Avustralya, fidye yazılımı saldırılarına uğrayan şirketlerin siber suçlulara yaptıkları fidye ödemelerini hükümete bildirmelerini zorunlu tutacak bir yasal düzenlemeyi hayata geçirdi. Dünya’da siber güvenlikte bakanlık seviyesinde bir otorite kuran ilk ülke olan Avustralya, fidye yazılım ödemelerinin bildirilmesini zorunlu tutulması konusunda da dünyadaki ilk ülke oldu.
Yaklaşık bir yıl önce önerilen yasal düzenleme, geçtiğimiz hafta onaylanarak yürürlüğe girmiş oldu. Buna göre artık, fidye yazılım saldırılarına uğrayan ve siber suçlulara ödeme yapan şirketler bunu 72 saat içerisinde Avustralya Sinyal Direktörlüğü'ne (ASD) bildirmek zorunda kalacak. Rapor vermeyen ve bildirim yapmayan şirketler, Avustralya sivil ceza sistemi kapsamında cezalar alacak.
Fidye yazılımı ödemelerini bildiren şirket ve kuruluşlardan, olayın ne zaman meydana geldiği, kuruluşun veya şirketin bundan ne zaman haberdar olduğu, olayın nasıl bir etki yarattığı, hangi talep ve ödemelerin yapıldığı ve siber tehdit aktörüyle hangi iletişimlerin gerçekleştiği gibi bilgiler istenecek.
Yasanın önemi
Fidye yazılımlarla mücadele adına önemli bir adım olan bu yasada en öne çıkan nokta, fidye yazılım saldırılarının değil, yapılan fidye ödemelerinin bildirilmesinin zorunlu tutulmasıdır. Pek çok gelişmiş ülkede zaten bir süredir fidye yazılım da dahil olmak üzere çeşitli siber saldırılar ve veri ihlalleriyle ilgili hükümetler bildirim zorunluluğu getirmişti. Ancak Avustralya, siber olaydan ziyade yapılan fidye ödemesinin ilgili kurumlara raporlanmasını şart koşuyor.
Avustralya hükümeti, yasa ilk önerildiğinde “Mevcut gönüllü raporlama mekanizmaları yeterince kullanılmıyor ve sonuç olarak şirketler fidye yazılımı ve siber saldırılarını bildirmekten kaçınıyor" ifadesini kullanmıştı. Söz konusu yasanın hazırlanmasının nedeni de bu açıklamayla ortaya konmuş oluyor.
Siber saldırıların bildirilmemesi durumu günümüzde pek ülkenin sorunu olmaya devam ediyor. Gelişmiş ülkelerde bile durum böyle. Avustralya örneği bunu net olarak gösteriyor. Avustralya Kriminoloji Enstitüsü fidye yazılımı saldırısı mağdurlarının yalnızca beşte birinin saldırıya uğradıklarını bildirdiğini söylüyor.
İşte bu sorunla mücadele etmek adına, hem fidye yazılım başta olmak üzere tüm siber saldırıları hem de yapılan fidye ödemelerini ilgili devlet kurumlarına bildirme zorunluluğu epey etkili bir adım olarak görülüyor. Bunu yasal dayanaklarla sağlamlaştıran ülkelerin sayısı da giderek artacak gibi görünüyor.
İngiltere de benzer bir çalışma yapıyor
Avustralya’dakine benzer bir adım da yakın zamanda İngiltere’den geldi. Ülkede, kamu sektörü kuruluşlarının ve özel mülkiyete ait kritik altyapı kuruluşlarının fidye ödemeleri yapmasını yasaklamak ve tüm mağdurların yaşanan siber olayları ve fidye ödemelerini hükümete bildirmesini zorunlu kılmak için bir çalışma başlatıldı.
İngiltere’deki çalışma, fidye ödemelerinin hiçbir şartlarda yapılmamasını şart koşuyor. Burada Avustralya’dakinden farklı olarak “fidye ödemelerini engelleme” niyeti öne çıkıyor. İngiliz yetkililere göre bu çalışmanın amacının, "ülkenin güvendiği temel hizmetleri fidye yazılımı suçluları için çekici olmayan hedefler" haline getirmek olduğu söyleniyor.
İngilizlerin hazırladığı yasal düzenlemeye göre, siber saldırılar sonrası fidye ödemesi yapmak isteyen her şirket bu niyeti hükümete bildirmesi gerekecek, hükümet bir değerlendirme yapacak ve "herhangi bir ödemeyi engelleme yetkisine" sahip olacaktır.
Atılan adımlar yeterli mi?
Uzmanlar yalnızca İngiltere'ye yönelik bir “fidye ödeme yasağı”nın tatmin edici bir etkisi olmayacağını söylüyor. Pek çok yetkili, koordineli jeopolitik iş birliği olmadan İngiltere'ye özgü bir yasağı uygulamaya çalışmanın "büyük ölçüde etkisiz" olacağını düşünüyor.
Siber saldırıya uğrayan ve fidye ödemesi yapan şirketlerin bildirim yaparken ne kadar şeffaf ve gerçekçi oldukları da ayrı bir tartışma konusu. Diğer yandan, kuruluşlar ve işletmelerin, itibarlarının zedelenmesinden veya devlet tarafından yapılan düzenleyici denetimin artmasından dolayı endişe edebileceği, bu da gizlilik ve destek konusunda güçlü güvenceler olmadığı sürece bildirimde bulunmaktan onları caydırabileceği düşünülüyor.
Bunlara ek olarak ABD, İngiltere ve Avustralya gibi devletler, siber saldırıya uğrayan şirketlere fidye ödemeleri yapmamaları çağrısında bulunarak, bunların yalnızca suç ekosistemini beslediğini ve şifrelenmiş materyalin kurtarılacağını veya çalınan verilerin silineceğini garanti etmediğini öne sürüyor. Bu gibi uygulama ve ikazlar, işletmelerin siber savunmalarını sıkılaştırmaları ve net olay müdahale planlarına sahip olmak zorunda kalmalarına neden oluyor. Bu durumda, atılan adımlarla fidye yazılım saldırılarının önlenmesinin mümkün olup olmayacağı konusu da belirsizliğini koruyor.
Rakamlar konunun ciddiyetini gösteriyor
Avustralyalı yetkililer; "Hiçbir işletme veya birey siber suçlulara asla fidye ödememelidir. Fidye ödenirse, verilerin kurtarılacağına veya verilerin tekrar satılmayacağına veya yayınlanmayacağına dair hiçbir güvence yoktur" şeklindeki ifadelerle, fidye yazılımlarla mücadele adına nasıl bir bakış açısına sahip olduğunu gösteriyor. Avustralya gibi pek çok ülke de benzer düşünceye sahip. Bu düşünce ve politikalarla, “siber tehdit aktörlerinin ne ölçüde caydırıldığı” konusu önemli bir sorun olarak varlığını sürdürüyor.
Nitekim, bu konuda son birkaç yıldır yapılanlar bize bu gerçeği gösteriyor. Pek çok kaynağa yansıyan verilere göre, Amerika Birleşik Devletleri, Birleşik Krallık, Fransa ve Almanya'da siber saldırılara uğrayan 1.000 şirketin %70'inden fazlasının siber tehdit aktörlerine fidye ödemesi yaptığı biliniyor.
Avustralya’ya baktığımızda da durum çok farklı değil. Buna göre ülkedeki işletmelerin üçte ikisinden fazlasının son beş yılda fidye yazılımı saldırısına uğradığı ve bu işletmelerin çoğunun verileri kurtarabilmek için fidye ödemeyi tercih ettiği ifade ediliyor.
Bir de meselenin tehdit aktörleri boyutu var. Burada görülen sonuç, yapılan fidye ödemelerinin siber suçluların motivasyonlarını olumsuz anlamda etkilemediğini ve bundan dolayı faaliyetlerini sürdürdüklerine işaret ediyor.
Bu konuda öne çıkan bir siber tehdit aktörü var; Dark Angels… Dark Angels fidye yazılımı çetesine, adı belirtilmeyen ve “Fortune 50” listesinde yer alan küresel ölçekte büyük bir firmanın 75 milyon dolar fidye ödemesi yaptığı ortaya çıktı. Bu, şimdiye kadar siber tehdit aktörlerine ödenen en büyük fidye olarak kayıtlara geçti.
Böyle bir durumda, Dark Angels veya diğer tehdit aktörleri açısından “iştah kabartan” bir gerçek ortaya çıkıyor ve siber suçlular da bunun farkında olduğu için küresel fidye yazılım saldırılarını giderek artırıyor. Bunun sonucunda da her yıl yapılan siber tehdit değerlendirmelerinde en büyük siber tehditlerin başında da fidye yazılımlar geliyor.
Tehditler büyüyecek
Çeşitli kaynaklarda, küresel fidye yazılım saldırılarının yol açtığı maddi zararların önümüzdeki 5 yıl içerisinde 200 milyar dolar seviyesine çıkacağı tahmin ediliyor. Kimi kaynaklar bunun da üzerinde bir maliyet olacağını öngörüyor. Siber tehdit aktörlerinin giderek çoğaldığı ve fidye yazılım saldırılarının teknik, taktik ve prosedür (TTP) noktasında çeşitlendiği günümüzde, bu gibi beklentilerin gerçekleşebileceğinin ve hatta zararların beklenenden daha da fazla olacağının altını çizelim.
Böylesi bir gelecek projeksiyonunda, siber alanın unsurları olan devletler, şirketler ve bireysel kullanıcıların alması gereken önlemler olduğu ortaya çıkıyor. Burada, siber alanın en önemli aktörü ve bileşeni olan devletlerin atacağı sert ve güçlü adımlar kritik önemde.
Örneğin, yukarıdaki örneklerde de gördüğümüz şekilde, fidye yazılımı ödemelerinin zorunlu olarak bildirilmesi gibi yasal düzenlemeler yaygın hale gelmelidir. Bu çabalar, siber suçlara müdahalede şeffaflık ve hesap verebilirliğe doğru atılmış büyük bir adım olarak görülmelidir. Çünkü bu yasal zorunluluklar, siber saldırıya uğrayan şirketler açısından caydırıcı unsur olmaktadır.
Bunlara ilaveten, fidye yazılımı başta olmak üzere siber saldırı yaşayan şirketlerin ve kuruluşların, devletin ilgili kurumlarından yaptırımlara uğramamak için hızlı aksiyon alması önem arz ediyor. Hatta, profesyonel yardım alarak bu gibi saldırılara karşı hazırlıklı olmaları gerekiyor.
Gerekli yükümlülükleri yerine getirmeyen şirketler siber saldırı sonucu veri ihlaline uğradığında zarar sadece kendilerinde olmuyor. Türkiye’de de bunun örneğini bir süredir görüyoruz. Asgari siber güvenlik önlemlerini almayan şirketlerin yaşadığı siber olaylardan ve sonrası yaşanan veri ihlallerinden ülkenin tamamı etkileniyor.
Dolayısıyla, bu alanda yaptırımların ve yasal zorunlulukların herhangi bir engele uğramadan tüm sektörlere uygulanması gerekiyor. Bu konuda da geçtiğimiz aylarda kurulan Siber Güvenlik Başkanlığı’nın gerekli aksiyonu alması bekleniyor.
