Rus İstihbaratının Yeni Taktikleri: Signal Yedek Kurtarma Anahtarları Nasıl Hedef Alınıyor?

Rus istihbaratının siber saldırı taktikleri yeniden şekilleniyor. ABD federal kurumları, Rusya’nın farklı istihbarat birimlerine bağlı hacker gruplarının Signal ve WhatsApp hesaplarına yönelik geniş çaplı saldırı kampanyasını güncelledi. Mart ayında yayımlanan ilk uyarının ardından, saldırganlar artık kullanıcıları Signal’in yedek kurtarma anahtarını teslim etmeye ikna ediyor. Bu anahtarın ele geçirilmesi, hesabın tamamen ele geçirilmesi anlamına geliyor: özel ve grup mesajları okunabiliyor, geçmiş veriler indirilebiliyor ve hatta yeni oluşturulan hesaplar bile eski anahtar üzerinden saldırıya açık kalıyor. Siber güvenlik uzmanları, bu yöntemin hesap şifreleme sistemini değil, kullanıcıların dikkatsizliğini hedef aldığını vurguluyor.

FBI ve CISA’nın ortaklaşa yayımladığı güncellenmiş uyarıda, saldırgan gruplar için kullanılan UNC5792 ve UNC4221 kod adları ilk kez kamuoyuyla paylaşıldı. Bu grupların, Rusya Federal Güvenlik Servisi (FSB) bünyesinde sınır muhafızlarıyla işbirliği içinde çalışan subaylardan ve Rusya askerî istihbarat servislerinden üyeler içerdiği belirtiliyor. Hedefler arasında ABD ve uluslararası hükümet yetkilileri, askerî personel, siyasetçiler, gazeteciler ve Ukrayna’daki görevliler bulunuyor. Mart ayında yayımlanan ilk uyarıda, kampanyanın dünya genelinde binlerce hesabın tehlikeye atıldığını ortaya koymuştu. Yeni taktik ise hesaplara erişimi kalıcı ve geri döndürülemez hale getiriyor.

Sinyal Yedek Anahtarı Nedir ve Neden Kritik?

Signal’in yedek kurtarma anahtarı, kullanıcıların mesaj geçmişini ve diğer verilerini yeni cihazlara aktarmak için kullandıkları 30 haneli bir koddur. Bu anahtar, hesabın şifreleme anahtarlarını da içerir ve hesabın tamamen yeniden oluşturulmasını sağlar. Normalde sadece kullanıcının kendisi tarafından erişilebilen bu anahtar, saldırganların eline geçtiğinde hesabın kontrolünü kalıcı olarak kaybetmek anlamına gelir. Saldırganlar, bu anahtarı kullanarak hesabın yedeğini indirip tüm mesajları okuyabilir, grup sohbetlerine katılabilir ve hatta yeni oluşturulan hesaplara bile müdahale edebilir.

Signal’in kendi tasarımında, yedek kurtarma anahtarının hesabın güvenliği için kritik bir unsur olduğu kabul edilir. Ancak, bu anahtarın üçüncü şahıslarla paylaşılması, hesabın güvenliğinin tamamen ortadan kalkmasına neden olur. FBI ve CISA, saldırganların bu anahtarı elde etmek için kullandığı sosyal mühendislik taktiklerini de detaylandırıyor. Kullanıcılar, "Signal desteği" adı altında gönderilen sahte mesajlarla yönlendiriliyor ve yedekleme özelliğini etkinleştirmeye, ardından da kurtarma anahtarını paylaşmaya ikna ediliyor.

Saldırının Aşamaları: Phishing’den Hesap Ele Geçirmeye

Saldırının ilk aşamasında, kullanıcılar Signal tarafından gönderildiği iddia edilen sahte mesajlar alıyor. Bu mesajlar, iki farklı senaryo üzerinden kurgulanıyor. İlkinde, kullanıcıya "iki faktörlü kimlik doğrulama zorunluluğu" nedeniyle yedeklemeyi etkinleştirmesi gerektiği söyleniyor. İkincisinde ise, mesajların kaybolma riskine karşı acil bir "veri kurtarma" işlemi yapılması gerektiği iddia ediliyor. Her iki senaryoda da kullanıcıdan, Signal’in ayarlar bölümünden yedek kurtarma anahtarını bulması ve bunu saldırganın kontrolündeki sohbete yapıştırması isteniyor.

Kullanıcı anahtarı paylaştığında, saldırganlar hemen hesabın yedeğini indiriyor ve tüm mesaj geçmişine erişiyor. Signal’in yedekleme sistemi, bu anahtarın kullanıcının cihazına bağlı kalmasını gerektirir. Ancak saldırganlar, anahtarı bir kez ele geçirdikten sonra hesabın yeni sürümlerini de kontrol edebiliyor. Bu, kullanıcının yeni bir cihazda ya da yeni bir hesapta bile saldırıya açık olduğu anlamına geliyor. FBI, bu durumun hesabın tamamen ele geçirilmesiyle sonuçlandığını ve kullanıcının eski mesajlarına erişimin bile saldırganların eline geçtiğini vurguluyor.

Hangi Gruplar Hedef Alınıyor ve Neden?

FBI’nın uyarısında, saldırıların ardındaki grupların Rusya’nın farklı istihbarat birimlerine bağlı olduğu belirtiliyor. UNC5792 ve UNC4221 olarak adlandırılan bu gruplar, FSB’nin yanı sıra askerî istihbarat servisleriyle de bağlantılı. Hedefler arasında ABD ve uluslararası hükümet yetkilileri, askerî personel, siyasetçiler, gazeteciler ve Ukrayna’daki görevliler bulunuyor. Bu kişilerin, yüksek değerli bilgilere erişimi olduğu için saldırıların odak noktasında yer aldığı düşünülüyor.

Daha önce yayımlanan istihbarat raporları, bu saldırıların sadece ABD’yi değil, Avrupa ülkelerini de hedef aldığını gösteriyor. Hollanda, Almanya ve Fransa’nın istihbarat örgütleri de benzer uyarılar yayınlamıştı. Bu durum, Rusya’nın siber saldırılarını küresel bir strateji olarak kullandığını ve farklı ülkelerdeki hassas bilgilere erişmeye çalıştığını ortaya koyuyor. Signal ve WhatsApp gibi güvenilir iletişim platformlarının hedef alınması, saldırganların bu platformların yaygın kullanımından faydalandığını gösteriyor.

Korunma Yolları: Yedek Anahtarı Güvende Tutmak

FBI ve CISA, kullanıcıların bu tür saldırılardan korunması için birkaç adım öneriyor. İlk olarak, Signal’in yedek kurtarma anahtarını asla kimseyle paylaşmamak gerekiyor. Bu anahtar, hesabın güvenliği için olmazsa olmaz bir unsur olduğundan, üçüncü şahıslarla paylaşılması hesabın tamamen tehlikeye atılması anlamına gelir. İkinci olarak, kullanıcılar Signal’in ayarlar bölümünde yeni bir yedek kurtarma anahtarı oluşturarak eski anahtarın geçersiz hale gelmesini sağlamalıdır. Bu, saldırganların eski anahtarı kullanarak hesabın yedeğini indirmesini engeller.

Ayrıca, kullanıcılar Signal’den gelen herhangi bir mesajın doğruluğunu doğrulamak için dikkatli olmalıdır. Özellikle "Signal desteği" adı altında gönderilen mesajlar, saldırganlar tarafından taklit edilebilir. Kullanıcılar, Signal’in resmi web sitesi veya uygulama içindeki destek kanallarını kullanarak mesajların doğruluğunu kontrol etmelidir. Son olarak, kullanıcılar cihazlarında güvenlik yazılımlarını güncel tutmalı ve şüpheli bağlantılara tıklamaktan kaçınmalıdır.

Saldırının Kalıcı Etkileri ve Geri Dönüşü Olmayan Kayıplar

Saldırganların yedek kurtarma anahtarını ele geçirmesi, hesabın tamamen ele geçirilmesiyle sonuçlanıyor. Bu durum, kullanıcının özel ve grup mesajlarının yanı sıra, hesabın gelecekteki tüm etkinliklerinin de saldırganların kontrolüne geçmesi anlamına geliyor. Signal’in kendi tasarımında, yedek kurtarma anahtarının hesabın güvenliği için kritik bir unsur olduğu kabul edilir. Ancak, bu anahtarın üçüncü şahıslarla paylaşılması, hesabın güvenliğinin tamamen ortadan kalkmasına neden olur.

FBI, bu saldırıların hesabın gelecekteki tüm etkinliklerini de riske attığını vurguluyor. Kullanıcılar, yeni bir cihazda ya da yeni bir hesapta bile saldırıya açık olabilir. Bu durum, kullanıcıların hesaplarını tamamen kapatıp yeniden oluşturmalarını gerektirebilir. Ancak, bu bile saldırganların eski mesajlara erişimini engellemeyebilir. Bu nedenle, kullanıcıların yedek kurtarma anahtarını asla paylaşmaması ve düzenli olarak yeni anahtarlar oluşturması hayati önem taşıyor.

Uluslararası Tepkiler ve Devlet Desteği

Rusya’nın siber saldırılarına karşı uluslararası toplumun tepkileri de giderek artıyor. ABD Dışişleri Bakanlığı, Rewards for Justice programı kapsamında UNC5792 grubuyla ilgili bilgiye sahip olanlara 10 milyon dolara kadar ödül vereceğini açıkladı. Bu, Rusya’nın siber saldırılarına karşı verilen mücadelenin ne kadar ciddi olduğunu gösteriyor. Ayrıca, Hollanda, Almanya ve Fransa’nın istihbarat örgütleri de benzer uyarılar yayınlayarak, kullanıcıları bu tür saldırılara karşı dikkatli olmaya çağırdı.

Bu uluslararası tepkiler, Rusya’nın siber saldırılarının sadece bir ülkeyi değil, küresel bir tehdit olduğunu ortaya koyuyor. Siber güvenlik uzmanları, bu tür saldırıların gelecekte de artarak devam edeceğini ve kullanıcıların kendilerini korumak için daha dikkatli olmaları gerektiğini vurguluyor. Ayrıca, Signal ve WhatsApp gibi platformların da kullanıcıları bu tür saldırılara karşı korumak için daha fazla önlem alması gerekiyor.

Sonuç: Siber Güvenlikte Kullanıcı Sorumluluğu

Rus istihbaratının Signal hesaplarına yönelik yeni saldırı taktikleri, siber güvenlikte kullanıcıların rolünün ne kadar kritik olduğunu bir kez daha gösteriyor. Signal’in kendi şifreleme sistemi, kullanıcıların hesaplarını korumak için yeterli değil; kullanıcıların da dikkatli olmaları ve yedek kurtarma anahtarlarını asla paylaşmamaları gerekiyor. FBI ve CISA’nın uyarıları, bu tür saldırılardan korunmanın en etkili yolunun kullanıcıların bilinçli davranması olduğunu ortaya koyuyor.

Gelecekte, Rusya’nın siber saldırılarının daha da karmaşık hale gelmesi ve yeni taktikler geliştirmesi bekleniyor. Kullanıcılar, bu tür saldırılara karşı kendilerini korumak için düzenli olarak güvenlik önlemlerini güncellemeli ve şüpheli mesajlara karşı dikkatli olmalıdır. Ayrıca, Signal ve diğer iletişim platformları da kullanıcıları korumak için daha fazla önlem almalı ve yedek kurtarma anahtarlarının güvenliği konusunda kullanıcıları daha fazla bilinçlendirmelidir.