Marquis Finansal Hizmetler Siber Saldırısı (Ağustos 2025): Olay Analizi ve Müdahale Rehberi
Ağustos 2025'te, Teksas merkezli finansal hizmet sağlayıcısı Marquis, ciddi bir fidye yazılımı saldırısına maruz kaldı. Bu saldırı, sadece Marquis'in operasyonlarını aksatmakla kalmadı, aynı zamanda 672.000'den fazla bireyin kişisel verilerinin çalınmasına ve ABD genelindeki 74 bankanın operasyonlarının kesintiye uğramasına neden oldu.
1. Olayın Kapsamı ve Etkilenen Varlıklar
Saldırının bir fidye yazılımı grubu tarafından gerçekleştirildiği ve veri sızdırma (double extortion) taktiklerinin kullanıldığı tespit edilmiştir. Finansal kurumların hedef alınması, saldırının kritik altyapıya yönelik olduğunu göstermektedir.
- Etkilenen Kişi Sayısı: 672.000+ birey.
- Etkilenen Kurumlar: Marquis'e bağlı 74 ABD bankası.
- Saldırı Türü: Fidye Yazılımı (Ransomware) ve Veri Sızdırma.
- Saldırı Tarihi: Ağustos 2025.
2. Olay Müdahalesi: İlk Adımlar ve İzolasyon
Böylesine büyük bir siber saldırının ardından hızlı ve sistematik bir olay müdahalesi (Incident Response - IR) süreci hayati önem taşır. Aşağıdaki adımlar, benzer bir durumda izlenmesi gereken temel prosedürleri özetlemektedir.
2.1. Tespit ve Kapsam Belirleme
- Anında Ağ İzolasyonu: Fidye yazılımının yayılmasını durdurmak için enfekte olmuş veya şüpheli sistemler derhal ağdan fiziksel veya mantıksal olarak ayrılmalıdır.
- Kanıt Toplama (Forensics): Saldırının başlangıç noktasını, kullanılan vektörü ve yanal hareketi anlamak için sistem kayıtları (loglar), bellek dökümleri ve disk görüntüleri alınmalıdır.
UYARI: Kanıt toplamadan önce yasal gereklilikler ve adli tıp (forensics) prosedürlerine uyulduğundan emin olun. Yanlış müdahale, kanıtların bozulmasına yol açabilir.
2.2. Sistem Temizliği ve Kurtarma
Saldırının kök nedeni (Root Cause Analysis - RCA) belirlendikten sonra, sistemlerin temizlenmesi ve güvenli bir şekilde geri yüklenmesi gerekir. Bu süreçte, saldırganların bıraktığı olası arka kapıların (backdoors) temizlenmesi kritik öneme sahiptir.
# Kök Neden Analizi (RCA) Adımları
# 1. Başlangıç Vektörünü Belirle (örn: Zayıf VPN, Kimlik Avı)
# 2. Yanal Hareket İzlerini İncele (örn: PsExec, WMI kullanımı)
# 3. Persistence Mekanizmalarını Kontrol Et (örn: Registry Run Keys, Scheduled Tasks)
# Örnek Komut: Şüpheli Çalışan Süreçleri Listeleme (Windows/PowerShell)
Get-Process | Where-Object { $_.CPU -gt 1000 } | Select-Object ProcessName, Id, CPU
3. Veri İhlali Yönetimi ve İletişim
Marquis örneğinde, 672.000 kişinin verisinin çalınması, yasal yükümlülüklerin (KVKK, GDPR, CCPA vb.) devreye girmesi anlamına gelir. Finansal hizmet sağlayıcıları, düzenleyici kurumlara ve etkilenen bireylere bildirimde bulunmak zorundadır.
- Yasal Danışmanlık: Olayın hukuki sonuçları hakkında derhal uzman görüşü alınmalıdır.
- Düzenleyici Kurum Bildirimi: İlgili finansal düzenleyicilere (örneğin ABD'de SEC veya FDIC) saldırı hakkında zamanında bilgi verilmelidir.
- Etkilenenlere Bildirim: Kimlik hırsızlığı koruma hizmetleri sunulmalı ve etkilenen bireyler açıkça bilgilendirilmelidir.
İPUCU: İletişim stratejisi, şeffaflık ve empati üzerine kurulmalıdır. Panik yaratmaktan kaçınarak, atılan adımları net bir şekilde açıklamak güveni korumaya yardımcı olur.
4. Önleyici Tedbirler ve Güvenlik İyileştirmeleri
Saldırı sonrası iyileştirme sürecinde, gelecekteki saldırıları önlemek için güvenlik duruşunun güçlendirilmesi şarttır. Marquis gibi finansal kuruluşlar için odaklanılması gereken alanlar:
- Çok Faktörlü Kimlik Doğrulama (MFA): Tüm uzaktan erişim noktalarına ve kritik sistemlere MFA zorunluluğu getirilmelidir.
- Ağ Segmentasyonu: Kritik finansal sistemler, genel ağdan izole edilmelidir (Zero Trust mimarisi yaklaşımı).
- Yedekleme Stratejisi: Kritik verilerin çevrimdışı (immutable/air-gapped) yedekleri düzenli olarak test edilmelidir.
Bu olay, finansal sektördeki kurumların siber dayanıklılığını sürekli olarak gözden geçirmesi gerektiğini vurgulamaktadır.
