İster süpermarket buzdolapları, ister kan bağışı hizmetleri ya da Berlin eyalet ağı olsun: siber saldırılar giderek kritik altyapıları vuruyor. Bir etik hacker, açıkları nasıl bulduğunu ve neden insanın çoğu kez en büyük risk olduğunu Euronews’e anlatıyor.
Marketlerdeki buzdolaplarından sonra şimdi de kan bağışı hizmetleri, kimliği bilinmeyen bilgisayar korsanlarının hedefi oldu. Soğutmanın kesintiye uğraması nedeniyle bağışlar kullanılamaz hale geldi. Bir ethical hacker, Euronews'e verdiği röportajda, suçlular bunlardan yararlanıp zarar vermeden önce güvenlik açıklarını nasıl bulmaya çalıştıklarını anlatıyor.
REKLAM
REKLAM
"Son iki haftada, daha önce bu ölçekte bir yıl içinde bile yaşamadığımız olağanüstü sayıda çarpıcı vakayla karşılaştık" diye açıklıyor Whitelisthackers şirketinden siber güvenlik uzmanı Marco Di Filippo. O, Almanca'da "ethischer Hacker" denilen, yani etik hacker olarak biliniyor ve şirketler tarafından BT güvenliğini kontrol etmek için görevlendiriliyor.
Son günlerde onu birçok olay meşgul etti. AfD sızıntılarından, Revolut'taki ve çok sayıda internet sitesinin yazıldığı PHP betik dilindeki güvenlik açıklarına, oradan da soğuk hava depolarına yönelik saldırılara kadar uzanıyor. Almanya Federal Kriminal Dairesi Bundeskriminalamt'ın 2025 Siber Suç Durum Raporuna göre 2025 yılında 202,4 milyar Euro tutarında ekonomik zarar meydana geldi.
Tek bir tık, Berlin eyalet ağının kapısını korsanlara açtı
Ağustos 2026'da Berlin'in eyalet ağına düzenlenen siber saldırı hakkında konuşan Di Filippo, bunun özellikle sorunlu bir vaka olduğunu söylüyor. Ona göre saldırı önlenebilirdi. Failler 30 Bitcoin (yaklaşık iki milyon Euro) tutarında fidye istedi, ancak Berlin Senatosu bunu kararlı biçimde reddetti. Sonuçta 1,4 milyon gizli dosya darknet'te yayımlandı.
Buna, dijital sistemdeki bir zayıflık yol açtı. Saldırının arkasında bulunan "Rhysida" adlı fidye yazılımı grubu, bir kişinin bilgisizliğinden yararlandı. "Kurban bir internet sitesine çekildi ve orada insan olduğunu doğrulaması istendi. Bu saldırı yöntemi ClickFix olarak adlandırılıyor. Herkesin bildiği bir şey: Bot olmadığınızı kanıtlamak için rakam girmeniz, görselleri birleştirmeniz ya da bir hesaplama yapmanız istenir" diye açıklıyor Di Filippo.
Site üzerinde kurbandan belirli bir tuş kombinasyonu yapması, bir komutu yapıştırması ve Enter'a basması istendi. "Böylece saldırganlara sonunda kapıyı bizzat siz açmış oluyorsunuz" diye yorumluyor Di Filippo. BT güvenliği uzmanına göre bu, şu içerikte bir e-posta yazmaya benziyor: "'Bir bankayı soymak istiyorum ve bu akşam saat onda uğrayacağım. Lütfen kapıyı aralık bırakın ki doğrudan kasaya gidebileyim.'"
Di Filippo, bu vakadan iki sonuç çıkarılabileceğini söylüyor. Bir yandan dikkat eksikliğine işaret ediyor: "Birincisi, bu komutu çalıştıran bir kullanıcı vardı, yani insan faktörü." Ayrıca bu kullanıcının, böyle bir saldırıyı gerçekleştirmeye yetecek yetkilere sahip olmaması gerektiğini vurguluyor. "Her gün, insanın başını sallamadan edemediği bu tür vakalar görüyoruz" diye değerlendiriyor Di Filippo.
İnsan, BT güvenliğinin zayıf halkası
Bir bilgisayar korsanı saldırısından etkilenme olasılığı iki kişiden birine denk geliyor. Ancak Whitelisthackers'tan siber güvenlik uzmanı Marco Di Filippo'ya göre bu risk hâlâ yeterince ciddiye alınmıyor. İnsanlar hırsızlıktan ya da fırtınadan daha fazla korkuyor. "Oysa yıldırım çarpma olasılığım sadece 1'e 200.000" diyor Di Filippo.
Siber güvenlik uzmanı, güvenliğin günümüzde öncelik olmadığını üzüntüyle belirtiyor. "Kullanılabilirliğin, yani kullanıcı dostu olmanın, odakta olduğu pek çok ürün satılıyor" diyor. Örneğin, ışık ve ısının her yerden kontrol edilebildiği akıllı evler (Smart Home) var. Süpermarketlerdeki buzdolapları da merkezi olarak yönetilebilmeleri için internete bağlı. Her şey daha kolay hale geliyor, ama mutlaka daha güvenli değil.
"Tam da burada, eğitimimizde bir eksik var. 'Biz' derken hepimizi kastediyorum, yani tehlikeleri tanımayı hiçbir zaman öğrenmemiş herkesi" diyor Di Filippo. Eğitime ağırlık verilmesi gerektiğini belirtiyor. Daha önce bir hacker saldırısı riskiyla hiç karşılaşmamış olanlar, kendilerini olası hedef olarak görmüyor. Oysa örneğin başkalarının cihazlarına giriş yapma imkânları giderek artıyor.
Siber güvenlik neden farkındalıkla başlıyor?
Bazı durumlarda, bir SMS ya da WhatsApp mesajındaki bağlantıya tıklayıp ardından kimliğinizi doğrulamanız, saldırganlara yanlışlıkla özel mesajlarınıza erişim izni vermek için yeterli olabiliyor. Çünkü saldırganlar cihazla bağlantı kuruyor ve böylece mesajlara, medyalara ve kişilere erişim elde ediyor. Yılın başında Federal Bilgi Güvenliği Dairesi BSI, "Ghost Pairing" olarak bilinen bu yöntem konusunda uyarıda bulundu. BSI'ya göre, başkalarının mesajları okumasını engellemek için gelen mesajların "eleştirel biçimde incelenmesi" ve iki faktörlü kimlik doğrulama gibi mekanizmaların devreye alınması gerekiyor.
Hindistan gibi diğer ülkeler, teknoloji geliştirmesinin yanı sıra yoğun bir bilinçlendirme çalışması yürütüyor. "Hindistan'da metroya bindiğimde her yerde şu türde afişler görüyorum: siber suçlular ya da siber zararlar hakkında bilgiler ve arayabileceğim bir yardım hattı" diyor Di Filippo. Almanya'da ise polisin bazen şikayetleri geri çevirdiğini, ardından hangi kurumun yetkili olduğunu araştırmak zorunda kaldığınızı söylüyor.
"Her gün saldırılar için yeni yöntemler ve fikirler ortaya çıkıyor" diyerek hızlı gelişme konusunda uyarıyor Di Filippo. "Buzdolaplarında, hackerlar bir kez bu güvenlik açığını keşfetti ve şimdi sadece kimlerin bu modeli kullandığına bakmaları yeterli. Saldırılar buna göre yayılıyor." Bir güvenlik açığının bulunmasının, kartopu etkisi yaratabileceğini belirtiyor.
Di Filippo'ya göre saldırıların yaklaşık yüzde 80 ile 95'inde, tıpkı Berlin eyalet ağlarına yönelik saldırıda olduğu gibi, bir açığın kullanılabilmesinde insan faktörü rol oynuyor. "Bu nedenle, nihayetinde siber saldırılara dayanıklı hale gelmek için eğitim ve farkındalığa çok güçlü biçimde odaklanmamız gerekiyor. İnsan faktörü mutlaka işin içine katılmalı, yalnızca teknolojiyle bunu başaramayız."
Hackerları durdurmak için hacklemek
Di Filippo'nun işinde amaç, kendini suçlu hackerların yerine koymak. "Sonuçta, tıpkı gerçek siber suçluların kullandığı yöntemlerle, altyapılara saldırmaya ya da yazılımda veya BT tabanlı cihazlarda altyapı hataları bulmaya çalışıyoruz" diyor Di Filippo. "Tek fark, bizim gerçek saldırganlardan önce bu hataları bulmayı ve bu açıkları onların kullanmasını engellemeyi hedeflememiz."
Önemli fark, etik hackerların, örneğin büyük şirketler gibi müşteriler tarafından görevlendirilmesi ve bu müşterilerin altyapısına zarar verme niyetlerinin olmaması. Di Filippo, şirketinde hiç kimsenin geçmişte suç işlemediğini özellikle vurguluyor. Etik hackerlar, adli sicil kaydıyla geçmişlerini ortaya koymak ve bunu kanıtlamak zorunda.
"Her zaman bir güvenlik açığı buluyoruz" diye anlatıyor Euronews'e yaptığı konuşmada. Ekibi, şirketlere sonunda dijital altyapılarındaki açıkların nerede bulunduğunu ve nasıl keşfedildiğini gösteren, 400 sayfaya kadar uzanabilen bir rapor sunuyor.
Bir açık tespit edildiğinde, son cihazların veya sistemlerin üreticileri bilgilendiriliyor ve bu açıkların kapatılması için şirketle birlikte çalışabiliyorlar. Bazı durumlarda, örneğin iPhone'daki bu tür güvenlik açıklarının değeri birkaç milyon Euro'ya ulaşabiliyor. "O açığın kapatılmasını bekliyoruz. Ardından her güvenlik açığı, CVE olarak adlandırılan bir kayıtla yayımlanıyor" diye devam ediyor Di Filippo.
CVE, Common Vulnerabilities and Exposures ifadesinin kısaltması (Türkçesi: ortak güvenlik açıkları ve maruziyetler). Bu, kamuya açık bir güvenlik açıkları kataloğu. BSI da güvenlik açıkları hakkında bilgilendirme yapıyor ve daha geniş bir liste için resmi olarak uluslararası National Vulnerability Database (NVD) veritabanına atıfta bulunuyor.
Eksik şifreleme milyarları götürebilir
Di Filippo'nun anlatabildikleri, adeta bir Netflix dizisinin senaryosunu andırıyor. Yaklaşık on yıl önce, siber suçluların bir bankadan nispeten kolay biçimde 1,2 milyar Euro çalabildiği bir vaka yaşandı. "Ve bu, bankanın o dönem şubelerini birbirine bağlarken hiçbir güvenlik önlemi almamış olmasından kaynaklanıyordu" diyor siber güvenlik uzmanı.
Bankanın, caddenin bir tarafında bir şubesi, tam karşı tarafında ise ona bağlı başka bir ofisi bulunduğu belirtiliyor. "Bu iki noktayı bir yönlü radyo bağlantısıyla bağladılar ve bu bağlantı şifrelenmemişti. Böylece, en ufak bir hacker becerisi olmayan saldırganlar bile çok kolay biçimde bu bağlantıya giriş yapabildi, bankada dijital olarak serbestçe dolaşabildi ve sessizce bu parayı çekebildi."
Süpermarketlerdeki buzdolaplarında da bazı vakalarda nihayetinde şifreleme koruması eksikti. Uzmanlar en azından bir VPN ya da güvenlik duvarı kullanılmasını tavsiye ediyor. Bankalar için ise artık daha yüksek güvenlik standartları geçerli. Yaklaşık bir yıl önce federal hükümet ayrıca NIS-2 yönergesini kabul etti. Bu yönerge, eskisine göre çok daha fazla şirketi ve sektörü, özellikle de önleyici nitelikte bağlayıcı siber güvenlik önlemleri almaya zorluyor.
Whitelisthackers şirketi ayrıca medya okuryazarlığına önem veriyor ve bu nedenle "Almanya'nın En İyi Hackerı" adlı yarışmayı hayata geçirdi. Amaç, yetenekleri keşfetmek ve etik hackerların yardımıyla dijital dünyayı daha güvenli hale getirmek. Yarışmayı kazananlar, maraton tarzı hackleme etkinlikleri olan uluslararası "hackathon"lara katılabiliyor.
Hizmet olarak hackleme, her iki tarafta da bir patlama yaşıyor. Darknet'te Cybercrime-as-a-Service (CaaS) (Almanca: sipariş üzerine siber suç) artık suçlular arasında yaygın, ancak yasal güvenlik hizmetleri pazarı da büyüyor. Whitelisthackers, yılda yaklaşık 250 müşterinin taleplerini işliyor. Kısmen küresel ölçekte ses getiren vakaların ardından, şirketler de giderek kendi güvenlik altyapılarını geliştirmekle daha fazla ilgileniyor.