Tayvan dalgayı yapay zekâya bağladı, devlete bağlamadı; teminat bu boşlukta

Gürültü saldırı sayısında, sinyal kayıt türünde

Tayvan Ulusal Güvenlik Bürosu 21 Ekim raporunda kamu hizmet ağına temmuzda 185,6 milyon saldırı denemesi yapıldığını yazdı. Bu, günde ortalama 2,58 milyon deneme ediyor ve tek başına ilk çeyreğin toplamını aşıyor. Rakam manşete uygun, ama tarama ve engellenen yoklamaları da sayıyor; kaç sistemin delindiğini söylemiyor.

Asıl veri 11 Kasım'da geldi. Dijital İşler Bakanı Lin Yi-jing'in ekibi, eylül ortasında başlayan dalganın 10'dan fazla şirkete ulaştığını ve saldırıların yaklaşık yarısında yapay zekâ kullanıldığını açıkladı. Etkilenen kişisel kayıt 1 milyonu aştı. E-ticaret altyapısı 91APP 4,8 milyona kadar tüketicinin, çevrim içi seyahat acentesi ezTravel ise 690 binden fazla üyenin etkilenmiş olabileceğini bildirdi. Bakanlık iki şirketin kendi sayımına dahil olup olmadığını doğrulamadı.

Dalganın aracı yeni değil. Bakanlığa göre saldırıların bir kısmında Çin'de geliştirilmiş otomatik açık tarama aracı ARTEX kullanıldı ve ilk vakalar Güney Kore'de görüldü. The Hacker News'in 5 Kasım verisine göre 4 Kasım itibarıyla 1.645 sunucu ARTEX konsolu yayınlıyordu. Aracın arka kapılı bir kopyası 2–4 Kasım arasında 62 konsolda çalıştı; bunların 17'si Hong Kong'da, 7'si Çin'deydi.

Poliçe tam da çalınan şeyi kapsıyor

Insurance Business'ın 23 Eylül'de aktardığı Finansal Denetim Komisyonu verisine göre Tayvan'da 2025 siber primi 512 milyon NT$ oldu. Bunun 448 milyonu, yani %87,5'i, kişisel veri sızıntısından doğan üçüncü taraf sorumluluğunu karşılıyor. Kapsamlı siber paket yalnızca 46 milyon NT$, yetkisiz erişim teminatı 18 milyon NT$ prim topluyor. Pazarda 16 sigortacı var ve primin %28,87'si yarı iletken şirketlerinden geliyor.

Bu yapı dalganın vurduğu yerle örtüşüyor. 11 Kasım'daki vakalarda kart ya da ödeme verisi sızdığı doğrulanmadı; kayıp kişisel veri ve sipariş bilgisinde. Yani çalınan şey, Tayvan poliçelerinin en çok yazdığı risk. İş kesintisi ve fidye yazılımı teminatı ise primin %9'una ancak yaklaşıyor; bir üretim hattını durduracak saldırının faturası büyük ölçüde bilançoda kalır.

Bankacılık tarafında tablo farklı. SinoPac 4–5 Kasım'da yeni mobil bankacılık sisteminden 418 müşteriye ait 427 yetkisiz transfer yapıldığını, toplamın 41,76 milyon NT$ olduğunu açıkladı. Banka parayı müşterilere iade etti ve yurt dışı tedarikçiden tazminat isteyeceğini söyledi. Bu kaybın bir poliçeden karşılanıp karşılanmadığı doğrulanamadı; tutar ise pazarın 2025 yıllık priminin yaklaşık %8'ine eşit.

Atıf boşluğu teminatı açık tutuyor

Lloyd's piyasasında bağımsız siber poliçeler devlet destekli saldırı istisnası taşımak zorunda; uymayan madde yeni ya da yenilenen işte kullanılamıyor. İstisnanın işlemesi için saldırının bir devlete atfedilmesi gerekiyor. Tayvan'daki tartışma da Insurance Business'ın 23 Eylül analizine göre atfın nasıl kanıtlanacağı ve sigortalının bu süre boyunca bekletilip bekletilmeyeceği üzerinde.

11 Kasım açıklaması bu soruyu bilinçli olarak açık bıraktı. Ulusal Siber Güvenlik Enstitüsü başkanı Dennis Kung vakaların hepsinin yurt dışından geldiğini söyledi. Bakan Lin ise Hong Kong IP adreslerinin saldırganın gerçek yerini göstermediği uyarısını yaptı. CrowdStrike 7 Ekim'de Kore dalgasındaki faili orta güvenle Çince konuşan ve para odaklı biri olarak tanımlamıştı; bu tanım devlet değil suç profiline işaret ediyor.

Sonuç sigorta açısından paradoksal. Atıf belirsiz kaldıkça veri sorumluluğu teminatı çalışıyor ve hasar sigortacıya geçiyor. Aynı Ulusal Güvenlik Bürosu ise 28 Kasım yerel seçimleri öncesindeki artışın Pekin'in müdahale planının parçası olabileceğini dışlamıyor. Resmî bir devlet atfı gelirse, kamuya yakın kurumlarda istisna tartışması ilk kez sahaya iner.

28 Kasım'a kadar izlenecek üç eşik

Birincisi bildirim takvimi. Dijital ekonomi şirketleri sızıntıyı 72 saat içinde bakanlığa bildirmek ve 1 ay içinde iyileştirme planı sunmak zorunda; aralık ortasına kadar yeni şirket bildirimleri dalganın genişliğini gösterecek. İkincisi atıf dili: 28 Kasım seçimleri öncesinde Ulusal Güvenlik Bürosu ya da bakanlık faili bir devlete bağlarsa teminat okuması değişir.

Üçüncüsü fiyat. Marsh'ın 2026 üçüncü çeyrek verisi Asya'da siber fiyatının %6 düştüğünü gösteriyordu; Tayvan, Kore ve Japonya'daki dalga bu düşüşü 1 Ocak yenilemesinde durdurabilir. Durdurmazsa, bol kapasite sigortacıları veri sorumluluğu fiyatını korumaya değil hacim toplamaya itiyor demektir.