ABD Senatörü Ron Wyden, yazılımı Ascension Hastanesi’ne büyük bir fidye yazılımı saldırısına katkıda bulunduktan sonra FTC’yi Microsoft’u araştırmaya çağırıyor ve 5.6 milyon hasta rekoru kırıyor.
Bir ABD senatörü, şirketin yazılımının büyük bir hastane sistemine büyük bir fidye yazılımı saldırısı sağladığını iddia ederek Microsoft’ta resmi bir soruşturma için baskı yapıyor. 10 Eylül 2025 tarihli bir mektupta (PDF) Senatör Ron Wyden, Federal Ticaret Komisyonu’nu (FTC), Microsoft’u ülkedeki en büyük kâr amacı gütmeyen sağlık sistemlerinden biri olan milyonlarca hastanın kayıtlarını tehlikeye atan “tehlikeli, güvensiz yazılım” için sorumlu tutmaya çağırdı.
Bir FTC sözcüsü, ajansın mektubu aldığını ancak daha fazla yorum yapmadığını doğruladı.
Hack’in savunmasız noktası
Senatör ofisinden yeni detaylar, 2024 hack’in nasıl başladığını ortaya koyuyor. Bir yüklenicinin dizüstü bilgisayarı, bir Bing aramasından kötü niyetli bir bağlantıyı tıkladıktan sonra kötü amaçlı yazılım bulaştı. Microsoft’un yazılımındaki güvensiz varsayılan ayarlar nedeniyle, bilgisayar korsanları Ascension’ın ağına oldukça ayrıcalıklı erişim elde edebildiler.
Bilgileriniz için, bilgisayar korsanları Kerberoasting adlı bir teknik kullanarak bir zayıflıktan yararlandı. Bu yöntem, Microsoft’un yazılımının varsayılan ayarlarında hala içerdiği 1980’lerden RC4 adlı çok eski bir şifreleme teknolojisinden yararlandı.
Bu, bilgisayar korsanlarının Active Directory sunucusunun kontrolünü ele geçirmesini sağladı ve esasen tüm ağın ana kontrolünü sağladı. Daha sonra bu erişimi fidye yazılımlarını binlerce bilgisayara itmek için kullandılar ve sonuçta 5.6 milyon hastadan hassas verileri çaldılar.
Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA), FBI ve NSA gibi hükümet gruplarının bu güvenlik zayıflıkları hakkında zaten uyarılar yayınladığını belirtmek gerekir.
İhmal paterni
Microsoft ilk kez böyle bir güvenlik tartışmasının merkezinde değil. Wyden, şirketin 2023 Çin’in ABD’li devlet kurumlarının hacklenmesi de dahil olmak üzere uzun bir güvenlik sorunları geçmişine sahip olduğunu belirtti. Wyden’in talep ettiği bu hack’i analiz etmek için bir inceleme kurulu oluşturuldu, “Microsoft’un güvenlik kültürü yetersiz olduğu ve bir revizyon gerektirdiği” sonucuna vardı.
Wyden’in mektubu Microsoft’un yavaş yanıtını da vurguladı. Personeli şirket yetkililerini Temmuz 2024’te Kerberoasting tehdidi konusunda uyardıktan sonra bile, Microsoft’u bir teknik blog yazısı yayınlamak Ekim ayına kadar sürdü ve güvenlik açığını düzeltmek için henüz vaat edilen bir yazılım güncellemesi yayınlamadı.
Senatör, Microsoft’un pazar hakimiyeti göz önüne alındığında, sorunlarını çözmek için çok az teşviki olduğunu savunuyor çünkü birçok şirket ve devlet kurumunun ürünlerini kullanmaktan başka seçeneği yok. Wyden, “Microsoft’un kurbanlarına itfaiye hizmetleri satan bir kundakçı gibi” olduğu sonucuna vardı ve şirketin mevcut güvenlik yaklaşımının ulusal güvenlik için önemli bir risk oluşturduğunu da sözlerine ekledi.