Hack saldırısı sonrası bozulan ürünler sigorta kapsamı dışında kaldı

Geçen pazarı pazartesine bağlayan gece bilinmeyen hackercılar, soğutma tesislerini uzaktan çözme moduna aldı. Avrupa'nın birçok ülkesindeki marketler etkilendi. Hollanda'da en az on yedi işletme, özellikle kasaplar ve mahalle marketleri zarar gördü. Flaman medyasına göre, ekim başında yüzlerce Fransız mağazasına yapılan saldırıda kullanılan yöntemin aynısı kullanıldı.

Toplam hasar miktarı henüz net değil. Ancak çeşitli tahminler var. Hoeilaart'taki Delhaize süpermarketinin sahibi, AGF.nl sitesine göre en az 100 bin euro zarar tahmin ediyor; mağazanın saat 12.00'ye kadar kapalı kalması nedeniyle kaybedilen ciroyu saymıyor. Hoepertingen'deki bir Delhaize'de yaklaşık 60 bin euroluk gıda çöpe gitti. Reuters'a göre Hove'daki bir kasap ise yaklaşık 15 bin euroluk etin satılamaz hale geldiğini gördü.

Baobab Risk Solutions siber sigorta şirketinin genel müdürü Tim van Lier, pazartesi günü telefonlarının kırmızı alarm verdiğini söyledi. Yaklaşık otuz yeni müşteri başvurusu geldi; bunların çoğu süpermarketler ve soğuk hava depolarıydı. Van Lier, bir Hollandalı işletmeciden 80 bin euroluk hasar raporu gördüğünü belirtti. Bu tutarlar basitçe toplanamaz; çünkü tahminler ve farklı hasar türleri söz konusu.

Siber sigorta neleri kapsıyor?

Bir siber sigorta genellikle yalnızca BT onarımını ve olay müdahale masraflarını karşılıyor; bozulan ürünlerin bedelini ödemiyor. Stok bozulması ve diğer fiziksel hasarlar kural olarak kapsam dışında kalıyor. Oysa bu tür zararlar giderek daha sık bir arada görülüyor.

Van Lier, bir nakliye şirketinin hacklenmesi örneğini veriyor: “Manipüle edilmiş bir irsaliye ile yola çıkan kurye, yükü yanlış adreslere götürüp orada zimmetine geçiriyor. Bir kamyon elmada bu zarar göze alınabilir, ama iki Porsche'de değil.”

Sigorta şirketi Baobab, siber saldırılardaki fiziksel hasarlara odaklanan yeni bir oyuncu. Van Lier, “Başlangıçta 'çok tuhaf, imkânsız teminatlar uyduruyorsunuz' dediklerini sık duyuyorduk: bozulma, bulaşma ve siber saldırı nedeniyle hasar. Bunlar James Bond senaryoları gibi görünüyordu, ama artık gerçeğe dönüştüklerini görüyorsunuz” diyor.

Fransa'da sorumluluk konusunda görüşmeler sürüyor. Intermarché, ekim ayındaki saldırının zararını sigortanın karşılamadığını açıkladı. Ana şirket Les Mousquetaires'in patronu Thierry Cotillard, maliyetin ülke genelinde on milyonlarca euroya ulaşabileceğini ve marketlerin sorumluluğun kimde olduğu konusunda hukuki mücadele başlatacağını söyledi.

Uzmanlar ne diyor?

ICT Recht'te siber güvenlik, ürün sorumluluğu ve BT sözleşmeleri konusunda uzmanlaşan avukat Peter Kager, suçluluk sorusunun zor olduğunu düşünüyor. Ona göre öncelikle hackercılar suçlu. “Buna bir de kendi ihmaliniz eklenirse sigortacı kesinlikle ödeme yapmaz. Ama bu sigorta dünyasında her zaman tartışmalı bir sorudur: Bir süpermarket bunu önleyebilir miydi?”

Kager'e göre market yöneticileri “Bu bizim başımıza gelirse ne yaparız? Nerede yardıma ihtiyacımız olur?” diye sormalı. “Çünkü bu her süpermarketin başına gelebilir.”

Kager, her yıl yangın tatbikatı ve ilk yardım eğitimi yapıldığı gibi dijital kriz tatbikatı da yapılması gerektiğini belirtiyor. Siber saldırıların öncelik listesinde üst sıralara taşınması gerektiğini söylüyor.

Van Lier, Ulusal Siber Güvenlik Merkezi'nin (NCSC) olayların gerisinde kaldığını savunuyor. “Şimdi süpermarketler için uyarı yayınlıyorlar, ama bunu Fransa'daki hackten hemen sonra yapmalıydılar.”

Soğutma sistemlerinin güvenliği hakkında yeni bilgiler ortaya çıktı. Soğutma tesislerine internet üzerinden erişilebiliyordu ve bazı sistemler yeterince korunmuyordu; bu da hackercıların soğutmanın normal kontrolünü kötüye kullanmasına olanak tanıdı.

Soğutma üreticisi Danfoss, Fransız saldırısıyla ilgili olarak birçok etkilenen cihazın eski olduğunu ve artık güncelleme almadığını söyledi. Van Lier'e göre bu durum birçok operasyonel teknolojide görülüyor. Fiziksel cihazları ve süreçleri yöneten bu sistemler arasında soğutucular, pompalar, savaklar, asansörler ve makineler yer alıyor; on yıllar önce yapılan milyonluk yatırımlar artık eski ve savunmasız.

Van Lier, “Bunu yaşayan yöneticiler travmaya çok yakın bir durumda oluyor” diyor. Hack, siber güvenliğin önemini vurguladı. “E-posta adresinizin çalınmasını genelde pek önemsemeyiz. Ama boş raflar, çöpe giden gıda ve kıtlık önemsenir.”