Japonya'da siber risk ortak tedarikçide toplanıyor, poliçe şirket başına yazılıyor

Gürültü rekorda, sinyal ortak altyapıda

Kabine Baş Sekreteri Minoru Kihara 30 Ekim'de 1 Nisan–16 Ekim arasında yaklaşık 260 milyon kişinin bilgisinin sızdığını ya da sızma riski taşıdığını söyledi. Manşet bu rakamı taşıdı, ama sayım aynı kişiyi birden çok olayda tekrar sayıyor ve finans ile telekom şirketlerini kapsamıyor. Asıl değişim olay sayısının hızında: Jiji'ye göre bildirilen vaka haziran sonuna kadar ayda 200'ün altındaydı, temmuzda 212, eylülde 303, ekimde 830 oldu.

Sinyal bu hızın kaynağında: PayCloud Holdings'in 2 Kasım raporuna göre saldırgan 28–31 Ekim arasında Arara'nın ortak ortamından girip müşteri şirketlere ait 97 sunucudan veri aldı. En fazla 380 şirket etkilendi; Asoview 15.821.184, Bic Camera grubu yaklaşık 14,9 milyon, Mos Food Services 7.517.087 kayıt bildirdi. ITmedia'ya göre ekimden bu yana en az 3 başka e-posta dağıtım hizmeti de izinsiz erişim yaşadı. Yani hedef tek tek perakendeciler değil, onlara hizmet veren ortak katman.

Aynı hafta, aynı kalıp

Kalıp Japonya'yla sınırlı değil; Focus Taiwan'a göre Bank SinoPac 4 Kasım'da, bir gün önceki 427 izinsiz transferin yeni mobil bankacılık sistemini sağlayan tedarikçilerin güvenlik ayarlarına sızılarak yapıldığını açıkladı. 419 hesaptan yaklaşık 41,76 milyon NT$ çekildi ve banka tedarikçiden tazminat isteyeceğini söyledi.

Telekomda NTT Docomo 6 Kasım'da en fazla yaklaşık 300.000 kişinin kimlik belgesi numarası ve banka hesap bilgisinin sızdığını, tazminat ödeyeceğini açıkladı. Anadolu Ajansı'na göre 5 Kasım yerel saatle 11.18'de ülke çapında ses, veri ve mesaj kesintisi başladı. Docomo iki olay arasındaki bağlantının belirsiz olduğunu söyledi; bu bağlantı 8 Kasım itibarıyla doğrulanamadı.

Poliçe şirket başına, hasar tek olaydan

Sigorta kısıdı burada belirginleşiyor: Innovatopia'nın 22 Ekim derlemesine göre Japon poliçelerinde tedarikçide yaşanan sızıntının kapsamı sigortacıya göre değişiyor. Mitsui Sumitomo, sigortalının yönetime emanet ettiği başkasına ait bilginin sızmasını açıkça kapsıyor. Tokio Marine ise doğrudan kontrol dışındaki elektrik, telekom ve internet altyapısının kesintisini kapsam dışında tutuyor. Bulut hizmetinin bu istisnaya girip girmediğini kamuya açık belgeler 22 Ekim itibarıyla netleştirmiyor.

Kapsam olsa bile tavan dar; aynı derlemeye göre büyük sigortacıların örneklerinde özür ödemesi tavanı kişi başı 1.000 yen. Bu tavanla Mos'un bildirdiği 7.517.087 kaydın her birine ödeme yapılsa tutar yaklaşık 7,5 milyar yen ederdi; hesap Talay'a aittir ve şirket böyle bir ödeme açıklamadı. Taban da ince: Japon Genel Sigorta Birliği'nin 2025 anketinde KOBİ'lerin yalnızca %8,8'i siber sigortalı, oran Kasım 2024'te %10,0'dı.

Sonuç şu: 380 şirketin hasarı tek bir olaydan doğuyor, ama her şirket kendi poliçesinin, çoğu zaman da kendi bilançosunun içinde ödüyor. Sigortacı için bu, birikmiş risk demek; aynı açıktan doğan talepler aynı yenileme döneminde masaya geliyor. Bu birikimin herhangi bir sigortacının yenileme şartlarına yansıdığı 8 Kasım itibarıyla doğrulanamadı.

Devlet kurtarma ekibi kuruyor, havuz kurmuyor

AP'nin aktardığına göre Başbakan Sanae Takaichi 6 Kasım'da yaklaşık 10 milyar yenlik acil siber paketi açıkladı. Paket, Ekonomi Bakanlığı altında kasım sonuna kadar kurulacak bir uzman ekip ve saldırıya uğrayan şirketlere ilk müdahale yapacak kamu-özel bir kurtarma ekibi içeriyor. AP'nin özetinde sigorta, devlet havuzu ya da tedarikçi sertifikası yok. Böylece paket saldırı anındaki müdahale maliyetini paylaşıyor, ama tazminat ve iş kesintisi faturasını şirkette bırakıyor.

İzlenecek 3 eşikten ilki, Komisyon'un kasım vaka sayısının ekimdeki 830'un üzerinde kalıp kalmadığı. İkincisi, Arara'nın 31 Ekim'den beri kapalı hizmetini ne zaman ve hangi denetimle açacağı. Üçüncüsü, Docomo'nun kişi başı tazminat tutarı; bu tutar kişi başı 1.000 yenlik poliçe tavanının ne kadar üzerinde kalırsa, farkın öz kaynaktan ödendiği o kadar netleşir.