Uluslararası Fidye Yazılımlarıyla Mücadele Girişimi’nin 50 üyesinin tamamı, ortak politika beyanı Geçen hafta “ulusal hükümet otoritemiz altındaki ilgili kurumların fidye yazılımı şantaj taleplerini ödememesi gerektiğini” öne sürdük.
48 ülkeyi, Avrupa Birliği’ni ve Interpol’ü temsil eden siber yetkililer, fidye yazılımı faaliyetleriyle mücadele çabalarını ilerletmek amacıyla üçüncü yıldır Washington’da bir araya geldi. “Fidye yazılımı suçlularına para akışı olduğu sürece bu durum büyümeye devam edecek” Anne Neuberger, siber ve gelişen teknolojilerden sorumlu ulusal güvenlik danışman yardımcısıZirve öncesi brifingde söylendi.
Uluslararası politikanın onaylanması, sürekli olarak yıkıcı fidye yazılımı faaliyetlerinin yaşandığı bir dönemi takip ediyor. ABD yetkilileri doğrudan yasağın uygulanmasına karşı karar verildi geçen yıl fidye ödemeleri yapıldı, ancak 2023 ortalarında tutumlarını yeniden değerlendirdiler.
Taahhüt, fidye yazılımı saldırılarını körükleyen ödemelerle mücadeleye yönelik çok taraflı niyeti ifade ediyor ancak siber güvenlik uzmanlarına göre hem kapsam hem de etki açısından sınırlı.
“Sözler önemlidir ve ‘yapmamalı’ yerine fidye ödemeyecek’ ifadesi, özel sektörü gasp taleplerine razı olmaktan caydırmaz.” Rick Holland, Başkan Yardımcısı ve CISO, Reliaquest’teki CISO ofisindee-posta yoluyla söyledi.
“Fidye ödemenin riskleri var ama sonuçta bu bir iş kararıdır. Holland, “Şirket üzerindeki potansiyel maddi iş etkisi ile bu etkiyi en aza indirmek veya ortadan kaldırmak için fidye ödemeyi karşılaştırırken, birçok liderlik ekibi fidyeyi ödemeyi seçecektir” dedi.
Taahhüt aynı zamanda CRI üyesi ülkeler ve kendi yetkileri altındaki kurumlarla da sınırlıdır. Gartner’ın seçkin analist başkan yardımcısı Katell Thielemann, e-posta yoluyla şunları söyledi: “ABD’de bu, özel sektörün yanı sıra eyalet ve yerel yetki alanlarını da kapsamıyor.”
Thielemann, “Çoğu kuruluş için, saldırı altındayken karar vermeleri gerektiğinde bu ortak açıklamalar pek anlamlı değil” dedi. “İki fidye yazılımı olayıyla ilgili yakın zamanda yazılmış güzel bir hikaye: Sezarlar e karşı MGM. Farklı sonuçlara sahip farklı ödeme kararları.”
Hükümetlerin veya işletmelerin fidye taleplerini ödemesini yasaklayacak bir yetki yok ancak CRI’nin taahhüdü buna yönelik bir adım olabilir.
“Şu anda dişsiz olmasına rağmen, beyan yine de fidye ödemesine ilişkin daha kısıtlayıcı kurallara doğru küçük, karışık bir adım olabilir. Ve bu iyi bir şey olabilir.” Brett Callow, Emsisoft’un tehdit analistie-posta yoluyla söyledi.
Callow, “Hükümetler kuruluşların fidye ödemesini gerçekten durdurmak istiyorsa yasa çıkarmaları gerekecek” dedi. “Mevcut fidye yazılımına karşı stratejiler açıkça işe yaramıyor, bu nedenle yenilerine şiddetle ihtiyaç var.”
Üst düzey bir yönetim yetkilisine göre, ABD’deki fidye yazılımı kurbanları Mayıs 2022 ile Haziran 2023 arasında 1,5 milyar dolar fidye ödedi.
Üst düzey yönetim yetkilisi, “Temel olarak, fidye yazılımının yıkıcı etkisini etkilemek istiyorsak, fidye ödememe konusunda cesaretimizi kırmalı ve baskı yapmalıyız” dedi.
CRI üyeleri, tehditleri hızlı bir şekilde paylaşmak için bilgi paylaşım platformları, ülkelerin üyelerden olaylara müdahale yardımı talep edebilecekleri bir forum ve mekanizma ve fidye yazılımı aktörlerinin kullandığı ortak bir kripto cüzdan kara listesi geliştiriyor.
Thielemann, “Kripto para birimi ödeme taleplerinin çoğu fidye yazılımı saldırısının temelini oluşturduğunu ve kripto fonlarının dünya çapında hain hedefleri körüklediğini biliyoruz” dedi.
CRI üyelerinin fidye yazılımı faaliyetlerini azaltma çabaları küresel olsa da ABD kuruluşları 1 numaralı hedef olmaya devam ediyor. Neuberger, Amerikalıların küresel siber saldırıların yüzde 46’sından etkilendiğini söyledi.