Fidye Onaylandı: Saldırganları Ödeyen 5 Halka Açık Şirket

Kuruluşların giderek artan bir sayısı fidye yazılımı saldırısı yaşıyor. Sophos’a göre, %59 kuruluş 2024’te bir saldırı yaşadı ve bunların çoğu (%70) veri şifrelemesiyle sonuçlandı.

Sadece fidye saldırısı sayısı değil, ödeme miktarı da artıyor. Ortalama fidye ödemesi 2023’te 200.000 doların altındaydı, ancak IBM verilerine göre yaklaşık bir yıl içinde %650 artarak $1.5 million oldu.

Bu saldırıların 2031 yılına kadar yıllık küresel zararı $275 billion olarak tahmin ediliyor. Peki, fidye saldırıları nedir?

Fidye yazılımı, bir kuruluşun sistemine erişimini engellemek veya verilerini şifrelemek için tasarlanmış kötü amaçlı bir yazılım türüdür. 

Bunu yapmak için saldırganlar bir sistemi virüsle enfekte eder ve bu virüsü kötü amaçlı bir bağlantı içerebilecek ya da bir çalışanın oturum bilgilerini çalabilecek kimlik avı e-postaları göndermek için kullanır; böylece kurumsal ağa yetkisiz erişim sağlar. 

Şifre çözme anahtarları veya sisteme yeniden erişim karşılığında siber suçlular kurbanlardan fidye talep eder. Kuruluşlar, fidye ödemesinin erişimlerini geri almanın en basit ve maliyet etkin yolu gibi göründüğü zor bir durumla karşı karşıya kalır. 

Bazı fidye yazılımı varyantları veri hırsızlığı gibi ek işlevler eklemiştir; bu da fidye ödemeyi başka bir teşvik haline getirir. Ancak bazı yüksek profilli vakalarda, risklere rağmen fidye ödemek aslında en az zararlı seçenek olabilir.

Müşterilerini Koruma İçin Fidye Ödeyen Şirketler

Saldırganların taleplerini kabul edip fidye ödemek, çalınan verilerin güvenli bir şekilde geri dönmesini veya kuruluşun operasyonlarının yeniden sağlanmasını garanti etmediği ve daha fazla siber saldırıyı teşvik ettiği için ideal bir yol değildir; bazen işletmeyi ve müşterileri korumak için başka bir seçenek yoktur.

Şimdi, şirketlerin fidye ödediği ve sonrasında neler yaşandığı en yüksek profilli siber suç vakalarına bir göz atalım.

1. CNA Financial Corp

ABD’nin en büyük sigorta şirketlerinden biri olan CNA Financial Corp., Mart 2021’de bir fidye saldırısının kurbanı oldu. Sistemlerinden iki hafta boyunca dışarıda kalmasının ardından kontrolü yeniden kazanmak için Bitcoin (BTC) cinsinden 40 milyon dolar fidye ödedi; bu, açıklanan en büyük fidye ödemesiydi.

Saldırı, Phoenix adlı bir siber suç örgütünden geldi; başlangıçta 999 BTC (o zamanlar yaklaşık 55 milyon dolar) fidye talep etti, ardından 1099 BTC’ye yükseltti ve şöyle dedi:

“Zaman kaybı. Maliyet arttı.”

Saldırganlar, ellerindeki verilerin önemli olduğunu ve “Sızdırılırsa büyük bir darbe alır” dedi. Fidye, çalınan verileri kamuoyuna açıklamamak, verileri geri vermek, çalınan verilerin kopyalarını silmek ve her şeyi yeniden kurmak karşılığında talep edildi.

Peki, ihlal tam olarak nasıl gerçekleşti? Küçük bir güvenlik açığı, bu kadar büyük bir olaya yol açtı. Saldırganlar, tek bir CNA çalışanını sahte bir tarayıcı güncellemesini kabul etmesi için ikna etti. Ardından sistemi devre dışı bırakmak için hızlı hareket ettiler ve saldırı hemen tespit edilemedi. 

CNA’nın hacklendiğini fark etmesi birkaç hafta sürdü. Bu süre zarfında saldırganlar müşteri verilerini çaldı ve CNA’yı ağından dışarıda bıraktı.

Şirket, saldırıdan bir hafta sonra bile bir güncelleme sağlamadı. Daha sonra saldırının kontrol altına alındığını ve normal iş operasyonlarının yeniden başlatılması için çalıştıklarını açıklayan bir güncelleme yayınladı. İki hafta sonra, iyileştirme sürecinin bir parçası olarak uç nokta tespit ve izleme araçlarının devreye alındığı bildirildi.

Saldırının iki ay ardından CNA, olay raporunu yayımladı; raporda saldırının hedefli olmadığı belirtilmişti. Ransomware tespit edildiğinde şirket, tehdidin yayılmasını önlemek için sistemlerini ağdan ayırdı.

Bundan birkaç ay sonra, sigortacı araştırmasının tamamlandığını duyurdu; bu, tehdit aktörünün ransomware’i dağıtmadan önce bilgileri kopyaladığını, ancak bilgileri hızlı bir şekilde geri aldıklarını ve “bilgilerin kötüye kullanılacağına dair bir şüpheleri olmadığını” ortaya koydu.

Chicago merkezli sigorta holding şirketi, saldırı hakkında FBI ve Dış Varlık Kontrol Ofisi (OFAC) dahil olmak üzere hükümetle de istişare etti. Açıklamasında, “CNA bu konuyu ele alırken tüm yasa, yönetmelik ve yayınlanmış rehberliklere, OFAC’ın 2020 fidye yazılımı rehberine de uymuştur” dedi, ancak fidye hakkında yorum yapmadı.

Bu rehbere göre, ajans yasaklı kuruluşlara ödeme yapan ABD vatandaşlarına sivil para cezaları uygulayabilir.

Şirketin araştırması, Phoenix adlı bir tehdit grubunun ağını saldırmak için Phoenix Cryptolocker fidye yazılımını kullandığını ortaya koydu. O dönemde grup ABD yaptırımlarına tabi değildi.

CNA, 13 milyar dolar piyasa değerine sahip bir şirket olup, hisse senetleri yazı itibarıyla 48,16 dolar işlem görmekte; yılbaşından bu yana %0,43 düşüş, son iki yılda ise %32,27 artış göstermektedir. Hisse başına kazancı (EPS) son on iki ayda 3,28, fiyat/kazanç oranı (P/E) 14,67 ve özkaynak getirisi (ROE) %8,98’dir. CNA hissedarları ayrıca %3,82’lik makul bir temettü veriminden yararlanıyor.

Son çeyrek finansalları net gelir olarak 274 milyon dolar ve temel gelir olarak 281 milyon dolar gösteriyor.

2. Caesars Entertainment

Kumarhane-eğlence şirketi, Scattered Spider adlı bir siber suç grubuna 15 milyon dolar fidye ödedi; bu, Caesars Entertainment’ (CZR ) ten fidye ödemesini aldıktan birkaç gün sonra MGM’in bilgisayar sistemini çökerten aynı tehdit aktörüdür. Saldırganlar MGM’den de fidye talep etti, ancak MGM ödeme yapmadı.

Caesars’ın durumunda, ABD Menkul Kıymetler ve Borsa Komisyonu (SEC) dosyasında bildirildiği gibi, saldırganlar 30 milyon dolar fidye talep etti, ancak şirket sadece bunun yarısını ödemeyi kabul etti; bu miktarın bir kısmı şirketin siber sigorta poliçeleriyle karşılandı. Şirket, ödemenin ya da sonuçların net karına önemli bir etkisi olacağını öngörmemişti.

Saldırı, 2023 yılının Ağustos ortasında gerçekleşti ve Scattered Spider (UNC3944 veya Roasted 0ktapus olarak da bilinir) tarafından gerçekleştirildi. ABD ve Birleşik Krallık’ta bulunan, sosyal mühendislikte yetkin genç hackerlardan oluşan grup, Cloudflare, Twilio ve Okta dahil diğer şirketlere yönelik saldırılarla ilişkilendirildi.

Caesars’ı hedef almak için hackerlar önce dış bir BT satıcısına sızdı. Bunun için saldırganlar bir Caesars çalışanını taklit ederek satıcıyı Okta, Caesars’ın erişim yönetim sağlayıcısına giriş bilgileri vermeye ikna etti.

Bu, siber suçlulara otel ve kumarhane devinin ağına yetkisiz erişim sağladı. Daha sonra BlackCat/ALPHV fidye yazılımını dağıtmadan önce Caesars’ın sadakat üyelerinin verilerini çaldılar; bu veriler arasında sürücü belgeleri ve sosyal güvenlik numaraları bulunuyordu. Şirket, saldırganların PIN, şifre, banka hesabı veya ödeme kartı verilerine eriştiğine dair bir kanıt olmadığını belirtti.

Reuters ise Scattered Spider hackleme grubunun söylediği ki, Caesars ve MGM sistemlerinden altı terabayt veri aldıklarını.

“Çalınan verilerin yetkisiz aktör tarafından silinmesini sağlamak için adımlar attık, ancak bu sonucun garantisini veremiyoruz.”

– Caesars dosyada söyledi

Şirket, etkilenen müşteri sayısını açıklamasa da, dosyada yaklaşık 42.000 kişinin etkilendiği belirtilmiştir. O dönemde Bloomberg, tehdit grubunun hacklemesinin ardından Caesars’ın fidye ödediğini ve şirket verilerini yayınlamakla tehdit ettiğini bildirmişti.

Eylül sonuna kadar şirket normal operasyonları yeniden sağladı. Ancak sonrasında Caesars, finansal ve itibar zararlarıyla birlikte, misafirlerinin kişisel verilerini korumadığı için ihmalkarlık ve haksız kazançla suçlayan birden fazla toplu dava ile karşılaştı.

Yaklaşık 6 milyar dolar piyasa değerine sahip olan CZR hisseleri şu anda 29,41 dolar işlem görmekte; bu yıl %12 düşüş gösterdi. Hisse fiyatları 2021’deki yaklaşık 119 dolar tepe seviyesinden de çok uzakta. EPS (TTM) -1,10, P/E (TTM) -26,80.

Şirket finansallarına gelince, 2025’in 1. çeyreği için GAAP net gelir 2,8 milyar dolar ve Düzeltilmiş EBITDA yıllık %4 artarak 43 milyon dolar oldu; bu, Dijital segmentindeki önemli kazançlardan kaynaklandı.

3. Blackbaud Inc.

2020’de, siber suçlular, kar amacı gütmeyen kuruluşlar ve eğitim kurumları için yazılım sağlayan Blackbaud’un sunucularına sızdı; bu, 13.000’den fazla kuruluşun verilerini tehlikeye attı. Güney Carolina merkezli şirket, kişisel müşteri verilerini silme sözü karşılığında hackerlara Bitcoin (BTC) cinsinden 235.000 dolar fidye ödedi.

Siber saldırı o yılın Şubat ayında gerçekleşti, ancak birkaç ay sonra Mayıs’ta keşfedildi. O sırada etkilenen kuruluşlar, COVID-19 pandemisinin yol açtığı aksaklıklarla zaten mücadele ediyordu.

Siber suçlular, Blackbaud’un sunucularını hedef alarak şirketin sistemine erişim sağladı. Blackbaud ihlalin farkında olmadığından, saldırganlar aylarca tespit edilmeden faaliyet göstererek veri setlerini şifreledi ve bir kısmını dışa aktardı.

Müşteri ilişkileri yönetimi (CRM) hizmet sağlayıcısı nihayet ihlali keşfettiğinde, bu durum Blackbaud rutin güvenlik kontrolleri yaparken gerçekleşmişti; sağlayıcı daha fazla zararı önlemek için önlemler aldı.

Temmuz ayında şirket, bir fidye saldırısı yaşadığını kamuoyuna duyurdu. Blackbaud, eğitim ve üçüncü sektör kuruluşlarının verilerinin tehlikeye girmiş olabileceğini açıkladı; bu da etkilenen topluluklarda şok etkisi yarattı ve hassas bağışçı bilgilerinin güvenliği konusunda endişelere yol açtı.

Şirket, suçluların dosyaları tamamen şifrelemesini ve sistem erişimini engellemesini önledi, ancak kişisel bilgileri içeren bir yedek dosyayı zaten silmişlerdi.

Blackbaud, banka hesabı veya ödeme kartı bilgilerinin etkilenmediğini, ancak isimler, adresler, iletişim bilgileri, Sosyal Güvenlik numaraları ve tahmini servet gibi birçok bilginin veri ihlalinde yer aldığını belirtti.

Şirket, verileri geri almak ve müşterilerinin çıkarlarını korumak için fidye ödediğini de kabul etti.

Saldırının ardından Federal Ticaret Komisyonu (FTC) bir soruşturma başlattı ve bunun “Blackbaud’un yetersiz güvenlik ve veri saklama uygulamalarından” kaynaklandığını düşündü.

FTC şikayetine göre, şirket en temel güvenlik uygulamalarını hayata geçirememiş, Blackbaud’un veri saklama politikalarına uymamış ve müşterilerin banka hesapları gibi kritik verileri şifrelenmemiş alanlarda saklamasına izin vermiştir. Ajans ayrıca Blackbaud’un olayın kapsamını ve ciddiyetini önemli ölçüde yanlış beyan ettiğini iddia etti.

2024’te FTC ve Blackbaud bir uzlaşmaya vardı, bu uzlaşma finansal ceza içermedi, ancak şirketin artık ihtiyaç duymadığı verileri silmesini, kapsamlı bir bilgi güvenliği programı geliştirmesini ve gelecekte bir veri ihlali olması durumunda FTC’yi bilgilendirmesini şart koştu.

Blackbaud’un SEC ile yaptığı uzlaşma ise ihlal hakkında yanıltıcı bilgi vermek nedeniyle 3 milyon dolar para cezasını içeriyordu. Şirket ayrıca HIPAA ihlalleriyle ilgili 50 eyalet savcısıyla 49.5 milyon dolar tutarında bir uzlaşma sağladı.

Blackbaud’un piyasa performansına gelince, hisseleri şu anda 63,76 dolar işlem görmekte; yılbaşından bu yana %13,74 düşüşle piyasa değeri 3 milyar dolar. EPS (TTM) -5,83 ve P/E (TTM) -10,94.

2025’in 1. çeyreğinde şirket, %5,8 organik gelir artışı elde ederek 271 milyon dolar gelir kaydetti. Blackbaud ayrıca yenilik, özellikle yapay zekâ (AI) alanına yatırım yaparak iç verimliliğini ve müşteri operasyonlarını artırıyor.

4. UnitedHealth Group

Sağlık sigortası devi UnitedHealth Group Incorporated (UNH ), son bir buçuk yılda zor bir dönem yaşadı. Her şey, Şubat 2024’te yan kuruluşu Change Healthcare’in bir siber saldırı yaşamasıyla başladı. 

UnitedHealth Group, iki segment üzerinden faaliyet gösterir: sağlık sigortasına odaklanan UnitedHealthcare ve Optum; Optum Insight, Optum Health ve Optum Rx aracılığıyla teknoloji hizmetleri, doğrudan sağlık hizmetleri ve eczane bakım hizmetleri sunar.

2022’de UnitedHealth Group, Change Healthcare platformunu satın alarak Optum Insight’e entegre etti. Şirket, yılda 15 milyar tıbbi talebi işliyor; bu, tüm taleplerin yaklaşık %40’ına tekabül ediyor, bu yüzden Change Healthcare’e bir saldırının yaratacağı kesintiyi hayal edebilirsiniz.

Şubat ayında, ransomware Change Healthcare’in sistemlerini enfekte etti, erişilemez hâle getirdi ve ABD sağlık sisteminde büyük kaosa yol açtı. Şirketin tam operasyonlarına ancak birkaç ay sonra, Kasım’da geri dönmesi mümkün oldu.

Olayın nasıl gerçekleştiğine gelince, o zamanki CEO Andrew Witty, Kongre’ye saldırının 12 Şubat’ta başladığını söyledi. Saldırganlar, uzaktan masaüstü bağlantıları için kullanılan ve iki faktörlü kimlik doğrulaması (2FA) etkin olmayan Change Healthcare Citrix portalına erişmek için ele geçirilmiş kimlik bilgilerini kullandı. Bu, UNH için milyarlarca dolarlık bir hataydı.

Oradan saldırganlar veri toplamaya başladı ve birkaç gün sonra ransomware’i dağıtarak şirket sistemlerini şifrelemeye başladı. Yanıt olarak UnitedHealth, Change Healthcare veri merkezlerini ağdan ayırarak fidye saldırısının diğer sistemlere ve dış varlıklara yayılmasını önledi.

Saldırganlar konusunda, BlackCat/ALPHV siber suç çetesi sorumluluğu üstlendi ve 6 TB gizli veri sızdırdığını iddia etti. Çalınan veriler arasında tıbbi kayıtlar, kişisel bilgiler ve finansal belgeler bulunuyordu. UnitedHealth Group, bu ihlalden yaklaşık 190.000.000 kişinin etkilendiğini kamuoyuna duyurdu.

Mart 2024’te şirket 22 milyon dolar fidye ödedi, ancak BlackCat fidye yazılımı grubu, saldırıyı gerçekleştiren bağlı kuruluşu ödemedi; bu bağlı kuruluş daha sonra başka bir fidye grubuyla, RansomHub ile çalışarak UnitedHealth’ten daha fazla para talep etti. UnitedHealth’in ikinci kez ödeme yapıp yapmadığı henüz bilinmiyor.

UnitedHealth Group’un Ocak 2025’te rapor ettiği olay, toplam yıllık 3,09 milyar dolar kayıpla sonuçlandı. 

Şirket, sağlık tarihındaki en büyük siber saldırının sonuçlarıyla mücadele etmeye devam ederken, UNH hissesi Kasım 2024’te hisse başına 625 dolar ile tüm zamanların en yüksek seviyesine ulaşmış ve piyasa değeri 575 milyar dolar olmuştur; hisse fiyatları bu durumdan çok etkilenmedi.

Ancak şimdi, altı ay sonra her şey çöküyor. 292 milyar dolar piyasa değerine sahip UnitedHealth’in hisse fiyatı yılbaşından bu yana %36,43 düştü. Şu anda 321,58 dolar işlem görmekte; bu, tüm zamanların en yüksek seviyesinden %49 düşüş.

Beklenenden daha büyük bir siber saldırı etkisinin yanı sıra, şirket liderlik kaybıyla da mücadele ediyor; UnitedHealthcare CEO’su Brian Thompson, New York City’de yatırımcı gününde öldürüldü, şirket kazanç hedeflerini kaçırdı ve Adalet Bakanlığı, UHG’nin Medicare Advantage uygulamalarına yönelik bir suç soruşturması yürütüyor.

Şirketin kârlılığı ve verimliliğine bakacak olursak, EPS (TTM) 23,89, P/E (TTM) 13,46 ve ROE (TTM) %24,33; temettü verimi %2,61. 2025’in 1. çeyreğinde gelirleri 109,6 milyar dolara yükseldi ve işletme nakit akışı 5,5 milyar dolar oldu.

5. AT&T

Telekomünikasyon ve teknoloji hizmetlerinin önde gelen küresel sağlayıcısı, 2024’te iki büyük veri ihlali yaşadı.

İlk ihlal Mart ayında gerçekleşti ve mevcut ve eski müşterilerinin 50‑70 milyonunu etkiledi. Şirket verilerinin karanlık webde dolaştığı raporları Mart ortasında ortaya çıktı ve AT&T (T ), bilgilerin gerçekten müşterilerine ait olduğunu doğrulamak için birkaç hafta sürdü.

Sızdırılan bilgiler arasında müşterilerin tam adı, doğum tarihi, e‑posta, telefon numarası, posta adresi, sosyal güvenlik numarası ve AT&T hesap numarası ve şifresi bulunuyordu. Şirket, etkilenen kişilere şu açıklamayı yaptı:

“Bilgimiz dahilinde, kişisel finansal bilgiler ve arama geçmişi dahil edilmedi.” 

Verilerin birkaç yıldır çevrimiçi dolaştığına inanılıyor, ancak kaynağı bilinmiyor ve AT&T, verilerin kendi sistemlerinden geldiğini reddediyor.

Ardından Nisan ayında, neredeyse tüm sabit hat, hücresel ve kablosuz ağ müşterilerini etkileyen bir ihlalin kurbanı oldu. Birkaç ay sonra, Temmuz’da AT&T ihlali kamuoyuna duyurdu.

Bu ihlal, ShinyHunters grubunun bir üyesi olan bir Amerikan hackerına bağlandı; hacker 1 milyon dolar fidye talep etti ancak çok daha az bir miktarla anlaştı. Şirket, Mayıs ayında verilerin sızmasını önlemek için Bitcoin cinsinden 370.000 dolar fidye ödedi. Saldırgan, verileri sildiğine dair kanıt gösteren bir video sağladı.

Bu saldırıda, 2 Ocak 2023 tarihli ve 1 Mayıs 2022 – 31 Ekim 2022 tarihleri arasındaki müşteri arama ve mesajlaşma kayıtları dışa aktarıldı. Bu sefer veriler, şirketin üçüncü taraf bir bulut platformundaki ‘workspace’ bölümünden kaynaklandı. 

İçerik kendisi etkilenmemiş olsa da, ele geçirilen kayıtlar etkilenen müşterilerin iletişim kurduğu diğer telefon numaralarını belirleyebileceğini şirket açıkladı. AT&T, olay hakkında yaklaşık 110 milyon müşteriyi bilgilendirdi. 

Bu yazı itibarıyla, 200 milyar dolar piyasa değerine sahip şirketin hisseleri 27,78 dolar işlem görmekte; yılbaşından bu yana %22 artış gösterdi. EPS (TTM) 1,63, P/E (TTM) 17,04 ve ROE (TTM) %11,28. Sunulan temettü verimi çekici bir %4.

Finansal olarak, 2025’in 1. çeyreğinde geliri 30,6 milyar dolar, net geliri 4,7 milyar dolar ve serbest nakit akışı 3,1 milyar dolar oldu.

Gördüğümüz gibi, fidye saldırıları sektörler arasında şirketleri etkiliyor. Fidye ödemek şirketi ve müşterilerini koruyabilir, ancak bu her zaman geçerli değildir. Aslında suç davranışını teşvik etme riski taşır. Üstelik şirketin finansal ve itibar açısından gördüğü zarar da göz ardı edilmemeli.

Şirketlerin yapması gereken, ihlallerin önlenmesi için proaktif güvenlik önlemleri almaktır. Bu, düzenli güvenlik değerlendirmeleri yapmak, potansiyel tehditleri sürekli izlemek, sistemleri güncel tutmak, veri yedeklemesi yapmak ve bu dosyaları korumak, güçlü veri şifrelemesi uygulamak, çalışanlara uygun eğitim vermek ve etkili olay müdahale hazırlığını sürdürmek anlamına gelir.

Sonuçta, gerçek fidye savunması pazarlık değil hazırlıktır; bu yüzden bugün siber güvenlik dayanıklılığına yatırım yapın!

En iyi siber güvenlik hisselerinin listesi için buraya tıklayın.