Birine bir banka soygununu resmetmesini söyleyin, muhtemelen kafasına çorap geçirmiş camları kırıp silahını oraya buraya doğrultan haydutları ve yere kapaklanan rehineleri hayal eder. Bu Hollywood'da da yer alan canlı bir senaryo. Ama önemli bir bankanın güvenlik uzmanına bunu sorarsanız muhtemelen korktuğu şeyin belki de kilometrelerce uzakta olan basit bir bilgisayar programcısı olduğunu söyleyecek ya da yabancı istihbarat birimi casuslarının müşteri bilgilerini ele geçirmesini düşünecektir.
Siber saldırılar, korkarız ki, sıradaki bankanın skandalı olabilir. Eğer çok büyük miktarlardaki ticaret son 10 yılda sektöre en büyük tehdidi oluşturmuşsa, bir sonraki 10 yıl için en büyük endişe, müşterilerin özel finansal bilgilerinin büyük ölçüde risk içinde olması ya da hackerların finansal sistemleri çökertmesidir.
Bankalar gibi diğer tüm tüzel kuruluşlar da internet tabanlı servisleri ve online bilgi depolama sistemini kullandığından karşı saldırıda bulunanlar sistem bilgilerini sızdırmaya çalışıyor. Doğal olarak bankaların siber saldırılara karşı ayırdığı bütçe hızla artıyor, bütçe sorunu şubeleri kapanmaya sürüklese bile. Şimdi size üç farklı siber saldırı örneği vereceğiz. Eminiz içlerinden tanıdık gelen olacak.
NASDAQ’NUN HACKLENMESİ
Finansal işlemlern gün geçtikçe internet ortamına aktarılmasıyla Wall Street sakinleri verilerinin güvenliği hakkında daha da endişelenmeye başlıyorlar. İyi hazırlanmış bir siber atak ile finans sisteminin bütün yapısı çökebilir.
4 yıl önce, NASDAQ ‘a gerçekleştirilen Rusya kaynaklı siber hack Wall Street’in ne kadar savunmasız olduğunu gözler önüne serdi. The National Cybersecurity and Communications Integration Center(NCCIC)’ın beş aylık süren incelemeleri ile Rusya’nın ana casusluk biriminin eskiden kullandığı kötü yazılıma benzeyen bir uygulamanın kullanıldığı sonucuna ulaşıldı. Ama bu sefer bu yazılım çok daha tehlikeliydi (Bütün ağı bozma kapasitesine sahipti, yani bütün Nastaq’ı tamamıyle yok edebilirdi).
Saldırı, kaynağına kadar geri izlendiğinde diğer büyük finans kurumlarının da bu tarz saldırılara karşı savunmasızları görülüp, herhangi bir zarara uğramamalarının tek nedeninin ise hackerların saldırmaya zahmet etmemeleri olduğu söylenebilir.
2011 ‘in sonlarına doğru Rusya’nın NASDAQ’nun hisselerini taklit ederek; bilgi toplamak amacıyla ve kendi hisseleri olan Micex ve RTS’de kullanmak için saldırıyı düzenledikleri sonucuna ulaşıldı. Hack başarızlıkla sonuçlandı ve daha sonra yapılan araştırmalarla virüsün düşünüldüğü kadar tehlikeli olmadığı sonucuna ulaşıldı. Ama bu saldırı bütün ülkenin finansal yapısındaki zayıflığı ve gelecek tehditlere karşı ne kadar savunmasız olduğunu gözler önüne serdi.
JP MORGAN'IN HACKLENMESİ
JP Morgan'ın yöneticisi Jamie Dimon, 83 milyon müşterisi olan ve küçük bazı bankaları da bünyesinde barındıran bankanın, banka tarihindeki en büyük hak ihlallerinden birine maruz kalmasından sonra önümüzdeki beş yıl siber güvenliğe ayrılan bütçenin iki katına çıkarılacağına dair söz verdi.
Aslında olasılıkları göz önünde bulundurursak her gün bankanız yeni bir siber saldırıyı atlatıyor olabilir. Bireysel sorun çıkaran kimseler, eylemci gruplar, sofistike sabıkalı organizasyonlar ve dolandırıcıların hepsi müşteri bilgilerini çalmayı, servisleri bozmayı ya da basitçe hasara sebep olmayı hedefliyor. Siber suçlar farklı büyüklüklerdeki bütün sektörleri stoklamaya mecbur bırakıyor ama bunların içinde finansal endüstrinin pozisyonu ayrı. Ataklar bankalar, müşteriler ve üçüncül kişiler arasındaki dijital bağlantılarda geometrik oranda artıyor. Bu konuyla ilgilenen kişilerin farklı durum değerlendirmeleri var. Bazıları finansal sistemlerdeki bileşik ağlardan dolayı savunmasız olduklarını düşünürken Mark Clancy de hack yolu olarak hackerların bir yöntem inşa edip bunu bütün bankalar üzerinde denediklerini savunuyor. Eğer sebep buysa ve eş zamanlı olarak yapılmıyorsa bunu engellemek çok daha kolay olabilir. İlk maruz kalan bankanın etkilense de etkilenmese de saldırıyı tespit edebilecek programlar taşıması durumunda diğer bankalara saldırı yolu kapanmış olur. Tabi böyle bir şey isterler mi bilmiyoruz.
HSBC’YE YAPILAN SALDIRI
HSBC’nin dünya çapındaki websitelerine vurulan darbe dünyanın en büyük siber atağı olarak değerlendirilirken milyonlarca müşterinin online servislere girişini engelledi.
Bilinmeyen bir grup "servis reddi" denilen saldırıyı gerçekleştirerek Britanya’nın en geniş bankası olan HSBC'nin internet tabanlı servislerini yedi saatliğine çökertti. En yoğun zamanında HSBC normal internet trafiğinin 500 katına, 2014’ün başlarında yapılan benzer bir saldırıdaki trafikten ise 5 kat büyüğüne maruz kaldı. Amerikan finansal grubu Capital 1'in de HSBC'nin maruz kaldığına benzer bir saldırıya uğradığı anlaşıldı.
HSBC TÜRKİYEDEKİ 2.7 MİLYON MÜŞTERİNİN VERİLERİNİ KAYBETTİ
HSBC Holdings Plc nin Türkiye şubesi 2.7 milyon müşterinin banka verilerini JPMorgan Chase & Co.'nun yaşadığına benzer bir güvenlik açığı sonucunda kaybetti. Hack ile kredi kartlarında ve bazı banka hesaplarında bilgi hırsızlığı yapıldığı anlaşıldı.
Elbette bu saldırıların amacı para değil. Bankaların finansal sistemlerini yıkmak. Hsbc ve JP Morgan saldırılarında ortak olarak vurgulanan bir nokta var ki o da çok usta kişiler tarafından yapılmış olması.
Peki bankalar bu saldırılardan nasıl korunabilir? Alınan güvenlik önlemleri müşterileri de sıkıp sınırlandırabilir mi?
Cevap pek kolay değil. En büyük bankalar, kompleks sistemlere sahip olmaktan ve şubeler ya da bankalar arası iletişim kurarken özensiz davrandıklarından güvenlik açıkları veriyorlar. Çoğu banka sağlam güvenlik önlemleri almasına rağmen eski bilişim teknolojilerini kullanıyorlar.
Peki bankalar neden bu konu üzerinde bu kadar duruyor?
Bankalar sadece bu saldırıların itibarlarını sarsacağından değil, aynı zamanda karlarını da oldukça önemli oranda azalttığı için güvenliklerini geliştirmek konusunda baskı altındalar. Bir de neyse ki müşterilerinin güvenliğini tehlikeye atan bankalara para cezası veriyorlar. Geçtiğimiz aylarda, banka, sistemlerin istenilen durumda olup olmadığını sorgulayan testler oluşturan bir siber saldırı ünitesi kurdu (CBEST). Soltra da bu ünitenin bir nevi Amerikan versiyonu.
KAYNAKÇA