İngiliz Hukuki Yardım Kurumu (LAA), Nisan 2025’te sistemlerine yönelik gerçekleştirilen siber saldırının 1978’e kadar uzanan kayıtların çalınmasına yol açtığını doğruladı. Bu kapsam, ilk tahminlerden çok daha geniş; ilk tahminler ödeme verileri ve güncel kullanıcı bilgilerine odaklanıyordu.
İngiliz Adalet Bakanlığına bağlı olan kurum, İngiltere ve Galler’de kamu savunması ve hukuki yardım finansmanı hizmetlerini yürütüyor. Kurumda yaklaşık 1.250 kişi çalışıyor ve avukatlar, hukuk firmaları ile kâr amacı gütmeyen kuruluşlar dahil yaklaşık 2.000 hizmet sağlayıcıyla çalışılıyor.
Çalınan verilerin kapsamı
Kurum, ihlali Mayıs 2025’in başında açıklamış ve hukuki yardım hizmeti sağlayıcılarına ait ödeme bilgilerinin risk altında olabileceği konusunda uyarıda bulunmuştu. İki hafta sonra olayın, çoğunlukla 2010 ve sonrasına ait daha geniş bir hassas veri grubunu kapsadığını doğruladı.
Kuruma göre etkilenen veriler arasında iletişim bilgileri, doğum tarihleri, ulusal kimlik numaraları, sabıka kayıtları ve istihdam durumu ile katkı payları, borçlar ve ödemelere ilişkin tutarlar yer alıyor. Hizmet sağlayıcılarına ait verilerde ayrıca sözleşmeler, ofis konumları, finansal bilgiler, iletişim bilgileri ve LAA Online Portal kimlik bilgileri; bunlar arasında adlar ve e-posta adresleri de bulunuyor.
Sistemlerden çıkarılan verilerin daha sonraki analizi, yaklaşık 250 bin kaydın 2007 öncesine ait olduğunu gösterdi. Bu kayıtların ezici çoğunluğu 1990’lara ve 2000’lerin ilk on yılına aitken, çok küçük bir bölümü 1990 öncesine uzanıyor. Doğrulanan en eski kayıt ise 1978’e ait.
Bu pratikte ne anlama geliyor?
Eski kayıtların bulunması, 2007’den önce hukuki yardım talep eden, alan veya adalet sistemiyle etkileşimde bulunan herkesin ihlalden etkilendiği anlamına gelmiyor. Kurum, tarihî kayıtların tamamını çalınan verilerdeki belirli kişilerle henüz ilişkilendirmedi. Ancak zaman aralığının genişliği, olayın hassasiyetini artırıyor; çünkü kimlik bilgilerini, finansal verileri, davalarla bağlantılı bilgileri ve sabıka kayıtlarını bir araya getiriyor.
İngiliz Adalet Bakanlığı, şu anda çalındığı düşünülen herhangi bir kişisel verinin yayımlandığına dair kanıt bulunmadığını söyledi. Bakanlık, hükümetin saldırıdan önce kurumun dijital sistemlerini sağlamlaştırmak ve güncellemek için 20 milyon sterlin ayırdığını, dijital hizmetlerin güncellenmesi ile dayanıklılık ve siber güvenliğin güçlendirilmesine yönelik yeni yatırımların ise 200 milyon sterlini aştığını açıkladı.
Kamu sektörüne yönelik saldırıların daha geniş bağlamı
Kurumun sistemlerine yönelik saldırı, Co-op, Harrods ve Marks & Spencer zincirlerinin de aralarında bulunduğu İngiliz kurumlarını hedef alan ve DragonForce fidye yazılımı operasyonuna atfedilen bir dizi saldırının parçası olarak gerçekleşti. Bu durum, Birleşik Krallık Ulusal Siber Güvenlik Merkezi’ni (NCSC) İngiliz kuruluşlarının savunmalarını güçlendirmesine yönelik kılavuz yayımlamaya itti.
Birleşik Krallık ayrıca ocak ayında 210 milyon sterlinden fazla kaynakla desteklenen yeni bir siber güvenlik stratejisi duyurdu. Bu hafta İngiliz Konut Ombudsmanı da üçüncü taraf kaynaklı ve vaka yönetim sistemini etkileyen bir güvenlik olayını soruşturduğunu açıkladı. Bu gelişmeler, eski sistemlerin ve tarihî verilerin korunmasının kamu sektörü risk yönetiminin temel bir parçası olduğunu, bunun yalnızca teknik güncelleme meselesi olmadığını gösteriyor.