ABD Hazine Bakanlığı, İran’ın istihbarat ve Devrim Muhafızları bağlantılı siber ağlarına yönelik yeni bir yaptırım paketi açıkladı. Operasyon, kritik altyapı kuruluşlarına sızdığı ve fidye, veri hırsızlığı ile kripto para soygunlarıyla ilişkilendirilen İran bağlantılı bir grubun da aralarında bulunduğu yaklaşık 60 kişi, şirket ve varlığı hedef alıyor.
Treasury Secretary Scott Bessent, paketi “İran’ın dünya genelindeki mali bağlantılarına karşı ekonomik bir taarruz” olarak nitelendirdi. Washington’ın açıkladığı planın adı Operation Economic Outcast ve hedefi, Tahran yönetimi ile İran Devrim Muhafızları Ordusu’nu destekleyen finansal kanalları kesmek.
Yaptırım listesinde nükleer, füze, petrol ve siber ağlara uzanan yapılar ile dijital varlıklar alanında faaliyet gösteren unsurlar yer aldı. Özellikle İran İstihbarat ve Güvenlik Bakanlığı’na bağlı olduğu belirtilen kötü amaçlı bir siber grup mercek altına alındı. ABD Hazine Bakanlığı, bu yapının ABD’deki kritik altyapı kuruluşlarına yönelik çok sayıda ihlalin ve mali amaçlı siber hırsızlığın arkasında olduğunu bildirdi.
Bakanlık, MOIS’in İran’ın siyasi hedefleri için çalışan çeşitli siber tehdit ağlarını yönettiğini ve bu faaliyetlerin Amerikan sivillerine zarar vermeyi de kapsadığını belirtti. Listede, geçen hafta ABD Adalet Bakanlığı tarafından geniş kapsamlı ihlallerle bağlantılı olarak iddianameyle karşı karşıya kalan beş kişi de bulunuyor. Washington, bu isimlerin Tahran merkezli Mabna Institute ile ilişkili olduğunu öne sürüyor.
Mabna bağlantılı beş isim ve veri hırsızlığı iddiaları
Yaptırım kararında adı geçen kişiler Behzad Mesri, Mojtaba Ghal’eh-Kuhi, Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh, Mohammad Reza Kadkhoda’i ve Arman Kahzadian olarak sıralandı. Mesri’nin, OFAC tarafından daha önce Mart 2018 ve Şubat 2019’da iki ayrı kez yaptırım listesine alındığı hatırlatıldı. İlk karar HBO’ya yönelik hedefleme ve şantaj girişimi, ikinci karar ise yaptırım uygulanan Net Peygard Samavat Company adına ya da onun yararına hareket ettiği iddiası üzerine verilmişti.
Behzad Mesri’ye ilişkin önceki işlemler, onun yalnızca bu son pakette değil, daha önce de ABD yaptırım mekanizmasının hedefinde olduğunu gösterdi. Bakanlık, Mesri’nin isimlendirilmesinin ardından dosyada yer alan diğer bağlantıları da Mabna Institute etrafında topladı.
ABD Hazine Bakanlığı, Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh ve Mohammad Reza Kadkhoda’i’nin ağ ihlali faaliyetlerinin büyük bölümünden sorumlu tutulduğunu açıkladı. Bu üç ismin, en geç 2023 sonlarından bu yana enerji şirketleri, savunma yüklenicileri, sağlık kurumları, bilgi teknolojisi firmaları ve finans kuruluşları dahil olmak üzere birden fazla ABD kritik altyapı şirketine sızdığı ve verileri dışarı çıkardığı öne sürüldü.
Bakanlık, grubun sık sık İran’ın MOIS’i adına ya da onun lehine ağ sömürüsü yaptığını, ancak üyelerin kişisel çıkar ve para kazanma motivasyonuyla da hareket ettiğini kaydetti. Bu nedenle bazı üyelerin, MOIS lehine görülen operasyonlar yerine kendi kazançlarına yöneldiği ve bunun bazı saldırıların İran şirketlerini de hedef almasına yol açtığı ifade edildi.
İddiaya göre grup, 2024 yazında ABD’deki yerel, eyalet ve federal kurumların bir kısmına da girdi. Bir yıl sonra Mojtaba Ghal’eh-Kuhi ile Saber Shahbazi Balujeh’nin İran’da faaliyet gösteren bir telekom şirketini hedef aldığı ve verileri dışarı aktardığı da yaptırım dosyasına yansıdı.
Arman Kahzadian’ın ise ağırlıklı olarak kripto para soygunlarına odaklandığı belirtildi. Hazine Bakanlığı, bu ismin 2023 yazında içinde 30 bin doların üzerinde Bitcoin bulunan bir cüzdanın kontrolünü yasa dışı biçimde ele geçirdiğini aktardı.
MOIS’in yönettiği ağlara ilişkin açıklamada, bakanlık bu grupların İran’ın siyasi hedefleri doğrultusunda çeşitli siber casusluk operasyonları yürüttüğünü ve Amerikan sivillerini hedef alan faaliyetlerde yer aldığını da vurguladı. Yaptırım paketi, bu yapının askeri, siyasi ve finansal alanları birlikte kullandığını gösteren bir dosya olarak duyuruldu.
Yaptırım kararında, grup üyelerinin kişisel çıkar ve hırs nedeniyle zaman zaman MOIS adına yürütülen operasyonlardan bağımsız biçimde hareket ettiği de anlatıldı. Bakanlık, bazı üyelerin İran şirketlerini hedef almasının arka planında da bu motivasyonun bulunduğunu bildirdi.
Kripto cüzdanlar, IRGC finansmanı ve yeni ödül programı
TRM Labs’in Mabna Institute üyelerine bağlı 30 cüzdan üzerinde yaptığı inceleme, bu adreslere toplamda yaklaşık 16,8 milyon dolar giriş yapıldığını ortaya koydu. Blokzincir analiz şirketi, Keyvan Fayyaz Ghareh Blagh ile bağlantılı 10 adresin 6 Ocak 2018 ile 20 Ağustos 2026 arasında toplu halde 15,5 milyon dolar aldığını ve bunun ağın zincir üstü hacminin yüzde 92’sini oluşturduğunu bildirdi.
Aynı incelemede, Behzad Mesri’ye bağlı 15 cüzdan adresinin 12 Temmuz 2019 ile 22 Ağustos 2026 arasında 1,2 milyon dolar aldığı, 30 adresin tamamında kalan bakiyenin ise 202 bin 662 dolar olduğu kaydedildi. TRM Labs, bu akışların grubun finansal ayak izini net biçimde gösterdiğini belirtti.
Yılın başında yayımlanan ayrı bir değerlendirmede TRM Labs, Birleşik Krallık merkezli Zedcex ve Zedxion adlı iki paravan şirketin Devrim Muhafızları için operasyonel finansman sağladığını açıklamıştı. Bu borsaların, İran silahlı kuvvetleri koluyla bağlantılı yaklaşık 1 milyar dolarlık işlemi işlediği belirtilmişti. DomainTools da geçen ay yayımladığı ek raporda, Zedxion-Zedcex yapısının tipik bir finansal vitrin ekosistemi gibi davrandığını yazdı.
TRM Labs Küresel Politika Başkanı Ari Redbord, bu paketin yalnızca İran’ı değil, onunla iş yapan ülke ve platformları da hedef alan ikincil yaptırımlar açısından uyarı niteliği taşıdığını söyledi. Redbord, dijital varlık alanının Operation Economic Outcast içinde özel bir odak noktası haline geldiğini ve operasyonun İran rejimini çevrim içi ve çevrim dışı alanda izole etmeyi amaçladığını ifade etti.
ABD Dışişleri Bakanlığı’nın Rewards for Justice programı da yabancı bir hükümetin yönlendirmesi ya da kontrolü altındaki kritik altyapı hedeflerine karşı kötü amaçlı siber faaliyet yürüten kişiler için 10 milyon dolara kadar ödül duyurdu. Program, bilgi paylaşımı karşılığında ödeme yapılacağını açıkladı.
İran bağlantılı tehdit aktörleri, Şubat 2026’da ABD ve İsrail’in ülkeye yönelik hava saldırılarına başlamasından bu yana bir dizi operasyonla ilişkilendiriliyor. Bu kampanyalar arasında FBI Direktörü Kash Patel’in kişisel e-posta hesabına girilmesi ve en az 12 ABD eyaletinde 30’dan fazla su ve atık su tesisini hedef alan son saldırılar da yer aldı.
Faaliyetler Birleşik Krallık’a da sıçradı. The Telegraph’ın aktardığına göre, geçen ayki bir siber saldırıdan sonra küçük ölçekli bir enerji üretim tesisinde dört günlük kesinti yaşandı ve şüpheler İran bağlantılı hackerlara yöneldi. İngiliz hükümeti ise olayın geniş enerji sistemini riske atmadığını, etkilenen tesisin küçük ölçekli bir enerji jeneratörü olduğunu vurguladı. Tesisin adı paylaşılmadı.
SentinelOne, İran bağlantılı bu faaliyetleri tek merkezli bir yapıdan ziyade farklı görev ve yöntemlere sahip çoklu kümelerden oluşan çok katmanlı bir tehdit olarak tanımladı. Şirketin sınıflandırmasına göre bu yapı veri toplama ve imha etme, sosyal mühendislik, bulut ihlali, muhaliflerin gözetlenmesi ve açığa çıkmış operasyonel teknoloji varlıklarının fırsatçı biçimde hedeflenmesi gibi alanlara yayılıyor.
Güvenlik araştırmacısı Tom Hegel, geçen ay yayımlanan değerlendirmesinde ana stratejik riskin “erişim esnekliği” olduğunu söyledi. Hegel’e göre aynı ele geçirilmiş hesap, hizmet sağlayıcı ya da uzaktan yönetim erişimi, istihbarat toplama, sonradan hedefleme veya görev değiştikçe seçici kesinti için kullanılabiliyor.
DomainTools Investigations ise devam eden çatışmanın, Telegram kanalları ve web siteleri üzerinden örgütlenen, saldırı listelerini paylaşan, DDoS-for-hire araçları kullanan ve sızdırılmış verileri propaganda kampanyalarına çeviren İran yanlısı bir hacktivist ve faketivist ekosistemi de büyüttüğünü aktardı. Bu ağın içinde cihat yanlısı siber kolektifler, milliyetçi aktörler ve devlete yakın etki ağlarının yer aldığı ifade edildi.
Bu grupların motivasyonu klasik anlamda siber casusluk ya da uzun süreli sızma değil. DomainTools’a göre asıl amaç, gevşek bağlı bir mobilizasyon ağı gibi çalışarak rakiplere psikolojik, siyasi ve ekonomik baskı kurmak ve savaş zamanına ya da Batı ve İsrail karşıtı mesajlara senkronize biçimde katılmak.
DTI, saldırı iddiaları ve propagandanın çoğu zaman fiziksel olaylardan saatler sonra ortaya çıktığını, faaliyetlerin büyük kısmının teknik açıdan gelişkin olmadığını yazdı. Şirket, stratejik etkinin teknik yetenekten çok hız, görünürlük ve ideolojik çerçeveleme üzerinden oluştuğunu, bu aktörlerin siber faaliyeti ölçeklenebilir bir asimetrik enformasyon savaşı aracına dönüştürdüğünü belirtti.