Flink hack'inde 200 bin euroluk fidye ödenmedi

Geçen hafta online market teslimat hizmeti Flink'i hackleyen siber suçlular, mesajlarında niyetlerini açıkça ortaya koymuştu: belirtilen ücret ödenmezse ele geçirdikleri müşteri verileri Dark Web'de yayımlanacaktı. Hackeriın bu yolla 200 bin euroyu aşkın bir gelir elde etmeyi hedeflediği belirtiliyor. Ancak kişi başı istenen 10 ila 15 euroluk kripto para ödemesi kimse tarafından yapılmadı.

Bu durum, insanların açığa çıkan kişisel verileri konusunda hâlâ endişelenip endişelenmediği sorusunu akıllara getiriyor. Cybergüvenlik uzmanı Paul Pols'a göre insanların tepkisi hafif değil. Pols, insanların artık "veri ihlali yorgunu" olduğunu ve bunun anlaşılır bir tepki olduğunu söylüyor. "Kişisel verilerimizin er ya da geç bir yerde sızacağını, hatta bunun zaten gerçekleşmiş olabileceğini düşünüyoruz."

Tüketici psikoloğu Patrick Wessels da bu hissi paylaşıyor. "İnsanlar veri ihlallerini sık sık görüyor, ancak kendileri bundan çok az sorun yaşıyor. Bu nedenle gerçekten harekete geçme aciliyetini hissetmiyoruz."

Hassas gruplar için risk daha yüksek

Hissedilen aciliyetin azalması, tehlikenin ortadan kalktığı anlamına gelmiyor. Dijital vatandaş haklarını savunan Bits of Freedom adına konuşan Rejo Zenger, "Örneğin ev içi şiddetle uğraşan insanlar var. Bu kişilerin e-posta adresi veya telefon numarası internette bulunabilirse ciddi sonuçlar doğabilir" diyor. Zenger'e göre bu konuda omuz silip geçmek "fazlasıyla umursamazca" bir tutum.

Flink'e yapılan saldırı tek başına ele alınabilecek bir olay değil. Yalnızca bu yıl içinde düzinelerce büyük kuruluş hacklendi ve yüz binlerce müşteri verisi ele geçirildi. Son dönemde aralarında eczane zinciri DA, seyahat uygulaması Polarsteps ve Bol ile de Bijenkorf'un lojistik iş ortağı da siber saldırıya uğradı. Ancak Flink vakası farklı bir nitelik taşıyor: ilk kez tek tek müşterilere doğrudan hackerlere ulaşıldı.

Hackerlar Flink saldırısında kişi başına nispeten düşük bir kripto para tutarı talep etti. Buna rağmen uzmanlar ödeme yapılmaması tavsiyesinde bulundu. Zira hackerların fidye ödendikten sonra verileri gerçekten silip silmeyeceğine dair bir garanti yok.

Alışkanlıklar ve motivasyon

Hollandalılar genel olarak kendilerini çevrimiçi ortamda nasıl koruyacaklarını iyi biliyor. Ancak işin içine dikkat dışında bir şey girmesi gerektiğinde güvenli davranış gösterme motivasyonu düşüyor. Bu sonuç, Ekonomik İşler Bakanlığı adına her yıl Hollandalıların dijital dayanıklılığını ölçen Alert Online'ın son raporunda da ortaya konuyor.

Tüketici psikoloğu Wessels'e göre bu motivasyon düşüşünün beynimizdeki iki nedeni var. "Birincisi 'bu benim başıma gelmez' duygusu, ikincisi ise uzun vadeli düşünme meselesi." Wessels bununla, insanların kişisel verilerini çevrimiçi paylaşmanın risk taşıdığının farkında olduğunu, ancak olası sorunların çoğu zaman ancak uzun vadede ortaya çıktığını kastediyor.

Hackerların nihai hedefi her zaman para kazanmak. Flink saldırısında siber suçlular ilk kez baskıyı doğrudan tüketicilere yöneltiyor. Cybergüvenlik uzmanı Pols'a göre bu yöntemin başarı şansı düşük. "Tüketiciler kişisel verilerinin internette yer almasını artık çok fazla önemsemiyor, dolayısıyla bunu engellemek için para harcamayacaklar."

Daha önceki saldırılarda hackerlar ağırlıklı olarak şirket sistemlerini hedef alıyordu. Bu tür "ransomware" saldırılarında hackerlar bir şirketin sistemlerini devre dışı bırakıp erişimin yeniden sağlanması için fidye talep ediyor. Pols, "Hackerların nihai amacı her zaman para kazanmak" diyor ve buna katkı sağlayabilecek her baskı aracının kullanılabileceğini ekliyor: "Medyanın ilgisi, şirketin itibar ve imaj kaybı, hepsi hesaba katılıyor."

Birçok kişinin e-posta adresi, telefon numarası ve adresi hâlâ internette dolaşsa da dikkatli olma tavsiyesi geçerliliğini koruyor. Pols, "Bir veri ihlaliyle ilgili bir e-posta alırsanız, hangi verilerin söz konusu olduğunu mutlaka kontrol edin" diyor. Ona göre ehliyet numarası, banka bilgileri veya başka önemli verilerin çalınmış olması da mümkün. "Ehliyet numaramın bir veri ihlalinde yer aldığını görürsem yeni bir ehliyet başvurusu yapardım." Bu tür özel verilerle kimlik dolandırıcılığı kolayca yapılabiliyor.

Ayrıca farklı hesaplar için benzersiz kullanıcı adı ve şifre kombinasyonları kullanılması önerisi de sürüyor. Her yerde aynı kombinasyonu kullanan kişi, bu kombinasyonun hackerlar tarafından diğer hesaplarda da denenmesi riskiyle karşı karşıya kalıyor.