Yapay Zeka Şirketi Fireworks, Ekim 2026 Saldırılarında Veri ve Fatura Bilgilerinin Çalındığını Duyurdu

Yapay Zeka Şirketi Fireworks, Ekim 2026 Saldırılarında Veri ve Fatura Bilgilerinin Çalındığını Duyurdu

Yapay zeka altyapı şirketi Fireworks, geçen ay yaşanan iki siber saldırıda siber suçluların fatura bilgileri ve yapay zekaya özgü verileri çaldığını açıkladı.

Fireworks, 6 Ekim’de tespit ettiği bir veri ihlalini araştırmak üzere Palo Alto Networks Unit 42’yi görevlendirdi. 2022’de kurulan San Mateo merkezli şirket, 10.000’den fazla müşteriye çeşitli yapay zeka sistemleri ve araçları sunuyor.

Araştırmacılar, finansal motivasyonlu bir siber suç grubunun saldırıyı gerçekleştirdiğini tespit etti. Bu grup, hesap ve fatura bilgilerinin yanı sıra “sırlar” olarak adlandırılan gizli dijital bilgileri çaldı. Bu sırlar, insan kullanıcıların veya uygulamaların erişimini sağlayan ve iletişim kurmalarına veya eylemler gerçekleştirmelerine olanak tanıyan bilgilerdir. Fireworks, olayın “sınırlı sayıda müşteri hesabını” etkilediğini ve etkilenen tüm müşterilerin bilgilendirildiğini belirtti.

Fireworks’tan Pazartesi günü yapılan uyarıda, şirketin 23 Ekim’de Ar-Ge makinelerini barındıran üçüncü taraf bir bulut sağlayıcısının siber suçlular tarafından saldırıya uğradığı başka bir olay yaşadığı da belirtildi.

Şirket, “24 Ekim’de yetkisiz üçüncü taraf, [sağlayıcıyı] kullanarak Fireworks geliştirme makinelerine ulaştı ve ardından ek müşteri verilerini etkileyen yetkisiz bir iş yükü çalıştırdı” dedi.

Saldırganlar, Fireworks’un dahili verilerine, fatura bilgilerine, faturalara ve ödeme geçmişine, ayrıca veri kümelerine ve diğer yapay zeka ile ilgili verilere erişim sağladı.

Etkilenen müşteriler bilgilendirildi. Fireworks, güvenlik duruşunu güçlendirmek ve tehlikeye giren kimlik bilgilerini iptal etmek için Palo Alto Networks ile çalışıyor.

Dijital çalışma alanı şirketi Notion, bazı müşterilerinin Fireworks ihlallerinden etkilendiğine dair kendi bildirimini yayınladı. Şirket, olayın 2 Kasım’da kendilerine bildirildiğini ve sistemlerini Fireworks’tan ayırarak Fireworks sistemindeki tüm verileri sildiğini belirtti.

Şirket, “6 Kasım’da Fireworks, kötü niyetli aktörlerin potansiyel müşteri verilerine erişmiş olabileceğini bize bildirdi. Ekibimiz hemen başka bir dahili soruşturma başlattı” dedi.

“Müşterilerin kendi yapay zeka kullanımlarını Notion’daki Insights adlı bir özellik aracılığıyla anlamalarına yardımcı olmak için sınıflandırma işleri için Fireworks’u kullandık. Ayrıca ürünümüz içinde açık ağırlıklı modeller sunmak için genel bir çıkarım sağlayıcısı olarak kullandık. Bu olay araştırılırken Insights özelliği devre dışı bırakıldı ve artık Fireworks aracılığıyla açık ağırlıklı modeller sunmuyoruz.”

LLMJacking Saldırıları

Fireworks, ihlallerinin Google’daki olay müdahale ekipleri tarafından yakın zamanda vurgulanan daha büyük bir saldırı dizisinin parçası olduğunu belirtti. Google Tehdit İstihbarat Grubu (GTIG) ve Mandiant, geçen hafta “LLMJacking” olarak bilinen bir taktik hakkında bir blog yayınladı. Bu taktikte bilgisayar korsanları, bir işletmenin büyük dil modellerine erişimi ele geçiriyor.

Mandiant, 2026’da çeşitli bulut ve büyük dil modeli sağlayıcılarını kapsayan birden fazla LLMJacking olayına müdahale ettiğini belirtti. Bu olaylar, “Kuzey Amerika, Güney Amerika ve Asya Pasifik’teki finansal hizmetler, perakende, teknoloji ve ulaşım sektörlerindeki kuruluşları” etkiledi.

Araştırmacılar, “Kripto madenciliği ile ilişkili kademeli kaynak tüketiminin aksine, LLMJacking saatler içinde büyük dolandırıcılık amaçlı bulut ücretlerinde büyük artışlar yaratabilir” diye açıkladı.

“Bireysel olaylarda, kaynak tüketimiyle ilişkili dolandırıcılık amaçlı ücretlerin tek bir günde 100.000 doları aştığını, bazı kuruluşlarda kümülatif ücretlerin erişim iptal edilmeden önce 1 milyon dolara ulaştığını gözlemledik.”

GTIG, saldırılardan sorumlu “küresel olarak birden fazla bölgeden faaliyet gösteren çeşitli finansal motivasyonlu tehdit kümeleri” tespit ettiğini belirtti.

Gruplar ayrıca olgunlaşıyor. Bazıları başlangıç erişimine odaklanırken, diğer gruplar yetkisiz büyük dil modeli erişimini ticarileştiriyor ve yeniden satıyor.

Birden fazla soruşturma, grupların öncelikli olarak tehdit aktörlerinin hedef kuruluşların altyapısına dayanak noktası oluşturmasına olanak tanıyan belirteçleri veya kimlik bilgilerini çalmaya çalıştığını gösterdi.

GTIG, “İşletmeler daha üst düzey modelleri ve aracı iş akışlarını üretim ortamlarına entegre ettikçe, siber suçluların maruz kalan API belirteçlerini hedeflemek ve model yönlendirme ara yazılımlarındaki güvenlik açıklarını istismar etmek için otomatik keşiflerini muhtemelen geliştireceklerini” belirtti.

“Bu operasyonel uzmanlaşma, büyüyen yasa dışı yeniden satış pazarını sürdürecek. Ayrıca tehdit aktörlerinin, ihlaller tespit edilmeden önce kurumsal kotaları hızla boşaltmasına ve faturalandırma maliyetlerini mağdurlara aktarmasına olanak tanıyacak.”