Banka kendi hesabından soyuldu

Olay masasında bazı cümleler tonu değiştirir. 'Müşteri hesaplarına erişilmedi' bunlardan biri. Bir bankanın bunu ilk paragrafında söylemesi, ikinci paragrafın kötü olduğunu gösterir. Crédit Mutuel Arkéa çarşamba akşamı tam bunu yaptı: müşteri varlıklarına dokunulmadığını, sorunun kontrol altında olduğunu yazdı. İkinci paragraf ise şuydu: saldırganlar bankanın kendi hesabını kullanarak başka bankalara transfer yaptı.

Benim takıldığım yer şu: kapı bankanın kendi kapısı değildi. Banka, saldırganların hizmet sağlayıcılarından birinin platformu üzerinden gruba doğrudan erişim sağladığını söylüyor. Sağlayıcının adı yok, yöntem yok, ayrıntı yok. Fransız basınında çıkan, erişimin çevrimiçi bankacılık yan kuruluşu Fortuneo'dan geldiği yönündeki iddiayı da banka reddetti. Elimizde yalnızca şu var: ZachXBT, kripto borsası hesaplarındaki çekimlerden yola çıkarak 133 milyon doların üzerinde bir rakam öne sürdü, banka rakamı doğrulamadı ama büyüklük mertebesini doğrulayabildiğini söyledi.

Bunu sahada defalarca gördük, tedarikçi her zaman en az savunulan komşudur. Bankanın güvenlik duvarı, SOC'u ve ikinci onay kuralı olabilir. Ama tedarikçinin platformunda bankanın hesabı adına işlem yapabilen bir yetki varsa, bütün o katmanlar yalnızca tedarikçinin kendi savunması kadar güçlüdür. Sözleşme bunu yazılı güvenceye bağlar, tahsil edilen bir güvence değildir.

Aynı günün ikinci haberi bu resme ilginç bir ek yapıyor. Chainalysis, 30 Ekim'de duyurduğu ihlalin tüm kullanıcılarını kapsadığını açıkladı: adlar, kullanıcı adları, parola özetleri ve 'canlı tokenlar'. Şirket tokenın ne olduğunu açıklamadı, ama parola özeti kırılabilir, canlı token ise çoğu zaman parolaya hiç ihtiyaç bırakmaz. Bazı müşterilerin parolalarının iletişim araya girilerek yakalandığını da söyledi. Bir analiz şirketinin bile kendi müşterisine 'bağlantıya değil, giriş sayfasına doğrudan gidin' demek zorunda kalması, güvenin nasıl taşındığını anlatıyor.

İki olayın ortak teması hız. Arkéa'ya göre saldırı birkaç gün sürdü ve para kripto platformlarına doğru akarken bir kısmı dondurulabildi. Dondurma talebinin dakikaları sayması, bu işin hukuki değil operasyonel bir yarış olduğunu gösterir. Bankanın 'şüpheli faaliyeti çok hızlı tespit ettik' demesi de bu yüzden önemli, ama saldırı günlerce sürdüyse 'çok hızlı' kelimesinin tanımını kimin yaptığını merak ederim.

Bir de iletişim meselesi var. Arkéa'nın açıklaması, sofistike bir saldırı olduğunu ve bunun insan hatasından kaynaklanmadığını söylüyor. Müdahale ekiplerinin bildiği gibi, 'insan hatası değil' cümlesi hem doğru hem de eksik olabilir; çünkü tedarikçi tarafındaki bir yetki tanımı da bir insanın bir gün yaptığı bir tercihtir. Bunu eleştiri olarak söylemiyorum, olay bitmeden herkesin cümlesini kontrollü yazdığını bilirim. Ama okuyan müşteriler ve denetçiler, bu cümlelerin arkasındaki tabloyu önümüzdeki haftalarda isteyecek.

Net hüküm: bu hafta herkes 'tedarikçi riski' slaytı hazırlayacak. Gerçek test başka. Sağlayıcınızın platformunda sizin adınıza kaç yetki var, bunları son kez ne zaman saydınız, büyük tutarlı bir transferi tek bir kişi ya da tek bir oturum onaylayabilir mi? Bu üç sorunun cevabını bu akşam bilmiyorsanız, kriz anında da bilmeyeceksiniz. Bugün o yetki listesini çıkarın ve karşısına bir sahip yazın.