazla müşterisini hedef alan siber saldırı, Rusya'da faaliyet gösterdiğine inanılan siber çetelerin benzer saldırılarını izledi.

Haziran ayında ABD'nin en büyük et işleme firması JBS'ye düzenlenen saldırının sorumlusu olarak gösterilen REvil siber çetesi, son saldırının da sorumluluğunu üstlendi. REvil, 1 milyondan fazla sistemi fidye yazılımıyla enfekte ettiğini iddia etti. Çete, fidye yazılımından etkilenen sistemlere erişim sağlamak için "ortak" bir anahtar karşılığında kripto para olarak 70 milyon dolar tutarında fidye ödemesi talep ediyor. Siber güvenlik firması Recorded Future'a göre bu miktar, şimdiye kadar siber korsanların talep ettiği en yüksek tutarlı fidye.​

''Felaket bir durum''

Siber güvenlik uzmanları, İsveç'teki market zincirinden Yeni Zelanda'daki ana okullarına fidye yazılımı saldırısından etkilenen şirket ve iş yerlerinin fidye ödemek için birlik olması olasılığını düşük görüyor. Bu durum, fidye yazılımı saldırısına maruz kalanların içine düştüğü çıkmazı gözler önüne seriyor.

Güvenlik ve Teknoloji Enstitüsü Başkanı Philip Reiner, "Hiçbir şirket, faaliyetlerine devam etmek için kapılarını açık tutmak ya da suçlulara para vermek gibi bir ikileme düşmek istemez. Bu, bir CEO ya da yönetim kurulu açısından felaket bir durum" dedi.

ABD Federal Soruşturma Dairesi (FBI) Başkanı Christopher Wray, fidye yazılımı saldırılarının hedef aldığı şirket ve kuruluşların verilerine yeniden erişebilmek için siber saldırganlara fidye ödemesinde bulunmaması, bunun yerine hemen yetkililere başvurması gerektiğini kaydediyor.

Et işleme şirketi JBS USA, Kuzey Amerika ve Avustralya'daki faaliyetlerini geçici süreliğine durdurmak zorunda kalmasına neden olan 30 Mayıs'taki siber saldırıyı düzenleyenlere 11 milyon dolar ödeme yağmıştı. Yakıt boru hattı firması Colonial Pipeline da 7 Mayıs'ta düzenlenen ve ABD'nin doğusundaki en büyük yakıt boru hattının kapanmasına yol açan saldırının sorumlularına 4 milyon 400 bin dolar ödedi. FBI, daha sonra Colonial'ın ödediği fidyenin büyük çoğunluğunu geri aldı.

Fidye yazılımı saldırısı düzenleyenler, hedef aldıkları şirket ya da kuruluşların bilgisayar sistemini kilitliyor ve genellikle kripto para formundaki fidye ödemesi yapılana kadar sisteme erişimi engelliyor. Saldırının çapına göre bu durum bir şirketin faaliyetlerinin tamamını durdurmasına yol açabiliyor.

Fidye yazılımı saldırıları son birkaç yıldır hem sıklaştı hem de daha çok hasara yol açar hale geldi. Bunun nedeni kripto para birimlerinin yükselişiyle birlikte gizli görünümlü ödemelerin yapılabilmesi ve beceri düzeyi düşük siber suçluların bile fidye saldırıları düzenlemesini sağlayan iş modeli.

Siber suçluların hastane ve okul gibi kritik hizmet sunan kurumları giderek daha çok hedef alması, ABD ve diğer Batılı ülkelerin fidye yazılımlarını bir ulusal güvenlik tehdidi olarak kabul etmesine neden oldu. Beyaz Saray'dan hafta başında yapılan açıklamada fidye yazılımları, "Biden yönetimi için bir ulusal ve ekonomik güvenlik önceliği" olarak nitelendi.

Siber saha ve gelişmekte olan teknolojilerden sorumlu ulusal güvenlik danışman vekili Anne Neuberger, partilerüstü Ulusal Başsavcılar Birliği'ne geçen ay yaptığı açıklamada, Biden yönetiminin fidye yazılımlarıyla mücadelede dört kollu bir strateji benimsediğini söyledi. Bu strateji tehdit unsurlarını ve bu unsurların altyapısını dağıtmak, fidye yazılımı saldırısı düzenleyen suçluları koruyan ülkeleri sorumlu tutmak, kripto para cinsinden suç nitelikli parasal işlemleri takip etmek ve hükümetin fidye ödemelerine ilişkin uygulamalarını gözden geçirmeyi kapsıyor.​

Fidye yasaklanmalı mı?

Biden yönetimi yetkililerinin karşı karşıya oldukları en zor sorulardan biri, fidye yazılımı saldırılarına maruz kalan şirketlerin ve diğer kurumların ödeme yapmasını yasaklayıp-yasaklamamak. Fidye ödenmesinin yasaklanması gerektiğini savunanlara göre fidye yazılımları kar amacı güttüğü için bu yazılımların mali fayda yönünün ortadan kaldırılması, suçluları da ortadan kaldırır. Ancak ödeme yapılmasına izin verilmesini savunanlar, yasakların, şirketlerin faaliyetlerini yeniden oluşturmaya çalışmasına zarar vereceği görüşünde.

Neuberger, ABD'de refah düzeyi ve rekabetçiliğin ilerletilmesine odaklanan partilerüstü kurum Silverado Policy Accelerator tarafından geçen hafta düzenlenen sanal etkinlikte, "Bu çok zor bir karar. Titizlikle üzerinde düşünülmesi gerekiyor" dedi.

Neuberger ayrıca ABD'deki kritik altyapının büyük çoğunlukla özel sektörün mülkiyetinde ve işletiminde olduğunu, bu durumun, hükümetin fidye ödenip-ödenmemesi gibi kararları dayatma yetkisini kısıtladığını söyledi.

Neuberger, Biden yönetiminin fidye ödemelerini yasaklamak yerine hükümetin şirket ve kurumların fidye ödemesini engellemek için bazı teşvikler sunma seçeneğini değerlendirdiğini kaydetti.

"Fidye yazılımına hedef olan şirketlerin işi zor. Bir şirketin bu zor duruma düşmesine yol açan bir süreç var" diyen Neuberger, "Bu süreci gerçekten yeniden şekillendirmek için ne gibi teşvikler sunabiliriz?" ifadelerine yer verdi.

Biden yönetimi bir yandan da fidye ödemelerinin gizli tutulup-tutulamayacağına ilişkin uygulamayı değerlendiriyor. Neuberger, fidye yazılımı saldırılarına maruz kalanların çoğu siber çetelerle gözlerden uzak şekilde sessizce anlaştığı ve fidye ödemesi yaptığını kamuoyu önünde açıklamadığı için bu tür saldırıların gerçek kapsamının tam olarak bilinmediğini söylüyor. Bu arada bazi Kongre üyeleri, şirketlerin herhangi bir siber saldırı ya da fidye ödemesini hükümete bildirmesini zorunlu hale getirecek bir yasa hazırlanması için baskı yapıyor.

Senato İstihbarat Komisyonu Başkanı Demokrat Partili Virginia Senatörü Mark Warner, geçen ay NBC televizyonunda yayınlanan Meet the Press programında, "Daha fazla şeffaflığa ihtiyacımız var çünkü şirketler fidye yazılımı saldırısına uğradıklarını bildirmemekle kalmıyor, fidye ödemesi yaptıklarını da açıklamıyor" dedi.