Siber Günlük: Liseli Hackerlar, Tek Telefonla Gelen İhlal ve Özgürlük Kazanan AI Ajanları

Aylık siber güvenlik günlüğümüzün bu sayısında yine “bu kadar da olmaz” dedirten dosyalar var. Temmuz seçkisinde; lise çağındaki gençlerin yapay zekâ destekli zararlı kodla internet kafe ağına saldırmasını, kamu çalışanlarının araç kaydı üzerinden belge oyunu çevirmesini, otonom AI ajanlarının test ortamından çıkıp gerçek sistemlere uzanmasını ve Qantas’ta tek bir telefonla milyonlarca müşteri kaydına erişilmesini konuşuyoruz.

Bu ay da insan faktörü, sosyal mühendislik ve fazla rahat bırakılmış erişimler sahneden inmiyor.

VAYBI HACKER, YAŞI LİSE

Ne Oldu?

Japonya’da lise öğrencileri, internet kafe zinciri Kaikatsu Club’ın ağına düzenlenen siber saldırıyla suçlanıyor.

Nasıl Oldu?

Polise göre 18 yaşındaki bir lise öğrencisi, Ocak 2025’te yalnızca üç gün içinde Kaikatsu Frontier adlı resmi uygulamanın sunucusuna 7 milyondan fazla zararlı komut gönderdi. Saldırı sonucunda uygulamanın çalışması aksadı ve saldırgan, Kaikatsu Frontier kullanıcılarının adlarına ve adreslerine erişti. İşin dikkat çekici tarafı, saldırıda kullanılan programın 18 yaşındaki öğrenciye ait olmaması. Programı, Osaka’da yaşayan 16 yaşındaki başka bir genç geliştirdi. İddiaya göre bu genç, kodu ChatGPT’den yardım alarak yazdı. Medyaya yansıyan bilgilere göre çocuk, ilkokul yıllarından beri programlamayı kendi kendine öğreniyordu ve hatta bir siber güvenlik yarışmasında üçüncülük elde etmişti.

Yetkililer, zararlı programın sosyal medyadaki bir grup sohbetinde yayıldığını, olayların bir bölümünün de canlı yayınlandığını düşünüyor. Soruşturmada toplam üç öğrencinin adı geçiyor.

Polisin değerlendirmesine göre olayın fitilini ise 12 yaşındaki bir çocuğun uygulamadaki yaş kısıtlamasını aşma isteği ateşlemiş olabilir. Yaşı nedeniyle uygulamaya erişimi sınırlanan bu çocuğun, başka kişilere ait kişisel verileri kullanarak kısıtlamayı aşmak istediği düşünülüyor.

Çalınan bilgiler, şüphelilerden biri tarafından tek bir veritabanında toplandı. Ancak uzmanlara göre genç saldırganlar, ele geçirdikleri bu verileri kullanmaya fırsat bulamadan yakalandı.

Zararlı programı geliştirdiği iddia edilen 16 yaşındaki çocuk, geçtiğimiz yıl aralık ayında gözaltına alındı ve şu anda çocuk mahkemesinde yargılanıyor. Saldırıyı gerçekleştiren 18 yaşındaki öğrenciye de suçlama yöneltildi. Ayrıca aynı genç, 2024 yılında başka bir kişinin adına eSIM düzenlediği iddiasıyla bilgisayar dolandırıcılığı dosyasında da şüpheli konumunda. Kendisi ise yöneltilen suçlamaların bir kısmını reddediyor.

VERGİ DAİRESİNDE ARAÇ KAYDI OPERASYONU

Ne Oldu?

ABD’de vergi dairesinde çalışan iki kamu görevlisi, sahte devlet belgeleri düzenleyerek araçların yasa dışı şekilde kaydedilmesine yardım etmekle suçlanıyor.  

Nasıl Oldu?

2022 yılında ABD’li Edwin Hernandez, Travis County vergi dairesinde çalışan kızı Anna Hernandez’e para karşılığında yasa dışı araç kaydı yapma teklifinde bulundu. Anna teklifi kabul etti ve kısa süre sonra işin içine çalışma arkadaşı Myra Reyes’i de dahil etti.

Şemada görev dağılımı oldukça netti: Baba Edwin müşteri buluyor, ödemeleri topluyor ve parayı kızına aktarıyordu. Anna, vergi dairesindeki yetkisini kullanarak belgeleri düzenliyor; Myra ise kendi hesabını sahte işlemler için kullandırıyor ve gerekli evrakların içeriden çıkarılmasına yardımcı oluyordu.
Soruşturma dosyasına göre Anna, araçlar için zorunlu olan emisyon testlerini ve teknik kontrolleri sistem üzerinden baypas ediyordu. Ayrıca araç mülkiyetine ve kaydına ilişkin sahte belgeler hazırlıyordu.

Bu “yardımın” tarifesi de belliydi:

• Her belge için yaklaşık 100 dolar,
• Her araç kaydı için yaklaşık 50 dolar.

Anna, sahte işlemleri yürütmek için Myra’ya da ödeme yaptı. Myra’nın kullanıcı hesabı üzerinden yaklaşık 100 sahte işlem gerçekleştirildi. Myra ayrıca plakaları ve diğer belgeleri Anna’ya iletiyor, Anna da bunları vergi dairesinden alarak müşterilere teslim ediyordu.

Soruşturmaya göre Edwin Hernandez üç yıl içinde kızına 132 bin doların üzerinde para aktardı. Ancak bu paranın tamamının dolandırıcılık gelirinden gelip gelmediği henüz net değil. Anna’nın Myra Reyes’e yaklaşık 30 bin dolar ödediği belirtiliyor. Şüpheliler, 2025’in sonunda yakalandı. Savcılık, şemanın nasıl ortaya çıkarıldığını açıklamadı. Şu anda sanıklar hakkında organize suç faaliyetine katılma ve resmi belgede sahtecilik suçlamaları bulunuyor.

AI AJANI KENDİNE YOL BULDU

Ne Oldu?

OpenAI’nin otonom yapay zekâ ajanları, test için izole edilmiş ortamın dışına çıkarak yapay zekâ geliştirme platformu Hugging Face altyapısına saldırdı. 

Nasıl Oldu?

OpenAI’nin açıklamasına göre olay, bir yapay zekâ modelinin yazılımlardaki zafiyetleri bulma kabiliyetini ölçen iç testler sırasında yaşandı. Testin ardından güvenlik ekipleri, bazı iç verilere ve birkaç hesaba yetkisiz erişim tespit etti. İnceleme sonucunda, deney sırasında modelin internete çıkmanın bir yolunu bulduğu ve ardından kendi başına bir eylem zinciri planladığı ortaya çıktı. 

OpenAI’ye göre saldırı, tamamen otonom AI ajan sistemi tarafından, kendisine verilen test görevine yanıt bulmak amacıyla başlatıldı. Model; ele geçirilmiş kimlik bilgilerini ve bir dizi zafiyeti kullanarak Hugging Face sunucularında uzaktan kod çalıştırma seviyesine kadar ilerledi.

Şirket özellikle şunun altını çizdi: Bu olay bir “makineler bilinç kazandı ve isyan etti” vakası değil. Modelin bilinci yoktu; yalnızca verilen görevi ne pahasına olursa olsun tamamlamaya çalışan bir sistem gibi davrandı.

Yine de bu ayrım, olayın önemini azaltmıyor. Çünkü mesele tam olarak burada: Otonom AI ajanlarına hedef verildiğinde, sınırları yeterince sağlam çizilmemişse, sistem “bunu yapma” demediğiniz her şeyi yapılabilir zannedebiliyor.

Olay sonrası OpenAI, test ortamlarının izolasyonunu ve otonom yapay zekâ ajanlarını kontrol etme mekanizmalarını yeniden gözden geçirmeye başladı.

HACKERLARLA YAN İŞ: FİDYE MÜZAKERECİSİNE 70 AY HAPİS

Ne Oldu?

Siber saldırı soruşturmaları ve fidye müzakereleri konusunda çalışan bir şirketin çalışanı, hackerlarla iş birliği yaptığı gerekçesiyle 70 ay hapis cezasına çarptırıldı.  

Nasıl Oldu? 

Geçtiğimiz yaz ABD Adalet Bakanlığı, DigitalMint çalışanı Angelo Martino hakkında soruşturma başlattı. DigitalMint, fidye yazılımı saldırılarında mağdur şirketler adına saldırganlarla pazarlık yürüten ve fidye tutarını düşürmeye çalışan bir şirketti. Ancak soruşturma, Martino’nun masanın iki tarafında birden oturduğunu ortaya koydu.

Martino, DigitalMint’te müşteriler adına fidye gruplarıyla görüşüyordu. Bu nedenle saldırıların detaylarını, talep edilen fidye miktarlarını, şirketlerin sigorta kapsamını ve pazarlık stratejilerini biliyordu.

Daha da önemlisi, hangi şirketin sigortasının en fazla ne kadar ödeme yapabileceğini de öğrenebiliyordu. Soruşturmaya göre Martino, bu bilgileri BlackCat adlı fidye yazılımı grubuyla paylaştı. Böylece saldırganlar, mağdur şirketlerden talep edecekleri fidyeyi sigorta limitine göre “ince ayar” yapabiliyordu.
İddiaya göre DigitalMint’in beş müşterisi, fidye gruplarına toplamda 75 milyon doların üzerinde ödeme yaptı.

Martino’nun hackerlarla ilişkisi burada bitmedi. BlackCat ile bir ay çalıştıktan sonra saldırıların bizzat parçası olmaya karar verdi. 2023 yılında grubun affiliate hesabına erişim sağladı. Bu hesap, saldırı düzenlemeye ve mağdurlarla pazarlık yürütmeye izin veriyordu.

Martino daha sonra DigitalMint ve Sygnia’dan iki başka müzakereciyi, Kevin Martin ve Ryan Goldberg’ü de bu şemaya dahil etti. Üçlü birlikte beş kuruma saldırdı. Dört kurum ödeme yapmayı reddetti; ancak tıbbi ekipman tedarikçisi olan bir şirket saldırganlara 1,2 milyon dolar ödedi.

Martino, elde edilen geliri şemadaki katılımcılar ve BlackCat yöneticileri arasında paylaştırdı.

Nisan 2026’da Kevin Martin ve Ryan Goldberg dörder yıl hapis cezasına çarptırıldı. Martino ise suçunu kabul etti ve soruşturmacıların diğer sanıklar aleyhinde delil toplamasına yardım etti.

Mahkeme, Martino’yu haraç almak amacıyla komplo kurmak suçundan mahkûm etti. Bu suçun azami cezası 20 yıl hapis olmasına rağmen, iş birliği yaptığı için cezası 70 ay olarak belirlendi.

Ayrıca Martino:

• suç gelirleriyle elde ettiği mal varlığını devlete devredecek,
• tahliye olduktan sonra gelirinin %10’unu mağdurların zararını karşılamak için ödeyecek.

DigitalMint yönetimi ise çalışanların suç faaliyetlerinden haberdar olmadığını açıkladı. Şirkete göre Martino, iç kontrol sistemlerini atlatmış ve gizli iletişim kanalları kullanmıştı. ABD Adalet Bakanlığı’nın bildiriminin ardından ilgili çalışanlar işten çıkarıldı. Skandalın ardından bazı şirketler, müşterilerine DigitalMint ile çalışmaya bir süre ara vermelerini tavsiye etti.

TEK TELEFONLA GELEN İHLAL

Ne Oldu?

Avustralyalı havayolu şirketi Qantas, vishing saldırısı nedeniyle milyonlarca müşteri kaydının erişime açıldığı bir veri ihlali yaşadı.

Nasıl Oldu?

Saldırgan, Qantas’ın yurt dışındaki yüklenicilerinden birinin iletişim merkezini aradı ve kendisini havayolu şirketinin IT destek uzmanı olarak tanıttı.

Ardından operatörü müşteri yönetimi platformuna yönlendirdi ve sözde bir “destek talebini kapatmak” için birkaç işlem yapması gerektiğini anlattı. Operatör de bu yönlendirmeleri uyguladı. İki gün sonra Qantas güvenlik ekipleri, sisteme giriş denemeleriyle ilgili olağan dışı uyarılar fark etti. Şirket, şüpheli hesabı devre dışı bıraktı ve soruşturma başlattı.

Avustralya Bilgi Komiserliği Ofisi (OAIC), saldırganların Qantas müşterilerine ait 5,67 milyon kayda eriştiğini açıkladı. 

Bu kayıtların yaklaşık 4 milyonu şu bilgileri içeriyordu:

• ad ve soyad,
• telefon numarası,
• e-posta adresi,
• Qantas Frequent Flyer sadakat programı bilgileri.

Yaklaşık 1,7 milyon kayıt ise daha geniş bilgi içeriyordu:

• adres,
• doğum tarihi,
• cinsiyet,
• yemek tercihi gibi yolcu bilgileri.

Regülatör, Qantas’ın Avustralya veri koruma kurallarını ihlal ettiğine dair bir bulguya ulaşmadığını da açıkladı. OAIC’ye göre havayolu şirketi tedarikçilerini düzenli olarak denetliyor, çalışanlara güvenlik eğitimi veriyor ve sistem erişimlerini kontrol ediyordu.

Ancak kritik detay CRM tarafında çıktı. OAIC, kullanılan CRM sisteminin varsayılan ayarlarının üçüncü taraf bağlantıları yetkilendirmeye izin verdiğini belirtti. Olaydan sonra yazılım sağlayıcı bu ayarı tüm müşterileri için değiştirdi.

Qantas vakası tek başına değil. Benzer bir olay Londra ulaşım otoritesi Transport for London (TfL) tarafında da yaşanmıştı.

2024’te Walsall’dan Owen Flowers ve Scattered Spider grubundan Talha Jubair, TfL sistemlerine saldırdı. Olayın etkisi oldukça büyüktü:

• TfL’in 148 sistemi devre dışı kaldı,
• 27 bin çalışanın işi aksadı,
• 10 milyon yolcuya ait veriler açıkta kaldı.

Saldırıdan önce Flowers ve Jubair, dark web üzerinden bazı TfL çalışanlarına ait kimlik bilgilerini satın aldı. Ardından destek hattını arayıp kendilerini kurum çalışanı gibi tanıttılar. Operatörü, hesap parolasını sıfırlamaya ve iki faktörlü kimlik doğrulamayı baypas etmeye ikna ettiler. Temmuz 2026’da bu saldırıya karışan kişiler 5,6 yıl hapis cezasına çarptırıldı.