Fidye ödemelerini yasaklamalı mıyız?

Siber suçlular devam ederken Saldırılarının maddi karşılığını almak için fidye ödemelerine federal yasak getirilmesine dair konuşmalar giderek artıyor.

ABD’li yetkililer uzun süredir fidye taleplerinin karşılanması yönünde çağrıda bulunuyordu. Ancak Kuzey Carolina ve Florida da dahil olmak üzere birçok ABD eyaleti, yerel yönetim kurumlarının fidye taleplerini ödemesini yasa dışı hale getirirken, Biden yönetimi geçtiğimiz sonbaharda fidye ödemelerine yönelik doğrudan ulusal yasağın kaldırılmasına karar verdi.

Nedenini görmek kolaydır. Fidye ödemesini yasaklamanın zor olması ve henüz yürürlükte olmayan karmaşık mekanizmalar gerektirmesinin yanı sıra eleştirmenler, bilgisayar korsanlarına yapılan ödemelerin suç sayılmasının sonuçta siber suç mağdurlarını cezalandıracağını ve bu mağdurların korumak için gerekli gördükleri şeyi yaptıkları için yasal yaptırımlarla karşı karşıya kalabileceklerini ileri sürüyorlar. bazı durumlarda, işlerini kurtarın.

Zorluklar devam etse de ABD hükümetinin zihniyetinin değişmeye başladığı görülüyor.

Ekim 2023’te, 40’tan fazla ülkeden oluşan ABD liderliğindeki bir ittifak, hükümetlerin, bilgisayar korsanlarını gelir kaynaklarından mahrum bırakmak amacıyla siber suçlulara fidye ödememe sözü verdi.

O zamandan bu yana, olası bir fidye ödeme yasağı hakkındaki konuşmalar arttıkça, fidye yazılımı faaliyetleri de arttı.

Yalnızca 2024’te, finansal odaklı bilgisayar korsanlarının, fidye yazılımı dağıtmak için çeşitli uzaktan erişim araçlarındaki kusurları küstahça topluca istismar ettiğini gördük; kötü şöhretli fidye yazılımı grupları hükümetin kapatmalarından geri dönüyor; ve reçete işleme devi Change Healthcare’e yapılan fidye yazılımı saldırısının ardından ABD genelindeki sağlık hizmeti sağlayıcılarında aksamalar yaşandı.

Fidye ödemelerinin yasaklanması çözüm mü? Bu o kadar basit değil.

Yasaklamak mı, yasaklamamak mı?

Görünüşte fidye ödeme yasağı mantıklı geliyor. Mağdur kuruluşların ödeme yapması yasaklanırsa, saldırganların verilerini çalmak için daha az mali teşviki olacaktır. Teorik olarak bu, hızla zengin olmak isteyenlerin başka yerlere gitmek zorunda kalacağı ve fidye yazılımı saldırılarının geçmişte kalabileceği anlamına geliyor.

Diğer taraftan birçok kişi fidye ödemelerini yasadışı hale getirmenin karmaşık bir soruna aşırı basit bir çözüm olduğuna inanıyor.

Fidye yazılımı küresel bir sorundur. Fidye ödemeleri yasağının başarılı olması için uluslararası ve evrensel düzenlemelerin uygulanması gerekiyor; fidye ödemeleriyle ilgili değişen uluslararası standartlar göz önüne alındığında, bunun uygulanması neredeyse imkansız. Bu aynı zamanda siber suçlulara güvenli bir liman tanıyan (Rusya’ya bariz bir isim kontrolü yapılıyor) hükümetlerin kendi sınırları içinde sıkı önlemler almalarını da gerektirecek ki bu onların yapmaya teşvik edilmediği bir şey.

Fidye ödemelerine genel bir yasak getirilmesi, tıbbi tesislerde can kaybı riskini içeren fidye yazılımı saldırıları veya ulusal kritik altyapıya yönelik tehditler gibi zor durumlarda da muhtemelen istisnaları gerektirecektir.

Bu istisnalar her ne kadar mantıklı olsa da, bu saldırıların arkasındaki bilgisayar korsanları için de geçerli olacak ve bu da ülkenin kritik altyapısına saldırı yapılmasına yol açabilecek. Siber suçlular para kazanmaya devam ettiği sürece fidye yazılımı ve gasp tehditleri ortadan kalkmayacak.

Bazıları ayrıca, ABD’de veya mağduriyetin yüksek olduğu herhangi bir ülkede fidye ödeme yasağı getirilmesi durumunda şirketlerin muhtemelen bu olayları yetkililere bildirmeyi bırakacağını ve böylece mağdurlar ile kolluk kuvvetleri arasındaki geçmişteki tüm işbirliğini etkili bir şekilde tersine çevireceğini ileri sürüyor.

Recorded Future’da fidye yazılımı uzmanı ve tehdit istihbaratı analisti olan Allan Liska, TechCrunch’a, fidye yazılımı gruplarına yapılan ödemelerde genel bir yasak veya bazı istisnalar dışında bir yasak uygulanmadan önce, fidye yazılımlarının sayısını daha iyi kataloglamak için ortak bir çaba göstermemiz gerektiğini söyledi. Fidye yazılımı saldırıları “en iyi adımlar konusunda bilinçli bir karar verebilmemiz için.”

Liska, “Amerika Birleşik Devletleri’nde aslında bu noktayı kanıtlayan iki test vakamız var” dedi. “Hem Kuzey Carolina hem de Florida, fidye yazılımı gruplarına fidye ödeyen kamu kuruluşlarına yönelik yasaklar uyguladı. Her iki durumda da, yasaların yürürlüğe girmesinden bir yıl önceki ve sonraki yıla ait verilere bakıldığında, bu Devletlerdeki kamu kuruluşlarına yönelik kamuya açık olarak bildirilen fidye yazılımı saldırılarının sayısında gözle görülür bir değişiklik görülmedi.”

Bir yasak işe yarar mı?

Bir de fidye ödeme yasağının ne kadar etkili olacağı meselesi var.

Tarihin gösterdiği gibi, bilgisayar korsanlarının kurallara pek saygısı yok. Bir kuruluş, bir saldırganın fidye talebine boyun eğse bile, LockBit fidye yazılımı çetesinin yakın zamanda yasal olarak ortadan kaldırılmasının da gösterdiği gibi, kurbanın verileri her zaman silinmez.

Bu saldırganların küstah doğası göz önüne alındığında, fidye ödemelerinin yasaklanmasıyla caydırılmaları pek mümkün görünmüyor. Aksine, ödemeyi suç haline getirmek muhtemelen onu daha da yeraltına itecek ve saldırganları taktik değiştirmeye teşvik ederek operasyonlarında ve işlemlerinde daha gizli hale gelecektir.

“Fidye ödemeleri kötü mü? Evet, fidye yazılımı gruplarına ödeme yapmanın topluma net bir faydası yok, aslında bu tehdit aktörlerine ödeme yapmanın topluma doğrudan net bir zararı var” dedi Liska.

“Fidye ödemelerinin yasaklanması, fidye yazılımı gruplarının saldırı gerçekleştirmesini engelleyecek mi? Bunun cevabı kesinlikle hayır.”

TechCrunch’ta daha fazlasını okuyun: