Temmuz 2021’de, ABD’nin bağımsızlık günü hafta sonuna denk gelen bir cuma akşamı, dünyanın dört bir yanındaki binlerce işletmede bilgisayarlar aynı anda kilitlendi. Ekranlarda fidye notları belirdi. Ortak nokta şuydu: bu şirketlerin çoğu birbirini tanımıyordu, ama hepsi bilişim işlerini dışarıdan bir sağlayıcıya emanet etmiş ve o sağlayıcılar Kaseya’nın VSA adlı uzaktan yönetim yazılımını kullanıyordu.

Saldırganlar, REvil adlı fidye grubu, tek tek şirketleri hacklemek yerine çok daha kaldıraçlı bir yol seçmişti. VSA sunucusundaki bir zafiyeti sömürerek yazılımın meşru güncelleme mekanizmasını ele geçirdiler ve zararlı yükü, aracın binlerce müşteriye ulaşan güven kanalı üzerinden dağıttılar.

Kaseya VSA olayı, tek bir güvenilir aracın ele geçirilmesinin binlerce kurumu aynı anda felç edebileceğini gösteren örnek bir tedarik zinciri saldırısıdır.

Güven kanalının silaha dönüşmesi

Olayın çekirdeğinde bir Tedarik zinciri saldırısı mantığı yatar: kurbanı doğrudan değil, güvendiği bir tedarikçi üzerinden vurmak. VSA gibi araçlar bilgisayarlara en yüksek yetkiyle komut çalıştırmak için tasarlandığından, bu araca sızan bir saldırgan aslında binlerce ağın yönetici anahtarını aynı anda ele geçirmiş olur. Savunma açısından paradoks tam buradadır: kurumların yönetim kolaylığı için kurduğu merkezi güven, saldırgan için tek noktadan çoğaltma imkânına dönüşür.

Yükün fidye yazılımına dönmesi

Dağıtılan zararlı yazılım klasik bir Fidye yazılımı saldırısı gibi davrandı: ulaştığı her makinede dosyaları şifreledi ve çözüm anahtarı karşılığında ödeme talep etti. Grup, tek tek kurbanlar yerine tüm kampanyanın kilidini açacağını iddia ettiği evrensel bir anahtar için 70 milyon dolarlık toplu bir fidye önerdi. Şifreleme, aracın yüksek yetkisiyle çalıştığı için birçok ortamda güvenlik yazılımlarının önüne geçerek ilerledi.

Etki sadece doğrudan müşterilerle sınırlı kalmadı. Yönetilen hizmet sağlayıcıların her biri kendi müşteri portföyünü barındırdığından, tek bir sağlayıcının etkilenmesi onlarca alt işletmeyi de kapsadı; İsveç’te büyük bir market zincirinin yüzlerce şubesi kasa sistemleri çöktüğü için kapanmak zorunda kaldı.

Tedarikçiye duyulan güvenin denetlenmesi

Olay, kurumların kendi savunmalarını ne kadar sağlamlaştırırsa sağlamlaştırsın, dışarıdan aldıkları yazılım ve hizmetlerin güvenliğini denetlemeden tam koruma sağlayamayacağını görünür kıldı. Burada Üçüncü taraf risk yönetimi belirleyici hale gelir: bir tedarikçinin yama pratiklerini, erişim yetkilerini ve bir sorun anında sizi nasıl bilgilendireceğini sözleşmeden önce sorgulamak, olay anında panikle öğrenmekten çok daha ucuzdur.

• Merkezi yönetim araçları en kritik varlık gibi korunmalı ve internete açık bırakılmamalı
• Tedarikçilerin güvenlik olgunluğu düzenli olarak denetlenmeli
• Güncelleme kanallarının kendisi bir saldırı yüzeyi olarak değerlendirilmeli
• Yedekler çevrimdışı ve saldırgan erişiminden yalıtılmış tutulmalı

Kaseya sonunda güvenlik otoriteleriyle birlikte bir çözüm anahtarı temin etti ve yamayı yayımladı, ancak olay yönetilen hizmet modelinin sistemik riskini kalıcı biçimde gündeme taşıdı. Böyle bir saldırının ilk saatlerinde kapsamı doğru belirlemek ve yayılmayı durdurmak uzmanlık gerektirir; bu tür senaryolara hazırlık ve müdahale için Olay müdahale yetkinliği şarttır ve kurumlar bu ihtiyacı Olay inceleme ve müdahale hizmetimiz ile karşılayabilir.