Clorox ve Cognizant Arasındaki Hukuki Dava: Arka Plan ve Sonuçları
Son dönemde yaşanan siber saldırılar, birçok şirketin güvenlik protokollerini sorgulamasına neden oldu. Bu bağlamda, Clorox, IT devi Cognizant‘a karşı bir dava açtı. Dava, 2023 yılının Ağustos ayında gerçekleşen devasa bir siber saldırının, Cognizant’ın bir çalışanın şifresini doğrulamadan sıfırlaması sonucunda meydana geldiğini öne sürüyor.
Siber Saldırının Detayları
Söz konusu siber saldırı, Scattered Spider adlı hacker grubunun sosyal mühendislik saldırıları ile gerçekleştirildi. Clorox, özellikle temizlik ürünleri, beyazlatıcılar, dezenfektanlar ve kişisel bakım ürünleri ile tanınan bir tüketim malzemeleri şirketidir. Cognizant ise dünya çapında IT hizmetleri ve danışmanlık sunan büyük bir firmadır.
Clorox’un şikayetinde belirtilene göre, 2013’ten 2023’e kadar Cognizant, Clorox’un IT operasyonlarını yönetmekle görevlendirilmişti. Bu bağlamda, Cognizant’ın sağladığı hizmet masası (Service Desk), Clorox çalışanlarının şifre kurtarma veya sıfırlama yardımı için başvurabileceği bir yerdi. Ancak, bu süreçte dikkat edilmesi gereken önemli bir nokta vardı: Çalışanların kimliklerinin doğru bir şekilde doğrulanması gerekmekteydi.
Cognizant’ın İhlalleri
Dava dosyasında belirtilen olaylara göre, 11 Ağustos 2023 tarihinde bir siber suçlu, Cognizant’ın hizmet masasını arayarak Clorox temsilcisi gibi davranmış ve şifre ile çok faktörlü kimlik doğrulama (MFA) sıfırlamaları talep etmiştir. Ancak, çağrının yapıldığı hiçbir aşamada agent, arayanın gerçekten Clorox çalışanı olup olmadığını doğrulamamıştır.
Cognizant’ın hizmet masası, Clorox’un protokollerine uygun hareket etmemiş ve böylelikle siber saldırganın Clorox’un IT ağına erişmesine olanak tanımıştır. Daha da kötüleşen durum, saldırganların başka bir Clorox çalışanının şifresini ve MFA bilgilerini aynı yöntemle sıfırlamaları olmuştur. Bu durum, saldırganlara daha fazla yetki verdi ve ağ içerisinde daha fazla cihazı hedef almalarına zemin hazırladı.
Sonuçları ve Etkileri
Clorox, Cognizant’ın bu ihlallerinin sonucunda büyük bir sıkıntı yaşadığını belirtiyor. Şirket, siber saldırının kendi kurumsal ağını felç ettiğini ve üretimi durdurduğunu ifade ediyor. Bunun yanı sıra, yaşananlar sonucunda ciddi ürün kıtlığı ve iş sürekliliği sorunları ortaya çıktı.
Cognizant’ın siber saldırıya yanıt ve kurtarma destek hizmetlerinin yetersizliğinden de şikayetçi olan Clorox, karşılaştıkları sorunların daha da büyümesine neden olduğunu savunuyor. Dava dosyasında, Cognizant’ın olay sonrası sağladığı destek hizmetlerinin yetersiz olduğu, bu nedenle önleme önlemlerinin zamanında uygulanmadığı ve tehlikeye atılan hesapların kapatılmadığı belirtiliyor.
“Siber saldırı sonuçları yıkıcı oldu. Clorox’un kurumsal ağı felç oldu ve iş operasyonları büyük ölçüde etkilendi,” diye ifade edildi. Clorox, Cognizant’a karşı sözleşme ihlali, kötü niyetli davranış ve ağır ihmalkarlık gibi iddialarda bulunarak tazminat talebinde bulundu. Şirket, 49 milyon dolar doğrudan telafi zararı ve toplamda 380 milyon dolar tazminat talep ediyor.
Cognizant’ın Yanıtı
BleepingComputer, Cognizant’a dava hakkında bir yorum talep etti, ancak belirtilen basın adresine yapılan başvurunun teslim edilmediği bildirildi. Bu durum, şirketin davamla ilgili bir açıklama yapma niyetinde olup olmadığına dair belirsizlikleri artırıyor.
Bu dava, şirketler arası güven, siber güvenlik ve hizmet sağlayıcıları ile müşteri arasındaki sorumluluklar açısından önemli bir örnek teşkil ediyor. Uygulanmakta olan güvenlik protokolleri ve bunların etkili bir şekilde hayata geçirilmesi, söz konusu olaylardan sonra bir kez daha gündeme geliyor.
Sonuç olarak, Clorox ve Cognizant arasındaki bu dava, siber güvenlik konusundaki önemi ve birlikte çalışmanın zorluklarını göstermektedir. Şirketlerin, güvenlik ihlallerini önlemek amacıyla daha dikkatli ve özenli olmaları gerekmektedir.
