Fransa’da vergi dairesini soyan korsanlar verileri sattığını duyurdu

Fransa Vergi Genel Müdürlüğünden yüz binlerce mükellefe ait bilgileri çalan ZeroBytes adlı hacker grubu, verileri sattığını iddia etti. Dark web üzerinden faaliyet gösteren grup, aynı veri tabanını başka alıcılara da satmayı sürdüreceğini bildirdi. Fransız makamları siber saldırıyla ilgili soruşturma başlatırken hükümet kriz toplantısı düzenledi.

Fransa Vergi Genel Müdürlüğüne (DGFiP) yönelik kitlesel veri hırsızlığının arkasında yer alan ve kendilerini Fransız bir ikili olarak tanıtan siber korsan grubu ZeroBytes, çaldıkları verileri sattıklarını iddia etti.

Daha önce düzenledikleri siber saldırılarla da bilinen grup, pazartesi günü AFP’ye yaptığı açıklamada, çalınan dosyaları “birkaç bin avro” karşılığında “iki kişiye” sattıklarını öne sürdü.

Alıcıların kimliği hakkında ayrıntı vermeyi reddeden grup, aynı veri tabanının kopyalanarak birden fazla müşteriye devredilebileceğini belirterek “Veriler halen satılık” dedi.

ZeroBytes, kendilerini Fransız olarak niteleyen iki korsandan oluştuklarını savunuyor.

AFP, çalınan verilerin satışına ayrılmış bir karanlık ağ (dark web) forumunda paylaşılan irtibat bilgileri üzerinden grupla Telegram aracılığıyla temas kurdu. Hedeflerine ilişkin soru üzerine grup, “Sanırım para dışında” belirli bir saiklerinin bulunmadığını belirtti.

Dolandırıcılar için zengin bir veri kaynağı

Fransa Vergi Genel Müdürlüğü, haziran sonu ve temmuz sonunda gerçekleşen iki ayrı yetkisiz erişimi ve en az 678 bin bireysel ve kurumsal mükellef ile kadastro kayıtlarındaki yaklaşık 200 bin hesaba ait bilgilerin çalındığını 14 Ağustos’ta teyit etti.

Bireysel mükelleflerden çalınan vergi bilgileri arasında ad ve soyadlar, referans vergi geliri, aile katsayısı ile kaynakta kesinti oranı yer alıyor.

DGFiP’ye göre kurumsal mükelleflere ait veriler “daha az hassas” nitelik taşıyor. AFP’nin incelediği bir örneklemde, aralarında büyük bir Fransız otomotiv yan sanayi şirketinin bir bağlı ortaklığının da bulunduğu küçük ve orta ölçekli işletmelere ait bilgilerin ağırlıkta olduğu görüldü.

Söz konusu kayıtların içerdiği ayrıntılar, hedef odaklı dolandırıcılık endişelerini artırıyor.

Siber suç ekonomisinde bir sisteme sızan korsan genellikle bu bilgileri doğrudan kullanan kişi olmuyor; çalınan veri tabanları çoğunlukla dolandırıcılık uzmanlarına satılıyor.

Uzaktan erişim bağlantısı istismar edildi

ZeroBytes, ilk saldırıyı gerçekleştirmek için vergi dairesi personelinin kullandığı bir Sanal Özel Ağa (VPN) erişim sağladığını iddia etti.

Bu sanal özel ağ, kurum çalışanlarının idarenin dahili araçlarına uzaktan ve güvenli bir şekilde bağlanmasına imkan tanıyor.

Grubun aktardığına göre korsanlar, maliye yönetimi bağlantıyı kesmeden önce bu erişim sayesinde yaklaşık 680 bin satır veriyi çekmeyi başardı.

Temmuz sonunda düzenlenen ikinci siber saldırı ise gayrimenkul mülkiyetine ilişkin bilgilere erişim sağlayan Profesyonel Kadastro Verileri Sunucusu’nu (SPDC) hedef aldı.

DGFiP, cuma günü yaptığı açıklamada, öncekilere kıyasla “daha karmaşık” bir saldırıya maruz kaldığını kabul etti.

Olaya ilişkin ilk teknik tespitleri yayımlayan FrenchBreaches adlı uzman internet sitesinden Sébastien, AFP’ye yaptığı değerlendirmede grubun profilini tamamen inandırıcı bulduğunu ifade etti.

Sébastien’e göre sisteme sızılması teknik bir başarıdan ziyade “DGFiP’nin olası bir zafiyetine” işaret ediyor. Sébastien, yüz binlerce satır verinin çekilmesi karşısında herhangi bir sistem uyarısının verilmemiş görünmesini de sorguladı.

DGFiP Genel Müdürü Amélie Verdier, cuma günü basına yaptığı açıklamada, “Karşımızda bilgileri parça parça vererek açıkça oyun oynayan biri var” diyerek tepkisini dile getirdi.

Korsanların geçmiş saldırı sicili

ZeroBytes, vergi idaresini hedef almadan önce de karanlık ağ forumlarında süpermarket zinciri Intermarché ve Fransa Hentbol Federasyonuna yönelik siber saldırıları üstlenmişti.

Grup ayrıca yaz döneminde büyük bir Fransız telefon operatörü ile bir otelcilik grubundan veri çaldığını öne sürdü; ancak bu iki saldırı ilgili şirketler tarafından doğrulanmadı.

Çalınan verilerin satıldığı forumlarda Fransız kuruluşları sıklıkla hedef listelerinde yer alıyor. ZeroBytes, Fransa’ya yönelme nedenlerini bu kurumların “hacklenmesi kolay” olmasıyla açıkladı.

Paris Savcılığı, olayla ilgili olarak “yetkisiz veri çekme” ve “suç işlemek amacıyla örgüt kurma” suçlamaları başta olmak üzere adli soruşturma başlattı.

Başbakan Sébastien Lecornu ise bakanlıklar arası bir kriz toplantısı düzenledi. Soruşturma kapsamında korsanlar “yetkisiz veri çekme” suçundan yedi yıla kadar hapis cezası istemiyle karşı karşıya bulunuyor.

Siber saldırıdan etkilenen 678 bin mükellefle, olası hedefli dolandırıcılık girişimlerine karşı uyarılmaları amacıyla pazartesi gününden itibaren tek tek iletişime geçilmesi planlandı.