Ransom-ISAC araştırmacısı Rakesh Krishnan'ın yayımladığı yeni bir vaka incelemesine göre, ABD merkezli bir devlet kurumu, çalınan dosyalarının sızdırılmasını önlemek için yaklaşık 1 milyon dolar ödedi. Araştırma, sızdırılmış bir müzakere sohbeti ve ödemenin blockchain üzerinde bıraktığı izler sayesinde ortaya çıktı. İşin ilginç yanı, parayı alan Kairos adlı grubun aslında bir fidye yazılımı çetesi olmayabileceği. Krishnan, grubun herhangi bir bilgisayarı kilitlemediğini, şifreleme yapmadığını veya şifre çözme anahtarı talep etmediğini belirtiyor. Tehdit çok daha basit: Dosyaları çal ve yayınlamamak için ücret talep et.
Krishnan, mağdurun ismini vermese de, sohbet kayıtları Ohio'nun Union County bölgesine işaret ediyor. Çalındığı kanıtlanan dosyalar arasında 'Union.xlsx', '1 union co psi template.doc' ve 'union.rar' gibi isimler bulunuyor. Mağdur, kendisini 'sınırlı kaynaklara sahip küçük bir ilçe' olarak tanımlıyor. Saldırgan ise özellikle 'savcılık ofisi' etiketli bir klasöre odaklanarak, bunun sızdırılmasının suçluların cezadan kaçmasına yardımcı olacağı tehdidinde bulunuyor.
Bu ipuçları gerçek bir vakayla örtüşüyor. Mayıs 2025'te Union County, Ohio, ağında fidye yazılımı tespit ettiğini duyurmuş ve 45.487 kişiye verilerinin çalındığını bildirmişti. Çalınan kayıtlar arasında Sosyal Güvenlik numaraları, finansal detaylar, parmak izleri ve pasaport numaraları yer alıyordu. Ne ilçe ne de Kairos bu bağlantıyı doğruladı, ancak doğruysa, bir ilçe yönetimi kamuya açıklamadığı 1 milyon dolarlık bir ödeme yapmış oldu.
Teknik Analiz
Müzakere yaklaşık bir ay sürdü. Kairos 3 milyon dolar talep ederek 2 terabayttan fazla veri (yaklaşık 1,6 milyon dosya) tuttuklarını iddia etti. İlçe 100.000 dolardan başlayarak 255.000, ardından 430.000 dolara çıktı. Kairos 2 milyon dolara indi ve son olarak 1 milyon dolarlık kesin bir rakam belirledi: Cuma gününe kadar ödenmezse dosyalar yayınlanacaktı. Ödeme 9,44 bitcoin olarak gerçekleşti ve Kairos'un cüzdanına ulaştı. Krishnan, paranın saatler içinde ikiye bölünerek Bybit, OKX ve Rus hizmeti BELQI gibi kripto borsalarına yönlendirildiğini tespit etti.
Kairos, ödeme sonrası 'silme kanıtı' adlı bir dosya gönderse de, bu sadece saldırganın dosyalara bir zamanlar sahip olduğunu gösteriyor, asıl kopyaların silindiğini değil. Çalınan verileri yok etmek için ödeme yapmak bir inanç sıçramasıdır ve makbuzu hırsız tarafından yazılır. Union County olaya 'fidye yazılımı' dese de, Kairos vakasında hiçbir şey kilitlenmedi. Bu, artık 'fidye yazılımı' denilen saldırıların çoğunda şifreleme olmadığı gerçeğini yansıtıyor. Sophos 2025 raporuna göre, fidye yazılımı saldırılarının sadece yarısı şifreleme içeriyor; bu altı yılın en düşük oranı. Silent Ransom Group gibi gruplar yıllardır yalnızca veri hırsızlığıyla tehdit ediyor.
Sistem Güvenliği
Kairos'un müzakere deseni de tanıdık: Black Basta'nın sızdırılan sohbetlerinde de 1,5 milyon dolarlık talepten 100.000 dolarlık karşı teklife ve 1 milyon dolarlık ödemeye uzanan benzer bir seyir vardı. Kairos'un sızıntı sitesi şu an kapalı ve bilinen son kurbanı Haziran 2026'da görüldü. Ancak operasyonla bağlantılı bir cüzdan Mayıs 2026'ya kadar para hareketi yapmaya devam etti; bu, karanlık bir sızıntı sitesinin kapanmasının çetenin öldüğü anlamına gelmediğini gösteriyor.
Küçük devlet ağları için dersler basit ama hayati: Çok faktörlü kimlik doğrulamayı etkinleştirin; Kairos, yalnızca bir şifreyi tahmin ederek içeri girdiğini iddia etti. Tekrarlanan başarısız girişler, büyük veri çıkışları ve temp.sh gibi geçici dosya paylaşım bağlantılarına dikkat edin. Yasal, İK ve vatandaş kayıtlarını ağın geri kalanından ayırın. Kriz öncesi bir kamuoyu açıklaması planı hazırlayın. Ve çalınan verilerin silineceğine dair her türlü sözü, tamamen değersiz kabul edin.
Detaylar ve Etkileri
Kairos vakası, siber suç dünyasında şifrelemenin artık zorunlu olmadığını gösteriyor. Veri hırsızlığı tek başına yeterli bir tehdit oluşturabiliyor. Kurumlar, yalnızca fidye yazılımına karşı değil, veri sızdırma tehdidine karşı da hazırlıklı olmalı. Bu tür saldırılarda ödeme yapmak, sorunu çözmez; aksine suçluları cesaretlendirir. En iyi savunma, güçlü erişim kontrolleri, ağ segmentasyonu ve düzenli yedeklemelerdir.
Kaynak: thehackernews.com
