Dolandırıcılık Yönetimi ve Siber Suç, Geo Focus: Birleşik Krallık, Geo’ya özgü
İngiltere ICO, Advanced’in güvenlik önlemlerinin ‘ciddi şekilde kısaldığını’ söyledi
Akhabokan Akan (Athokan_akhsha) •
26 Mart 2025
Bir İngiliz BT servis şirketi, on binlerce ulusal sağlık hizmeti hastasının tıbbi kayıtlarını açıklayan 2022 fidye yazılımı hack için 3.07 milyon pound para cezası ödemelidir.
Ayrıca bakınız: Ondemand | Bankacılıkta içeriden gelen tehdidi ele almanın sınırlamalarının üstesinden gelmek: Gerçek güvenlik zorlukları için gerçek çözümler
Perşembe günü, Birleşik Krallık Bilgi Komiseri Ofisi, Güvenlik İhmali için Gelişmiş Bilgisayar Yazılım Grubu para cezasına çarptırdı ve bu da Lockbit Fidye Yazılımları Operatörleri 79.404 kişinin bilgilerini çaldı.
Birmingham merkezli teknoloji sağlayıcısının Adastra sistemi NHS 111 Tıbbi Acil olmayan yardım hattını ve diğer sağlık hizmetlerini destekliyor. Bilgisayar korsanları, Sistemin Ağustos 2022’de çevrimdışı olmasına neden oldu ve NHS’yi iş sürekliliği süreçlerini etkinleştirmeye zorladı ve bazı tıbbi hizmetleri geçici olarak kullanılamıyor. Anonim kalmasını isteyen bir NHS psikiyatristi, BBC’ye olayın ekibini “klinik kararlar neredeyse kör” olarak bıraktığını söyledi çünkü olay sağlık personelini hasta kayıtlarına erişemedi.
Ajans tarafından yapılan bir ICO soruşturması, bilgisayar korsanlarının gelişmiş sistemi, çok faktörlü kimlik doğrulaması olmayan bir kullanıcı hesabı aracılığıyla ihlal ettiğini buldu. Şirket ayrıca, hack sırasında yeterli güvenlik açığı tarama ve yama yönetimi programlarından yoksundu. Eylül 2022’de saldırganların, şirketin bakıcı vardiyalarını planlamak için kullanılan bir sistem olan Staffplan Citrix Server’a uzak bir masaüstü oturumu başlatmak için saldırganların meşru üçüncü taraf kimlik bilgileri aracılığıyla erişim sağladığını açıkladı.
Saldırganlar tarafından erişilen bilgiler, evde bakım alan 890 kişinin evlerine nasıl girileceği, telefon numaraları ve hastaların tıbbi kayıtlarına nasıl girileceği hakkında ayrıntılar içeriyordu. Bilgisayar korsanları çalınan verileri yayınlamadı ve Lockbit Darkweb sızıntısında asla sorumluluk iddia etmedi. Advanced, Lockbit bilgisayar korsanlarının verileri halka açık hale getirmesini önlemek için gasp para ödeyip ödemediğini belirtmeyi reddetti. Şirket, bilgisayar korsanlarının bir ev bakım yönetimi yazılım paketi olan Staffplan ve Caresys’in 16 NHS müşterisi tarafından toplanan “sınırlı miktarda veri” kopyaladığını ve çaldığını söyledi.
ICO Komiseri John Edwards, “Gelişmiş iştiraki güvenlik önlemleri, bu kadar büyük bir hassas bilgi işleyen bir kuruluştan beklediğimizden ciddi şekilde yetersiz kaldı.” Dedi. “Advanced, sistemlerinin çoğuna çok faktörlü kimlik doğrulama kurmuş olsa da, tam kapsam eksikliği, bilgisayar korsanlarının erişim kazanabileceği ve binlerce insanın hassas kişisel bilgilerini riske atabileceği anlamına geliyordu.”
Geçen yıl ICO, 6 milyon liralık para cezası önerdi, ancak Advanced tarafından alınan iyileştirici eylemleri ve şirketin ICO ve İngiltere Ulusal Siber Güvenlik Merkezi ile yakın işbirliği belirterek, olayı yanıt için bkz. İngiltere’nin Gelişmiş Yüzleri Lockbit Saldırısı’ndan Sonra 6m Pound İyi).
Perşembe günkü para cezası, Advanced’in gönüllü bir anlaşmaya vardıktan sonra dayatıldı. ICO, şirketin kararı temyiz etmeyeceğini söyledi.
Gelişmiş bir sözcü, şirketin “müşterilerini destekleme konusunda kararlı” kaldığını söyledi.
Sözcü, “İki buçuk yıl önce olan şey tamamen üzücü. Siber güvenlik işimiz genelinde birincil yatırımdır ve bu saldırıdan bu yana bir organizasyon olarak çok şey öğrendik.” Dedi.