Rus hacker grubu, geçen yıl Jaguar Land Rover'ı hedef alan ve İngiltere'yi 2,5 milyar dolar zarara uğratan siber saldırının arkasında olduğu New York Times'ın araştırmasıyla ortaya çıktı. Saldırı, 31 Ağustos 2025'te başlayarak JLR'nin fabrikalarında altı hafta boyunca üretimi durdurmakla kalmadı, aynı zamanda İngiltere tarihinin en maliyetli siber saldırısı oldu.

Saldırının Mekanizması ve Yaşanan Hasar

Saldırı, çalışanları taklit eden kişiler tarafından yürütülen vishing kampanyasından başladı. Hacker'lar bu yöntemle JLR çalışanlarını kandırarak kullanıcı adları ve şifreleri elde etti. Bazı durumlarda yönetici yetkilerine sahip olan bu bilgilerle, saldırganlar normal kimlik doğrulama kanallarından sisteme girdi ve ağ içinde yanal hareket ederek ilerledi. 1 Eylül'de üretim hatları tamamen durdu ve personele evde kalması talimatı verildi.

Hasar sadece fabrika zemininde kalmadı. Birleşik Krallık'ın Siber İzleme Merkezi, toplam ekonomik zararı 1,9 milyar sterline çıkardı. JLR'nin tedarik zincirindeki 5.000'den fazla kuruluş etkilendi. İngiltere Merkez Bankası da saldırının milli gelir büyümesine olumsuz etkisini vurgulayarak, beklentilerin altında bir büyüme rakamı kaydedildiğini belirtti.

Soruşturma ve Bulunacak Başka Aktörler

Microsoft, Rus hacker grubunu takip etmişti ve JLR'yi uyarmıştı. FBI, İngiltere Ulusal Suç Ajansı, Ulusal Siber Güvenlik Merkezi, Google'ın Mandiant birimi ve Palo Alto Networks'ün de katılımıyla yürütülen araştırma, saldırının ciddiyetini yansıtan alışılmadık geniş bir koalisyonu temsil etti.

İlginç bir bulgu olarak, araştırmacılar JLR'nin ağlarında sadece Rus grubunun değil, bir başka hacker'ın da olduğunu keşfetti. Ürdün kökenli Rey adlı bir hacker, şirketin altyapısının bir bölümüne bağımsız olarak sızıp girmiş bulunuyordu. Bu keşif, devlet bağlantılı ve suçlu hacker'ların aynı yüksek değerli hedeflere giderek daha fazla yaklaşmak istediğini gösteren son yılların soruşturma bulgularını ortaya koymaktadır.

İngiltere hükümeti, JLR'nin tedarik zincirini restore etmeye yardımcı olmak için 1,5 milyar sterlinlik acil kredi sağladı; bu, siber saldırı için benzeri görülmemiş bir müdahaledir. Saldırıdan kısa sonra 'Scattered Lapsus$ Hunters' adlı bir grup Telegram'da sorumluluk talep etmişse de, New York Times araştırması ayrı bir Rus operasyonunu işaret etmektedir.

Ne anlama geliyor?

Bu saldırı, kimlik doğrulama bilgilerinin sosyal mühendislik yoluyla ele geçirilmesi sonrasında saldırganların kurumsal ağlara girmesi olayının ne denli etkili olduğunu göstermektedir. Vishing kampanyaları, kurbanları taklit ve manipülasyon yoluyla şifre veya giriş anahtarlarını isteyen tekniklerdir. Bu yöntemler, ne kadar gelişmiş bir güvenlik altyapısı olursa olsun, insan faktörü devreye girdiğinde açık birer hedef haline gelmektedir. Saldırganlar meşru kullanıcı kimliğiyle girdikten sonra, ağ içinde yatay yönde hareket ederek daha kritik sistemlere erişimi genişletebilir ve maksimum hasar yaratabilir.

Bir imalat kuruluşunun bu türden kesintiler yaşaması, sadece fabrika dönemsel kaybı anlamına gelmez; tedarik zincirinde yer alan binlerce iş ortağını, müşteri teslim sürelerini ve ekonominin daha geniş kapsamını etkiler. Üretim merkezleri, dijital sisteme bağımlı olduğu için siber saldırıdan ciddi oranda zarar görebilir. Bu olay, işletmelerin yalnızca teknik güvenlik yapısına değil, aynı zamanda çalışan eğitimi ve sosyal mühendislik farkındalığına da önem vermesi gerektiğini vurgulamaktadır.

Ayrıca, aynı hedefte birden fazla bağımsız saldırganın bulunması durumu, kritik altyapıyı hedefleyen tehditlerin yoğunlaştığını göstermektedir. Bu tür hedefler hem devlet aktörleri hem de bağımsız suçlu gruplar için değerli görüldüğü için, savunma mekanizmaları sadece tek bir tehdit türüne karşı değil, çok katmanlı ve dayanıklı bir yapıya sahip olmalıdır.