Çifte şantaj, fidye yazılımı operasyonlarında verilerin yalnızca şifrelenmesiyle yetinilmeyip aynı zamanda kopyalanarak sızdırılmakla tehdit edilmesidir. Böylece kurumun yedeklerden kurtulması durumunda bile baskı sürer. Saldırgan, ödeme yapılmazsa verileri kamuya açacağını ya da satacağını bildirir. Bu yöntem, yedekleme yatırımlarının caydırıcılığını azaltmak için geliştirilmiştir. Bugün fidye operasyonlarında standart hâle gelmiştir.

Yöntemin ortaya çıkışı, kurumların yedekleme kabiliyetinin gelişmesiyle doğrudan ilişkilidir. Yedeklerden kurtulabilen kurumlar ödeme yapmayı reddettikçe, saldırganlar ikinci bir baskı aracı aramıştır. Veri sızdırma, bu arayışın sonucudur. Ayrıca sızdırma tehdidi, düzenleyici yaptırım riskini de gündeme getirir. Bu ikinci boyut, kararı daha karmaşık hâle getirir.

Çifte Şantaj Nedir?

Çifte şantaj, saldırganın verileri şifrelemeden önce kopyalayarak, ödeme yapılmaması hâlinde bu verileri yayımlamakla tehdit ettiği baskı yöntemidir.

Bazı operasyonlarda baskı daha da çeşitlendirilir. Müşterilere doğrudan iletişim kurulması, hizmet kesintisi saldırısı düzenlenmesi ve düzenleyici kurumlara ihbar tehdidi bu ek katmanları oluşturur. Bu yaklaşım çoklu şantaj olarak adlandırılır. Amaç, kurumun direncini her yönden kırmaktır. Hazırlık bu senaryoları da kapsamalıdır.

Neden Etkilidir?

Yedekten geri dönmek teknik bir çözümdür ama sızmış veriyi geri getirmez. Bir kez dışarı çıkan veri, ödeme yapılsa bile silindiğinin garantisi yoktur. Bu belirsizlik, kurumu zor bir konuma sokar. Ödeme yapılsa da yapılmasa da risk devam eder. Bu nedenle asıl çözüm, verinin hiç sızmamasıdır.

Sızıntının hukuki sonuçları da ağırdır. Kişisel veri içeren bir sızıntı, bildirim yükümlülüğü ve idari yaptırım riski doğurur. Veri ihlali bildirimi süreci ayrıca yönetilmelidir. Ödeme yapılması bu yükümlülüğü ortadan kaldırmaz. Bu ayrımın önceden bilinmesi gerekir.

• Verilerin şifrelenmeden önce kopyalanması
• Sızıntı sitesinde örnek verilerin yayımlanması
• Müşteri ve iş ortaklarına doğrudan iletişim
• Düzenleyici kuruma ihbar tehdidi
• Hizmet kesintisi saldırısıyla ek baskı

Nasıl Korunulur?

Korunmanın merkezinde veri sızdırmanın tespit edilmesi ve engellenmesi yer alır. Büyük hacimli veri transferlerinin izlenmesi, olağandışı hedeflere yapılan bağlantıların tespiti ve çıkış trafiğinin denetlenmesi bu kapsamdadır. Sızdırma genellikle şifrelemeden günler önce gerçekleşir. Bu pencere, müdahale için değerli bir fırsattır. Tespit kuralları bu aşamaya odaklanmalıdır.

İkinci önlem, veri minimizasyonu ve sınıflandırmadır. Gereksiz yere saklanan veriler, sızıntı durumunda etkiyi büyütür. Saklama sürelerinin uygulanması ve eski verilerin imha edilmesi riski doğrudan azaltır. Ayrıca hassas verilerin şifreli saklanması, sızsa bile kullanılabilirliğini düşürür. Bu önlemler tasarım aşamasında ele alınmalıdır.

Üçüncü önlem, erişim kısıtlamasıdır. Bir hesabın erişebildiği veri miktarı ne kadar dar ise, sızdırılabilecek veri de o kadar az olur. Bilmesi gereken ilkesi burada doğrudan koruma sağlar. Geniş paylaşımlar bu nedenle gözden geçirilmelidir. Erişim gözden geçirme döngüsü işletilmelidir.

Olay Sonrası Yaklaşım

Sızıntı şüphesi olduğunda ilk adım, hangi verinin çıktığının belirlenmesidir. Çıkış trafiği kayıtları ve dosya erişim kayıtları bu tespiti sağlar. Sızıntı doğrulama çalışması, bildirim kapsamını belirler. Kapsam belirlenemediğinde en kötü senaryo varsayılır. Bu da gereksiz geniş bildirim anlamına gelir.

Saldırganla iletişim ve pazarlama süreci ayrı bir uzmanlık gerektirir. Bu sürecin teknik ekip tarafından yürütülmesi doğru değildir. Hukuk, iletişim ve üst yönetimin dahil olduğu bir yapı kurulmalıdır. Müzakere süreci kendi riskleri olan bir alandır. Hazırlık aşamasında bu roller tanımlanmalıdır.

Sızıntı Sitelerinin İşleyişi

Saldırgan grupların çoğu, ödeme yapmayan kurumların verilerini yayımladıkları siteler işletir. Bu sitelerde önce kurum adı ve bir geri sayım yayımlanır, ardından örnek veriler paylaşılır. Amaç, kamuoyu baskısı yaratarak ödeme kararını hızlandırmaktır. Bu süreç kurumun itibarını doğrudan etkiler. İletişim planı bu senaryoyu kapsamalıdır.

Bu sitelerin izlenmesi, kurumların erken uyarı almasını sağlayabilir. Kurum adının listede görülmesi, bazen kurumun kendisinden önce fark edilir. Dijital risk koruma servisleri bu izlemeyi yürütür. Erken bilgi, hazırlık için zaman kazandırır. İzleme kapsamı iş ortaklarını da içerebilir.

Yayımlanan verilerin doğruluğu da değerlendirilmelidir. Bazı gruplar baskı yaratmak için abartılı iddialarda bulunur. İddia edilen verinin gerçekten kuruma ait olup olmadığı doğrulanmalıdır. Bu doğrulama, iletişim stratejisini belirler. Yanlış varsayımlar gereksiz bildirime yol açar.

İş Ortağı ve Müşteri Etkisi

Sızan veriler yalnızca kurumu değil müşterilerini ve iş ortaklarını da etkiler. Sözleşmelerde yer alan gizlilik yükümlülükleri ihlal edilmiş olabilir. Bu durum sözleşmesel sonuçlar doğurur. Etkilenen tarafların zamanında bilgilendirilmesi gerekir. Gecikme, güven kaybını büyütür.

Bazı saldırgan gruplar doğrudan müşterilerle iletişime geçer. Müşterilere gönderilen mesajlar, kuruma baskı uygulamak için kullanılır. Bu senaryo iletişim planında öngörülmelidir. Müşterilere önceden ulaşılması, saldırganın bu kozunu zayıflatır. Proaktif iletişim tercih edilmelidir.

Ayrıca tedarik zincirindeki diğer kurumlar da bilgilendirilmelidir. Sızan veriler arasında iş ortaklarına ait bilgiler bulunabilir. Bu bilgilendirme, zincirdeki diğer halkaların hazırlanmasını sağlar. Üçüncü taraf risk yönetimi süreci bu iletişimi tanımlar. Karşılıklı bildirim yükümlülüğü sözleşmede yer almalıdır.

Privia Security olarak veri sızdırma tespit kabiliyetini ve müdahale hazırlığınısiber tatbikat senaryolarıyla değerlendiriyoruz.