Carrolls Irish Gifts, Hive fidye yazılımı grubu tarafından sızıntı sitesinde listelendi

• Fidye grubu: Hive
• Ülke: İrlanda
• Sektör: Perakende ve e-ticaret
• Duyuru tarihi: 16 Temmuz 2022

Hive fidye yazılımı grubu, İrlanda merkezli perakende zinciri Carrolls Irish Gifts kurumunu kendi sızıntı sitesinde listeleyerek bir veri sızıntısı gerçekleştiğini iddia etti.

Saldırı iddiası ve gelişen olaylar

Hive grubu tarafından yapılan açıklamaya göre, 16 Temmuz 2022 tarihinde Carrolls Irish Gifts kurumuna yönelik bir veri sızıntısı ilanı yayımlanmıştır. Grup, söz konusu kurumun bilgi işlem sistemlerine yetkisiz erişim sağladığını ve bu yolla çeşitli verileri ele geçirdiğini ileri sürmektedir. Bu iddia, grubun kendi sızıntı sitesinde yer alan bir ilan aracılığıyla kamuoyuna duyurulmuştur.

Saldırının gerçekleştiği iddia edilen tarihin ilan tarihiyle aynı olması dikkat çekicidir. Ancak, grubun bu iddialarını destekleyecek herhangi bir somut kanıt veya saldırının teknik detaylarına dair bir bilgi henüz kamuoyu ile paylaşılmamıştır. Siber saldırganların bu tür yöntemleri, genellikle kurban şirket üzerinde baskı kurmak amacıyla kullandıkları bir strateji olarak bilinmektedir.

Sızdırıldığı iddia edilen verilerin durumu

Saldırganlar tarafından kurumun sistemlerinden veri sızdırıldığı öne sürülse de, sızıntının kapsamı hakkında şu an için net bir tablo bulunmamaktadır. İlgili ilan kapsamında, sızdırıldığı veya sızdırılmasının tehdit edildiği verilerin niteliğine dair herhangi bir bilgi verilmemiştir. Ayrıca, sızıntıyı kanıtlamak amacıyla herhangi bir ekran görüntüsü de paylaşılmamıştır.

Şu anki verilere göre, ilan kapsamında herhangi bir veri tipi belirtilmemiştir.

Kurum profili

Carrolls Irish Gifts, İrlanda genelinde geniş bir ağa sahip olan ve turistik ürünler ile hediyelik eşyalar satan bir perakende zinciridir. Şirket, özellikle geleneksel İrlanda ürünleri, çeşitli giyim eşyaları ve çeşitli hediyelik eşyalar üzerine uzmanlaşmış bir yapıya sahiptir.

Olayın olası etkileri ve sektörel değerlendirme

Bu tür siber güvenlik olayları, kurumlar için çok boyutlu riskler barındırmaktadır. Söz konusu sızıntı iddiası doğrulanırsa, durum kurumun müşterileri ve çalışanları üzerinde kimlik hırsızlığı veya dolandırıcılık gibi ikincil riskler oluşturabilir. Kişisel verilerin ele geçirilmesi, siber suçluların bu verileri farklı dolandırıcılık faaliyetlerinde kullanmasına zemin hazırlayabilir.

Kurumun İrlanda merkezli bir yapı olması, olayın hukuki boyutunu da kritik hale getirmektedir. Sızıntının doğrulanması durumunda, Avrupa Birliği Genel Veri Koruma Yönetmeliği (GDPR) kapsamında kurumun ciddi yasal yaptırımlarla karşılaşması ve veri ihlali bildirim yükümlülüklerini yerine getirmesi gerekecektir. Bu süreçte yasal düzenlemelere uyum, kurumun hukuki sorumlulukları açısından hayati önem taşımaktadır.

Saldırıyı üstlenen Hive grubu, 2021 yılında ortaya çıkan ve bir hizmet olarak fidye yazılımı (RaaS) modeliyle faaliyet gösteren bir yapıdır. Grubun altyapısına, Ocak 2023 tarihinde Amerika Birleşik Devletleri Federal Soruşturma Bürosu (FBI) tarafından müdahale edilmiştir. Bu tür grupların faaliyetleri, siber güvenlik dünyasında geniş yankı uyandırmaktadır.

Perakende ve e-ticaret sektöründeki kurumlar için bu tür olaylar, veri güvenliği süreçlerinin ne kadar kritik olduğunu bir kez daha göstermektedir. Olası zararları azaltmak adına, kurumların veri güvenliği süreçlerini kapsamlı bir şekilde gözden geçirmeleri ve etkilenen tarafları zamanında bilgilendirmeleri büyük önem taşımaktadır. Güçlü bir savunma mekanizması ve hızlı bir müdahale planı, bu tür siber tehditlerin etkilerini minimize etmede en temel unsurlardır.