ACCSC, BianLian fidye yazılımı grubu tarafından sızıntı sitesinde listelendi

• Fidye grubu: BianLian
• Ülke: Amerika Birleşik Devletleri
• Sektör: Eğitim
• Duyuru tarihi: 3 Mart 2023

BianLian fidye yazılımı grubu, ACCSC (Accrediting Commission Of Career Schools Colleges) kurumuna ait verilerin ele geçirildiğini iddia ederek kurumun ismini sızıntı sitesinde listeledi. 3 Mart 2023 tarihinde gerçekleştiği öne sürülen bu olayda, saldırgan grubun kurum üzerinde baskı kurmak amacıyla bu yöntemi seçtiği değerlendirilmektedir.

Saldırganların iddiaları ve olay süreci

BianLian grubu tarafından yayımlanan duyuru, kurumun faaliyetleri ve operasyonel kapsamı hakkında bazı detaylar içermektedir. Grubun, söz konusu verileri sızıntı sitesinde listeleyerek kurum üzerinde psikolojik ve finansal bir baskı oluşturmaya çalıştığı düşünülmektedir. Bu tür saldırı modellerinde, siber suçlular genellikle verileri şifrelemenin yanı sıra, verilerin ifşa edileceği tehdidini kullanarak kurumları ödeme yapmaya zorlamayı amaçlayan çift şantaj yöntemlerini kullanırlar.

Siber saldırganların modern yöntemleri incelendiğinde, sadece sistemleri kilitlemekle kalmayıp, verileri dışarı sızdırarak kurumun itibarını ve yasal konumunu hedef aldıkları görülmektedir. Bu durum, kurumların savunma stratejilerini sadece veri yedekleme üzerine değil, aynı zamanda veri sızıntısı önleme ve sızan verilerin etkilerini yönetme üzerine de kurmalarını zorunlu kılmaktadır.

Sızdırıldığı iddia edilen verilerin durumu

Saldırı sonucunda hangi verilerin ele geçirildiğine dair henüz somut bir kanıt sunulmamıştır. İlgili sızıntı sitesindeki ilan kapsamında, sızdırıldığı iddia edilen verilerin niteliğine dair herhangi bir ekran görüntüsü veya detaylı teknik bilgi paylaşılmamıştır. Bu nedenle, hangi veri türlerinin veya ne büyüklükte bir veri setinin tehlikede olduğu konusunda kesin bir bilgi bulunmamaktadır.

Etkilenen veri türleri

• İlanda herhangi bir veri türü belirtilmemiştir.

ACCSC kurumunun yapısı ve faaliyetleri

ACCSC, ABD Eğitim Bakanlığı tarafından tanınan ve yetkilendirilmiş bir akreditasyon kurumudur. Kurum, mesleki, ticari ve teknik kariyer odaklı eğitim veren yükseköğretim kurumlarını akredite etmekle görevlidir. Bu kapsamda ACCSC, hem derece veren hem de derece vermeyen mesleki eğitim kurumlarının denetlenmesi ve standartlarının korunması süreçlerini yönetmektedir.

Olayın potansiyel etkileri ve sektörel riskler

Bu olay, kurumun veri güvenliği süreçlerinde çeşitli zafiyetlerin olabileceğine dair bir gösterge olarak değerlendirilmektedir. BianLian grubunun, sistemleri şifrelemekten ziyade doğrudan veri sızıntısı ve şantaj yöntemlerine odaklanması, kurumların verilerinin kamuya açık hale gelme riskini ciddi şekilde artırmaktadır. Bu durum, geleneksel fidye yazılımı saldırılarından daha karmaşık bir risk profili oluşturmaktadır.

Kurumun eğitim sektöründe faaliyet göstermesi, olayın etkilerini daha kritik hale getirmektedir. Öğrenci ve personel verilerinin ifşa olması durumunda, ABD eyalet yasaları ve ilgili diğer düzenlemeler çerçevesinde yasal süreçlerin tetiklenmesi muhtemeldir. Ayrıca, sızan veriler; kimlik hırsızlığı veya hedefli oltalama saldırıları gibi ikincil siber güvenlik risklerine de zemin hazırlayabilir.

Eğitim sektöründeki benzer kurumların bu tür risklere karşı korunması için veri sınıflandırma, sıkı erişim kontrolleri ve sürekli izleme gibi savunma mekanizmalarını güçlendirmeleri kritik önem taşımaktadır. BianLian grubu hakkında kamuya açık olarak mevcut olan bilgiler ise oldukça sınırlı düzeydedir.