Aksigorta Genel Müdürü Uğur Gülen siber sigorta ve fidye saldırıları hakkında konuştu.
Son yıllarda fidye saldırılarındaki müthiş artış ve siber sigortaların gelişimine dikkat çeken Aksigorta Genel Müdürü Uğur Gülen, Linkedin’de kaleme aldığı yazıda sordu; siber sigorta şirketlerin ödeme yapmasını kolaylaştırdığı için mi fidye saldırıları artıyor? Yoksa fidye saldırıları arttığı için siber sigorta ürün ve hizmetleri mi artıyor?”
Aksigorta Genel Müdürü Uğur Gülen siber sigorta ve fidye saldırıları hakkında konuştu:
Mayıs ayı önemli siber saldırılara, özellikle de ransomware denilen fidye saldırılarına sahne oldu. Biliyorsunuz fidye saldırısında virüs gönderilerek bir kuruluşun kendi dosyalarına erişimi engelleniyor ve bu durumun sona ermesi için fidye ödenmesi talep ediliyor. Ödeme yapılırsa virüsü devre dışı bırakacak bilgiler iletiliyor. ABD’de rafineri ürünleri taşıyan en uzun boru hattı olan Colonial Pipeline saldırıya uğradı. 8.900 kilometre uzunluğundaki hat Teksas – New York arasında günde 2,5 – 3 milyon varil benzin/mazot taşıyor. Saldırıdan sonraki gün ABD’nin doğu kıyısında 3.500 benzi istasyonu yakıtsız kaldı. Çalışan istasyonların önündeki kuyruklar ise birkaç gün devam etti. 19 Mayıs’ta Colonial Pipeline CEO’su Joseph Blount saldırganlara 4,4 milyon ABD doları ödediklerini kabul etti ve bunu hattı bir an önce normal performansına getirebilmek için yaptıklarını söyledi. FBI saldırganların kendine DarkSide (Karanlık Taraf) adını veren bir grubun üyesi olduklarını, Rusya’da veya Doğu Avrupa’da üslendiklerinin tahmin edildiğini açıkladı. Ödemenin kripto paralarla yapıldığı belirtiliyor.
Perde arkasında neler oluyor?
Mayıs ayı ortasında İrlanda’nın sağlık hizmetleri sistemi saldırıya uğradı. Birçok muayene randevusu, kanser tedavisi ve ameliyat ertelendi. En az 2.000 hastanın ve bağlantılı 80.000 tıbbi cihazın etkilendiği kaydediliyor. Associated Press ajansının haberine göre, yine Rusya kökenli olduğu sanılan Conti adlı bir grup bu saldırıyı sonlandırmak için 20 milyon ABD doları talep etmiş. İrlanda Hükümeti para ödenmeyeceğini açıkladı. Tabi perde arkasında neler oluyor bilinmez.
Şubat ayında gerçekleşen bir saldırının ayrıntıları da Mayıs’ın son haftasında ortaya çıktı. Hindistan’ın ulusal havayolu olan Air India’ya yapılan saldırıda tüm dünyadan 4,5 milyon müşterinin bilgilerinin ele geçirildiği kaydedildi. Bunlara pasaport, bilet ve kredi kartı bilgileri dâhil. Bu olayda saldırganların istediği paranın ötesinde düzenleyici kurumlardan para cezasının gelmesi de beklenebilir.
Colonial Pipeline’ın Aon’un aracılığıyla yapılmış ve aralarında Axa ile Beazley’in de bulunduğu bir grup şirketle siber sigortası bulunuyor. Bu sigortanın en az 15 milyon ABD dolar seviyesinde olduğu tahmin ediliyor. Diğer kurbanların sigorta durumları hakkında bilgim yok. Ama şunu biliyorum: Fidye saldırıları son bir iki yılda özellikle arttı. Geçen ay yayımlanan bir rapora göre, bu saldırılar 2020’de %311 oranında artış gösterdi ve kripto paralarla 350 milyon ABD doları seviyesine ulaştı. Ortalama fidye talebi ise 312.493 ABD doları oldu.
Bu artış neden?
Burada sigortacılık sektörünü ilgilendiren bir tartışma var. Deniliyor ki, ‘Hükümetlerin, şirketlerin eskimiş ve güvenliği yetersiz IT sistemlerinin olması yeni bir şey değil. Ama 2020’deki performanstan da görüleceği gibi son yıllarda fidye saldırılarında müthiş bir artış var. Peki neden?’
Bazılarının bu soruya yanıtı, siber sigorta oluyor. Deloitte’un yaptığı bir çalışmaya göre, bunun iki boyutu var. Şirketler ve kuruluşlar açısından siber riski sigorta şirketlerine devretmiş olmak maliyetlerini kontrol altında tutmak açısından daha anlamlı olabiliyor. Böylece büyük IT yatırımları yapmak zorunda kalmıyorlar. Sigortacılar açısından ise bu kârlı bir iş segmenti. Örneğin 2018 yılında ABD’de siber sigorta poliçelerindeki kayıp oranı yaklaşık %35 seviyesindeyken, bu oran mal ve kaza sigortaları için %62 olmuş. Bir başka deyişle siber sigortada poliçelerden kazanılan her bir dolar içinden sadece 35 cent ödeme yapılmış. Kârlılık açısından diğer segmentleri ikiye katlıyor. Tabi suçlular tarafından kolay para kazanılan bir alan olarak görülüp saldırılar arttıkça bu kârlılığın azalması da söz konusu olacak.
Son olarak, geçtiğimiz bir yılda fidye saldırılarının ikiye katlandığı New York’ta Eyalet Mali Hizmetler Bakanlığı tarafından 4 Şubat 2021’de yayımlanan Siber Sigorta Risk Çerçevesi dokümanına kısaca değineyim. Tavsiye niteliğinde olan bu dokümanda sigortacılara kısaca, ‘fidye saldırısı için siber sigorta yapmayın’ deniliyor. ABD Hazine Bakanlığı mevzuatına göre, suçlu tarafa ödeme yapıldığında sigorta şirketinin de sorumlu tutulabileceği hatırlatılıyor.
Ne dersiniz, siber sigorta şirketlerin ödeme yapmasını kolaylaştırdığı için mi fidye saldırıları artıyor? Yoksa fidye saldırıları arttığı için siber sigorta ürün ve hizmetleri mi artıyor?
Bu soruyu şöyle de sorabiliriz: Tavuk mu yumurtadan çıkıyor, yumurta mı tavuktan?
