Bir analize göre, GMO Internet Group şirketine geçen ay yapılan siber saldırının arkasında büyük ihtimalle Kuzey Kore bağlantılı bir hacker grubu bulunuyor. Konuya yakın kaynaklar pazar günü bu bilgiyi aktardı. Kaynaklar, kullanılan kötü amaçlı yazılımın özelliklerine ve failin bıraktığı diğer izlere dayandıklarını söyledi.
Şirketin konuyu şimdiden hükümete bildirdiği anlaşılıyor. Şirket şimdi bütün koşulları netleştirmeye odaklanacak.
Kyodo News, güvenlik uzmanlarıyla birlikte yaptığı incelemede, saldırıyı üstlendiğini iddia eden bir web sitesine siteyi yayına aldıktan hemen sonra erişmek için kullanılan beş IP adresini tespit etti. Bu adreslerin daha önce bir Kuzey Kore hacker grubu tarafından kullanılanlarla eşleştiği görüldü.
Siber güvenlik kaynaklarına göre sitede Amerika Birleşik Devletleri ve Japonya dahil birden fazla ülkeyle bağlantılı izler bulunuyor. Pazar günü yapılan açıklamalarda, bunun saldırganın soruşturmacıları sahte bayrak operasyonuyla yanıltmaya çalışmış olabileceğine işaret ettiği belirtildi.
Siteye ilişkin ayrı bir analizde, alan adının 1 Eylül'de ABD merkezli bir şirketten satın alındığı ve barındırma sunucusunun da aynı şirket tarafından sağlandığı ortaya çıktı. Dosyaların oluşturulma saatlerinin ABD saat dilimine ayarlandığı, işletim sisteminin ise İngilizceye ayarlandığı görüldü.
Ziyaretçi kayıtlarını toplamak için kullanılan bir programın bir bölümünde Japonca metin bulundu. Bu bölümün yapay zekâ tarafından üretilmiş olabileceğini gösteren özellikler taşıdığı belirlendi. Sitede paylaşılan dosyaların ise Çin'de geliştirilen ve orada yaygın kullanılan bir yazılımla oluşturulduğu tespit edildi.
Güvenlik uzmanlarının cumartesi günü yaptığı analize göre, GMO saldırısının mağdurlarının bilgi paylaşması için kurulan web sitesi de saldırgan tarafından oluşturulmuş olabilir. Sitenin web yapısının, saldırıyı üstlenmek için kullanılan siteyle pek çok benzerlik taşıdığı görüldü.
Uzmanlara göre saldırgan, 'mağdur bilgi paylaşım forumu' adlı web sitesi üzerinden mağdurlardan bilgi toplamaya çalışmış olabilir.
Analize göre site 19 Ekim'de kaydedildi. Bu tarih, Japon internet altyapı sağlayıcısının saldırıyı kamuoyuna açıklamasından iki gün öncesine denk geliyor. Bilgi paylaşım sitesinin ise 22 Ekim itibarıyla erişilebilir olduğu doğrulandı.
İki sitenin genel tasarımları benzer ve kaynak kodlarının bir kısmını paylaşıyor. Uzmanlardan biri, bu nedenle iki sitenin 'neredeyse birebir aynı' olduğunu ifade etti.
Şirket geçen hafta, döviz işlemleri hizmetiyle ilgili müşteri bilgilerinin yetkisiz şekilde sızdırıldığını ve sahte işlemlerde kullanıldığını doğrulamıştı.
Hacker, müşteri bilgilerini ifşa etmekle ve fidye yazılımı saldırısı düzenlemekle tehdit etti. GMO bu talebe yanıt vermedi. Salı günü ise bazı müşteri bilgileri ifşa edildi.
Mağdurlardan biri, 22 Ekim gecesi Rus ismi gibi görünen bir kişiden birden fazla e-posta aldığını söyledi. Bu kişinin kendisini saldırgan olarak tanıttığı belirtildi.
Bu arada şirketin kimlik doğrulama iş kolu olan GMO GlobalSign K.K., çalışan kimlik yönetimi hizmeti üzerinden müşteri şirketlerdeki en az 45 bin kişinin kişisel bilgisinin sızdırıldığını açıkladı.
