Woolwich Kraliyet Mahkemesi’nde geçtiğimiz hafta açıklanan karar, İngiltere tarihinin en büyük siber suç davasını sonuçlandırdı: Londra Ulaşım Kurumu’nu (TfL) hackleyen iki genç, beşer yıl altı ay hapis cezasına çarptırıldı. Sanıklardan biri suç işlendiğinde henüz 17 yaşındaydı.
Saldırı üç günde nasıl bu kadar büyük hasar yarattı?
Doğu Londra’dan 20 yaşındaki Thalha Jubair ve Walsall’dan 18 yaşındaki Owen Flowers, 31 Ağustos ile 3 Eylül 2024 arasındaki üç günlük bir pencerede TfL’nin sistemlerine yetkisiz erişim sağladı. Saldırı, kurumun 148 farklı sistemini devre dışı bıraktı; bunların bir kısmı haftalarca elle yürütülen geçici çözümlerle idare edilmek zorunda kaldı. Tüm 27 bin TfL çalışanı, şifrelerini yalnızca yüz yüze sıfırlayabildi.
Saldırı, Oyster kart iade sistemini de etkiledi; bazı yolcular normalden çok daha uzun süre iade bekledi. Çocuklar ve gençler için indirimli ulaşım kartı başvuruları geçici olarak durduruldu, engelli ve yaşlı yolcular için kapıdan kapıya ulaşım rezervasyon sistemi de aksadı. TfL, saldırının doğrudan maliyetini ve iyileştirme masraflarını 29 milyon sterlin (yaklaşık 39 milyon dolar) olarak açıkladı. Yetkililer, saldırının Londra’nın tüm ulaşım ağını tamamen durdurmayı başarabilmesi durumunda, İngiltere ekonomisine verilebilecek zararın 56 milyar sterline kadar çıkabileceğini belirtti.
İki genç, kendilerini nasıl ele verdi?
Soruşturmayı yürüten Ulusal Suç Ajansı (NCA) ve City of London Polisi, Flowers’ın evinden ele geçirdiği dizüstü bilgisayar, kule bilgisayar, harici disk ve USB belleklerde, TfL altyapısına bağlanıldığını gösteren bir ekran görüntüsü ve Jubair’in saldırı sırasında sistemlere eriştiğini gösteren videolar buldu. İkili, Telegram üzerinden haberleşiyor ve ortak bir uzaktan çalışma alanı kullanıyordu; bu dijital izler, savcılığın davayı kurmasında belirleyici rol oynadı.
Flowers, TfL saldırısından kısa süre sonra, 6 Eylül 2024’te, bu kez ABD’deki SSM Health ve Sutter Health adlı sağlık kuruluşlarını hacklerken yakalandı. Yani genç yaşta başladığı bu faaliyeti, bir kurumu hackledikten hemen sonra durdurmak yerine, farklı bir ülkedeki farklı bir sektöre yönelterek sürdürmüştü.
Bu ikili, tek başına hareket etmiyordu
Mahkeme kayıtlarına göre Jubair ve Flowers, “Scattered Spider” adı verilen, sosyal mühendislik, SIM kart değiştirme dolandırıcılığı ve veri fidyeciliği yöntemleriyle tanınan bir siber suç ağının önde gelen üyeleriydi. ABD makamları, bu ikilinin İngiltere’deki büyük perakendecilere, Londra ulaşım sistemine ve ABD’deki sağlık kuruluşlarına yönelik saldırılardan toplam 115 milyon dolarlık fidye talebiyle ilişkilendirildiğini açıkladı.
Microsoft’un değerlendirmesine göre bu iki kişinin tutuklanması, Scattered Spider’ın operasyonel kapasitesini önemli ölçüde zayıflattı; ancak şirket, grubun adının başka kişiler tarafından kullanılmaya devam edebileceği konusunda da uyardı. Bu, siber suç ağlarının, tek bir tutuklamayla tamamen ortadan kalkmadığını, sadece bir aksama yaşadığını gösteren bir detay.
Mahkeme ikiliyi nasıl tanımladı?
Dava sürecinde dikkat çeken bir detay da, mahkemenin iki sanığı “bilgisayar tutkunu ve toplumdan izole yaşayan kişiler” olarak tanımlaması oldu. Savunma tarafı, özellikle daha genç olan sanığın yalnız ve psikolojik olarak zor bir dönemden geçen bir genç olduğunu, daha yaşlı siber suçlular tarafından yönlendirildiğini savundu. Bu savunma cezayı hafifletmedi, ama davanın arka planında, genç yaştaki bireylerin bu tür suç ağlarına nasıl çekildiği sorusunu da gündeme getirdi.
Güvenlik Bakanı Dame Angela Eagle, bu davanın siber suçluların ülkenin güvenliği ve refahı için oluşturduğu ciddi tehdidi gösterdiğini belirtti. TfL Genel Müdürü Andy Lord da soruşturmayı öven açıklamalar yaptı ve kurumların siber dayanıklılığını artırmasının önemine dikkat çekti.
Bu dava neden önemli?
Bu dava, İngiltere’de bugüne kadar mahkemeye taşınan en büyük siber suç kovuşturması olarak kayıtlara geçti. Ama asıl dikkat çeken nokta, bu kadar büyük çaplı, bir şehrin ulaşım sistemini felç edebilecek ve milyarlarca sterlinlik ekonomik zarara yol açabilecek bir saldırının, 17 ve 18 yaşlarındaki iki genç tarafından gerçekleştirilmiş olması. İngiltere Ulusal Suç Ajansı, genç hackerların artık ülkenin karşılaştığı en büyük siber güvenlik tehditlerinden biri haline geldiğini açıkça belirtiyor.
Bu dava, büyük kurumların bile temel siber güvenlik açıklarına karşı ne kadar savunmasız kalabildiğini ve bu tür saldırıların artık deneyimli suç örgütlerinden çok, teknolojiyle büyümüş genç bireyler tarafından da gerçekleştirilebildiğini gösteren çarpıcı bir örnek olarak kayıtlara geçti.
