11 Kasım’da Avrupa genelinde binlerce okul tehditkar e-postalar aldı, bu da tahliyelere ve acil müdahalelere yol açtı. Siber güvenlik araştırmacıları, tehditlerle ilişkili iki üniversite e-posta adresinin, mesajlar dağıtılmadan çok önce çalınan kimlik bilgilerinin veritabanlarında yer aldığını keşfetti.
İtalya’da yaklaşık 6.300 okul bomba tehdidi aldı ve yetkililer soruşturma sırasında yüzlerce okul tahliye edildi. Benzer mesajlar İskoçya, Kuzey İrlanda ve İrlanda Cumhuriyeti’ndeki eğitim kurumlarına ulaştı. Polis daha sonra tehditleri aldatmaca olarak değerlendirdi ancak patlayıcı bulunmadı.
E-postalar, kendini “Mikhail Andropov” olarak tanımlayan birinden geldiği iddia ediliyordu ve öğrenciler ile okul personeline yönelik tehditler içeriyordu. Bazıları ayrıca İtalya Başbakanı Giorgia Meloni’yi hedef alan iddia edilen saldırıya da atıfta bulundu. Yetkililer, gönderenin kimliğini tespit etmedi veya iddia edilen bağlantıların gerçekliğini doğrulamadı.
Siber güvenlik şirketi Hudson Rock , kampanyayla bağlantılı iki üniversite e-posta adresini araştırdı ve giriş bilgilerinin daha önce açığa çıkarıldığını gösteren tarihsel kayıtlar buldu.
Bir adres Mısır’da bir üniversiteye aitti ve 1 Ekim 2021’de Vidar infostealer kötü amaçlı yazılımı tarafından toplanan verilerde yer aldı. Enfekte olan bilgisayarın kayıtları, Microsoft kimlik doğrulama hizmetleriyle ilişkili kimlik bilgileri dahil olmak üzere kaydedilmiş şifreler içeriyordu.
İkinci adres ise Tayvan’ın Da-Yeh Üniversitesi ile ilişkilendirildi. Araştırmacılar, AlienTXTBASE’de eşleşen Microsoft kimlik bilgilerini buldu; bu koleksiyon toplanmış çalıntı giriş bilgilerini içeriyordu. Hudson Rock, ilgili kayıtların, tehditlerden bir yıldan fazla bir süre önce bilgi hırsızı faaliyetlerinden kaynaklandığını değerlendirdi.
Da-Yeh Üniversitesi daha sonra olağandışı toplu e-posta faaliyetleri bildirdi ve etkilenen hesabı askıya aldı. Ancak araştırmacılar, tarihsel kimlik bilgilerine maruz kalmanın tehdit edici mesajların dağıtımında aynı çalınan şifrelerin kullanılıp kullanılmadığını kanıtlamadığını vurguladı.
Hesaplara nasıl erişildiğini belirlemek, ilgili sağlayıcılardan kimlik doğrulama kayıtları ve e-posta teslimat kayıtlarını gerektirir. Bulgular ayrıca kampanyayı kimin organize ettiğini veya Avrupa genelinde gönderilen her tehdit mesajı arasında bağlantı kurmadığını belirtmiyor.
Sorun İtalya’nın ötesine de uzandı. Kuzey İrlanda’da 300’den fazla okul tehdit içeren e-postalar aldığını bildirirken, İskoç yetkilileri benzer mesajları araştırdı ve inandırıcı bir tehdit belirtisi bulamadı.
Meloni olayı kamuoyuna açıkladı ve güvenlik kontrollerinin patlayıcı tespit edilmediğini doğruladı. Mesajları korku yaratma ve normal okul aktivitelerini bozma girişimi olarak nitelendirdi.
Hudson Rock’ın soruşturması, incelenen her iki adresle ilgili kimlik bilgilerinin olaydan önce ortaya çıkarıldığını ortaya koymaktadır. Bu tarihsel kayıtların doğrudan 11 Kasım kampanyasını mümkün kılıp sağlamadığı henüz çözülmemiş ve tehditleri gönderen kişiler kamuoyuna açıklanmamıştır.