BAE Systems'e yapılan siber saldırı ABD federal iflas bildirim sistemini çökertti

Bir yüklenici ihlali bir mahkeme servisini çökertti

ABD federal iflas bildirim sistemi, mahkemelerin kendisini değil, onlar adına bir servis işleten şirketi hedefleyen bir siber saldırının ardından çevrimdışı kaldı. ABD Mahkemeleri İdari Ofisi'ne (AOUSC) göre, BAE Systems'e yapılan saldırı Bankruptcy Noticing Center'ı (BNC) — federal iflas mahkemeleri için bildirimleri üreten ve gönderen operasyonu — aksattı. BleepingComputer, 16 Ekim 2026'da 15 Ekim tarihli bir AOUSC açıklamasına dayanarak kesintiyi raporladı ve hem bildirimlerin üretiminin hem de dağıtımının durduğunu belirtti.

BAE niş bir tedarikçi değil, büyük bir tedarikçi. BleepingComputer şirketi, Avrupa'nın en büyük savunma yüklenicisi ve hükümet kurumlarına kurumsal IT, cloud ve cybersecurity hizmetleri sunan önemli bir sağlayıcı olarak tanımlıyor. Bu ayrıntı, olayın iflas mahkemesinin ötesinde yankı bulmasının nedeninin merkezinde: hükümete güvenlik ve IT hizmetleri satan bir firma, temel bir mahkeme işlevinin çalışmayı kestiği noktaya dönüştü.

Çevrimdışı olan nedir

AOUSC, BAE'nin Yargı teşkilatı adına işlettiği BNC sistemlerinin ve web sitelerinin erişilemez olduğunu söylüyor. Dört hizmet etkileniyor: bnc.uscourts.gov, bankruptcynotices.uscourts.gov, notices.uscourts.gov ve National Creditor Registration Service.

BleepingComputer'a verdiği bir açıklamada BAE, "BNC sistemiyle sınırlı" bir güvenlik olayının farkında olduğunu ve AOUSC ile koordinasyon içinde olduğunu söyledi. Mahkemeler, yüklenicinin soruşturma yürüttüğünü ve operasyonları geri getirmek için çalıştığını belirtiyor. Taraflardan hiçbiri servislerin ne zaman geri geleceğine dair bir tarih vermedi.

Hâlâ bilinmeyen nedir

Kamuya açık kayıt, tanımlayıcı soruların çoğunu açık bırakıyor. Saldırının ne zaman başladığını veya tespit edildiğini, BNC ortamından herhangi bir veriye erişilip erişilmediğini veya çıkarılıp çıkarılmadığını ya da kimin arkasında olduğunu söylemiyor — hiçbir fidye yazılımı grubu ya da başka bir tehdit aktörü adlandırılmadı. Bu gerçekler ortaya çıkana kadar BAE'nin "sınırlı" ifadesi zararın nerede olduğunu, ne kadar kapsamlı olduğunu değil, tanımlıyor; ve bir soruşturmanın ortasındaki bir satıcının erken kapsam değerlendirmeleri kesin değil, geçici olarak ele almak en doğrusu.

Yargı teşkilatının iki yıldaki ikinci olayı

Bu, federal Yargı teşkilatının yakın dönemdeki ilk siber olayı değil. 2025'te elektronik dava yönetim sistemlerine yapılan bir saldırının ardından savunmalarını güçlendirdiğini açıkladı ve hassas bilgi içeren belirli mühürlü dosyalara ilişkin daha katı erişim kontrolleri getirdi. Yargı teşkilatı gizli belgelerin herhangi bir ihlalini doğrulamadı, ancak Politico Ağustos 2025'te saldırganların CM/ECF ve PACER sistemlerini ihlal ettiğini ve gizli muhbirların kimlikleri dahil hassas verilere eriştiğini raporladı.

İki olay, öğretici bir şekilde farklı. 2025 ihlali, Yargı teşkilatının kendi işlettiği sistemleri etkiledi. 2026'daki ise Yargı teşkilatının adına bir yüklenicinin işlettiği bir sistem üzerinden geldi — ilk saldırının ardından ne kadar sağlamlaştırma yaptılarsa yapsın, mahkemelerin doğrudan kontrol etmediği bir kapı.

Tek satıcı, çok sayıda servis

İflas süreci bildirime dayanır: alacaklılar, borçlular ve avukatlar bir davada neler olduğundan haberdar edilmelidir. Bir kesintinin zarar vermesi için tek bir dava dosyasına bile dokunması gerekmez; mahkemeler kendi taraflarından çalışmaya devam ederken bile bildirim akışını durdurmak yeterlidir.

Yapısal ders ise yoğunlaşmadır. Kamuya dönük dört Yargı hizmeti tek bir yükleniciyi paylaşıyordu ve tek bir olay dördünü birlikte devirdi. Üçüncü taraf risk programları satıcıları genellikle ne kadar hassas veri tuttuklarına göre sıralar; satıcı karanlığa gömüldüğünde ne kadar iş sürecinin durduğuna çok daha nadiren bakar. İlk ölçüte göre bir bildirim servisi düşük riskli görünebilir. İkincisine göre kritiktir.

Neden önemli

Bu olay, bir işlevi dış kaynak yapmak riski ve hesap verebilirliği dış kaynak yapmadığını gösteriyor. Kesintinin üstünde AOUSC'nin adı var, operasyonel zararı mahkemeler üstleniyor ve halk bir federal mahkeme servisinin çevrimdışı olduğunu görüyor. Aynı örüntü — temel bir işlevin tek bir yönetilen servis sağlayıcısına devredilmesi — bugün çoğu kuruluşun, kamusal ve özel, servis satın alma biçimi ve çoğu bu sağlayıcı başarısız olduğunda ne olacağını hiç test etmedi. Bunun ne kadar ciddileşeceği şimdi yanıtsız sorulara bağlı: saldırgan nasıl girdi, ne kadar kaldı, BNC ortamından veri çıktı mı ve bildirimler ne zaman yeniden akmaya başlayacak.