Veri İhlali:

Meydan Okuma

Sağlık grubunu oluşturan şirketlerden “Yonca Sağlık Hizmetleri Ltd. Şti.” bünyesinde siber saldırı sonucu yaşanan veri ihlali üzerine, 6698 sayılı Kanun’dan doğan yükümlülüklerimizin yerine getirilmesi amacıyla Kişisel Verileri Koruma Kurulu’na ihlal bildirimi yapılmıştır. Veri ihlali kapsamında veri sorumlusu olarak işlediğimiz kişisel veri ve özel nitelikli kişisel veri olan finans ve sağlık bilgisi kategorilerinde yer alan kişisel verilerin etkilenmiş olabileceği öngörülmektedir. Yapılan müdahaleler sonucunda sızıntı büyük ölçüde engellenmiş olsa da siber saldırı nedeniyle ihlalden etkilenen kişi sayısını net olarak tespit etmek mümkün olmamıştır.

Çözüm

Saldırı nedeniyle veri sızıntısının ve zararın artmasını önlemek amacıyla şirket tarafından tüm güvenlik önlemleri alınmıştır. Veri ihlali olayı 16.03.2022 tarihinde tespit edilmiş olup, ihlalin 15.03.2022 tarihinde gerçekleştiği ve atipik bir siber saldırı olduğu anlaşılmıştır. Veri ihlali tespit edilir edilmez ihlale konu olan sunucuların internet erişimi kesilmiş ve devam eden dosya transferi durdurulmuştur. Hemen ardından Siber Güvenlik alanındaki uzmanlarla iletişime geçilmiş ve Olay Müdahale Süreci başlatılmıştır. Söz konusu saldırı siber saldırganların kullandığı tipik bir saldırı olmamasına rağmen tarafımızca yürütülen müdahale işlemleri başarıyla sonuçlandırılmıştır.

En İyi Uygulama 1 – Siber Güvenlik Olayı University of the Arts London (UAL)

 Siber güvenlik olayının tanımı

UAL, Londra merkezli bir üniversitedir. Sanat, tasarım ve yaratıcılık üniversitesi 1886 yılında kurulmuştur. Üniversitenin 26.000 öğrencisi ve 2.500 eğitmeni bulunmaktadır. Üniversite, araştırmaları ve akademik programlarıyla uluslararası bir üne sahiptir. 2018 yılında, önemli bir siber saldırı binlerce öğrenci ve öğretim üyesinin kişisel verilerini açığa çıkardı. Bu olayın ardından yeni güvenlik önlemleri alınmış ve üniversitenin olaylara müdahale süreçleri değerlendirilmiştir.

Sorun nasıl tedavi edildi?

UAL 2018 yılında saldırıya uğradı. ‘Sofistike ve hedefli’ saldırıda 19.500 öğrenci ve personelin isimleri, adresleri, telefon numaraları ve mali bilgileri ifşa edildi. Saldırı aynı zamanda üniversite sistemlerini kesintiye uğratarak öğrencileri ve personeli geciktirdi. Kurum, profesyonel bilgisayar korsanlarının saldırdığını söyledi. Bilgisayar korsanları üniversitenin üstün bilgisayar güvenliğini ihlal etmiş ve önemli ölçüde veri kaybına neden olmuştur. Kurum, bilgisayar korsanlarının bilgisayarlarına girmek için sofistike bir kimlik avı saldırısı kullandığını söyledi, ancak ayrıntılar açıklanmadı. Bilgisayar korsanları üniversite personeline giriş bilgilerini talep eden e-postalar gönderdi. Saldırganlar içeri girdikten sonra, öğrenci ve fakülte verilerini çalmak için kötü amaçlı yazılım yerleştirdiler. Saldırı üniversite operasyonlarını yavaşlatarak öğrenciler ve personel için sorunlara neden oldu. Kişisel veriler, öğrencileri ve personeli kimlik hırsızlığı ve diğer güvenlik sorunlarıyla karşı karşıya bıraktı. Üniversiteler ve hukuk yetkilileri saldırganların kimliklerini tespit ediyordu. Hızlı soruşturmaya rağmen saldırganların kimliği tespit edilemedi.

 Nasıl ele alındı?

Saldırı, üniversitelerin siber güvenliği ile öğrenci ve personel verilerinin korunmasına ilişkin endişelere yol açtı. Öğrenciler ve çalışanlar bu olaydan sonra bilgi güvenliği tehditleri konusunda daha bilinçli olmalıdır. Olay aynı zamanda üniversitenin olay müdahale prosedürlerini incelemesine ve benzer saldırıları önlemek için ek tedbirler geliştirmesine yol açtı.

UAL, siber saldırının hemen ardından olay müdahale stratejisini uygulamaya koymuştur. Etkilenen sistemlerin kapatılması saldırıyı durdurdu ve ek hasarı önledi. Üniversite daha sonra saldırının kapsamını ve veri maruziyetini araştırdı. Etkilenen taraflar da veri ihlali konusunda bilgilendirildi ve tepkilerden nasıl kaçınacakları konusunda tavsiyelerde bulunuldu. Üniversite, polisin saldırganları tespit etmesine ve kovuşturmasına yardımcı oldu. Saldırganların kimlikleri tespit edilememiştir.

Uygulanan çözümler
Olayın ardından UAL, gelecekteki izinsiz girişleri önlemek ve öğrenci ve personel verilerini korumak için adımlar attı. Şifre kısıtlamaları, güvenlik yazılımı ve kimlik avından kaçınma eğitimi bu yöntemler arasındaydı. Gelecekteki saldırıları anında tespit etmek ve müdahale etmek için bir güvenlik tehdidi izleme sistemi kuruldu. Üniversite, öğrencileri ve çalışanları kimlik avı ve veri koruma konusunda eğitti. Üniversite ayrıca kolluk kuvvetleriyle birlikte çalıştı ve yeni güvenlik teknolojileri satın aldı.

UAL siber saldırısı, güçlü siber güvenliğin ve doğrulanmış bir olay müdahale planının önemini göstermiştir. Kuruluşlar, etkili savunmalar kurarak ve anında yanıt vererek kendilerini ve toplumlarını siber saldırılardan koruyabilirler. Bu olay aynı zamanda siber güvenlik ve veri korumanın gerekliliğini de vurgulamıştır. Kullanıcılar hassas bilgilerin ifşa edilmesinin risklerini ve güvenli şifreler ile cihaz güvenliğinin gerekliliğini anlamalıdır. Kullanıcı eğitimi ve siber güvenlik kuruluşlar için proaktif olmalıdır. UAL siber saldırısı hiçbir kuruluşun siber saldırılara karşı güvende olmadığını göstermiştir. Kuruluşlar verilerini ve operasyonlarını bu risklere karşı güvence altına almalıdır. Güçlü savunmalar, zamanında olay müdahalesi ve siber güvenlik farkındalığı, kurumları ve toplulukları siber tehditlerden koruyabilir.

En İyi Uygulama 2 – Siber Güvenlik Olayı Maastricht Üniversitesi (UM)

Siber güvenlik olayının tanımı

Büyük bir fidye yazılımı saldırısı 23 Aralık 2019 tarihinde Maastricht Üniversitesi’ni (UM) hedef aldı. Fidye yazılımı hemen saldırdı. Bilgisayar korsanları 30 dakika içinde aralarında hayati önem taşıyanların da bulunduğu 267 üniversite sunucusunu kilitledi. Araştırma ve ticari operasyon verilerini içeren e-posta ve dosya sunucuları ele geçirildi. Hackerlar birden fazla yedekleme sunucusunu şifreledi. Saldırganlar UM çalışanlarına 15 Ekim’de kimlik avı e-postaları gönderdi. Bir çalışan mektup linkine tıkladı. Bu, makro içeren bir Excel dosyasını açtı. Makro, kullanıcının iş istasyonuna uzak bir sunucudan kötü amaçlı yazılım yükledi. Üniversite virüs tarayıcıları bulaşmayı fark etti, ancak failler küçük değişiklikler yaptıkları için bulaşmayı geçtiler. Başka bir kullanıcı bir gün sonra benzer bir belge içeren ikinci bir kimlik avı e-postasına tıkladı. O andan itibaren saldırganlar UM ağ erişimine sahip oldular.

Sorun nasıl tedavi edildi?
Fox-IT, bir kimlik avı e-postasının açılmasının ardından, yetersiz tespit, izleme ve takibin bilgisayar korsanlarının 23 Aralık 2019’da UM ağının bir bölümünü çalıştırmasına izin verdiğini tespit etti. Yönetim Kurulu, Kriz Yönetim Ekibi, Denetleme Kurulu, temsilci organlar ve diğer üniversite birimleri siber saldırının üstesinden gelmek için koordinasyon sağladı. Kriz Yönetim Ekibi (CMT), üniversite eğitim ve araştırmaya öncelik verdiği için ekonomik kesintiyi en aza indirme çabalarına öncelik verdi. Personel ve öğrenci iletişimi çok önemliydi. Yönetim Kurulu ve Denetleme Kurulu da diğer yükseköğretim kurumlarıyla mümkün olduğunca fazla bilgi paylaştı.
Siber kriz sırasında, dış yükleniciler siber güvenliği güçlendirmek için BT sistemlerini 7/24 izlemiştir (“artırılmış dike izleme” olarak adlandırılmıştır). Merkezi ve merkezi olmayan BT altyapısı üzerinde yapılan bir araştırma, önleyici tedbirlerin sıkılaştırılması ihtiyacını ortaya koymuştur. UM’nin ek devlet finansmanına, siber tehdit bilgi alışverişine ve eğitim işbirliğine ihtiyacı vardır. UM personeli siber güvenliğin tartışılmasını ve ek adımlar atılmasını önermektedir. Siber dayanıklılığa karşı eğitim ve araştırmaya yatırım düşünülmelidir. UM’de bilgi güvenliği desteği yakında açıklanacak.

Nasıl ele alındı?
23 Aralık 2019 akşamı, büyük bir siber güvenlik olayı ortaya çıktı. UM-CERT merkezi ICTS direktörünü aradı. Ev tabanlı UM-CERT yöneticileri giriş yapamadı. Bazıları Maastricht’i ziyaret etti. Yönetim Kurulu Başkan Yardımcısı bilgilendirildi. UM ağı, sistemler kapatılarak ve üniversite kapatılarak izole edildi. Son ulusal SURF tatbikatı olan OZON, yönetim kurulu düzeyinde yükseltmeyi modelledi. UM-CERT üyeleri SURFcert ve Fox-IT ile irtibata geçebilirler. 23-24 Aralık gecesi her iki kuruluşla da yardım için temasa geçildi. Gece boyunca durum bir siber güvenlik sorunundan daha fazlasıydı. Kriz yönetimi UM uygulamasını takip etti. 24 Aralık 2019’da Kriz Yönetim Ekibi (CMT) toplandı. CMT’nin öncelikleri siber kriz sırasında değişti. Sistemlerin tanımlanması ve korunmasının ardından, adli veri kaybına neden olabilecek öğretim ve araştırma öncelik kazandı. Bilgisayar korsanlarının anahtarını aldıktan sonra UM ve Fox-IT tüm BT altyapısını kurtardı ve temel nedenleri (koşullar, neden ve kapsam) ve bilgisayar korsanlarının veri erişimini (görüntüleme, çalma veya başka şekilde işleme dahil) analiz etmek için adli verileri güvence altına aldı.

CMT, enfekte olmadığı için iletişim kurmak amacıyla UM web sitesini kullanmıştır. Günlük güncellemeler kurum içi organizasyona, personele ve öğrencilere odaklanmıştır. Diğer taraflar bu bilgilere erişebilmektedir.

Uygulanan çözümler
Yönetim Kurulu’nun krizi çözmek için üç alternatifi vardı: Şifrelemeyi kaldırmak için bir şifre çözücü geliştirmek; BT altyapısını yeniden inşa etmek ve yedeklemeleri saldırı öncesi seviyelere geri yüklemek; ya da Fidye ödemek. Fox-IT ilk seçeneği uygulanamaz buldu. Üç aydan fazla bir süre boyunca eğitim ve araştırmayı başarıyla kesintiye uğrattı. İkinci alternatif olan BT altyapısının yeniden yapılandırılması ise iki ila üç ay sürdü. Derece programları ve araştırmalar tam bir akademik dönem kaybedecekti. Bu seçenekte veri kurtarma belirsizdi. UM’nin internet yedeklemeleri bu seçimi zorlaştırdı. UM, personel ve öğrencilerin bir kesintiden sonra eğitim ve araştırma verilerine hızla erişebilmeleri için çoğunlukla çevrimiçi yedeklemeler yaptı. Kötü amaçlı yazılımlar çevrimiçi yedeklere bulaşarak onları kullanılamaz hale getirebilir. Merkezi hükümet suç örgütleriyle iş yapılmasını engellemektedir. UM de bunu desteklemektedir. Gerçekte, genel bir çizgi karmaşıktır.

Yönetim Kurulu, üniversitenin çıkarının -öğrencilere ve personele karşı yükümlülüklerini yerine getirmek için “işe geri dönmek”- kamu çıkarından üstün olduğuna inanıyordu. Üniversite, faaliyetlerini sürdürebilmek için şifre çözme anahtarı için fidye ödedi. Finansman sağlanmasaydı, restorasyon ve yeniden yapılandırma aylarca sürecek, öğretim ve araştırmayı tehlikeye atacaktı. Şifre çözme anahtarı olmadan BT altyapısı ve veriler tam olarak geri yüklenemeyebilirdi. Birçok senaryo düşünüldü.

Denetleme Kurulu ayrıca üniversitenin Bilgisayar altyapısını onarması için bir maliyet tahmini talep etmiştir. Bu maliyet fidye ödemekten birkaç kat daha fazlaydı. Yönetim Kurulu ve Denetim Kurulu, diğer üniversitelerin Maastricht Üniversitesi’nin siber saldırısından ders alabilmeleri için şeffaf olmaya çalışmıştır. Kurum fidyeyi dikkatli bir soruşturmanın ardından ödemiştir. Üniversite şifre çözme anahtarı için fidye ödemiştir. UM, Ocak 2020’de bir Güvenlik Operasyonları Merkezi (SOC) açmayı planlıyordu, ancak izleme aracı henüz kararlaştırılmamıştı. Siber saldırıdan sonra Carbon Black seçildi. Fox-IT, programı adli analiz için ele geçirilen sistemlerde kullandı. Daha sonra, hem fiziksel hem de Sanal olmak üzere kalan Windows Sunucularına ve Windows iş istasyonlarına dağıtıldı. Windows Sunucuları tekrar ağa bağlanmadan önce yardımcı program yüklendi. Fox-IT’yi kullanan UM, 2 Ocak 2020’de 7/24 izlemeye başladı.