Play grubu DSA Law Pty Ltd verilerinin sızdırıldığını iddia etti

• Fidye grubu: Play
• Ülke: Avustralya
• Sektör: Profesyonel hizmetler
• Duyuru tarihi: 18 Ağustos 2023

Play adlı fidye yazılımı grubu, Avustralya merkezli DSA Law Pty Ltd adlı kuruluşa ait verilerin ele geçirildiğini ve sızdırıldığını iddia ederek bir veri sızıntısı ilanı yayımladı. Grup, söz konusu iddialarını bir sızıntı sitesi üzerinden kamuoyuna duyurarak kurum üzerinde baskı kurmayı hedeflediğini göstermiştir.

Saldırı iddiası ve grubun yöntemi

Play grubu tarafından paylaşılan bilgilere göre, DSA Law Pty Ltd'ye ait veriler 18 Ağustos 2023 tarihinde ele geçirilmiş ve sızdırılmıştır. Grubun faaliyetleri incelendiğinde, siber saldırganların "çifte gasp" olarak bilinen bir yöntem izlediği görülmektedir. Bu yöntem, saldırganların sadece sistemleri kilitlemekle kalmayıp, aynı zamanda ele geçirdikleri hassas verileri sızdırmakla tehdit ederek kurum üzerinde hem operasyonel hem de itibar odaklı bir baskı oluşturmasını kapsamaktadır. Söz konusu grubun operasyonel süreçlerini nispeten kapalı ve gizli bir şekilde yürüttüğü bilinmektedir.

Fidye yazılımı saldırılarında kullanılan bu çifte gasp yöntemi, kurumların verilerini geri almak için sadece sistem kurtarma süreçlerine odaklanmalarını yetersiz kılmaktadır. Verilerin dış dünyaya sızdırılması ihtimali, kurumları siber güvenlik önlemlerinin ötesinde, ciddi yasal ve finansal sorumluluklarla karşı karşıya bırakmaktadır. Bu tür saldırılarda saldırganlar, verilerin içeriğine bağlı olarak kurumun prestijini ve müşteri güvenini hedef alan bir strateji izlemektedir.

Sızdırıldığı iddia edilen verilerin içeriği

Saldırganlar tarafından paylaşılan iddialara göre, ele geçirilen veri seti oldukça geniş ve hassas nitelikteki dokümanlardan oluşmaktadır. Sızdırıldığı öne sürülen verilerin içeriği hakkında herhangi bir veri boyutu veya dosya sayısı bilgisi verilmemiştir. İddia edilen veriler arasında şunlar yer almaktadır:

• Özel ve kişisel gizli veriler
• Müşteri belgeleri
• Çalışan belgeleri
• Sözleşmeler
• Kimlik bilgileri
• Finansal bilgiler

Verilerin içeriğine dair bu iddialar, siber saldırının kapsamının ne kadar geniş olabileceğine dair ciddi endişeler uyandırmaktadır. Özellikle kimlik bilgileri ve finansal verilerin sızdırıldığı iddiası, siber suçluların bu verileri daha sonraki aşamalarda kötü amaçlı faaliyetlerde kullanabileceği ihtimalini doğurmaktadır.

Saldırının potansiyel etkileri ve risk değerlendirmesi

Hukuk firmaları gibi hassas verilerin işlendiği profesyonel hizmet sektöründe faaliyet gösteren kuruluşlar için bu tür sızıntı iddiaları çok boyutlu riskler barındırmaktadır. Söz konusu sızıntı iddiası, kurumun işleyişinde ciddi operasyonel risklere yol açabilir. Verilerin niteliği göz önüne alındığında, kimlik hırsızlığı veya hedefli oltalama saldırıları gibi ikincil siber risklerin oluşması muhtemel görünmektedir.

Ayrıca, Avustralya'daki veri koruma mevzuatları çerçevesinde, bu tür bir sızıntı durumunda kurumun yasal süreçlerle karşı karşıya kalması beklenebilir. Veri koruma yasaları, kurumların siber saldırı sonrası bildirim yükümlülüklerini ve veri güvenliği standartlarını sıkı bir şekilde denetlemektedir. Grubun uyguladığı çifte gasp yöntemi, kurum üzerinde hem finansal hem de hukuki açıdan ek bir baskı unsuru oluşturmaktadır.

Bu tür siber tehditlere karşı kurumların, verilerin büyüklüğü hakkında net bir bilgiye sahip olmamaları durumunda bile kapsam belirleme süreçlerini hızlandırmaları kritik önem taşaktadır. Veri boyutunun bilinmemesi, sızıntının tam kapsamının ve etkilenen kişi sayısının belirlenmesini zorlaştırmaktadır. Profesyonel hizmet sektöründeki kurumlar, bu tür durumlarda hem teknik savunma hatlarını güçlendirmeli hem de yasal uyumluluk süreçlerini titizlikle yönetmelidir.