eski çalışanı 32 ay hapse tıktılar, 3000 cihazı kilitleyince

arkadaşlar, bu haber sistem yöneticilerinin rüyasına girmesi gereken bir olay. new jersey’deki bir endüstriyel şirkette çalışan core infrastructure mühendisi, işten ayrıldıktan sonra şirketin ağında 3000+ cihazı kilitleyip fidye yazılımı tarzı bir saldırı yapmış. sonuç? 32 ay hapis cezası. yani ciddi ciddi işin içinden çıkamadı.

olayın özeti

bu mühendis, şirkette altyapı sorumlusu olarak çalışıyormuş. işten ayrıldıktan sonra da hesabını kapatmamışlar ya da o hesapla geri girmiş (detaylar biraz muallak ama neyse). sonra ne yapmış? 3000’den fazla şirket cihazını kilitleyip “fidye ödeyebilirsiniz” tarzı bir durum oluşturmuş.

spoiler: bu adam ciddi ciddi şirketi felç etmeyi başarmış. sunucuları, iş istasyonlarını, hatta iot cihazlarını kilitlemişler. şirket tam kriz moduna girmiş.

neden bu kadar ciddi?

• 3000+ cihaz kilitlendi: yani şirketin tamamı çöktü, üretim durdu, iş akışı bitti
• insider threat: içeriden gelen saldırı, en tehlikeli olanı
• ransomware tarzı hareket: fidye yazılımı gibi davrandığı için federal suçlama aldı
• işletme kesintisi: milyonlar kaybettiler, muhtemelen

bu adam, “beni işten çıkardılar, ben de onları gösteririm” mantığıyla harekete geçmiş. klasik ex-employee revenge hikayesi, ama ciddi ciddi sonuçlanmış.

sistem yöneticileri için çıkarılması gereken dersler

1. işten ayrılan çalışanları hemen deaktif edin

# işten ayrıldığında hemen:
# 1. tüm hesapları disable et
sudo usermod -L username
sudo passwd -l username

# 2. ssh keylerini sil
rm ~/.ssh/authorized_keys

# 3. sudo erişimini kaldır
# /etc/sudoers'tan çıkart

# 4. vpn erişimini iptal et
# aktif sessionları sonlandır

# 5. ağ erişimini kes
# switch'ten portunu disable et

2. ayrıcalıklı hesapları kısıtlayın

• shared root account kullanmayın (her sistem yöneticinin kendine ait hesabı olsun)
• multi-factor authentication (MFA) zorunlu kılın
• ayrıcalıklı işlemler için audit log tutun

3. network segmentation yapın

# kritik sistemleri ayrı vlan'lara koyun
# üretim sistemleri, yönetim ağları ayrı olsun
# böyle bir durumda saldırgan tüm ağa ulaşamaz

4. backup stratejisi

• offline backup tutun (ağdan bağlı değil)
• immutable backup yapın (silme/değiştirme imkansız)
• düzenli restore testleri yapın

5. log monitoring

# ayrıcalıklı hesapların hareketlerini izleyin
# anormal aktivite için alert kurun
# örneğin: 3000 cihaza aynı anda erişim = RED FLAG

bu adam ne yaptı, teknik olarak?

• domain admin hesabını kullanarak tüm cihazlara erişim sağladı
• group policy ya da script aracılığıyla cihazları kilitledikten sonra şifreyi değiştirdi
• “fidye ödeyebilirsiniz” mesajı bıraktı (işte bu onu ransomware suçlamasına götürdü)
• backup’ları da silmiş olabilir (detaylar kapalı ama muhtemelen)

yani bu adam, “içeriden saldırı” kitabının tüm sayfalarını uygulamış. ve işte bu yüzden hapse girdi.

ceza neden bu kadar ağır?

• Computer Fraud and Abuse Act (CFAA): federal suçlama
• sabotaj: kasıtlı olarak işletmeyi durdurmak
• hasar: milyonlar dolar kaybı
• fidye yazılımı tarzı davranış: bu da ayrı suçlama getiriyor

32 ay, yani 2 buçuk sene hapis. türkiye’de bu kadar ağır ceza alması zor ama amerikalılar ciddi ciddi bu tür şeyleri cezalandırıyor.

edit: cisa ve fbi uyarısı

bu tür olaylar çok sık yaşanıyor. insider threat en tehlikeli tehdit kategorisinde. cisa’nın raporlarına göre, 2024’te insider threat olayları %40 arttı.

yapmanız gerekenler (hemen):

1. tüm ayrıcalıklı hesapları audit edin → kim ne erişime sahip?
2. işten ayrılanları kontrol listesi yapın → hiç birini unutmayın
3. MFA zorunlu kılın → özellikle admin hesapları
4. backup stratejinizi gözden geçirin → restore testleri yapın
5. log monitoring kurun → anormal aktiviteleri yakalayın

dikkat: bu işleri test ortamında başlayın. üretim sisteminde hata yaparsanız siz de şirketi felç edebilirsiniz. sonra bana sormayın.

kaynaklar

• BleepingComputer - Engineer sentenced for locking over 3,000 devices
• CISA - Insider Threat Mitigation
• Computer Fraud and Abuse Act (CFAA)

Bu içerik yapay zeka tarafından oluşturulmuştur.