2023 yılında MGM Resorts ve Caesars Entertainment gibi büyük casino ve otel işletmelerine yönelik saldırılar, milyar dolarlık bir sektörün tek bir telefon görüşmesiyle nasıl felç edilebileceğini gösterdi. Bu olaylar, teknik bir zafiyetten çok insan katmanındaki güven zincirinin istismarıyla başlayan, ardından fidye yazılımıyla operasyonel çöküşe uzanan bir saldırı türünün tipik örneğidir.

Casino saldırıları, en pahalı güvenlik duvarının bazen yardım masasına gelen bir telefonla aşılabildiğini gösterdi.

Saldırı Nasıl Gerçekleşti?

Saldırının başlangıç noktası bir açık ya da kötücül yazılım değil, BT yardım masasını arayan bir saldırgandı. Kamuya açık kaynaklardan bir çalışanın kimlik bilgilerini toplayan saldırgan, telefonda o çalışan gibi davranarak yardım masasından çok faktörlü doğrulamayı sıfırlamasını istedi. Görevliyi ikna eden bu görüşme, MFA korumasını devre dışı bırakarak kimlik sağlayıcı sistemine geçerli bir erişim açtı. Buradan itibaren saldırgan, ortama meşru bir kullanıcı gibi girdi.

İçeri girdikten sonra saldırganlar kimlik yönetim altyapısında (Okta ve Azure AD) ayrıcalık kazanarak yanal hareket etti ve sonunda sanallaştırma altyapısını hedef aldı. Bu erişim, tıpkı daha önceki Uber sosyal mühendislik olayı gibi, teknik istismardan çok insan güveninin manipülasyonuna dayanıyordu. Son aşamada ise ESXi sunucularına yönelik bir Fidye yazılımı saldırısı devreye girdi.

Operasyonel Etki

Sonuçlar fiziksel dünyaya taştı. MGM’de otel oda anahtarları çalışmaz hale geldi, slot makineleri durdu, rezervasyon ve ödeme sistemleri çevrimdışı kaldı; işletme günlerce elle yürütülmeye çalışıldı. Şirketin açıkladığı zarar 100 milyon doların üzerindeydi. Caesars ise benzer bir senaryoda müzakereyi tercih ederek yüksek bir ödeme yaptığını düzenleyici bildirimlerinde açıkladı; iki farklı yol, aynı kök nedenin iki farklı sonucunu ortaya koydu.

Çıkarılan Dersler

Bu olayların en net dersi, kimlik doğrulama süreçlerinin ve yardım masası prosedürlerinin en az teknik kontroller kadar önemli olduğudur. MFA sıfırlama gibi yüksek riskli işlemler yalnızca telefon güvenine bırakılmamalı, kimlik doğrulaması güçlendirilmiş adımlarla korunmalıdır.

• Yardım masası için MFA sıfırlama isteklerinde ek kimlik doğrulama zorunluluğu getirin.
• Kimlik sağlayıcı yönetici hesaplarını ayrıcalıklı erişim yönetimiyle sıkılaştırın.
• Sanallaştırma altyapısını (ESXi) ağ segmentasyonu ve erişim kısıtıyla izole edin.
• Kilit sistemler için çevrimdışı ve test edilmiş bir kurtarma yolu hazırlayın.

Ödeme sistemleri ve rezervasyon altyapısı çöktüğünde işi ayakta tutacak olan, önceden hazırlanmış bir Felaket kurtarma planı ve olaya özel bir Fidye yazılımı müdahale oyun kitabı olur. Böyle bir zinciri geriye doğru çözmek ve kurtarma stratejisini yönetmek için Privia Security’nin Olay inceleme ve müdahale hizmetimiz hem saldırının kök nedenini ortaya çıkarır hem de operasyonun ayağa kaldırılmasına rehberlik eder.