Ohio eyaletine bağlı Columbus şehri, güvenlik araştırmacısı David Leroy Ross, namıdiğer Connor Goodwolf’a karşı, Rhysida fidye yazılımı çetesinin şehrin BT ağından çaldığı ve sızdırdığı verileri yasadışı olarak indirip yaydığı suçlamasıyla dava açtı.
Ohio’nun başkenti ve en kalabalık (2.140.000) şehri olan Columbus, 18 Temmuz 2024’te çeşitli hizmet kesintilerine ve kamu kurumları arasındaki e-posta ve BT bağlantısının kullanılamamasına neden olan bir fidye yazılımı saldırısına maruz kaldı.
Temmuz ayı sonunda, Belediye yönetimi hiçbir sistemin şifrelenmediğini ancak saldırıda hassas verilerin çalınmış olma ihtimalini araştırdıklarını duyurdu.
Aynı gün Rhysida fidye yazılımı saldırının sorumluluğunu üstlendi ve çalışanların kimlik bilgileri, sunucu dökümleri, şehir video kamera kayıtları ve diğer hassas bilgiler de dahil olmak üzere 6,5 TB veritabanını çaldıklarını iddia etti.
Tehdit aktörleri, 8 Ağustos’ta şehri gasp etmeyi başaramayınca, çalınan verilerin %45’ini, yani 260.000 dosyayı (3,1 TB) yayınladı ve daha önce iddia ettikleri şeylerin çoğunu ifşa etti.
Kent yönetiminin şikayetine göre, ifşa edilen veri seti, yerel savcılar ve polis gücü tarafından en az 2015 yılına kadar uzanan ve gizli polis memurlarının kişisel bilgileri de dahil olmak üzere çok miktarda veri içeren iki yedek veritabanını da içeriyor.
Rhysida’nın karanlık web’deki gasp portalındaki verilerin sızdırıldığı gün, Columbus Belediye Başkanı Andrew Ginther yerel medyada, ifşa edilen bilginin ne değerli ne de kullanılabilir olduğunu ve saldırının başarıyla engellendiğini belirtti.
Birkaç saat sonra Goodwolf, sızdırılan veri setinin neleri içerdiğine dair bilgileri medyayla paylaşarak Belediye Başkanı’nın hassas veya değerli hiçbir verinin ifşa edilmediği iddiasını yalanladı.
Bunun üzerine Belediye Başkanı Ginther, 12 Ağustos’ta ifşa edilen verilerin “şifrelenmiş veya bozulmuş” olduğunu, bu nedenle sızıntının kullanılamaz olduğunu ve kamuoyunu endişelendirmemesi gerektiğini iddia etti.
Ancak Goodwolf bu iddialara itiraz ederek, verilerin örneklerini medyayla paylaşarak bunların Columbus’taki insanlara ait şifrelenmemiş kişisel verileri içerdiğini gösterdi.
“Ortaya çıkan detaylar arasında aile içi şiddet vakalarından isimler ve polis memurları ile suç mağdurlarının Sosyal Güvenlik numaraları da vardı. Çöplük sadece şehir çalışanlarını etkilemekle kalmıyor, aynı zamanda sakinlerin ve ziyaretçilerin yıllar öncesine ait kişisel bilgilerini de ortaya çıkarıyor,” diye bildirdi NBC4.
Araştırmacının susturulması
Columbus’un açtığı davada, Goodwolf’un çalıntı verileri yayma davranışının hem ihmalkar hem de yasadışı olduğu ve toplumda büyük endişeye yol açtığı iddia ediliyor.
Ayrıca, Goodwolf’un belirttiği gibi, sızdırılan verilerin kimsenin erişimine açık olmadığını, verilerin sınırlı erişime sahip bir platformda yayınlandığını ve yerini tespit etmek için bilgi sahibi olmak gerektiğini iddia ediyor.
Şikayette, “Sanığın karanlık web’den indirme yapması ve bu çalıntı, hassas bilgileri yerel düzeyde yayması, Orta Ohio bölgesinde yaygın bir endişeye yol açtı” ifadeleri yer aldı.
“Sadece karanlık web’deki suç unsurlarıyla etkileşime girmeye ve gezinmeye istekli olan, aynı zamanda karanlık web’den veri indirmek için gerekli bilgisayar uzmanlığına ve araçlara sahip olan kişiler bunu yapabilir.”
Şikayette, Goodwolf’un kolluk kuvvetlerine ait verileri paylaşmasının ve insanların verilerinin ifşa olup olmadığını görebilecekleri bir web sitesi kurmayı planlamasının, polis soruşturmalarına müdahale ettiği belirtiliyor.
Şehir, çalınan verilerin daha fazla yayılmasını önlemek için Goodwolf’a karşı geçici bir yasaklama emri, ihtiyati tedbir ve kalıcı bir ihtiyati tedbir talep ediyor. Ayrıca, Şehir 25.000$’ı aşan tazminat talep ediyor.
Aşağıda gösterilen dava hakkında düzenlenen basın toplantısında, Şehir Avukatı Zach Klein, davanın ifade özgürlüğünü bastırmakla ilgili olmadığını, Goodwolf’un sızıntı hakkında konuşabileceğini, ancak çalınan bilgileri indirip yaymasının engellenmesini amaçladığını söylüyor.