‘Utanç verici’ güvenlik açığı SEC yönetimini sarstı

BORSAGUNDEM.COM ÖZETÄ°| – DIÅž HABERLER SERVÄ°SÄ°

ABD Menkul Kıymetler ve Borsa Komisyonu'nun (SEC) salı günü resmi X hesabında, ABD spot Bitcoin borsa yatırım fonlarını onayladığını iddia eden gönderi yayınladı. Ancak bu paylaşımın düzenleyici kurumun uğradığı bir siber saldırı sonucu yayınlandığı ortaya çıktı. SEC uzun yıllardır şirketleri siber saldırıları önlemeleri konusunda sert bir biçimde uyarıyordu.

Korsan gönderi sosyal medyanın yanı sıra Bloomberg TV ve iÅŸ dünyası haber sitelerinde geniÅŸ çapta paylaşıldı. Ardındansa SEC BaÅŸkanı Gary Gensler paylaşımdan 10 dakika sonra kendi X hesabında kurumun hesabının ‘ele geçirildiÄŸini’ ve henüz herhangi bir onayın verilmediÄŸini açıkladı. Borsagundem.com’un derlediÄŸi bilgilere göre çarÅŸamba günüyse SEC söz konusu fiyaskonun üzerinden 24 saat geçmeden Bitcoin fonlarının onaylandığını resmi olarak açıkladı.

SEC hesabının ele geçirilmesi ve bu denli kritik bir paylaşımın yapılması özellikle de Gensler için utanç verici bir durum. Financial Times’ın haberine göre Gensler siber güvenlik konusunu ana gündem maddesi haline getirmesiyle biliniyor. Gensler SEC baÅŸkanlığı süresince siber güvenlik ihlallerinin ifÅŸasını katı kurallara tabi tuttu ve yatırımcıları siber güvenlik uygulamaları konusunda yanılttıkları gerekçesiyle birçok ÅŸirketi cezalandırdı.

Düzenleyici kurum hesaba yetkisiz girişin sonlandırıldığını ve olayı incelemek için FBI dahil tüm kurumlarla birlikte çalışıldığını açıkladı.

SEC hesabına nasıl girildi?

Eski adı Twitter olan X’in salı günü yayınladığı bildiride olaya iliÅŸkin ayrıntılar paylaşıldı. Bildiride SEC hesabına “kimliÄŸi belirsiz bir üçüncü taraf” aracılığıyla girildiÄŸini ve korsanların @SECGov hesabıyla iliÅŸkili bir telefon numarası üzerinde kontrol sahibi oldukları belirtildi. X bildirisinde daha da ileri gidildi ve SEC hesabında iki faktörlü kimlik doÄŸrulama metodunun kullanılmadığı açıklandı. X’in konuyla iliÅŸkili uyarısında, “Tüm kullanıcılara bu ek güvenlik katmanını kullanmaları için teÅŸvik ediyoruz” denildi.

Siber güvenlik standartlarına göre, güvenliÄŸi ihlal edilmiÅŸ bir X hesabı SEC’in daha önceki vakaları düşünüldüğünde çok daha az ciddi bir konu olarak görülüyor. Zira 2016 yılında SEC'in kurumsal dosyalama sisteminin hacklenmiÅŸ ve yatırımcıların en az 4,1 milyon dolarlık yasa dışı kâr elde etmesine izin verdiÄŸi iddia edilmiÅŸti.

‘Anaokulu’ seviyesinde güvenlik açığı

Harvard öğretim görevlisi ve güvenlik teknolojisi uzmanı Bruce Schneier, "Ä°ÅŸin sonunda, bu açık bir ÅŸekilde utanç verici bir durum. Resmin bütününe bakıldığında bir zarar verilmedi” açıklamasında bulundu. Ancak Schneier SEC’in güvenlik zafiyetinin ‘anaokulu’ seviyesinde olduÄŸunu da sözlerine ekledi:

“Bu bir komite oluÅŸturulmasını, bir ürün satın alınmasını ve kullanıma hazır hale getirilmesini gerektiren ince bir güvenlik kararı deÄŸil. Bu sadece Twitter hesabınızı iki faktörlü kimlik doÄŸrulamaya ayarlamanızla alakalı.”

Siber güvenlik grubu BlackCloak'un CEO'su Chris Pierson, kurumsal hesapların iki faktörlü kimlik doğrulama olmadan çalışmasının alışılmadık bir durum olmadığını, zira birden fazla kişi tarafından kullanılan bir hesap için bir kimlik doğrulama sistemi kurmanın daha karmaşık olduğunu söyledi.

Elon Musk intikam mı aldı?

X'in SEC'in iki faktörlü kimlik doğrulama önlemini uygulamadaki başarısızlığını açıklaması bazı analistleri şaşırttı. Ancak Pierson, komisyonun yeni katı siber güvenlik kuralları göz önünde bulundurulduğunda bu açıklamanın mantıklı olduğunu belirtiyor. Zira kurallar herhangi bir önemli siber güvenlik açığının ayrıntılarının dört gün içinde açıklanmasını gerektiriyor.

Pierson, “X bu açıklamayı yapmak zorunda deÄŸildi. Ancak SEC’in siber güvenlik kurallarına odaklanması nedeniyle bu ek adımı atmış olabilirler. SEC 2023’ün tamamını siber güvenlik konusunu yoÄŸun bir biçimde destekleyerek geçirmiÅŸti” ifadelerine yer verdi.

Sosyal medya platformu X, SEC’i uzun süredir açık bir ÅŸekilde eleÅŸtiren Elon Musk tarafından kontrol ediliyor. Musk 2018 yılında Twitter üzerinden Tesla ile ilgili yaptığı paylaşım nedeniyle menkul kıymetler dolandırıcılığı ile suçlanmış ve daha sonra kurumla anlaÅŸmaya varmıştı. Musk daha sonra Twitter’ı satın aldı, özel bir ÅŸirket haline getirdi ve adını X olarak deÄŸiÅŸtirdi.

Bir diÄŸer cephede ise SEC Musk’a ekim ayında bir dava daha açtı ve Twitter’ın 2022’deki satın alınması süreçleriyle ilgili soruÅŸturmanın bir parçası olarak ifade vermeye çağırdı.

En kritik zamanda gelen saldırı

SEC’in X hesabına yönelik saldırı tüm dünyanın gözleri spot Bitcoin ETF’leri üzerindeyken gerçekleÅŸtirildi. Zira söz konusu ETF’lerin düzenleyici kurum tarafından onaylanması bireysel yatırımcıların Bitcoin’e çok daha kolay ve ucuz bir biçimde yatırım yapabilmesine imkan saÄŸlayacak.

Korsan paylaşımdan birkaç dakika sonra Bitcoin yüzde 1,5 yükselerek gün içi zirvesine ulaÅŸtı. Ancak SEC yönetiminin paylaşımı yalanlamasının ardından bu kazanımlar hızlı bir biçimde tersine döndü. Bitcoin fiyatları toparlanmadan önce %3,4’e kadar düştü.

ABD Kongresi milletvekilleri, yaşananlarla ilgili soruşturma açılması çağrısında bulundu. Tennessee'den Cumhuriyetçi Senatör Bill Hagerty, bir X gönderisinde olayı "kabul edilemez" olarak nitelendirdi.

Hagerty açıklamasında “Tıpkı halka açık bir ÅŸirketten böylesine muazzam bir piyasa hareketi hatası yapılması durumunda SEC'in hesap verebilirlik talep edeceÄŸi gibi, Kongre'nin de az önce ne olduÄŸuna dair cevaplara ihtiyacı var" diye ekledi.

Temsilciler Meclisi finansal hizmetler komitesindeki Cumhuriyetçiler, düzenleyici kurumdan olayla ilgili bir brifing istedi. SEC'i denetleyen ABD Senatosu bankacılık komitesinin Demokrat baÅŸkanı Sherrod Brown, Financial Times'a yaptığı açıklamada, olayın piyasaların ve SEC’in misyonunu baltalayabileceÄŸinden "endiÅŸe duyduÄŸunu" söyledi. Wyoming'den Cumhuriyetçi Senatörü Cynthia Lummis, salı günkü bir X gönderisinde "ne olduÄŸu konusunda ÅŸeffaflığa ihtiyacımız var" dedi.

Siber saldırının nedeni ve nasılı belirsizliÄŸini koruyor. Borsagundem.com’un derlediÄŸi bilgilere göre korsan bildirinin yayılması üzerinden 24 saat geçmeden SEC’in spot Bitcoin ETF’lerini onayladığını bu sefer gerçekten duyurması da ayrıca dikkat çekti.

---

Editor : Åžerif SENCER