Türkiye’deki büyük veri sızıntılarında saldırganların içeri nasıl girdiği sorusu, son dönemde ihlalin kendisi kadar önem kazanmış durumda; vakaların önemli bölümünde ilk temas noktası phishing, açık bırakılmış servisler ya da güncel tutulmayan yazılımlar oluyor.
Kurumsal ağların dışarıya açık uçları çoğu zaman tek başına bir ihlal yaratmıyor, ancak saldırganın aradığı başlangıç noktasını sağlıyor. Güvenlik ekiplerinin saha incelemelerinde, kullanıcıyı kandıran e-postalarla alınan kimlik bilgileri, internetten erişilebilen yönetim panelleri ve yamalanmamış sistemler aynı zincirin farklı halkaları olarak öne çıkıyor.
Bu teknik anatomi, “veri sızdı” başlığının arkasında çoğu zaman tek bir kırılma anı olmadığını gösteriyor. İlk erişim sağlandıktan sonra saldırganlar, ağ içinde yatay hareket ediyor, ayrıcalık yükseltiyor ve veriyi dışarı taşımaya çalışıyor. İhlalin görünür hale gelmesi ise çoğu kez bu son aşamada oluyor.
Phishing, hâlâ en sık görülen giriş noktası
Türkiye’de kurumları hedef alan olaylarda phishing, yani oltalama e-postaları, saldırganların en sık kullandığı başlangıç yöntemlerinden biri olarak öne çıkıyor. Kullanıcı adı, parola ya da tek kullanımlık oturum bilgisini ele geçiren saldırgan, çoğu zaman kurumsal posta kutusuna doğrudan giriyor ve buradan daha güvenilir görünen iç yazışmalarla ikinci dalgayı başlatıyor.
Bu yöntem, özellikle VPN, e-posta ve uzaktan erişim hesapları aynı parolalarla korunuyorsa daha hızlı sonuç veriyor. Saldırganın elde ettiği ilk hesap, kimi vakalarda başka sistemlere açılan kapıya dönüşüyor. Güvenlik ekipleri bu nedenle yalnızca kötü amaçlı eki değil, oturum açma izlerini, başarısız giriş denemelerini ve olağandışı konumlardan yapılan erişimleri de izliyor.
Phishing’in etkisi burada bitmiyor. Ele geçirilen bir hesap, kurum içindeki diğer kullanıcılara gönderilen inandırıcı mesajlara da zemin hazırlıyor. Böylece saldırı, dışarıdan gelen tek bir e-postadan çıkıp içeriden yürüyen bir operasyon görünümü alıyor.
Açık port, eski yazılım ve gözden kaçan yönetim panelleri
İkinci sık rota, internete yanlışlıkla açık bırakılan servisler. Özellikle RDP, VPN, uzak masaüstü yazılımları, dosya paylaşım servisleri ve yönetim panelleri, sıkı biçimde sınırlandırılmadığında saldırganın keşif radarına giriyor. Tarama araçları, açık portları ve banner bilgilerini kısa sürede çıkarıyor; ardından saldırgan hangi ürünü gördüğüne göre sonraki adımı seçiyor.
Eski yazılım kullanımı ise bu zincirin en hassas halkalarından biri. Yama yayımlanmış olsa bile güncelleme geciktiğinde, saldırganlar bilinen açıklar üzerinden sisteme sızabiliyor. Türkiye’de bazı kurumsal olaylarda, internetten erişilebilen eski sürüm web uygulamaları ya da güvenlik yaması uygulanmamış kenar cihazları ilk temas noktası olarak öne çıkıyor. İlk erişim sağlandığında iş artık tek bir açıkla sınırlı kalmıyor; saldırgan, elde ettiği yetkiyle daha derin bir yayılım deniyor.
Bu aşamada log kayıtları, ağ segmentasyonu ve ayrıcalık kontrolleri belirleyici hale geliyor. Çünkü bir servis açık bırakılmışsa saldırganın içeri girmesi saniyeler sürebiliyor, ancak ağın geri kalanına yayılması kurumun iç mimarisine bağlı olarak değişiyor.
Güvenlik ekipleri aynı keşif araçlarını kendi ağlarında da kullanıyor. Nmap gibi araçlar, saldırganların açık port aramak için başvurduğu yöntemlerle çalışsa da, savunma tarafında envanter çıkarmak ve yanlışlıkla açık bırakılan servisleri görmek için de kullanılıyor. Burada farkı yaratan, aracın kendisi değil, hangi amaçla ve hangi yetkiyle çalıştırıldığı oluyor.
Türkiye’de yaşanan büyük ihlallerin teknik izleri, saldırganların çoğu zaman sıfırıncı gün açığı aramadığını da gösteriyor. Daha kolay yol, genellikle daha basit olanı: kandırılmış kullanıcı, yamalanmamış sistem ya da internetten görünen bir yönetim paneli.