Pazar araştırma sağlayıcısı Klue, bu ayın başlarında yaşanan bir siber saldırıda siber suçluların birçok müşterisine ait büyük miktarda veriyi çalmasının ardından, hacker'larla iletişim halinde olduğunu ve grubun çalınan verileri sildiğine inandıklarını açıkladı. TechCrunch'ın edindiği bilgilere göre şirket, özel olarak paylaştığı bir güncellemede, 'Icarus' olarak bilinen tehdit aktörüyle iletişimlerinin sürdüğünü ve Icarus'un Klue müşterilerinden alınan verileri silmek için adımlar attığını belirtti.
Klue, 12 Haziran'da sistemlerine sızıldığını ve belirtilmeyen sayıda müşteriden belirtilmeyen miktarda veri çalındığını doğruladı. Saldırıdan etkilenen müşteriler arasında Gong, Jamf, HackerOne, Huntress, Insurity, LastPass, OneTrust, Recorded Future, Snyk, Sprout Social ve Tanium gibi tanınmış şirketler yer alıyor. Icarus grubu, başlangıçta Klue'yu şantaj yapmak amacıyla çalınan verileri yayınlamakla tehdit etmişti. Ancak Perşembe sabahı itibarıyla Icarus web sitesinin kapalı olduğu görüldü ve Klue de müşterilerine bu durumu bildirdi.
Her şey çözülüyormuş gibi görünürken, saldırı son birkaç günde daha karmaşık hale geldi. Klue'ya göre Icarus, şirkete ikinci bir hacker grubunun müşterileri doğrudan şantaj etmeye çalıştığını söyledi. Bu isimsiz grup, kendi web sitesinde etkilenen şirketlerin bir listesini yayınlayarak Klue'nun müşteri verilerini Icarus'tan doğrudan çaldıklarını iddia etti. Ayrıca, Klue'nun Birleşik Krallık'ta yaşayan genç bir Icarus operatörüne ödeme yaptığını öne sürdü. TechCrunch, bu iddiaları bağımsız olarak doğrulayamadı.
Saldırganlar, bu kişinin yaptığı bir hatanın, çalınan verilerin tutulduğu sunucuya bağlanmalarına izin verdiğini belirtti. 'Fidyeyi ödeyin yoksa her şeyi sızdırırız' diyen siber suçlular, toplamda 195 Klue müşterisinin etkilendiğini iddia ediyor. Klue ise müşterilerine yaptığı güncellemede, Icarus'un diğer tarafın yalnızca bir alt küme müşteriye ait örnek verilere sahip olduğunu ve tüm verilere sahip olmadığını söyledi. Şirket, müşterilerini bu ikinci gruba ödeme yapmamaları konusunda uyardı ve doğrulama için rastgele veri örneği istemelerini tavsiye etti.
Sistem Güvenliği
Klue daha önce, hacker'ların 2022 yılına ait ve sınırlı bir pilot programın parçası olan üçüncü taraf bir kimlik bilgisini kullanarak müşteri verilerini çaldığını açıklamıştı. Saldırganlar, bu erişimle Klue'nun sistemlerinden müşterilerin OAuth token'larını (kimlik doğrulama anahtarları) çalarak bulutlarına ve veritabanlarına giriş yapmıştı. Klue, bu çalıntı kimlik bilgisinin kime ait olduğu veya neden dört yıl boyunca iptal edilmediği gibi ayrıntıları paylaşmadı. Bu durum, güvenlik açıklarının yönetimi konusunda ciddi soru işaretleri yaratıyor.
Teknik Analiz
Bu olay, siber güvenlik dünyasında fidye yazılımı saldırılarının ne kadar karmaşık hale geldiğini bir kez daha gösteriyor. Icarus'un verileri sildiğini iddia etmesi olumlu bir gelişme olsa da, ikinci bir grubun ortaya çıkması durumu daha da tehlikeli kılıyor. Klue müşterilerinin, şifrelerini sıfırlama, iki faktörlü kimlik doğrulamayı etkinleştirme ve olağandışı etkinlikleri izleme gibi acil güvenlik önlemleri alması kritik önem taşıyor. Ayrıca, üçüncü taraf kimlik bilgilerinin düzenli olarak denetlenmesi ve eski erişimlerin iptal edilmesi, benzer ihlallerin önlenmesinde hayati rol oynuyor.
Kaynak: techcrunch.com
