Siber saldırıya uğrayan Albert Heijn suç duyurusunda bulunmuyor

Albert Heijn'de günlerce süren boş raflar ve aksamaların ardından siber saldırıyla ilgili henüz polis soruşturması başlatılmadı. Adalet makamları dün ana şirket Ahold'u suç duyurusunda bulunmaya davet etti. Ancak böyle bir başvurunun bir şirket için neden önemli olduğu ya da olmadığı tartışılıyor.

NOS'un bu hafta başında bildirdiğine göre ortada bir hack saldırısı ya da ciddi bir saldırı girişimi var. Albert Heijn olayı "siber güvenlik olayı" olarak tanımlıyor. Şirket yazılı açıklamasında "tüm ilgili makamlarla" işbirliği yaptığını belirtti. Süpermarket zincirinin neden şu ana kadar suç duyurusu yapmadığı ve Ahold'un gelecekte bunu planlayıp planlamadığı net değil. Şirket şu anda ne olduğunu araştırıyor ve konuyla ilgili başka açıklama yapmak istemiyor.

Uzmanlara göre 'altın saat' kuralı

Siber güvenlik danışmanı Eric Schouten'a göre Ahold'un şu anda polisle birlikte hareket etmemesi şaşırtıcı değil. Bu tür soruşturmalar için sıklıkla dış şirketlerin görevlendirildiğini söylüyor. "Ahold önce her şeyi kendi başına iyice araştırmak isteyebilir. Şirket için en önemlisi organizasyonun yeniden çalışır hale gelmesi. İnsanların yeniden alışveriş yapabilmesi."

Şirketin yeniden faaliyete geçmesi Ahold'un öncelikli hedefi. Eski polis memuru ve siber güvenlik uzmanı Pim Takkenberg de "Şu anda suç duyurusu yapmanın şirket için en yüksek öncelik olmadığını anlayabiliyorum" diyor. Ancak Takkenberg neden suç duyurusu yapılmayacağını tam olarak anlamıyor. "Ne kadar beklerseniz, o kadar potansiyel sıcak iz kaybolabilir."

Polis de bu izlerin mümkün olduğunca hızlı güvence altına alınmasının önemli olduğunu düşünüyor. Polisin siber suçlarla mücadeleden sorumlu yetkilisi Stan Duijf, "Cinayet soruşturmalarında olduğu gibi hack olayında da 'altın saat' geçerlidir. Polisin olay yerine gelmesi ne kadar uzun sürerse, o kadar çok iz kaybolur" diyor.

Ancak siber uzmanlar şirketlerin genellikle böyle bir polis soruşturmasını istemediğini gözlemliyor. Siber güvenlik uzmanı Inge Bryan, siber saldırıyla karşılaşan şirketlere düzenli olarak destek veriyor. "Polisi kapınıza çağırdığınızda bu ciddi bir süreç. Siz kendiniz mümkün olduğunca çok şeyi kurtarmaya ve yeniden faaliyete geçirmeye çalışıyorsunuz. Polisin ise farklı bir çıkarı var: suçluları yakalamak."

Suç duyurusu soruşturmayı yavaşlatır mı?

Uzmanlar, polis soruşturmasının şirketin yeniden açılmasını geciktireceği endişesiyle başlangıçta sıklıkla suç duyurusundan vazgeçildiğini görüyor. Ancak polise göre buna gerek yok. Duijf, "Saldırgan hâlâ sistemdeyse, mümkün olduğunca hızlı bir ceza soruşturması başlatmak istersiniz" diyor. Ona göre polis asla öylece fişleri çekmiyor ya da her şeyi durdurmuyor.

Takkenberg, "Polis saldırganın izini tersine takip eder" diyor. "Bir organizasyon olarak örneğin bir davetsiz misafirin IP adresini biliyorsanız, bu bir plaka gibidir. Hangi araba olduğunu bilirsiniz ama içinde kimin oturduğunu bilemezsiniz." Polis, özel soruşturma yetkileriyle bunu araştırabilir. Duijf, "Örneğin hack yaparak, el koyarak veya arama yaparak bir IP adresinde ne çalıştığını ve arkasında ne olduğunu görebiliriz" diyor.

Ağustos ayından bu yana dijital dayanıklılığı ve siber güvenliği artırmaya yönelik yeni bir yasa yürürlükte. Bu yeni yasanın önemli bir parçası, şirketlerin büyük bir siber olayla karşılaştıklarında bildirim yükümlülüğünün sıkılaştırılması. Şirketlerin bunu Ulusal Siber Güvenlik Merkezi'ne (NCSC) bildirmesi gerekiyor. Ahold bunu yaptı. Ancak Duijf, "Bu, polise suç duyurusunda bulunmanın yerini almaz" diyor.

Şirketin suç duyurusu yapmaması, ceza soruşturması yapılmayacağı anlamına gelmiyor. Polis ve Savcılık kendi kararlarıyla soruşturma başlatabilir. Şu anda Ahold örneğinde bunu planlayıp planlamadıkları bilinmiyor.