Getty Images Siber saldırganlar peş peşe Anadolu Sigorta ve PTT’nin uygulamalarını maksat aldı. Anadolu Sigorta’nın “Sigortam Cepte” uygulamasının kullanıcıları, 9 Aralık akşamı telefonlarına gelen küfürlü bildirimlerle karşılaştı.
Peş peşe gelen bildirimlerde küfürlü içeriğin yanı sıra belirtilen bir cüzdana binlerce dolarlık Bitcoin gönderilmesi, aksi halde kullanıcıların bilgilerinin ifşa edileceği tehdidi de yer aldı.
Bunun akabinde 10 Aralık’ta bu defa PTT’nin “HGS” isimli taşınabilir uygulamasında emsal bir olay görüldü.
Bir kere daha kullanıcılara küfür dolu bildirimler gönderildi ve datalarının ifşa edileceğine yönelik şantaj yapıldı.
BBC Türkçe‘nin konuştuğu siber güvenlik uzmanları, iki olayın gerisinde da birebir siber saldırganların olduğunu söyledi.
Anadolu Sigorta ve PTT ne dedi?
Açıklamada uygulamanın daha sonra tüm denetimler yapılarak yine hizmete açıldığı ve rastgele bir data sızıntısı yaşanmadığı belirtildi.
PTT’den de tıpkı gün benzeri bir açıklama geldi.
Şirketin toplumsal medya hesabından yapılan paylaşımda “şirketimizle ilgisi olmayan bildirimlerin birtakım kullanıcılara iletildiği tespit edilmiştir” dendi.
Bu açıklamada da bilgi kaybı ya da kullanıcı bilgilerinin “yetkisiz bireylerin eline geçmesi” üzere bir durum yaşanmadığı belirtildi.
Konuyla ilgili bir açıklama da Bilgi Teknolojileri ve İrtibat Kurumu’na (BTK) bağlı Ulusal Siber Olaylara Müdahale Merkezi’nden (USOM) yapıldı.
USOM’un 11 Aralık’ta yaptığı paylaşımda, güvenlik zaafiyetine “OneSignal” isimli bildirim hizmeti sağlayan şirkete ilişkin sanal “anahtarların” siber saldırganlar tarafından ele geçirilmesinin yol açtığı belirtildi.
Paylaşımda bu şirketten hizmet alan kurum ve kuruluşlara güvenlik açığını kapatmaları için almaları gereken tedbirler de listelendi.
USOM ayrıyeten kullanıcılara bu bildirimlere prestij etmemeleri ve rastgele bir kripto para transferi gerçekleştirmemeleri uyarısı yaptı.
OneSignal’ın yöneticisi ve kurucu ortağı George Deglin, toplumsal medyada Türk kullanıcıların bahisle ilgili paylaşımlarına verdiği bir karşılıkta sorunun OneSignal’ın genelinde görülmediğini belirtti.
Deglin, bahsi geçen güvenlik açığının, iki uygulamaya ilişkin anahtarların “siber saldırganlar tarafından bulunabilecek yerlerde” olmasından kaynaklandığını söyledi.
Deglin, tahlil için uygulamalarla irtibata geçtiklerini ve ileriye dönük ek güvenlik tavsiyelerinde bulunduklarını belirtti.
Peki siber saldırganlar nasıl oldu da bu uygulamaların bildirim hizmetine erişim sağladı, onlarca kullanıcıya küfür ve tehdit dolu bildirimler gönderebildi?
‘Bildirim gelmesi uygulama hacklendi demek değil’
Bu akının temelinde “Uygulama Programlama Arayüzü (API) anahtarı” ismi verilen bir kavram yatıyor.
Siber güvenlik uzmanı Ayşe Aktağ, saldırganların API anahtarlarını Anadolu Sigorta ve HGS uygulama belgelerinin içinde “sabit kodlanmış” bir biçimde bulduklarını ve bu açık üzerinden OneSignal hizmetine “yetkisiz erişim sağladığını” söylüyor.
Kıdemli Siber Güvenlik Uzmanı Onur Oktay da taarruzun akabinde HGS uygulamasını indirdiklerini ve “tersine kodlama” metoduyla bahsi geçen evraklara açık bir formda ulaşabildiklerini tabir ediyor.
Kıdemli Siber Güvenlik Uzmanı Eyüp Çelik, siber taarruz sürecini şöyle özetliyor:
“OneSignal’ın internete açık servisi var. Uygulamalar anahtarlarıyla ona bağlanıp bildirim gönderiyor. Saldırgan bu parolayla oraya bağlanıp güya HGS uygulaması bildirim göndermek istiyormuş üzere hareket ediyor.”
Çelik, API anahtarının belgeler içinde bırakılmasının uygulamanın kodunu hazırlayan yazılımcıların yanlışı olduğunu vurguluyor ve ekliyor:
“Gömülmesi gerekiyorsa bile şifrelenmiş formda içeride tutulmalı. Kullanıcı ya da saldırgan onu görememeli. Ya da hepsi sunucu tarafında saklanmalı.”
Uzmanlar, Anadolu Sigorta’ya yönelik atak sonrasında öbür kurum ve kuruluşların sistemlerindeki açıkları taramak ve kapatmak için hummalı bir çalışma başlattığını vurguluyor.
Oktay ise “Tüm kesim dün gece ‘bizde OneSignal var mı?’ diye harekete geçti, kritik bilginin döndüğü yerlerde kod tahlilleri gerçekleşti” diyor.
BBC Türkçe‘ye konuşan ThreatMon Siber Tehdit İstihbaratı Platformu Baş Teknoloji Sorumlusu Gökhan Büyükler ise bildirim servisleri üzerinden bildirim gelmesinin, bu kurum ya da uygulamaların hacklenmesi manasına gelmediğini söyledi.
Yüceler, “Onesignal üzerinde şahsî bilgiler kayıtlı değil, bilgiler HGS ve Anadolu sigortanın bilgi tabanında” dedi.
‘Herhangi bir kredi kartı ya da bilgi sızıntısı kelam konusu değil’
Ayşe Aktağ, bu tip taarruzlarda birtakım durumlarda saldırganların kullanıcıların yerine geçebildiğine ve ferdî bilgilere erişebildiğine dikkat çekiyor.
Siber güvenlik uzmanı, “Bu nedenle, API anahtarlarının inançlı bir halde saklanması, sırf gerekli erişimlere müsaade verilmesi ve nizamlı olarak güvenlik testlerinin yapılması gereklidir” diyor.
Onur Atay ise bilhassa toplumsal medya kullanıcılarının lisana getirdiği sigorta bilgileri ya da HGS uygulaması üzerinden kredi kartı ya da araç plakası üzere bilgilerin bu atakta çalınmadığını, saldırganların sadece bildirim gönderilmesini sağlayan hizmete erişimi olduğunu söylüyor.
Atay, “Sadece bildirim atabiliyorlardı, imkanları olsa binlerce kişinin bilgisini alıp satabilirlerdi” diyor ve ekliyor:
“Bunlar büsbütün bağımsız şeyler, rastgele bir kredi kartı ya da bilgi sızıntısı kelam konusu değil.”
Gökhan Büyükler de “Burada bir bilgi kaybı yok, Yalnızca bildirim entegrasyonu olduğu için kullanıcıların aygıt bilgileri ve kimi parametre bilgileri var” diyor ve kullanıcılara giden şantaj bildirimlerinin de aldatıcı olduğunu savunuyor:
“Saldırgan da bunu fırsata çeviriyor, ‘Burayı hackledim’ algısı yaratıyor. Bu durumdaysa o denli bir şey kelam konusu değil.”
Kullanıcılar kendilerini nasıl muhafazalı?
Siber hücumların akabinde kullanıcılar datalarının ifşa olduğu tarafında tasalarını lisana getirdi.
Ayşe Aktağ, API güvenlik anahtarlarına yönelik kurumların alabileceği tedbirlerin yanı sıra, güvenlik açığından etkilendiğini düşünen kullanıcıların uygulama parolalarını derhal değiştirmeleri gerektiğini tabir ediyor.
Aktağ ayrıyeten uygulama ve aygıtların sistemli olarak güncellenmesi ve güvenlik taramalarına tabi tutulması gerektiğini söylüyor.
BBC Türkçe‘ye konuşan Boğaziçi Üniversitesi Bilgisayar Mühendisliği Kısmı’ndan Profesör Doktor Tuna Tuğcu ise siber saldırganların ferdî bilgiler üzerinden insanları korkutarak hareket ettiğine dikkat çekiyor.
Tuğcu, kullanıcıların bu türlü bir durumda saldırganlara para göndermek üzere faaliyetlerde bulunmaması gerektiğini vurguluyor.
Akademisyen, iki büyük firmaya ilişkin uygulamalara ilişkin API güvenlik anahtarlarının eş vakitli ele geçirilmesinin “ciddi soru işaretleri” yarattığını söylüyor ve resmi kurumların olaya ait gereğince ayrıntılı açıklama yapmadığını savunuyor.
Tuğcu ayrıyeten hususun dair resmi makamlar ve bağımsız uzmanlar tarafından araştırılması gerektiğini belirtiyor ve ekliyor:
“Hepimizin yapması gereken şey daha net bir açıklama talep etmek ‘Tamam düzelttik’ demek değil. ‘Sorun neydi, nasıl oluştu ve nasıl çözdünüz? Beni bunun gerçek bir tahlil olduğuna ikna edin’ demeliyiz.”
