Fidye yazılımı çetelerine yaptırım uygulamak neden bu kadar zor?

25 Şubat’ta, yani Rusya’nın Ukrayna’yı işgalinin ertesi günü, siber suç çetesi Conti Rusya ve Putin ile dayanışma içerisinde olduğunu ilan eden bir destek mesajı yayımladı. Mesajın ardından çetenin dağılmasına giden süreci önceki yazımızda sizlerle paylaşmıştık.

İfşa edilen belgelerle ilgili yürütülen soruşturma, çetenin Rus istihbarat örgütü FSB ile olan bağlarını gözler önüne sererken, çetenin liderinden birinin de doğrudan Putin’in hizmetinde olabileceğine dair iddiaları gündeme getirmişti. 

Rus hükümeti ile bu kadar içli dışlı bir çetenin Batı’nın yaptırım uyguladığı kuruluşlar listesine girmemesi ise bir o kadar merak uyandırmıştı: Bini aşkın kurbandan 150 milyon doları aşkın fidye koparan bir çetenin gelir akışını kesmek gerekmez mi?

Tabii bu yöntemin uygulanamamasının arkasında birçok farklı gerekçe var.

Herkesin aklına ilk gelen sebep

Öncelike ödeme yapmayı engelleyici bir yaptırım uygulamak, firmaların çalınan ya da kilitlenen verilerine yeniden erişmeleri ihtimalini ortadan kaldırmak anlamına geliyor. Çünkü verisine tekrar erişebilmek isteyen bir işletmenin fidyeyi ödeyerek kilidi açacak şifreyi alması gerekiyor.

Birçok durumda bu, kurumu saldırıya uğradığı için cezalandırmakla eşdeğer. Hele ki aralarında hastaneler gibi kamu kurumlarının da bulunduğu mağdurlar için ticari anlamda bir ölüm fermanı anlamına gelecekse.

Bir diğer komplikasyon ise yasadışı çetelerin yasal yollardan takibinin imkansıza yakın olması. Mesela Conti örneğinde, çete şu anda açıkça varlığını ve operasyonlarını sürdürse ve saldırıların gruba ait izleri taşıdığı tespit edilse de, grup kamuoyu nezdinde dağılmış bulunmakta. Ticari bir kaydı bulunmayan bu oluşuma yaptırım uygulasanız da ertesi gün isim değiştirerek yoluna devam etmeyeceğinin bir garantisi yokken, yaptırımlar havanda su dövmeye benziyor.

Bunlara ek olarak, yaptırımlar konuyla hiç ilgisi olmayan üçüncü partilerin zarar görmesine de yol açabilir. Sadece soyadınız Conti olduğu için durduk yere yaptırıma maruz kalan bir İtalya vatandaşı olduğunuzu düşünün.

Başka bir yolu yok mu?

Elbette yaptırım uygulamanın bir yolu mevcut; o da çetelerin mensuplarını deşifre ederek doğrudan bu kişilere yaptırım uygulamak. Dile kolay, mümkün olan durumlarda zaten bu şahıslar hakkında yasal takibat başlatılıyor.

ABD’nin bu gibi durumları takip eden bir kurumu da var. Hazine Bakanlığı’na bağlı olarak çalışan Dış Varlık Denetim İdaresi (OFAC), yaptırım uygulanan ülkelerdeki yasadışı örgütlere varlık aktarılmasının önüne geçmeye çalışıyor. Terörün finansmanını engellemek üzere çalışan bu kurum aslında fidye yazılım çeteleri gibi şaibeli organizasyonlara yapılan ödemeleri de takip ediyor.

Öte yandan hâlihazırda yaptırım uygulanan ülke ve kuruluşlarla bağlantılı çetelere ödeme yapmayın demenin de bir faydası yok. Zira bu çeteler bağlantıları gizlemek için ellerinden gelenin en iyisini yapıyor. 

Kim cezalandırılacak?

Yaptırım uygulanan Kuzey Kore, İran ve FSB gibi taraflara ödeme yapmada aracı olmak da suç. Bu nedenle şirketlerin verilerine erişimlerini yeniden kazanabilmeleri için danışmanlık veren kurumlar da risk alıyor. Ancak OFAC, ödemeyi yaptıktan sonra kendisini ihbar eden işletmelere genelde müsamaha gösteriyor. 

Bu hoşgörü, fidye yazılım saldırılarının daha sık raporlanmasını da sağlamış durumda. Önceden verisinin çalındığını FBI gibi kurumlara haber verdiğinde olayın yankı uyandırarak güvenilirliğinin zedeleneceğinden ve hatta kendisinin soruşturulacağından çekinen şirketler şimdi bu tarz saldırıların daha sık raporlanması sayesinde durumun normalleşmesinden faydalanıyor. Öte yandan zararlarını sigortadan tanzim de edebiliyorlar.

Geçtiğimiz nisan ayı boyunca Kosta Rika hükümetine ait hedeflere yaptıkları saldırılarla dikkatleri başka yöne çekerek âdeta bir taktiksel geri çekilme planlayan Conti gibi gruplar farklı isimler ve yeni kimliklerle varlıklarını sürdürmeye devam edecek, ancak kolluk kuvvetlerinin ve denetçi kurumların kurbanlara anlayışlı yaklaşmaları ve onları işbirliğine teşvik etmeleri, suçlular hakkında takibat başlatılmasını ve en nihayetinde cezalandırılmalarını mümkün kılacak yegâne senaryo.

_{Bu yazının orijinal versiyonu ProPublica'da yayımlandı.}