ABD makamları, ABD şirketlerinde uzaktan iş bulmaları için Kuzey Koreli BT çalışanlarına olanak sağlayan dolandırıcılık planını hedef alan operasyon kapsamında Pensilvanya'dan Michael James Postel ile Teksas'tan Juan Cecilio Pena Carrillo'yu tutukladı. Dört maddelik iddianameye göre 2019'dan Temmuz 2025'e kadar sürdüğü iddia edilen plan, 3 milyon dolardan fazla hileli gelir elde etti.
Sanıklar, diğer iş birlikçileriyle birlikte, ABD şirketlerinin sözde ABD içinden çalıştığı varsayılan çalışanlara teslim ettiği dizüstü bilgisayarları barındırıyor ve hazırlıyordu. Sahte kimlikler ile gerçek konumları gizlemek için sanal özel ağlar ve proxy'lerden oluşan bir altyapı kullanan çalışanlar, işverenlere ABD'de ikamet eden çalışanlar gibi görünebildi. İddianameye göre bu kişiler telekomünikasyon, siber destek, sağlık hizmetleri, imalat ve perakende sektörlerinde 70'ten fazla şirkette iş aldı.
ABD içindeki operasyon noktalarının dağıtılması
Operation Lonestar Roundup adlı ayrı bir operasyon kapsamında Federal Soruşturma Bürosu, dizüstü bilgisayar çiftlikleri olarak kullanıldığından şüphelenilen Teksas'taki 40 noktayı aradı. Makamlar, bilgisayarların uzaktan kontrol edilmesini sağlayan ekipmanlar olan KVM cihazlarıyla birlikte 187 dizüstü bilgisayara el koydu. Bu cihazların planın yürütülmesinde kullanıldığı düşünülüyor.
Ayrıca Çin'de ikamet eden on kişi de operasyona katıldıkları iddiasıyla suçlandı. Bu kişiler Sun Sheng Ming, Pei Li Guang, Weng Shou Cheng, Han Guo Bin, Wang Jian Jun, Sheng Zhang Kun, Zhang Wei Ping, Zhang Li Ping, Yu Yang ve Jin Long olarak açıklandı.
Bilgisayar çiftlikleri nasıl çalışıyor?
CrowdStrike bu faaliyeti Famous Chollima adı altında izliyor. Şirkete göre yurt dışındaki çalışanlar, şirket cihazlarının ABD içindeki kolaylaştırıcılar tarafından işletilen operasyon noktalarına gönderilmesini sağlamak için işverenleri ikna eden çeşitli yöntemlere başvuruyor. Bu yöntemler arasında bilgisayarların çalındığını bildirerek yedek cihaz istemek, aniden başka bir adrese taşındığını iddia etmek, birden fazla konut adresini dönüşümlü kullanmak ve son müşterilere ait cihazları bu noktalara yönlendirmek için teknoloji işe alım şirketlerinden yararlanmak bulunuyor.
Cihazlar ulaştıktan sonra kolaylaştırıcılar, yurt dışındaki çalışanların cihazlara uzaktan erişmesini sağlayan yazılım ve donanımları kuruyor. CrowdStrike'a göre kurumların savunma önlemlerini sıkılaştırması üzerine grup uzaktan erişim araçlarını gizlemeye, cihaz parmak izlerini taklit etmeye ve aynı cihaz tanımlayıcılarını farklı kurumlar ve kimlikler arasında yeniden kullanmaya başladı.
Bu haber neden önemli?
Operasyon, planın yalnızca doğrudan teknik sızmaya dayanmadığını; kimlik dolandırıcılığını, fiziksel altyapıyı, uzaktan yönetim araçlarını ve işe alım ilişkilerini birleştirdiğini gösteriyor. CrowdStrike, mağdurlar arasında havacılık, enerji, finansal hizmetler, sağlık hizmetleri, siber güvenlik, savunma, kamu mühendisliği ve tüketici teknolojileri gibi kritik sektörlerin bulunduğunu belirtiyor.
Ancak şirket, bilgisayar çiftliklerinin dağıtılmasının Famous Chollima'nın faaliyetleri üzerinde sınırlı bir etkisi olabileceği konusunda uyarıyor; çünkü bu noktalar başka yerlerde yeniden kurulabilecek fiziksel, hukuki ve finansal bir rol oynuyor. Federal Soruşturma Bürosu da tehdidin yalnızca uzaktan çalışanları işe alan şirketlerle sınırlı olmadığını düşünüyor. Buna göre BT çalışanları, Amerikalıları bilerek ya da bilmeden, onların adına iş görüşmelerine katılmaktan sahte kimlikleri doğrulamaya, paket göndermekten iş cihazlarını konutlarından internete bağlı tutmaya kadar çeşitli hizmetleri gerçekleştirmeye yönlendiriyor.
Çok katmanlı doğrulama yaklaşımı
Federal Soruşturma Bürosu, Identity in Depth olarak adlandırdığı yaklaşımı, yani işe alım döngüsü boyunca erişim kontrolleri ve sürekli kimlik tespit ve doğrulama mekanizmalarından oluşan katmanların kullanılmasını öneriyor. Büro tarafından belirtilen göstergeler arasında uzak masaüstü yazılımları ile uzaktan izleme ve yönetim araçlarının kullanılması, bilgisayarı kontrol etmek için harici cihazların bağlanması, işle ilgisi olmayan uygulamaların indirilmesi, veri çıkarılması, banka hesaplarının ve fiziksel adreslerin dönüşümlü kullanılması ve doğrulama belgelerinin sahte düzenlenmesi yer alıyor.
Pratik fikir, kolayca aşılabilecek tek bir kurala güvenmek yerine birden fazla davranışsal sinyali bir araya getirmek. Kaynak, bu önlemlerin gelecekteki planları önlemede ne kadar başarılı olacağını belirtmiyor. Ayrıca davadaki suçlamalar da henüz yargı tarafından karara bağlanmış değil.