2023, hukuk sektöründe siber güvenlik açısından açık ara en kötü yıl oldu.
Sadece bir kanıt noktası: 2018’den beri, hukuk firmalarının kamuya açık ihlalleriyle bağlantılı olarak 2,9 milyon kayıt çalındı. Sadece geçen yıl yaklaşık 1,56 milyon kayıt çalındı, bu da 2022’deki düşüş yılına (218.473 kayıt) kıyasla %615’lik bir artış anlamına geliyor.
A yeni blog yazısı Comparitech’ten bir makale, fidye yazılımı sorunuyla boğuşan bir sektörün resmini çiziyor. Büyük hukuk firmaları, müşterilerinin aşırı hassas verilerini korumak için milyonlarca dolar ödüyor ve geri savaşma girişimlerinde başarısız oluyor.
Hukuk Sektörü Siber Güvenliğinin Durumu
2018 yılından bu yana 138 hukuk firması fidye yazılımı saldırılarından etkilendiğini kamuoyuna açıkladı.
Bunlardan 107 saldırı ABD merkezliydi ve yaklaşık 2,9 milyon kayıt etkilendi. Comparitech’in belirttiği gibi, ABD ile komşuları arasındaki mesafe – 9 saldırının 9.703 kaydı etkilediği İngiltere ve 5 saldırının bilinmeyen sayıda kaydı etkilediği Almanya – daha çok şu konuyla ilgili olabilir: raporlama gereklilikleri her şeyden çok.
Kaynak: Comparitech
Fidye talepleri oldukça çeşitlidir. 2021’de Fransız hukuk firması Cabinet Remy Le Bonnois, Everest grubuna saldırısını çözmesi için sadece 30.000 dolar ödedi. Spektrumun diğer ucunda: REvil, 2020’de New York’taki Grubman Shire Meiselas & Sacks’tan 21 milyon dolar talep etti. Grup, Grubman’ın kayıtlarının Donald Trump’a ait bazı kayıtları içerdiğini keşfettiğinde saldırganlar bu miktarı iki katına çıkararak 42 milyon dolara çıkardı. (Firma ödeme yapmadı.)
Kamuoyuna bildirilen vakalar arasında ortalama fidye 2,47 milyon dolar olmuştur ve müzakerelerden sonra gerçekte ödenen ortalama miktar 1,65 milyon dolardır. Ancak bu sayılar gerçekliğin kaba tahminleridir, çünkü bildirilen sadece 11 olayda fidye talepleri bildirilmiş ve bildirilen sadece sekiz fidye ödenmiştir.
Hukuk Firmalarına Yönelik Sonuçlar
Hukuk firmalarına yönelik fidye yazılımı saldırıları trend haline geldiyse bunun nedeni, bunların mükemmel hedefler olmasıdır.
Comparitech’te gizlilik savunucusu olan Paul Bischoff, “Hukuk firmaları ilginç bir dava,” diye açıklıyor, “çünkü diğer tüm şirketlerde, bilgisayar korsanları sadece kolay elde edilebilir şeylerin peşindedir. Mümkün olduğunca çok sayıda, örneğin Sosyal Güvenlik numarası veya parola isteyebilirler. Ve amaç daha fazla kayıttır. Ancak hukuk firmalarında, çok belirli kişiler için çok değerli olan verileriniz vardır. Devam eden davayla ilgili belgeler, bu davada karşı taraf için son derece değerli olacaktır. Yani önemli olan veri miktarı değil, içeriktir.”
Hukuki verilerin aşırı hassasiyeti, firmaları zorlu bir pazarlık pozisyonuna sokuyor: milyonlarca dolar ödemek ve hiçbir şey başaramama riskiveya yapmayın ve müşterilerden ekstra öfke görme riskini göze alın. Hukuk sektöründeki fidye yazılımı saldırılarının %12’si davalarla sonuçlanmış ve bunların en az %75’i başarılı olmuştur.
Ödeme yapmak için başka bir neden mi? Comparitech, kaydedilen 138 saldırının, yalnızca maruz kaldıkları kesinti süresi nedeniyle kurbanlara yaklaşık 18,8 milyar dolara mal olmuş olabileceğini tahmin ediyor. LockBit’in kurbanlarından biri olan Londra merkezli Ince Group, sistemlerini geri yüklemek için harcadığı 5 milyon sterlini (6,5 milyon ABD doları) karşılayamadığı için geçen yıl iflas başvurusunda bulundu.
Bu arada, kurbanlar yardım için yasayı kullanmaya çalıştıklarında, genellikle başarısız olurlar. İngiltere’den Ward Hadaway ve Avustralya’dan HWL Ebsworth Lawyers, saldırganlarına karşı çok az etkili ihtiyati tedbir kararı çıkardılar, çünkü anonim hacker’ları mahkemeye getirmek özellikle kolay değildir. Kanada firması Robson Carpenter LLP, saldırganının adalete teslim edilmesini görmekten keyif aldı, ancak sonunda sadece 2.500 dolar tazminat aldı.
Olumlu tarafı, 2024’te hukuk firmalarına yönelik fidye yazılımı saldırıları geçen yılın rakamlarının belirgin şekilde gerisinde kalıyor. Şimdiye kadar yalnızca 11 tanesi bildirildi ve bilinmeyen miktarda müşteri verisini etkiledi.
“Genel olarak, fidye yazılımı saldırıları, ele aldığımız tüm sektörlerde saldırı sıklığında düşüş gösteriyor,” diyor Bischoff. Belki de, diye tahmin ediyor, saldırganlar nicelikten ziyade niteliği seçiyor. Ya da daha iyimser bir şekilde, “Bence bu, kolluk kuvvetlerinin baskıları ve şirketler ve kuruluşların genel olarak bu tehditlerin ne olduğunu bilme ve hazırlıklı olma konusunda daha iyi hale gelmesi.”