Kuzey İrlanda Polis Teşkilatı (PSNI) ve İrlanda’dan An Garda Síochána, verileri bir BT tedarikçisine yönelik bir siber saldırıda ele geçirildikten sonra, çocuklara yönelik cinsel istismar mağdurları da dahil olmak üzere savunmasız kişilerle çalışan çeşitli hayır kurumlarında bir dizi veri ihlalini araştırıyor.
Tedarikçi, Derry-Londonderry merkezli Evide, üçüncü sektör kuruluşlarında uzmanlaşmış bir veri yönetimi hizmetleri firmasıdır. Impact Tracker platformu, kampanya verilerini ve sonuçlarını yönetmek için İrlanda ve Birleşik Krallık’taki hayır kurumları tarafından kullanılıyor.
Mart 2023’te henüz açıklanmayan bir fidye yazılımı operatörü tarafından hedef alındığı anlaşılıyor. RTÉ’ye göre saldırganlar fidye talep etti, ancak Evide ödemedi.
Evide yaptığı açıklamada, “Geçenlerde ağımızda olağan dışı trafik tespit edildiğinde bir olayın farkına vardık. Üçüncü bir tarafın sistemlerimize eriştiğini fark eder etmez hemen PSNI ile iletişime geçtik ve sorunu kontrol altına almamıza, kurtarma çabalarını desteklememize ve kapsamlı bir soruşturma yürütmemize yardımcı olması için deneyimli siber güvenlik uzmanlarının hizmetlerini görevlendirdik.
“İlgili tüm paydaşlara ve müşterilere bildirimler sağladık ve An Garda Síochána’ya haber veren Kuzey İrlanda Polis Teşkilatı da dahil olmak üzere ilgili makamları bilgilendirdik. Olay şu anda adli soruşturmaya da tabidir.”
Saldırıya uğradığı bilinen yardım kuruluşlarından ikisi, çocukların cinsel istismarından kurtulan yetişkinlerle çalışan Dublin merkezli One in Four ve otizm ve öğrenme güçlüğü çeken yetişkinleri destekleyen Belfast merkezli Orchardville.
Dört kişiden biri, ihlali Evide’nin soruşturması sırasında bildirildiği 5 Nisan’da öğrendiğini söyledi.
Örgütten yapılan açıklamada, “Hizmetimizi kullanan kişilerin kişisel bilgilerine erişildiğini artık biliyoruz.
“Olay hakkında tavsiyelerde bulunmak ve sahip olabilecekleri endişeleri gidermek için bireysel müşterilerle doğrudan iletişime geçmeye başladık. Bu yaklaşımı, bu olayı rahatsız edici bulabilecek müşterilere uygun desteği sağlamamıza izin vermek için aldık. Her zaman önceliğimiz müşterilerimizin refahı ve refahıdır.”
RTÉ’ye konuşan vakfın CEO’su Maeve Lewis, hangi verilerin çalındığından emin olmadığını, ancak muhtemelen kişisel bilgileri içerdiğini söyledi.
Bu arada Orchardville, hangi verilerin ele geçirildiğini belirlemek için çalıştığını söyledi ve hizmet kullanıcılarını şüpheli temaslara karşı tetikte olmaları konusunda uyardı.
Compareitech güvenlik uzmanı Brian Higgins, “Bu kınanacak bir durum ama en savunmasız olanlardan bazılarına yönelik bu tür saldırılar, belirli siber suçlular arasında popülerdir” dedi.
“Mağdur örgütlerinin içgüdüsel tepkisi, yardım etmekle yükümlü oldukları kişileri korumak için her zaman ellerinden gelenin en iyisini yapmak olacaktır ve bu genellikle daha fazla zarar görme riskini almaktansa hemen fidye ödemek için bir motivasyon olarak kullanılabilir.
“Görünüşe göre Evide, etkilenen müşterileri ve PSNI, kapsamlı bir olay müdahale planına sahip ve bu alçakça saldırıyı önerilen şekilde görmek için ellerinden gelenin en iyisini yapıyorlar.
“İletişim stratejileri çok net ve etkilenebileceğini düşünen veya listelenen kurban kuruluşların herhangi birinin müşterisi olan birini tanıyan herkes, PSNI tarafından verilen tavsiyelere uymalı ve saldırıyla ilgili istenmeyen mesajları bildirmelidir. Asla meşgul olmayın veya cevap vermeyin. Sadece rapor et ve sil” diye ekledi.
Hayır kurumları için risk
Hayır kurumları, iki ana nedenden dolayı bu tür siber güvenlik olaylarına karşı özellikle risk altında kabul edilir.
Birincisi, sahip oldukları son derece değerli kişisel verilerin zenginliği nedeniyle. Doğası gereği, söz konusu veriler sıklıkla Birleşik Krallık ve Avrupa Birliği (AB) GDPR’si kapsamında – etnik ve ırksal arka plan, siyasi görüşler, felsefi ve dini inançlar, sendika üyeliği, genetik veriler hakkında bilgileri içeren – özel kategori verileri şemsiye terimi kapsamına girer. , biyometrik veriler, sağlık verileri ve bir kişinin cinsel yaşamı, cinsel yönelimi ve cinsiyet kimliğine ilişkin veriler.
İkinci neden, hayır kurumlarının genellikle küçük, kaynakları yetersiz kuruluşlar olmaları ve sınırlı fonlarını uygun siber güvenlik kontrollerine harcama konusunda isteksiz olmaları, genellikle kendi cihazını getir politikalarına güvenmeleri ve çok sayıda geçici işçiye sahip olmalarıdır. temel siber farkındalık ve eğitimden yoksun olabilecek gönüllüler.
Şubat 2023’te Computer Weekly’de yazan Falanx Cyber’de etik hacker ve siber inovasyon başkanı Rob Shapland ve üçüncü sektör uzmanı MSP Smartdesc’in CEO’su Adam Monks, hayır kurumlarının riskleri azaltmak için atabilecekleri üç adımı belirledi. bir siber saldırının kurbanı olmak. Bunlar:
- Bir sanal bilgi güvenliği sorumlusu (vCISO) hizmetini dışarıdan temin etmek ve bu hizmete yatırım yapmak;
- Yönetilen algılama ve yanıt (MDR) hizmetlerine yatırım yapmayı düşünmek;
- Ve mümkünse üçüncü taraf penetrasyon testi ve etik hackleme hizmetlerini kullanmak.
“Hayır kurumları siber suçluların radarında, büyük, iyi bilinen hayır kurumları bile savunmasız durumda. Büyük ölçekli bir saldırının etkisi yıkıcı olabilir – özellikle kesinti süresi ve marka ile destekçi güvenine verilen zarar” diye yazdılar.
“Sektörün zorluklarını anlayan uzmanların doğru siber güvenlik stratejisine ve hizmetlerine yaptığı zaman ve para yatırımı, başarılı bir saldırıdan kurtulmaya giden uzun ve itibara zarar veren yoldan her zaman daha ağır basacaktır.”
Popüler destek paketi
Bu arada, bu yılın Ocak ayında Birleşik Krallık Ulusal Siber Güvenlik Merkezi (NCSC), çocuklar, aile içi şiddet mağdurları ve mülteciler dahil olmak üzere savunmasız gruplarla çalışan yardım kuruluşları için bir destek önlemleri paketi başlattı.
IASME siber güvence konsorsiyumu ile birlikte sunulan Funded Cyber Essentials programına başarıyla başvuran yardım kuruluşları, güvenlik duvarları, güvenli ayarlar, erişim kontrolleri ve kötü amaçlı yazılım olmak üzere beş temel dayanağı uygulamalarına yardımcı olmak için akredite bir Cyber Essentials değerlendiricisinden 20 saatlik ücretsiz destek alacaktır. ve NCSC’nin Cyber Essentials Plus sertifikasını açan yazılım güncellemeleri.
Teklif o kadar popüler oldu ki, NCSC ve IASME o zamandan beri başvuruları kapatmak zorunda kaldı.