Barnes Cohen and Sullivan verileri meow fidye yazılımı grubu tarafından sızdırıldı iddiası

• Fidye grubu: meow
• Ülke: Amerika Birleşik Devletleri
• Sektör: Profesyonel hizmetler
• Duyuru tarihi: 10 Ekim 2024

meow olarak bilinen fidye yazılımı grubu, Amerika Birleşik Devletleri merkezli Barnes Cohen and Sullivan hukuk firmasına ait olduğu iddia edilen verilerin sızdırıldığını duyurdu. Tehdit aktörü, 10 Ekim 2024 tarihinde kendi sızıntı sitesinde yaptığı açıklama ile kurumun operasyonel ve kişisel bilgilerini içeren geniş bir veri setini ele geçirdiğini öne sürdü.

Tehdit aktörünün iddiaları ve olay süreci

Tehdit aktörü meow, Barnes Cohen and Sullivan kurumuna ait olduğunu belirttiği verileri sızıntı sitesinde yayımlayarak kurum üzerinde baskı kurmayı hedeflediğini göstermiştir. Grubun iddiasına göre, ele geçirilen veri seti toplamda 14 GB boyutundadır. Bu veri setinin hem kurumun işleyişine dair operasyonel bilgileri hem de şahıslara ait hassas kişisel verileri içerdiği belirtilmektedir.

Saldırganlar, elde ettikleri bu verileri satmak amacıyla bir fiyatlandırma modeli belirlemiş durumdadır. İddiaya göre grup, verilerin tek bir alıcıya satılması karşılığında 36.000 dolar talep etmektedir. Eğer veriler birden fazla alıcıya satılacaksa, bu tutarın 18.000 dolar olacağı ifade edilmiştir. Bu durum, grubun doğrudan finansal kazanç odaklı bir operasyon yürüttüğünü göstermektedir.

Sızdırılan verilerin içeriği

İlanda paylaşılan ekran görüntülerine dayanarak, sızdırılan verilerin içeriği hakkında çeşitli detaylar verilmiştir. Verilerin kapsamı oldukça geniş olup, kurumun hem çalışanlarını hem de müşterilerini doğrudan etkileyebilecek niteliktedir. İddia edilen sızıntıda yer aldığı söylenen veri türleri şunlardır:

• Çalışan verileri
• Müşteri bilgileri
• Kişisel kimlik bilgileri
• Tıbbi kayıtlar
• Vergi formları
• İç yazışmalar

Olayın potansiyel etkileri ve değerlendirme

Hukuk firmalarına yönelik bu tür sızıntılar, müvekkil-avukat gizliliği ilkesi açısından ciddi riskler barındırmaktadır. Sızdırıldığı iddia edilen verilerin hassas nitelikte olması, hukuki süreçlerin gizliliğini tehlikeye atabilir. Ayrıca, kurumun Amerika Birleşik Devletleri merkezli bir yapı olması sebebiyle, ilgili eyalet yasaları ve federal düzenlemeler çerçevesinde veri ihlali bildirim yükümlülüklerinin doğabileceği değerlendirilmektedir.

Verilerin içeriğinde yer alan kişisel sağlık ve kimlik bilgilerinin ifşa edilmesi, etkilenen bireyler için ikincil riskleri de beraberinde getirmektedir. Bu riskler arasında kimlik hırsızlığı ve hedefli oltalama saldırıları gibi siber suçlar ön plana çıkmaktadır. Bu tür saldırılarda tehdit aktörleri genellikle verileri doğrudan fidye için kullanmak yerine, verileri açık platformlarda paylaşarak veya satarak kurumu daha büyük bir itibar kaybıyla karşı karşıya bırakmayı amaçlayan çift şantaj yöntemlerini kullanırlar.

Sektörel güvenlik önlemleri ve genel yaklaşım

Profesyonel hizmetler sektöründe faaliyet gösteren kuruluşlar için bu tür tehditler, veri bütünlüğü ve gizliliği açısından kritik önem taşımaktadır. Bu tür saldırılara karşı savunma stratejileri geliştirmek, kurumların siber dayanıklılığını artırmak için elzemdir. Veri sızıntılarını önlemek adına çok faktörlü kimlik doğrulama sistemlerinin kullanımı, verilerin şifrelenmiş olarak saklanması ve ağ trafiğinin sürekli izlenmesi gibi temel güvenlik adımları büyük önem arz etmektedir.

Ayrıca, çalışanların siber güvenlik farkındalığının artırılması, oltalama saldırılarına karşı direnç oluşturulması açısından kritik bir savunma hattıdır. Veri ihlali durumlarında yasal düzenlemelere uyum sağlamak ve hızlı bir müdahale planına sahip olmak, olası zararları minimize etmek adına hayati önem taşımaktadır. Mevcut durumda meow grubu hakkında kamuya açık bilgi miktarı sınırlı olsa da, uyguladıkları satış modeli finansal motivasyonun ön planda olduğunu kanıtlamaktadır.