Wayfair Çocuk mu Satıyor? Rakamlardaki ayrıntı nedir?

Wayfair hakkında ortaya atılan iddialara bakınca aklıma takılan 3 konuyu paylaşmak istiyorum:

• Bu ilan yöntemi örgüt açısından çok riskli 
•  Fakirliğimizi belli ediyor olabiliriz
• Keşke çocuklar o kadar pahalı olsaydı

 

Terör ve suç örgütlerinin iletişim için interneti nasıl kullandıklarını uzun uzadıya çalışmış birisi olarak; açık ilanlar tercih edecekleri bir yöntem gibi gelmiyor. Günümüz teknolojilerini düşününce insan kaçakçılığı yapan suç örgütlerinin bu kadar aleni bir yol seçmesi örgüt açısından çok riskli olacaktır. Konunun hemen "ifşa" olmuş olması geçenlerde okuduğum bir tweeti hatırlattı; “Eniştem dünyayı 5 ailenin yönettiğini ve bu 5 ailenin kendini gizlediğini söyledi. Aklıma takılan bu 5 ailenin enişteme nasıl yakalandığı”. Durum biraz bu sanki, başta FBI olmak üzere dünyanın çeşitli kolluk kuvveti neredeyse 7/24 çocuk pornosu ararken bir örgütün kendini riske atacağını düşünmüyorum. Konuyla ilgili bizde çıkan bir haberden bir kaç cümle okuyalım: "Sitede sadece çocuklar yok. 8 Temmuz günü günü oğluyla birlikte çıktığı tekne gezisinde kaybolan oyuncu Naya Rivera'da yer alıyor. Naya Rivera'nın ismi, doğum tarihi, kaybolduğu yer ve yerin kaç metrekare olduğu bilgilerinin ürünün ismi içerisine şifrelenmiş olduğu tespit edildi." ... Dikkatli baksak kendi hayatımızla ilgili bazı bilgilere de rastlarız gibime geldi, baktım ve... AMAN TANRIM! Beni de kaçırıp bahçe lambası olarak 999,99 USD'den satışa çıkartmışlar! 

İkinci noktaya geliyoruz. İddianın temelinde bir dolabın 10.000 USD etmeyeceği varsayımı yatıyor. İlana bakıp “çok pahalı, kesin bir pislik var” diye düşünüyorsak bu bizim aklımızdaki dolap fiyatlarından kaynaklanıyor olabilir. Hepimizin belli ürünler için kendimizce belirlediğimiz fiyatlar var. Kimimiz için bir dolap için 1.000 TL pahalıyken, kimimiz için 10.000 TL veya 20.000 TL normal gelebilir. İtalya’ya özel uçağıyla yemek masası bakmaya gidenlerin olduğunu düşünürsek, sizce baktıkları masaların fiyatları nedir? Hepimiz aynı ürünü farklı internet sitelerinde farklı fiyatlara görmüşüzdür. Buradaki fiyat farkları belli satıcıların fiyat politikalarından kaynaklanıyor olabilir. 

Buraya kadar geldiyseniz asıl mide bulandıran noktadayız; kaçırılıp satılan çocuklar 10.000 USD etmiyor! Ne yazık ki insan kaçakçılığı görece yaygın ve bunun sonucunda insan fiyatları bizlerin hayal ettiği seviyede değil. Buyurun bazı fiyatlar:

• Hindistan’da çocuk: 45 USD
• Romanya’da kız çocuğu: 3.000 USD 
• Mozambik’te kız çocuğu: 2 USD (yazı ile iki!) 
• Kanada’da çocuk (satış fiyatı): 4.800 USD

Sonuçta 10.000 USD dolap için pahalı olduğu gibi çocuk için de ne yazık ki pahalı. Fiyatların bu kadar düşük olmasının sebebi ticaretin küresel ölçekte yapılması ve bazı ülkelerin düşük gelir düzeyinin aileleri çocuklarını satmaya itmesi. Hindistan’da bir öküz 350 USD’ye satılırken, bazı aileler çocuklarını 20 USD peşinat ve aylık 8 USD karşılığında köle olarak satıyor. 

İddiaları bizde Teyit.org (https://teyit.org/wayfair-isimli-mobilya-firmasinin-cocuk-ticareti-yaptigi-iddiasi/) , yurtdışında da benzer “fact check” siteleri doğrulayamadı.

Durum ortaya küresel bir komplo teorisi atmaya müsaitmiş ve sanırım bir kısmımız insan kaçakçılığını gerçekte olduğundan daha “pembe” görmeye hazırmışız.

Hacker Psikolojisi: Kim Sizi Neden Hacklemeye Çalışır?

Radore’nin CEO’su ve sektörün duayenlerinden Barbaros Özdemir’le LinkedIn’de siber saldırganların motivasyonları hakkında kısa bir yazışmamız oldu. Konu birkaç satıra sığdırılamayacak kadar çetrefilli olduğu için ayrıca bir yazı yazmakta fayda gördüm.  

 Saldırgan motivasyonunu anlamak siber güvenlik duruşumuzu doğrudan etkileyecektir. Daha doğrusu etkilemelidir… Saldırganı düşünmeden savunmayla ilgili bir karar alıyorsak büyük ihtimalle yanlış karardır. Kendilerini yapılan her saldırının doğrudan hedefi olarak görenden “bize kim niye saldırsın?” diyene kadar geniş bir yelpazede kuruluşla çalışma fırsatım oldu. Siber güvenlik yatırımı planlarken saldırgandan yola çıkarak bir planlama yapmak karşılaşmanız muhtemel siber saldırıları doğru öngörmenizi sağlayacağı için yatırım getirisi (frenklerin Return on Investment – ROI dedikleri) en yüksek kararları vermenize imkân sağlıyor. 

Bu noktada önerdiğimiz hizmetler tehdit modellemesi, sızma testi ve MITRE ATT&CK saldırı simülasyonları oluyor. 

Siber saldırganların motivasyonlarına bakacak olursak, Varonis tarafından yayımlanan bir araştırma sonucuna göre saldırıların %90’ı maddi kazanç ve casusluk amacıyla yapılıyor. Şirket olarak son 12 ayda olay müdahalesi desteği verdiğimiz kuruluşların tamamında saldırılar maddi kazanç elde etmeyi amaçlıyordu. Online alışveriş siteniz olmasa veya kredi kartı bilgisi tutmasanız bile Business E-mail Compromise veya fidye yazılım saldırıların hedefi olabilirsiniz. Bu durumda saldırgan yine parasını kazanmış olur.

Sektörde yaygın olarak kabul edilen saldırgan motivasyonlarına bakacak olursak karşımıza aşağıdakiler çıkacaktır;

A.   Maddi kazanç: Saldırgan para kazanmayı amaçlar

B.   Siyasi/ideolojik: Saldırgan belli bir ideolojiyi yaymak/duyurmak için veya bu ideolojinin çıkarlarına hizmet etmek için eylem düzenler.

C.   Duygusal/Kişisel: Saldırgan kişisel sebeplerden veya kişisel tatmin amacıyla hareket eder.

D.   Tanıtım/Reklam: Kişisel reklamını veya bağlantısı/sempatisi olan bir grubun adını duyurmak amacıyla hareket eder. 

Saldırgan profilini çıkartmak zor bir iştir ancak bunu basitçe (bkz. sonucun doğruluğundan bir miktar ödün vermeyi gerektiriyor) yapmanın bir yolu olabilir.

Öncelikle maddi kazanç amacıyla düzenlenen saldırılara hedef olacağımızı kabul etmemiz gerekiyor. Modeli sadeleştirip her saldırgan grubuna 10 puan verebiliriz (gerçekte modeli daha gerçekçi kurguluyoruz elbette). Bir miktar marka değerimiz varsa, örneğin televizyona reklam veriyorsak veya finans, savunma sanayi, Telekom gibi kritik bir sektörde faaliyet gösteriyorsanız b grubundaki saldırganlar için de hedef olabileceğinizi düşünmeniz gerekir. İlaveten yakın zamanda işten çıkartmalar olduysa veya kuruluşunuz toplumda hassas bir konuda bir duruş sergilediyse (örn. LGBT hakları) C grubunun da ilgisini çekmiş olursunuz. Bu durumda toplam 30 puan ile geniş tabanlı ve motivasyonu yüksek saldırgan gruplarıyla mücadele etmeniz gerektiği ortadadır.

Buna karşılık küçük çaplı, suya sabuna dokunmayan, adını duyurmayan bir kuruluşsanız sadece maddi kazanç peşinde olan siber saldırganları düşünerek bazı kararlar almak mümkündür. 

Hizmet dışı bırakma saldırılarının (DoS/DDoS – Denial of Service/Distributed Denial of Service) da maddi kazanç elde etmeye imkan verdiğini görebiliyoruz. 2019 yılının ekim ayında dalga halinde ve dünyanın birçok ülkesinde kuruluşlardan DDoS saldırısı tehdidiyle para istendiğine şahit olmuştuk. DDoS saldırılarının düşük maliyetlerle kiralanabilir olması (DDoS as a Service) nedeniyle de eski çalışanlardan rakiplere kadar değişik saldırganlar tarafından intikam veya iş bozma amacıyla kullanıldığını da görüyoruz. 

Science Publishing Group tarafından psikoloji ve davranış bilimi başlığı altında 2016 yılında yayımlanan bir makalede hackerları 5 temel kişilik özelliğine göre değerlendirilmiş. Çalışmada beyaz şapkalı, siyah şapkalı ve gri şapkalı hackerlar aşağıdaki 5 kişilik özelliğine göre sınıflandırılmış;

• Dışa dönüklük
• Karşısındaki tarafından olumlu algılanma
• Deneyimlere açıklık
•  Görev bilinci
• Duygusal istikrar

Kuruluşun siber güvenlik risk seviyesini etkileyen faktörler düşünüldüğünde; saldırganın psikolojik durumundan çok motivasyonunun (başarılı olana kadar hangi miktarda efor harcamaya hazır olduğu) ve teknik beceri düzeyinin değerlendirilmesinde fayda vardır.

Maddi çıkar amaçlı saldıran grubun heterojen yapısı gereği hem teknik olarak becerikli hem de daha temel düzeyde saldırganların bu grupta yer aldığını söyleyebiliriz. Buna karşılık siyasi/ideolojik amaçlarla hareket eden grupların önemli bir kısmının devlet destekli olması nedeniyle bu grubun teknik becerisi genel olarak daha yüksektir. 

Saldırgan motivasyonu ve teknik beceri düzeyine de ayrıca bir puan verilmesi gerekiyor.

Son olarak kuruluşunuz bünyesinde bulunan zafiyetler ve bunların istismar edilme kolaylığı risk seviyesinin belirlenmesini sağlayacaktır. Bu aşamada biz bütün çalışmayı MITRE ATT&CK çatısına yerleştirerek kuruluşun siber güvenlik duruşunda iyileştirilmesi gereken noktaları ortaya çıkartıyoruz. 

Kuruluşunuzda benzer bir çalışma yürüterek hangi noktaların zayıf kaldığı ve daha önemlisi hangi saldırgan profiline karşı daha savunmasız olduğunuzu belirleyebilirsiniz.