Cl0p'tan Shell, Philips ve GE dahil yaklaşık 50 şirkete siber saldırı iddiası

Siber güvenlik açıklarından yararlanarak çok sayıda şirketi aynı anda hedef aldığı bilinen Cl0p adlı siber suç grubu, dünya genelinde yaklaşık 50 şirketten büyük miktarda veri çaldığını iddia etti.

Grubun yayımladığı listede enerji devi Shell, sağlık teknolojileri şirketi Philips, finansal teknoloji şirketi Fiserv ve General Electric (GE) gibi büyük şirketlerin isimleri yer aldı.

Grubun iddialarına göre Shell'den yaklaşık 89 gigabayt, Philips'ten ise 13,5 gigabayt veri çalındı. Saldırganlar Shell'e ait olduğu öne sürülen veriler arasında enerji tesislerine ilişkin mühendislik çizimleri, tesis fotoğrafları, teknik inceleme raporları ve proje planlarının bulunduğunu; Philips'e ait olduğu iddia edilen veriler arasında ise teknik çizimler, şemalar ve planların yer aldığını belirtti. Ancak grubun bu iddiaları destekleyen herhangi bir veri örneğini kamuoyuyla paylaşmadığı bildirildi.

Shell ve Philips saldırıyı doğruladı ancak veri hırsızlığı kesinleşmedi

Shell, yakın zamanda gerçekleşmiş olası bir siber olaydan haberdar olduğunu ve konuyu araştırdığını açıkladı.

Şirket sözcüsü, güvenlik ekipleri ve ilgili uzmanlarla birlikte olayın incelendiğini belirtti.

Philips ise belirli bir kurumsal sunucusuna yönelik siber güvenlik ihlali girişimini tespit ederek kontrol altına aldığını açıkladı. Şirket, olayın müşteri ortamlarını etkilemediğini bildirdi.

Fiserv ise Cl0p'un iddialarından haberdar olduğunu ancak şimdiye kadarki kapsamlı incelemelerinde müşteri verileri, bankacılık ve işlem bilgileri, kişisel veriler veya şirket operasyonlarının etkilendiğine ilişkin herhangi bir bulguya rastlanmadığını açıkladı.

General Electric de iddialardan haberdar olduğunu ve siber olaylara müdahale protokollerini devreye alarak olası etkinin kapsamını değerlendirdiğini bildirdi.

Saldırının arkasında ortak yazılım açıkları olabilir

Siber güvenlik uzmanlarının dikkat çektiği nokta ise saldırganların belirli şirketleri tek tek seçmek yerine, çok sayıda kuruluşun kullandığı yazılımlardaki güvenlik açıklarından yararlanmış olabileceği.

Sektörler arası bilgi paylaşımı yapan Ransom-ISAC, 22 Temmuz'da Cl0p'un PTC Windchill ve FlexPLM yazılımlarındaki güvenlik açıklarından yararlandığına ilişkin uyarı yayımladı. Söz konusu yazılımlar özellikle mühendislik, üretim ve ürün tasarım süreçlerinde kullanılıyor.

PTC daha önce ürünleriyle ilgili çeşitli güvenlik uyarıları yayımlayarak müşterilerinden güncellemeleri uygulamalarını istemişti. Tehdit istihbaratı uzmanı Brandon Parsons'a göre bazı şirketler Cl0p'tan 19-20 Temmuz tarihlerinde bildirim almaya başladı.

Parsons, grubun belirli şirketleri hedeflemekten ziyade belirli yazılım açıklarını hedeflediğini belirterek Cl0p'u "profesyonel veri gaspçıları" olarak nitelendirdi.

Cl0p'un yöntemi: Veriyi çal, fidye için tehdit et

Cl0p'un faaliyet modeli yalnızca şirketlerin sistemlerini kilitlemeye dayanan klasik fidye yazılımı saldırılarından farklılaşıyor.

Grup, şirketlerin sistemlerindeki güvenlik açıklarından yararlanarak verileri ele geçirmeye, ardından bu verileri sızdırmakla tehdit ederek fidye talep etmeye dayanan bir yöntem kullanıyor.

Bu modelde saldırganlar, şirketin operasyonlarını tamamen durdurmak yerine hassas bilgileri ele geçirerek şirket üzerinde baskı kuruyor. Fidye ödenmemesi halinde çalındığı iddia edilen verilerin grubun internet sitesinde veya karanlık ağdaki sızıntı platformlarında yayımlanması tehdidi kullanılıyor.

Cl0p'un geçmişte de benzer yöntemlerle çok sayıda kuruluşu hedef aldığı biliniyor. Özellikle 2023'teki MOVEit saldırıları, grubun tek bir yazılım açığından yararlanarak yüzlerce kuruluşu etkileyebilme kapasitesini ortaya koymuştu.

Asıl risk veri sızıntısının kapsamının ortaya çıkması

Son saldırı dalgasında şu aşamada en önemli belirsizlik, Cl0p'un açıkladığı yaklaşık 50 şirketten gerçekten ne kadar veri aldığı.

Shell ve Philips saldırı girişimlerini kabul ederken, her iki şirket de şu ana kadar Cl0p'un iddia ettiği miktarda verinin gerçekten ele geçirildiğini doğrulamadı. Fiserv ise kendi sistemlerinde hassas müşteri veya işlem verilerinin ele geçirildiğine ilişkin herhangi bir bulgu bulunmadığını açıkladı.

Dolayısıyla yaklaşık 50 şirketten veri çalındığı iddiası şu aşamada saldırganların beyanına dayanıyor. Reuters da veri hırsızlığının kapsamını ve niteliğini bağımsız biçimde doğrulayamadığını belirtiyor.

Bununla birlikte olay, şirketlerin ortak kullandığı kurumsal yazılımlardaki tek bir güvenlik açığının çok sayıda büyük kuruluşu aynı anda etkileyebileceğini göstermesi bakımından dikkat çekiyor. Bu nedenle siber güvenlik uzmanları, saldırının gerçek kapsamının önümüzdeki günlerde şirketlerin teknik incelemeleri ve olası veri sızıntılarının yayımlanmasıyla daha net ortaya çıkmasını bekliyor. (İLKHA)