ESET, dünya iktisadında birinci kere görülen ve siber ihlallerin yol açtığı yıkıcı tesirlere örnek oluşturabilecek bir gelişmeye dikkat çekti. Kredi derecelendirme kuruluşu Moody’s, 2017 yılındaki atağın önemli mali yıkımı nedeniyle Equifax için derecelendirme durumunu “istikrarlı”dan “negatif”e düşürdü. Bu güvenlik ihlali, yasal fiyatlar hariç, bugüne kadar şirkete 1,4 milyar dolara mal oldu.
Dünyada birinci kez
Moody’s‘in kararı kıymetli, zira bir güvenlik açığının oluşturduğu yüksek maliyet, birinci kere bir şirketin derecelendirme durumunu değiştirmesine sebep oldu. Elbette tartışmalı düşüş birden teğe ortaya çıkmadı. Moody’s, derece düşürmeyi Mayıs ayında duyurdu lakin bundan 7 ay evvel yani 2018 Kasım’ında siber akınlarla ilgili risklerin derecelendirme durumunu etkilemeye başlayacağına dair açık bir bildiri da vermişti.
Equifax ne yapar?
Equifax, Amerika Birleşik Devletleri’ndeki en büyük kredi raporlama ajanslarından biri. Kredi raporlama şirketleri, hayli fazla tüketiciyi kapsayan finansal bilgi kayıtlarını tahlil ediyor ve daha sonra bu bilgileri, bir kişinin kredi notunu belirlemek için kullanıyor. Ekseriyetle bu bilgileri de kredi kartı şirketleri, bankalar ve borç verenlerden alıyorlar.
Üç ülkenin vatandaşlarının finansal bilgileri çalınmıştı
Equifax’ın iki yıl evvel karşılaştığı siber ihlal ise şöyle gelişmişti: Apache Struts web uygulaması yapısındaki kritik bir güvenlik açığı için 6 Mart 2017’de bir yama yayımlanır ancak Equifax bu yamayı vaktinde yükleme konusunda başarısız olur. 13 Mayıs 2017’de bilgisayar korsanları, 29 Temmuz 2017’ye kadar keşfedilmeyecek bir güvenlik açığı sayesinde firmanın ağını dolaşmaya başlarlar. Tıpkı yılın 7 Eylül’üne kadar Amerika Birleşik Devletleri halkının yarısı ile yüz binlerce Kanada ve İngiliz vatandaşının da kapsamlı bilgilerinin saldırganların eline geçtiği Equifax tarafından açıklanır. Bu sayı sonrasında artar ve sonuçta 148 milyon insanın bilgilerine müsaadesiz olarak ulaşıldığı belirlenir. Bu sayı 320 milyonluk ABD nüfusunun neredeyse yarısı manasına gelir.
Gevşek siber güvenlik siyaseti
Equifax’ın maruz kaldığı tenkitlerin büyük kısmı da firmanın gevşek siber güvenlik uygulamalarına sahip olup olmadığıyla ilgiliydi. Firmanın eski CEO’su Richard Smith bu açığı, yamayı yüklemesi gereken bir kişinin başarısızlığına bağlarken, müfettişler bunun çok daha derin bir sorunun işareti olduğunu aktardı. Amerikan Senato Komitesi‘nin yayımladığı bir raporda, “Equifax’ın uzun müddettir devam eden eksikleri, siber güvenlik hazırlıklarına daha çok değer verilmesi gerektiğini ortaya koyuyor” deniyor.
Hırsız hâla bilinmiyor
Bu ortada, hırsız ya da hırsızların kimliği bilinmiyor ve çalınan bilgiler hiçbir yerde bulunamıyor. Medya kuruluşu CNBC’nin ulaştığı bilgiye nazaran; güvenlik uzmanlarından, karanlık web data avcılarından ve ihlalin araştırılmasında yer alan şahıslardan oluşan bir takımın yaptığı araştırma, çalınan bilgilerin beklendiği üzere şimdi internetin karanlık köşelerinde satışa çıkmadığı yahut kimlik hırsızlığı ya da makûs emelle kullanılmadığı belirtildi.