smithandcaugheys.co.nz LockBit3 grubu tarafından sızıntı sitesinde listelendi

• Fidye grubu: LockBit3
• Ülke: Yeni Zelanda
• Sektör: Profesyonel hizmetler
• Duyuru tarihi: 2 Haziran 2024

LockBit3 grubu smithandcaugheys.co.nz kurumunu hedef aldı

LockBit3 fidye yazılımı grubu, smithandcaugheys.co.nz kurumuna ait olduğu iddia edilen verileri kendi sızıntı sitesinde yayımlayarak kurumun hedef alındığını duyurdu. Söz konusu iddiaya göre, grubun elinde kurumun kritik departmanlarına ait hassas bilgiler bulunmaktadır. Tehdit aktörü, verilerin yayımlanması konusunda belirli bir zaman sınırı belirlediğini ifade etmiştir.

Söz konusu olay kapsamında, grubun smithandcaugheys.co.nz kurumunu 2 Haziran 2024 tarihinde sızıntı sitesinde listelediği görülmektedir. Tehdit aktörü, kurumun finans, insan kaynakları, muhasebe, yönetim ve bilgi teknolojileri departmanlarına ait verilerin ellerinde bulunduğunu iddia etmektedir. Grup, bu verilerin yayımlanması ihtimaline karşı 4 Haziran 2024 tarihine kadar bir süre tanıdığını belirtmiştir.

Sızdırıldığı iddia edilen verilerin kapsamı

Tehdit aktörü tarafından paylaşılan ekran görüntüleri ve iddialar incelendiğinde, sızıntının kurumun operasyonel süreçlerinin merkezinde yer alan birçok farklı departmanı etkilediği görülmektedir. Grubun iddiasına göre ele geçirilen veriler şu alanları kapsamaktadır:

• Finansal veriler
• İnsan kaynakları verileri
• Muhasebe kayıtları
• Yönetimsel veriler
• BT sistem verileri

Bu tür veri sızıntıları, genellikle çifte gasp adı verilen bir yöntemle gerçekleştirilir. Bu yöntemde saldırganlar, verileri sadece şifrelemekle kalmaz, aynı zamanda verilerin sızdırılacağı tehdidini kullanarak kurumdan fidye talep ederler. Bu durum, veri gizliliğinin ihlal edilmesinin yanı sıra kurumun operasyonel sürekliliği ve ticari itibarı üzerinde de ciddi riskler oluşturmaktadır.

LockBit3 grubu ve siber tehdit ekosistemi

LockBit3, 2019 yılından bu yana faaliyet gösteren ve fidye yazılımı hizmeti (RaaS) modeliyle çalışan bir yapıdır. Grubun faaliyetleri, Şubat 2024 tarihinde gerçekleştirilen uluslararası kolluk kuvvetleri operasyonlarının ardından yeniden canlanmıştır. Bu tür gruplar, yazılım hizmeti sağlayarak diğer suçluların da saldırı gerçekleştirmesine olanak tanıyan bir ekosistem oluşturmaktadır.

Siber saldırıların bu denli yaygınlaşması, kurumların sadece teknik savunma mekanizmalarına değil, aynı zamanda veri yönetimi ve yasal uyumluluk süreçlerine de odaklanmasını zorunlu kılmaktadır. Bir veri ihlali iddiası, kurumun operasyonel sürekliliğini doğrudan tehdit edebileceği gibi, çalışanlar ve iş ortakları için de yeni risk kapıları aralayabilir.

Olası riskler ve sektörel değerlendirme

Bu sızıntı iddiası, kurum çalışanlarının ve iş ortaklarının kimlik hırsızlığı veya hedefli oltalama saldırılarına maruz kalma riskini artırabilir. Özellikle insan kaynakları ve finans gibi departmanlardan gelen verilerin sızdırılması, bu verilerin kötü niyetli kişiler tarafından daha karmaşık sosyal mühendislik saldırılarında kullanılmasına yol açabilir.

Yeni Zelanda'nın Gizlilik Yasası (Privacy Act 2020) kapsamında, kurumun bu tür bir veri ihlali durumunda yasal bildirim yükümlülüklerini yerine getirmesi gerekebilir. Profesyonel hizmetler sektöründe faaliyet gösteren kurumlar için veri güvenliği, hem ticari itibarın korunması hem de yasal yaptırımlardan kaçınılması açısından kritik bir öneme sahiptir. Verilerin ifşa edilmesi durumunda oluşabilecek ikincil riskler, kurumun uzun vadeli ticari güvenilirliğini sarsabilir.

Kurumların bu tür tehditlere karşı hazırlıklı olması için veri şifreleme, çok faktörlü kimlik doğrulama ve düzenli yedekleme gibi temel güvenlik adımlarının yanı sıra, olası bir ihlal durumunda uygulanacak kriz yönetimi planlarının da hazır bulundurulması büyük önem taşımaktadır.