Apollo'da Sosyal Güvenlik Numaraları Sızdı, Hisse Aynı Gün Yükseldi

Wall Street'in en büyük varlık yöneticilerinden birinin bulut sistemlerine girmek için yeni bir yazılım açığı gerekmedi. Bir telefon görüşmesi yetti.

21 Ağustos Cuma günü Apollo Global Management, Kaliforniya başsavcılığına ulaşan bildirimle temmuz başında bir "sosyal mühendislik olayı" yaşadığını doğruladı. Saldırganlar şirketin bulut ortamına erişmişti; sızan veriler arasında ad, doğum tarihi, adres ve sosyal güvenlik numarası var. Apollo etkilenen kişi sayısını açıklamadı, etkilenenlere 24 ay ücretsiz kredi izleme hizmeti verdiğini bildirdi.

Aynı gün Apollo hissesi 132,69 dolardan, önceki kapanışa göre %2,08 yükselerek kapandı.

Bu iki cümle yan yana durunca akla gelen soru şu: bir şirketin çalışan ve yatırımcı sosyal güvenlik numaraları çalınırken hissesi neden düşmez? Cevap olayın küçüklüğünde değil, borsanın neyi ölçebildiğinde.

Google'ın Hedef Listesi ve İçindeki İsimler

Hikâye Apollo'nun bildiriminden iki hafta önce başladı. 6 Ağustos'ta Google'ın tehdit istihbaratı birimi, ABD'nin en büyük finans kurumlarını hedef alan bir sesli oltalama kampanyasını duyurdu. Reuters, Google'ın verilerini ve internet altyapı kayıtlarını inceleyerek beş hafta içinde 200'den fazla kuruma dijital tuzak kurulduğunu bildirdi.

Adı geçenler arasında Blackstone, Bridgewater Associates, Apollo, Bain Capital, KKR, TPG, CME Group, Clearlake Capital ve Moody's var. Listede Point72, Two Sigma ve Citadel gibi hedge fonlar da yer alıyor; finans dışından Uber, Zillow ve Levi Strauss da.

Burada dikkatli olmak gerekiyor: hedeflenmek ile girilmek aynı şey değil. Google hangi kurumlarda saldırının başarılı olduğunu açıklamadı. Adı geçen şirketlerin çoğu yorum yapmayı reddetti, bir kısmı sorulara yanıt vermedi. Apollo'nun 21 Ağustos'taki bildirimi, listedeki isimlerden gelen ilk açık doğrulama.

Olayı inceleyen Google araştırmacısı Austin Larsen'ın Reuters'a değerlendirmesi kısa:

"Sophisticated is not the right word. It is just really effective." — "Sofistike doğru kelime değil. Sadece gerçekten etkili."

Bir Telefondan Bulut Verisine

Saldırının teknik tarafında yeni bir şey yok; yeni olan hedef seçimi ve zincirin kurgusu.

Zincirin kritik halkası ortadaki sahte portal. Bu sayfalar klasik oltalama sayfaları değil; saldırganın kurban ile gerçek giriş sayfası arasına oturduğu bir yapı kullanıyorlar. Kurban parolasını ve telefonuna gelen tek kullanımlık doğrulama kodunu sahte sayfaya giriyor, sayfa ikisini de anlık olarak gerçek sisteme aktarıyor. Kod otuz saniyede geçersiz oluyor; saldırgan o otuz saniyeyi kullanıyor. Yani iki aşamalı doğrulama devrede olmasına rağmen aşılıyor.

İçeri girildikten sonraki ilk iş kalıcılık kurmak: saldırgan kendi cihazını ikinci doğrulama aracı olarak kaydediyor, kurbanın gerçek cihazını siliyor. Bu adımdan sonra parolayı değiştirmek kapıyı kapatmıyor.

Asıl hasar da burada büyüyor. Kurumsal dünyada Okta ya da Microsoft Entra ID gibi kimlik sağlayıcılar tek oturum açma mantığıyla çalışır: bir kez giriş yapan çalışan, kuruma bağlı onlarca uygulamaya yeniden parola girmeden ulaşır. Çalışan için kolaylık olan şey saldırgan için tek kapı demek. Bir kimlik ele geçtiğinde ele geçen şey bir hesap değil, o hesabın bağlı olduğu bütün bulut uygulama ekosistemi oluyor. Verinin dışarı çıkarılması da elle değil, hazır betiklerle yapılıyor.

Fidyenin Aritmetiği: Neden Vazgeçilmiyor

Bu kampanyanın neden sürdüğünü anlamak için ahlak değil hesap gerekiyor.

Apollo'da Ne Oldu

Bildirime göre yetkisiz erişim 6–10 Temmuz arasında gerçekleşti ve 10 Temmuz'da tespit edildi. Şirket, bildirim tarihinde verinin herhangi bir yerde yayımlandığına ya da kötüye kullanıldığına dair kanıt bulunmadığını belirtti.

Apollo, 30 Haziran itibarıyla 1,05 trilyon dolar varlık yönetiyor; ikinci çeyrek sonuçlarını 4 Ağustos'ta açıkladı ve çeyrek kârı 1,3 milyar dolar oldu. Piyasa değeri 21 Ağustos kapanışında 78 milyar dolar civarında.

İki Ayrı Eşik, İki Ayrı Soru

"Şirket sızıntıyı açıkladı" cümlesinin altında iki ayrı bildirim rejimi var ve ikisi birbirinden bağımsız çalışıyor. Bu ayrım, olayın neden mektupla duyurulup borsaya duyurulmadığını da açıklıyor.

Birinci sütun sayar. 1 Ocak 2026'da yürürlüğe giren SB 446 ile Kaliforniya, bildirimi tespitten itibaren 30 takvim gününe bağladı; 500'den fazla eyalet sakini etkilenmişse tüketiciye gönderilen mektubun bir örneği başsavcılığa da iletiliyor ve kamuya açık hâle geliyor. Apollo olayında elimizdeki tek somut büyüklük ölçüsü bu: mektubun başsavcılıkta olması, en az 500 Kaliforniyalının etkilendiği anlamına geliyor. Bildirimin başsavcılığa ulaştığı tarihin, etkilenen kişilere mektubun gönderildiği tarihle aynı olması gerekmiyor.

İkinci sütun "kaç kişi" diye sormaz, "önemli mi" diye sorar. SEC'in Aralık 2023'te yürürlüğe giren kuralında dört iş günlük süre olayın kendisinden değil, yönetimin olayı önemli saydığı andan başlar. Bu ayrım kâğıt üstünde küçük görünür, pratikte kuralın tamamını belirler: önemlilik kararı verilmemişse saat hiç başlamamıştır.

Sonuç rakamlarda görünüyor. Debevoise & Plimpton'ın kuralın yürürlüğe girdiği 18 Aralık 2023'ten 21 Mayıs 2026'ya kadar tuttuğu sayaçta 74 şirketten toplam 79 bildirim var. Bunların 29'u "önemli siber olay" maddesi olan 1.05 altında yapılmış; 50'si ise gönüllü bildirim maddesi 8.01 altında. İki buçuk yılda bütün ABD borsalarında yalnızca 29 kez bir şirket bir siber olayı finansal olarak önemli saymış.

Yani "ABD'de şirketler siber saldırıları açıklamak zorunda" cümlesinin altındaki araç, açıklamayı olayın büyüklüğüne değil şirketin kendi değerlendirmesine bağlıyor. Kaliforniya'nın kişi sayısı eşiğini aşan bir sızıntı, SEC'in önemlilik eşiğini rahatlıkla aşmayabilir. Apollo olayına dair haberler eyalet bildirimini aktarıyor; bir Form 8-K bildiriminden söz edilmiyor.

Piyasa Neden Kımıldamadı

Önce nedensellik konusunda dürüst olalım. 21 Ağustos borsa genelinde yükselen bir gündü; S&P 500'ü izleyen SPY %0,41 arttı. Apollo'nun %2,08'lik yükselişini sızıntı haberine bağlamak için elde bir gerekçe yok. Buradaki bulgu hareketin kendisi değil, hareketsizlik: sosyal güvenlik numaralarının çalındığı doğrulanmış bir şirketin hissesinde ayrışan bir satış görülmedi.

Günün genel zeminini görmek için:

Bu Apollo'ya özgü bir durum da değil. Comparitech'in 2007–2023 arasında veri sızıntısı yaşamış 118 halka açık şirketi izleyen çalışmasında ortalama tablo şöyle: hisse, duyurudan 41 iş günü sonra dibi görüyor ve o noktadaki ortalama kayıp %1,4'te kalıyor; 53. iş gününde duyuru öncesi seviyesine dönüyor. Altı aylık pencerede Nasdaq'a göre geri kalış %3,2.

Aynı çalışmanın en öğretici bulgusu sezgiye ters. Sosyal güvenlik numarası gibi yüksek hassasiyetli verilerin sızdığı olaylarda hisse altı ayda Nasdaq'ı %1 geçmiş; yalnızca e-posta adresi gibi düşük hassasiyetli verinin sızdığı olaylarda %7,93 geri kalmış.

Bu ilk bakışta anlamsız görünür, mekanizmayı düşününce yerine oturur. Borsa verinin ne kadar mahrem olduğunu fiyatlamıyor; gelirin ne kadar kesintiye uğradığını fiyatlıyor. E-posta listeleri çoğunlukla tüketiciye satış yapan şirketlerde tutulur ve oralarda bir sızıntı genellikle sitenin kapanması, ödeme sisteminin durması, müşterinin başka yere gitmesi demektir — yani o çeyreğin cirosunda görülebilir bir delik. Sosyal güvenlik numarası ise çoğunlukla çalışan, başvuru sahibi ve yatırımcı dosyalarında tutulur; sızması pahalıdır ama pahası bildirim masrafı, kredi izleme aboneliği ve yıllara yayılan davalardır. Hiçbiri gelecek çeyreğin gelirinde görünmez.

Apollo örneğinde bu fark uçlara gidiyor. Şirketin geliri, yönettiği 1,05 trilyon dolarlık varlık üzerinden alınan yönetim ücretlerinden geliyor. Bu paranın önemli bir kısmı kapalı uçlu fonlarda taahhüt edilmiş sermaye: kurumsal yatırımcı fona verdiği sözü bir veri sızıntısı yüzünden geri alamaz, çünkü sözleşme buna izin vermez. Bir perakendecinin müşterisi ertesi gün başka bir siteden alışveriş yapabilir; bir emeklilik fonunun on yıllık taahhüdü öyle çalışmaz. Gelir tarafı sözleşmeyle sabitlenmişse, olayın hisseye girecek bir kanalı da yok demektir.

Hissenin olay öncesi ve sonrası zeminini görmek için:

Grafik bir iddianın kanıtı değil, olayın hangi zemine düştüğünün resmi. Değerleme mantığıyla bakıldığında bir hissenin fiyatı gelecekteki nakit akışlarının bugüne indirgenmiş hâlidir; bir sızıntının fiyata girmesi için o nakit akışlarını ölçülebilir biçimde değiştirmesi gerekir.

Geriye Ne Kaldı

Kapanmamış üç soru var.

Birincisi sayı. Apollo kaç kişinin etkilendiğini açıklamadı, soruşturmanın sürdüğünü söyledi. Kaliforniya eşiğinden bildiğimiz tek şey rakamın 500'den büyük olduğu. Etkilenenlerin çalışan mı, başvuru sahibi mi, yatırımcı mı olduğu da belirtilmedi.

İkincisi liste. Google hedeflenen kurumları saydı, girilenleri saymadı. Apollo'nunki listedeki ilk açık doğrulama; diğerlerinin sessizliği "girilmedi" anlamına gelmiyor, "açıklanmadı" anlamına geliyor.

Üçüncüsü zaman. Verinin kötüye kullanıldığına dair kanıt bulunmaması, verinin kopyalanmadığı anlamına gelmez. Sosyal güvenlik numarası değişmeyen bir veridir; parola gibi sıfırlanamaz. Bu tür verinin karaborsadaki değeri yıllarca sürer, dolayısıyla riski de öyle.

Bu yazı Reuters'ın 6 Ağustos tarihli özel haberine, Google'ın tehdit istihbaratı raporunun basında aktarılan bulgularına, Apollo'nun Kaliforniya başsavcılığına ilettiği bildirimin TechCrunch ve Bloomberg tarafından aktarılan içeriğine, Apollo'nun 4 Ağustos tarihli ikinci çeyrek sonuçlarına, Debevoise & Plimpton'ın Form 8-K siber olay sayacına ve Comparitech'in 118 şirketlik hisse performansı çalışmasına dayanıyor. Fidye tutarları ve altyapı rakamları Google raporundan basına aktarılan verilerdir, bağımsız olarak doğrulanmamıştır. Etkilenen kişi sayısı şirket tarafından açıklanmamıştır.