İngiltere Polis Verileri Tedarikçiler Aracılığıyla Tekrar Tekrar İhlal Edildi

İngiltere Polis Verileri Tedarikçiler Aracılığıyla Tekrar Tekrar İhlal Edildi

His Majesty’s Inspectorate of Constabulary and Fire & Rescue Services tarafından Salı günü yayımlanan bir rapora göre, 2021’den bu yana İngiliz polis verilerini tutan üçüncü taraf tedarikçiler, siber saldırganlar tarafından defalarca ihlal edildi.

İngiltere ve Galler’deki polis teşkilatlarını ve İngiltere’deki itfaiye hizmetlerini denetleyen müfettişlik, Polis Dijital Hizmetleri ve Ulusal Polis Şefleri Konseyi’nin, “polis bilgilerini barındıran üçüncü taraf BİT tedarik zincirlerini etkileyen birden fazla siber saldırı hakkında bilgi” paylaştığını belirtti.

Raporda, kaç saldırının gerçekleştiği, hangi tedarikçilerin veya teşkilatların etkilendiği ya da bu tedarik zinciri olaylarında veri çalınıp çalınmadığı belirtilmiyor. Müfettişlik, kamuya açıklanması uygun görülmeyen operasyonel detayları bilerek çıkardığını ifade etti.

İngiltere İçişleri Bakanlığı veya Ulusal Polis Şefleri Konseyi, tedarikçi saldırılarında polis verilerinin tehlikeye girip girmediği konusundaki sorulara yanıt vermedi.

Denetim kurumu, Polis Dijital Hizmetleri’nin bu yılın ilk üç ayında polis teşkilatlarını etkileyen 252 siber güvenlik olayı ve raporda veri veya BT sistemlerinde zararlı bir ihlal olmayan olaylar olarak tanımlanan 796 “ramak kala” olayı kaydettiğini bildirdi.

Raporda, 252 olayın kaçının veri kaybını içerdiği belirtilmiyor; ayrıca bu rakam, olayların kötü amaçlı yazılım saldırıları, yetkisiz erişim girişimleri ve polis personelinin kazara ifşaları gibi detayların ötesinde ayrıştırılmıyor.

Raporun başka bir bölümünde, müfettişlik, “polis teşkilatları ve itfaiye ve kurtarma hizmetlerinin siber saldırılara maruz kaldığı örnekler” tespit ettiğini, operasyonel sistemleri etkileyen, verileri tehlikeye atan ve hizmetleri aksatan olayları tanımladığını belirtti.

Her iki sektördeki liderler, denetim kurumuna “daha fazla saldırının yüksek olasılıkla gerçekleşeceğini” bildirdi.

Tedarikçiler Hakkında Belirsiz Bilgiler

2021 yılında İngiliz hükümeti tarafından kurulan Polis Dijital Hizmetleri, polis teşkilatları genelindeki siber tehditleri izleyen ulusal bir güvenlik operasyonları merkezi işletiyor. Kurum, denetim kurumunu, tedarikçilerin sistemlerinde tutulan polis verilerinin, bu verilerin kendi izleme alanlarının dışında kalması nedeniyle sektörün karşı karşıya olduğu en büyük risklerden biri olduğu konusunda uyardı.

Rapora göre, tedarikçilerin mağdurlar, koruma, istihbarat ve soruşturmalarla ilgili bilgileri işlediği durumlarda risk özellikle kritik.

Müfettişler, çoğu polis tedarikçi sözleşmesinin devam eden siber güvenlik güvencesi içermediğini tespit etti. Bazı durumlarda, personel tedarikçilerin olayları derhal bildirmekle yükümlü olup olmadığını söyleyemedi ve birkaç kuruluşta tedarikçiler tarafından tutulan sistem günlükleri, kurum içi ekipler tarafından rutin olarak görülemiyordu.

Müfettişlik ayrıca hükümeti, polis ve itfaiye hizmetlerini Ulusal Risk Kaydı 2025’ten, Ocak ayında yayımlanan Hükümet Siber Eylem Planı’ndan ve hala Parlamento’dan geçen Siber Güvenlik ve Direnç Yasası’ndan çıkarması nedeniyle eleştirdi. Müfettişler, sordukları hiçbir hükümet yetkilisinin iki sektörün neden eylem planından veya yasadan çıkarıldığını açıklayamadığını belirtti. Rapor, her iki sektörün de kamu güvenliğindeki hayati rolü göz önüne alındığında bu ihmali endişe verici olarak nitelendirdi.

Rapor, saydığı ihlaller hakkında detay vermese de, belirtilen zaman diliminde meydana gelen bazı olaylar kamuya açık. 2023’te, kimlik kartı üreticisi Digital ID’ye yapılan bir fidye yazılımı saldırısı, Metropolitan Polisi memurlarının ve personelinin bilgilerini ifşa etti ve binlerce Greater Manchester Polisi memurunun isimlerinin ve fotoğraflarının çalınmasına yol açtı.

Temmuz ayında, Batı Yorkshire Polisi tarafından işletilen ve İngiltere ve Galler’deki her teşkilat tarafından kullanılan bir referans hizmeti olan Polis Ulusal Hukuk Veritabanı, siber saldırganların memurların ve personelin iletişim bilgilerini çaldığını doğruladı. Hizmet, veritabanının mağdurlar, tanıklar veya suçlular hakkında gizli bilgi içermediğini belirtti.

Galler’deki Dyfed-Powys Polisi, Eylül ayında bir siber saldırının teşkilatın acil olmayan sistemlerinden bazılarını aksattığını ve personel bilgilerini tehlikeye atmış olabileceğini açıkladı.

Yurt dışında, Hollanda polisi, 2024’te memurların iletişim bilgilerinin ihlalinden muhtemel bir devlet aktörünü sorumlu tuttu. ABD’de, FBI bu yıl, siber saldırganların üçüncü bir taraf aracılığıyla telefon dinleme verilerini tutan bir ağa erişim sağladığını belirtti; müfettişler bu saldırının Çin tarafından gerçekleştirildiğinden şüpheleniyor.

His Majesty’s Inspector of Constabulary Michelle Skeer, “Polis teşkilatları ve itfaiye ve kurtarma hizmetlerine yönelik siber tehdit önemli ve hızla genişliyor” dedi. “Büyük bir siber saldırı varsayımsal bir senaryo değil.”