Google'dan kritik uyarı: Siber korsanlar ABD'nin dev finans kuruluşlarını hedef alıyor

Google'ın tehdit istihbarat verilerine göre fidye peşindeki siber korsanlar, son bir ay içerisinde ABD merkezli çok sayıda büyük finans kuruluşunu ve özel şirketi hedefine aldı. Şirketten yapılan açıklamada, korsanların telefon aramaları yoluyla çalışanların sistem şifrelerini ele geçirmek amacıyla Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital ve Moody's gibi dev kurumların adını taşıyan 72 sahte internet sitesi oluşturduğu bildirildi.

Hedefte özel sermaye dünyası var

Google tarafından perşembe günü yayımlanan blog yazısında, saldırı kampanyasını yürüten korsanların Redact, Pink, Falcon ve Helix gibi farklı takma isimler altında faaliyet gösterdiği kaydedildi. Raporda, isimleri açıklanmayan bazı kurumların korsanlara fidye ödemek zorunda kaldığı bilgisi de yer aldı. Ancak korsanların hangi şirketlerin sistemlerine başarıyla sızdığı henüz tam olarak netleşmedi.

Google Tehdit İstihbarat Grubu Kıdemli Tehdit Analisti Austin Larsen, korsanların genellikle finansal getirisi yüksek sektörleri tercih ettiğini ve bu girişimlerinde çoğu zaman başarılı olduğunu vurguladı. Larsen, "Mesele tamamen maddi çıkarla ilgili. Bu şirketlerin elinde, çalındığı takdirde sızdırılmasını önlemek için fidye ödemeyi kabul edecekleri hassasiyette veriler bulunduğunu düşünüyorlar" ifadesini kullandı.

Telefonla sosyal mühendislik taktiği

Google raporuna göre korsanlar, titizlikle kurgulanmış sosyal mühendislik yöntemlerine başvurdu. Şirketlerin bilgi işlem destek ekibinden aradıklarını belirten korsanlar, çalışanlara kişisel cep telefonlarından ulaştı. Bazı durumlarda ise arayan numara kısmında kurumun gerçek destek hattı numarası gösterilerek güven sağlandı.

Çalışanlara sistem şifrelerini veya çok faktörlü kimlik doğrulama kodlarını acilen güncellemeleri gerektiği yönünde sahte talimatlar verildi. Ardından personel, "passkeyhelpdesk" veya "secure-passkey" gibi ifadeler içeren tuzak internet sitelerine yönlendirildi.

"İnsan unsuru en zayıf halka"

Reuters tarafından yapılan analizde, raporda listelenen 72 zararlı internet sitesi DomainTools ve urlscan gibi ağ istihbarat platformları üzerinden incelenerek her bir kuruma özel hazırlanan alt alan adları ortaya çıkarıldı. Larsen, söz konusu alt alan adlarının muhtemelen sızma girişimlerinde kullanıldığını belirterek, "Tamamı başarıya ulaşmadı" diyerek ihtiyatlı bir değerlendirmede bulundu.

Retail and Hospitality ISAC bünyesinde siber tehdit istihbaratı ürün yöneticisi olarak görev yapan Lee Clark, gelişmiş güvenlik yazılımlarına ve yapay zeka destekli tehditlere rağmen korsanların düşük teknolojili yöntemlerle finans sektörünü hedef almasının dikkat çekici olduğunu söyledi. Clark, "Çevredeki çitler artık çok gelişmiş ve yüksek teknolojiye sahip olduğu için güvenlik görevlisini kapıyı bize açması yönünde kandırmamız yetiyor" ifadesiyle durumu özetledi.

Uzmanlar, saldırıların başarıya ulaşması halinde ABD'nin en büyük özel sermaye fonlarına ait kritik verilerin sızma riski bulunduğuna dikkat çekiyor. Clark, bu yöntemlerin hızla yayılmasının temel nedeninin ise insan unsuru olduğunu kaydetti.