Banka Hacklenmedi, Tedarik Zinciri Hedef Oldu: U.S. Bank Olayı “Dördüncü Taraf” Siber Riskini Gündeme Taşıdı

ABD’nin büyük bankalarından U.S. Bancorp, bir fidye yazılımı grubunun kendisini hedef aldığı yönündeki iddiaların ardından yaptığı incelemede, olayın bankanın kendi sistemlerinden değil, üçüncü tarafla bağlantılı bir yükleniciyi kapsayan “dördüncü taraf” bir siber olaydan kaynaklandığını açıkladı. Banka sözcüsü Recorded Future News’e yaptığı açıklamada, şu aşamada U.S. Bancorp’un kendi sistemlerinin, ağlarının veya veri depolarının ele geçirildiğine ilişkin herhangi bir kanıt bulunmadığını bildirdi. Banka ayrıca ilgili teknik bilgileri kolluk kuvvetleriyle paylaştığını ve soruşturmaya destek verdiğini belirtti.

Sızıntı Listeleri Tek Başına Doğrudan İhlali Kanıtlamıyor

Olay, fidye yazılımı gruplarının yayımladığı mağdur listelerinin tek başına bir kurumun doğrudan ihlal edildiğini kanıtlamadığını da gösteriyor. LockBit grubunun U.S. Bancorp adını sızıntı sitesinde yayımlaması üzerine yapılan inceleme, iddianın bankanın kendi ağı yerine hizmet zincirinin daha aşağısındaki bir kuruluşla bağlantılı olduğunu ortaya koydu. Bu nedenle “U.S. Bank hacklendi” veya “bankanın müşteri verileri çalındı” şeklinde kesin bir ifade mevcut doğrulanmış verilerle desteklenmiyor.

Neden Önemli? Üçüncü Taraf Yetmiyor, Dördüncü Taraf Da İncelenmeli

Siber güvenlikte üçüncü taraf riski, bir kurumun doğrudan hizmet aldığı tedarikçi veya hizmet sağlayıcıdan doğan riski ifade ediyor. Dördüncü taraf riski ise bu tedarikçinin kendi alt yüklenicileri ve hizmet sağlayıcıları üzerinden oluşabiliyor. Böylece hedef kurumun kendi ağı ihlal edilmese bile adı, verisi veya operasyonu başka bir şirketin güvenlik olayıyla ilişkilendirilebiliyor.

U.S. Bancorp’un kendi kamuya açık risk bildirimleri de üçüncü tarafların operasyonel, teknoloji veya güvenlik sistemlerindeki ihlallerin banka açısından risk yaratabileceğini kabul ediyor. Bankanın iş sürekliliği belgelerinde kritik üçüncü taraf hizmetlerinin kesintiye uğramasına karşı özel müdahale planlarının bulunduğu belirtiliyor. Güncel olay ise bu zincirin bir adım daha aşağısına, yani tedarikçinin tedarikçisine kadar uzanan görünürlüğün önemini somutlaştırıyor.

Adli Bilirkişi Değerlendirmesi

Bu tür bir siber olayda adli bilişim bilirkişi incelemesinin ilk sorusu “hangi kurumun adı sızıntı sitesinde yer aldı?” değil, verinin ve erişimin gerçek kaynağının neresi olduğudur. Ana kurum, doğrudan tedarikçi ve alt yüklenici arasındaki teknik ve sözleşmesel veri akışı ayrı ayrı haritalanmalıdır.

Aşamalı adli bilişim inceleme kriterleri şu başlıkları kapsar:

• Erişim ve Log Analizi: Kimlik doğrulama kayıtları, VPN, uzaktan erişim logları, API bağlantıları ve bulut denetim loglarının bütünlüğü korunmalıdır.
• Veri Doğrulama ve Hash Karşılaştırması: İddia edilen sızıntı örneklerinin hash değerleri ve metadata bilgileri, kurumların gerçek veri setleriyle kontrollü biçimde karşılaştırılmalıdır.
• Sorumluluk Zinciri Tespiti: Saldırının gerçekleştiği ortamın fiziki ve mantıksal olarak hangi tarafın kontrol alanında olduğu teknik delillerle netleştirilmelidir.

İkinci aşamada şu kritik sorular cevaplanmalıdır: Veri gerçekten U.S. Bancorp’a mı aitti? Veriye hangi kuruluşun sisteminden erişildi? Ana bankanın sistemlerine herhangi bir geçiş gerçekleşti mi? Dördüncü tarafın hangi yetkilerle hangi verilere erişimi vardı? Alt yüklenici kullanımı sözleşme ve güvenlik politikaları kapsamında bildiriliyor ve denetleniyor muydu? Olayın tespitinden sonra erişim anahtarları, token’lar ve kimlik bilgileri zamanında iptal edildi mi?

Hukuki ve Sözleşmesel Sorumluluk Değerlendirmesi

Sigorta, tazminat veya rücu uyuşmazlığında da yalnız saldırının varlığı yeterli değildir. Zararın hangi sistemde doğduğu, hangi tarafın kontrol alanında gerçekleştiği, veri veya hizmet bağımlılığının sözleşmeyle nasıl dağıtıldığı ve alınması gereken teknik tedbirlerin olay tarihindeki somut koşullarda yerine getirilip getirilmediği ayrıca değerlendirilmelidir. Teknik bilirkişi, ceza veya hukuki sorumluluk konusunda hüküm kurmak yerine olay zincirini, teknik kontrol alanlarını ve doğrulanabilir bulguları ortaya koymalıdır.