Japonya'nın siber kısıtı yedeklerin saldırıyla aynı altyapıda durması

Manşet saldırı, kısıt kurtarma

IDCF Cloud 7 Ekim'de Japonya saatiyle 03:40'ta durdu ve IDC Frontier aynı gün ikinci duyurusunda nedenin fidye yazılımı olduğunu doğruladı. Fukuşima'nın Shirakawa kentindeki Doğu Japonya Bölge 1 ağdan ayrıldı; 495 şirket ve yerel yönetim etkilendi. İbaraki valiliğinin sitesi 7 Ekim sabahı 04:00'ten kısa süre sonra kapandı, Nissui'nin lojistik biriminde 17 merkezin hepsinde sevkiyat durdu. Manşetin konuştuğu rakam 495, ama riskin ölçüsü bu değil.

Asıl ölçü 8 Ekim akşamı geldi: üçüncü duyuru 4 bölgedeki sanal sunucuların açılamadığını ve müşteri verisinin çıkarılmasının ya da geri yüklenmesinin zor olduğunu söyledi. Şirket kurtarmayı müşterinin elindeki yedeğe bağladı ve müşterilere yeni bir ortamda yeniden kurulum önerdi. Yani 495 müşterinin her biri için soru tek: yedeğiniz bu altyapının dışında mı? Saldırganın giriş yolu ve veri çıkarılıp çıkarılmadığı 9 Ekim itibarıyla açıklanmadı.

Ayrımı yedeğin yeri yaptı

Aynı saldırı iki müşteriye çok farklı sonuçlar verdi. Six Apart'ın Movable Type bulutu 31 sunucusunu kaybetti, ama 7 nesil günlük yedeği Google Cloud'da tutuyordu; 8 Ekim sabahı 7 Ekim 01:00 yedeğiyle Sakura Cloud'a taşınmaya başladı. Soliton Systems ise aynı altyapıda tuttuğu kendi yedek sunucularının da kullanılamaz hâle geldiğini açıkladı ve doğruladığı başka bir altyapıda yeniden kurulum kararı aldı.

Kamu tarafında tablo daha kırılgan, çünkü MLex'e göre en az 1 valilik sağlayıcının sistemleri kapanınca kendi yedeğine de erişemedi. Tokyo'daki Kodaira belediyesi, başvuru formlarındaki ad, adres ve telefon verisinin risk altında olabileceğini 8 Ekim'de duyurdu. CISA'nın fidye yazılımı rehberi çevrimdışı ve şifreli yedeği, çoklu bulutta yedeklemeyi ve geri yüklemenin düzenli test edilmesini öneriyor. Japon olaylarında aksayan halka tam olarak bu ayrım.

Osaka Metropolitan Üniversitesi aynı kalıbı bir hafta önce gösterdi. 2 Ekim'de başlayan saldırıda yaklaşık 500 sunucu durdu ve yedeklerin çoğu şifrelendi; en az 130.000 kişinin verisi risk altına girdi. SBS'nin derlemesine göre Times Car'da yetkisiz erişimle 6,6 milyon kullanıcının kişisel verisi sızdı. Trend Micro'nun sayımına göre Japon şirketleri ve yerel yönetimler 2026'nın ilk 9 ayında 600 yetkisiz erişim olayı açıkladı.

Neden şimdi ve devlet aktörü nerede

Zamanlamayı yoğunlaşma açıklıyor: SBS'nin derlemesine göre aynı dönemde Daiwa Securities'te bir yüklenici sunucusu üzerinden 220.000'e kadar müşteri kaydı, temmuzda ise bir kamu hizmet yüklenicisinde yaklaşık 246.000 memurun verisi etkilendi. Saldırılar tek tek kurumları değil, onları ortak barındıran yüklenici ve bulut katmanını vuruyor. Bir sağlayıcının 4 bölgesi düştüğünde yüzlerce kurumun kurtarma kapasitesi aynı anda sınanıyor.

Devlet destekli tarafta da Japonya hedef listesinde. FBI 8 Ekim'de Pekin merkezli Integrity Technology Group'un MicroScan ve FishHub araçlarına ait 7 alan adına el koydu; BleepingComputer'a göre MicroScan'in taradığı hedefler arasında Japonya'daki havalimanları vardı. FBI bu altyapıların ihlal edilip edilmediğini açıklamadı. Japonya, ABD'nin 58 sayfalık uyarısına Avustralya, İngiltere, İspanya, Yeni Zelanda ve Kanada'yla birlikte katıldı.

Fidye yazılımı ile devlet destekli keşif aynı zayıflıktan beslenir: dışa açık bir yönetim katmanı ve onunla aynı yerde duran yedek. IDC Frontier 7 Ekim'de diğer bölgelerdeki dış yönetim konsollarını da tedbiren kapattı. Bu, sağlayıcının saldırganın yönetim katmanına erişmiş olabileceği ihtimalini dışlayamadığını gösteriyor; giriş yolu açıklanana kadar bu bir çıkarım olarak kalıyor.

Sırada ne var

İlk test IDC Frontier'in dördüncü duyurusu olacak: 4 bölgedeki verinin şirketin kendi yedeğinden ne kadar geri geldiği ve sızıntı incelemesinin sonucu. Şirket olayı denetleyici bakanlığa ve Tokyo emniyetine bildirdi; dış güvenlik şirketi doğu ve batı bölgelerinin ağ, sunucu ve depolamasını inceliyor. Kodaira'nın sızıntı bildirimi gelirse belediye verisi ilk kez bir bulut sağlayıcı saldırısında doğrudan riske girmiş olacak.

Orta vadede beklenen, kamu ihalelerinde yedeğin farklı sağlayıcıda tutulması şartının yazılması ve siber sigortacıların poliçe şartlarına aynı ölçütü eklemesi. Bu iki gelişme gerçekleşirse Japon kurumlarının bulut harcaması ikinci bir sağlayıcıyla artar. Gerçekleşmezse 495'lik tablo bir sonraki sağlayıcı saldırısında tekrar eder.