Çinli Hacker İhraç Edildi, Kritik Altyapı Şirketi İhlal Edildi

İhraç ve İhlal Gelişmeleri

Xu Zewei, bir Çin vatandaşı, ABD’de devlet destekli siber saldırılar katılımından dolayı suçlarla karşı karşıya gelmek üzere iade edildi. İddianame, grubun pandemi ile ilgili araştırmaları ve altyapıyı hedef aldığını öne sürüyor. Aynı zamanda, 300 milyondan fazla müşteriye enerji ve su sayaç sistemleri sağlayan Itron Inc., sistemlerinin ihlal edildiğini açıkladı. Her iki olay da, devlet destekli siber operasyonlar ve kurumsal siber güvenlik savunmaları arasındaki artan gerilimleri vurguluyor.

ABD Adalet Bakanlığı (DOJ), Xu’yu doğrudan Çin hükümetinin siber operasyonlarına bağladı ve eczacılık ve biyotek firmsından çalınan araştırma verilerini belirtti. Itron’un ihlali, henüz belirli bir aktöre atfedilmese de, şirketin kritik hizmetleri izleme rolü nedeniyle alarm zillerini çaldı. Şirket, ihlal edilen veri kapsamını veya kullanılan saldırı vektörünü belirtmeyeceğini belirtti.

Devlet Destekli Siber Saldırıların Kapsamı

DOJ, Xu’nun grubunun hedefleri ihlal etmek için zero-day khaiyatları ve tedarik zinciri ihlalleri gibi gelişmiş teknikler kullandığını iddia ediyor. İddianame, 2022’de bir üniversite hastanesinin aşı araştırma deposuna erişildiğini ve geliştirme zaman çizelgesini haftalarca geciktirdiğini belirtiyor. Bu taktikler, Mandiant ve Recorded Future tarafından izlenen diğer APT (Advanced Persistent Threat) gruplarında gözlenen kalıplarla uyumlu.

Devlet destekli aktörler genellikle uzun vadeli stratejik değerlere sahip sektörlere hedef oluyor. Itron’un sistemleri, belediye ağları boyunca su dağıtımını ve enerji tüketimini izliyor ve iki katlı bir risk oluşturuyor: operasyonel kesinti ve veri sızıntısı. Şirketin ihlali zamanında açıklamaması, CrowdStrike gibi güvenlik firmaları tarafından eleştirildi ve sistematik zayıflıkları artırarak yanıt sürelerinin gecikmesi uyarısı yapıldı.

Teknik ve Hukuki Bağlam

Xu davası, ABD hükümetinin yabancı hackerlara karşı genişleyen yasal araç setini vurguluyor. Geleneksel casusluk davalarının aksine, DOJ’un yaklaşımı burada ekonomik sabotajı vurguluyor ve Bilgisayar Sahtekarlığı ve Suistimal Yasası’nı (CFAA) uyguluyor. Xu, her bir suç için 10 yıla kadar hapis ve 1 milyon dolar para cezasına karşı karşıya. Hukuk uzmanları, bu durumun, geleneksel anlaşmalardan kamu duruşmalarına geçiş olduğunu ve siber savaşa karşı daha geniş bir caydırma stratejisi sinyali verdiğini belirtiyorlar.

Bu arada, Itron’daki ihlal, endüstriyel kontrol sistemlerinin (ICS) güvenliğinde açıkları vurguluyor. NIST SP 800-82R2 protokollerine rağmen, nhiều kritik altyapı sağlayıcıları hala yamalı güvenlik açıklarına sahip eski SCADA sistemlerine güveniyor. Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), 2021’den bu yana tavsiyeler yayınladı, ancak uyumluluk, sektördeki çoğu özel şirket için gönüllü olarak kaldı.

Siber Güvenlik Politikası için Sonraki Adımlar

Xu’nun ihracı ve Itron’un ihlali, muhtemelen yasama eylemini hızlandırarak, siber saldırıya karşı önlem alma süresini 72 saatle sınırlayacak ve kritik altyapı için CISA bildirimini zorunlu kılacak Siber Olay Yanıtı Kanunu’nun teklif edilmesini sağlayacaktır. Ancak endüstri lobileri, bunun küçük sağlayıcılara gereksiz maliyetler getireceğini iddia ediyor.

Özel sektörde, şirketler sıfır güven mimarilerine odaklanıyor. Microsoft Azure ve AWS, 2024’te ICS’ye özel yeni güvenlik modüllerini piyasaya sürdü, Wiz.io ve Palo Alto Networks gibi şirketler, işletme sözleşmeleri için otomatik tehdit algılama araçlarıyla yarışıyor. Olay yanıtı ekipleri pazarının 2027 yılına kadar yıllık %18 oranında büyümesi bekleniyor.

İzlenecekler

Kongre, Ekim 2024’te Siber Olay Yanıtı Kanunu’na oy verecek. ‘Hayır’ oyu, kritik altyapının saldırılar sırasında geciken yanıt sürelerine karşı savunmasız kalmasına neden olacak. Bu arada, Itron, Kaliforniya ve Teksas’taki müşterilerden potansiyel grup davalarıyla karşı karşıya kalacak ve 2025’in ilk çeyreğinde duruşmalar planlanacak. DOJ’un Xu davası, Eylül 2025’te görülecek ve mevcut ABD yasalarına göre ekonomik sabotaj için hackerlerin iadesinin uygulanabilirliğini test edecek.