babuk2 fidye yazılım grubu INDONESIA TAXPAYER IDENTIFICATION NUMBER (NPWP) kurumunu sızıntı sitesine ekledi

• Fidye grubu: babuk2
• Ülke: Endonezya
• Sektör: Kamu ve savunma
• Duyuru tarihi: 28 Ocak 2025

Tehdit aktörü olarak bilinen babuk2 grubu, Endonezya vergi mükelleflerine ait çok sayıda kişisel verinin ele geçirildiğini iddia ederek bir sızıntı ilanı yayımladı. Grup, sızdırılan verilerin kamuya açık bir dosya paylaşım platformu üzerinden erişilebilir olduğunu duyurdu.

Saldırının detayları ve iddialar

babuk2 adlı tehdit aktörü, 28 Ocak 2025 tarihinde kendi sızıntı sitesinde bir ilan yayımlayarak Endonezya vergi mükelleflerine ait verileri listelemiştir. Grubun yaptığı açıklamaya göre, sızıntı kapsamında 2 GB boyutunda bir veri seti paylaşıma açılmıştır. Bu veri setinin toplamda 6.663.379 adet kaydı içerdiği iddia edilmektedir. Söz konusu verilerin kamuya açık bir dosya paylaşım platformu üzerinden erişilebilir kılındığı gözlemlenmiştir.

Fidye yazılımı saldırılarında sıkça rastlanan veri sızıntısı yöntemlerinden biri olan bu durum, genellikle çift şantaj stratejisinin bir parçası olarak görülür. Bu tür senaryolarda saldırganlar, sadece sistemleri şifrelemekle kalmaz, aynı zamanda ele geçirdikleri hassas verileri de sızdırmakla tehdit ederek kurumlar üzerinde ek bir baskı kurmaya çalışırlar. Bu durum, siber saldırganların veri sızıntısı sitelerini kullanarak kurumları kamuoyu önünde ifşa etmelerine olanak tanır.

Sızdırıldığı iddia edilen verilerin içeriği

İlanda yer alan bilgilere göre, sızdırıldığı iddia edilen veriler arasında çok sayıda kritik kişisel bilgi bulunmaktadır. Bu verilerin, bireylerin kimliklerini doğrulamak ve çeşitli dijital platformlarda işlem yapmak için kullanılabilecek nitelikte olduğu görülmektedir. İddia edilen veriler şunları kapsamaktadır:

• İsim
• Ulusal kimlik numarası (NIK)
• Vergi numarası (NPWP)
• Adres
• E-posta
• Telefon numarası
• Doğum tarihi
• Vergi mükellefi bilgileri

Bu verilerin kapsamlı bir şekilde ele geçirilmiş olması, siber saldırganların hedef kitlesine yönelik çok katmanlı saldırılar düzenlemesine imkan tanıyabilir.

Endonezya vergi kimlik numarası sistemi

NPWP (Nomor Pokok Wajib Pajak), Endonezya'da vergi mükelleflerini tanımlamak için kullanılan resmi vergi kimlik numarasıdır. Bu sistem, Endonezya vergi dairesi tarafından vergi yönetimi ve takibi amacıyla yürütülmektedir. Vergi sistemlerinin merkezi yapısı, bu tür sistemleri siber saldırganlar için yüksek değerli hedefler haline getirebilmektedir.

Olayın olası sonuçları ve değerlendirme

Bu olay, Endonezya'daki milyonlarca vergi mükellefinin kişisel verilerinin ifşa olması riskini beraberinde getirebilir. İfşa edilen veriler; kimlik hırsızlığı, hedefli oltalama saldırıları ve finansal dolandırıcılık girişimleri için kullanılabilir. Özellikle ulusal kimlik numaraları ve vergi numaraları gibi hassas bilgilerin sızması, bireylerin uzun vadeli güvenlik riskleri ile karşı karşıya kalabileceği bir tablo oluşturmaktadır.

Kurumsal düzeyde, bu durum veri gizliliği düzenlemeleri kapsamında yasal süreçlerin tetiklenmesine yol açabilir. Veri koruma yasaları, kurumların siber saldırı sonrası bildirim yapma ve veri güvenliğini sağlama yükümlülüklerini beraberinde getirir. Bu tür büyük ölçekli sızıntılar, devlet kurumlarının ve kamu hizmetlerinin dijital altyapı güvenliğine yönelik stratejilerini gözden geçirmelerini zorunlu kılmaktadır.

Kamu sektörü ve benzeri kritik altyapı hizmeti sunan kurumlar için bu tür tehditlere karşı savunma stratejileri hayati önem taşır. Güçlü kimlik doğrulama yöntemlerinin kullanılması, ağ segmentasyonu ve düzenli güvenlik denetimleri, saldırı yüzeyini azaltmada kritik rol oynar. Ayrıca, siber saldırı sonrası hızlı müdahale planlarının hazır bulundurulması, olası bir veri sızıntısının etkilerini en aza indirmek için gereklidir. babuk2 grubu hakkında kamuya açık bilgi sınırlıdır, ancak verilerin geniş kapsamı göz önüne alındığında, etkilenen bireylerin uzun süreli risk altında olduğu değerlendirilmektedir.