Continental'den uzun süre siber saldırı, 40 TB'lık verinin çalınması ve önce 50, ardından 40 milyon dolarlık fidye talebiyle ilgili bir açıklama gelmedi. Continental şimdi ne olduğunu ve nasıl tepki verileceğini açıklığa kavuşturuyor.
Continental'e yapılan gerçek saldırı muhtemelen Ağustos 2022'de gerçekleşti. O sırada Continental her şeyin yolunda olduğunu duyurdu. Saldırının fark edildiği ve püskürtüldüğü açıklandı. Ama bundan çok uzak: bilgisayar korsanları muhtemelen o sırada hâlâ Continental ağındaydı veya hâlâ erişimleri vardı. Günlük operasyonlarda, 40 TB'tan fazla veri, Continental'in haberi olmadan, bilinmeyen bir süre boyunca gözden geçirildi.
Continental artık halka açık bilgi sağlıyor
Continental şimdi duyuruyor: “Continental, siber suçlular tarafından hedef alındı. Şirket, Ağustos ayı başlarında saldırıyı önledi ve BT sistemlerinin bütünlüğünü yeniden sağladı. Continental'in ticari faaliyetleri hiçbir zaman etkilenmedi. Bu arada olayın soruşturulması, saldırganların alınan güvenlik önlemlerine rağmen etkilenen BT sistemlerindeki verilerin bir kısmını da çalabildiklerini ortaya çıkardı. Dış siber güvenlik uzmanlarının desteğiyle yürütülen soruşturma ve veri analizi şu anda devam ediyor ve en yüksek öncelik ile yürütülüyor.”
Kısa süreli veri hırsızlığı
Siber saldırının bazı adımlarının nasıl gerçekleştiğini şirketin kendisi anlatıyor. İşte kısaltılmış bir versiyon:
- 4 Ağustos 2022: Continental konuyu hemen araştırmaya başlar. Şirket ayrıca dış uzmanlarla da çalışır.
- Saldırgan, Eylül ortasında Continental ile temas kurdu. Continental daha sonra saldırganlarla teması kesti.
- 9 Kasım 2022'de saldırgan, verileri karanlık ağda 50 milyon dolara silmeyi veya satmayı teklif etti. Bu, 29 Kasım 2022'de 40 milyon dolara düşürüldü.
- Ek olarak, 10 Kasım 2022'de saldırgan, ellerinde olduğunu söylediği verilerin bir listesini yayınladı. Ayrıntılı dosya içerikleri yayınlanmayacaktır.
- Continental şu anda 40 TB'tan fazla veri sızıntısı olduğunu varsayıyor. Şu anda hiçbir dosya içeriği yayınlanmadı.
- Continental şu anda verilerin manipüle edildiğine veya ürünlerin güvenliğinin ihlal edildiğine dair bir belirtiye sahip değil.
- Continental, teknoloji destekli veri analizi için tanınmış bir denetim şirketi ile çalışmaktadır.
Fidye ödemesi yok - BSI'dan tavsiye
Ayrıca şirket yönetimi "Continental fidye ödemelerini kabul etmeyecek. Fidye ödemek, yalnızca güç kaynakları ve hastaneler, eğitim kurumları ve ekonomi gibi kritik altyapıların güvenliğine yönelik saldırıları finanse etmeye devam etmeye yardımcı olur. Şirket bu tavrıyla Federal Bilgi Güvenliği Dairesi (BSI), Federal Kriminal Polis Dairesi (BKA) ve Federal Hükümetin mevcut tavsiyelerini de takip ediyor.”
Neden kimse farketmedi?
Continental'e göre, deneyimler fidye yazılımı saldırılarının ortalama olarak birkaç ay boyunca tespit edilmediğini gösterdiğinden, bu alışılmadık bir durum değil. "Bunun nedenlerinden biri, özellikle büyük şirketlerin çok fazla veri alışverişinde bulunması ve mevcut davada olduğu gibi yaklaşık 40 TB'lık bir veri aktarımının hemen önemli olmamasıdır." Diğer raporlar, şirketin günde yaklaşık 200 TB hareket ettiğini söyledi. Aynı zamanda, daha fazla adli değerlendirme yine de biraz zaman alacaktır, çünkü "Potansiyel veri miktarı nedeniyle (55 milyondan fazla dosya girişi), veri analizi muhtemelen birkaç hafta sürecektir."
Bilgisayar korsanları Continental'e nasıl girdi?
Şirket şunları söylüyor: “Saldırganların nereden başlayabildikleriyle ilgili soruşturma da dahil olmak üzere siber saldırıyla ilgili soruşturma devam ediyor. İlk bulgular, saldırganların bir çalışan tarafından yürütülen gizli kötü amaçlı yazılımı kullanarak Continental sistemlerine erişim elde ettiğini gösteriyor." Çeşitli medyaya göre, bir çalışanın yetkisiz bir tarayıcı yüklediği söyleniyor. Bu, ya gemide zaten kötü amaçlı kod barındırıyordu ya da ilgili bir kaynağa yönlendiriyordu. Bir çalışanın neden yazılım yükleme haklarına sahip olduğu yanıtlanmadı.
Ekonomik sonuçları nelerdir?
Continental, siber saldırının Continental üzerinde ne gibi ekonomik sonuçları olabileceğini de merak ediyor. Bunun cevabı kısaca, "Şu anda olası sonuçlar hakkında daha fazla ayrıntı yok." Ancak diğer şirketler işleri bu kadar basit görmemeli. Çünkü çalınan veriler arasında Mercedes, BMW ve VW belgeleri de olmalıydı.. Ürün geliştirmeleri veya diğer şeyler bu şekilde tehlikeye girerse veya veriler rakiplere ulaşırsa, bunun Continental için başka yansımaları olabilir.
Rubrik'ten Michael Pietsch'in yorumu
Otomotiv tedarikçisi Continental, bir fidye yazılımı saldırısının kurbanı oldu. Vaka, ağı sürekli izleyen ve düzensizlikler durumunda alarm veren güvenlik çözümlerinin kullanılmasının ne kadar önemli olduğunu gösteriyor.
"Bu amaçla, kuruluşlar Continental'in durumundan bir şeyler öğrenebilir. Grup, bilgisayar korsanı saldırısının ağdan büyük miktarda veri çalındığını fark etmesinden yalnızca aylar sonra fark etti. Bunu ele almak için, ağı sürekli olarak izleyen ve herhangi bir düzensizlik durumunda alarm veren güvenlik çözümleri mevcuttur. Bu, hızlı eylem sağlar ve geniş kapsamlı etkileri önler.
Bu nedenle siber güvenlik uzmanları, veri güvenliğini üç sütun etrafında oluşturmayı öneriyor: veri dayanıklılığı, veri görünürlüğü ve veri kurtarma. Kullanıcılar, verilerinin değiştirilemez yedek kopyaları sayesinde dayanıklılık elde eder. Değiştirilemez veriler dokunulmazdır ve bilgisayar korsanları tarafından şifrelenemez. Görünürlük, tüm veri akışlarının sürekli izlenmesiyle garanti edilir.
Bu ayrıca her zaman kimin hangi verilere erişimi olduğunu ve ne zaman kullanıldığını bilmeyi de içerir. Bu bilgiler, şüpheli etkinliği belirlemek ve durdurmak için kullanılabilir. Yedeklemeler, önemli verileri geri yüklemek için kullanılır. Güvenli bir yerde saklanırlarsa ve hızlı bir şekilde kullanılabilirlerse, bir fidye yazılımı saldırısının kurbanları sistemlerini zamanında tekrar çevrimiçi duruma getirebilirler. Bu ilkelere bağlı kalanlar, bir siber saldırının riskini ve zarar verme potansiyelini en aza indirebilir.” Bu yüzden Rubrik'ten Michael Pietsch.
Daha fazlası Continental.com'da