KFC ve Pizza Hut’ın ABD merkezli ana kuruluşu Yum!, Ocak 2023’te sistemlerine saldıran ve Birleşik Krallık’taki 300 satış noktasının geçici olarak kapanmasına neden olan açıklanmayan fidye yazılımı çetesi tarafından verileri çalınan bir dizi çalışanına mektup yazdı.
İlk olayı tespit ettikten sonra, kuruluşun planlanmış müdahale protokolleri harekete geçti. Nefis! daha fazla hasarı önlemek için çevreleme önlemleri aldı ve etkilenen sistemleri çevrimdışı duruma getirdi, gelişmiş izleme uyguladı, üçüncü taraf bir siber adli tıp uzmanıyla görüştü ve ABD kolluk kuvvetlerine haber verdi.
Kuruluş, o sırada ağından verilerin alındığının farkında olduğunu, ancak müşteri veritabanlarının çalındığına dair hiçbir kanıt olmadığını söyledi.
Yeni yapılan açıklamada, Uyku Bilgisayarı, bir Yum! sözcü, örgütün soruşturması sırasında çalışanlarla ilgili bazı kişisel bilgilerin açığa çıktığını tespit ettiğini söyledi. Şirketin hala bireysel bildirimler gönderme sürecinde olduğunu ve ücretsiz izleme ve koruma hizmetleri sunacağını söylediler.
Sözcü, soruşturmanın hala herhangi bir müşteri verisinin açığa çıktığına dair hiçbir kanıt ortaya çıkarmadığını da sözlerine ekledi.
6 Nisan tarihli mektupta Yum! ifşa edilen verilerin sürücü ehliyetleri ve diğer kişisel tanımlama biçimleriyle bağlantılı isimler ve kişisel tanımlayıcılar içerdiğini söyledi.
Bu verilerle bağlantılı herhangi bir dolandırıcılık veya kimlik hırsızlığı kanıtı bulunmadığını, ancak yine de etkilenenlere IDX aracılığıyla iki yıllık kredi izleme ve kimlik koruma hizmetleri sunulduğunu sözlerine ekledi.
Birleşik Krallık etkisi belirsiz
Birleşik Krallık çapında etkisi olan ve ülke genelindeki restoranların ticaret yapamadığı ilk olaya rağmen, form mektubu kuruluşun ABD’li çalışanları ile ilgilidir.
Computer Weekly, Yum ile iletişime geçti! Birleşik Krallık çalışanları üzerindeki herhangi bir etkinin boyutunu belirlemeye çalışıyordu, ancak kuruluş bu yazıyı yazdığı sırada yanıt vermemişti.
Bilgi Komisyonu Ofisi (ICO), herhangi bir olaydan haberdar edilmediğini söyledi. Birleşik Krallık yasalarına göre, söz konusu ihlal insanların hakları veya özgürlükleri için bir risk oluşturmuyorsa, kuruluşlar bir kişisel veri ihlalinin farkına vardıktan sonra 72 saat içinde bunu bildirmek zorundadır. Bir kuruluş bir ihlali bildirmemeyi seçerse, yine de bunun kaydını tutmalı ve neden bildirilmediğini açıklamaya hazır olmalıdır.
onun içinde 2022 faaliyet raporu, Nisan ayının başlarında dosyalandı, Yum! olayın iş üzerinde önemli bir etkisi olduğunu kabul etti. Açıklamada, “Bu saldırıyla ilgili olarak, bu konuyu yanıtlama, düzeltme ve soruşturma giderleri de dahil olmak üzere, belirli giderler yaptık ve karşılamaya devam edebiliriz.
“Şirketin ağından alınan veriler de dahil olmak üzere, olayın sonucu olarak risklere ve belirsizliklere maruz kalmaya devam ediyoruz.”
Fidye yazılımı önleme uzmanı Halcyon’un CEO’su Jon Miller, bu tür soruşturmaların, özellikle kamuya açık, denetime tabi şirketler için tamamlanmasının ne kadar sürdüğü göz önüne alındığında, ilk olay ile ihlal ifşası arasındaki üç aylık sürenin sürpriz olmaması gerektiğini söyledi.
“Fidye yazılımı saldırılarının, diğer saldırıların aksine kendilerini kurbana ifşa etmek üzere nasıl tasarlandıkları göz önüne alındığında, ayrıntıların ifşasının hızla gerçekleşeceği düşünülebilir. Yalnızca fidye yazılımı dağıtmakla kalmayan, aynı zamanda gizli veri sızdırma operasyonları olan bu saldırılarda durum böyle olmayabilir” diye açıkladı.
“Fidye yazılımı yükünün teslim edildiği noktaya kadar, bu siber suçlu fidye yazılımı operasyonları ile kurumsal veya devlet casusluk saldırıları arasında çok az fark var. Bunlar, genellikle birden fazla tehdit aktörünü içeren karmaşık, çok aşamalı operasyonlardır.
“Casusluk odaklı muadillerininki gibi hedefleri, hedeflenen ağın büyük bir kısmına sızarken ve olabildiğince çok hassas veriyi dışarı sızdırırken ve ardından daha büyük bir fidye talebi için yararlanırken mümkün olduğunca sessiz olmaya kararlı” dedi. Miller.
“Çoğu açıdan, bir kurumsal casusluk operasyonu ile bir fidye yazılımı saldırısı arasındaki tek fark, ikincisinde saldırganların saldırıyı kurbana zamanında ifşa etmeyi planlamasıdır.”