ZoriaNews

Ne oldu?

Ünlü siber güvenlik araştırmacısı Brian Krebs tarafından yayımlanan yeni bir araştırma, popüler yazılımlardaki sıfır gün (zero-day) açıklarını satın almak için 10 bin dolardan 7 milyon dolara varan milyonlarca dolarlık ödemeler vadeden "IRIS C2" adlı yeni bir siber güvenlik girişiminin arkasındaki karanlık profilleri ortaya çıkardı. Yapılan incelemeler; McLean, Virginia merkezli olduğunu iddia eden ve siber istihbarat alanında faaliyet gösterdiğini öne süren bu şirketin, gerçek kimliklerini gizleyen hükümlü suçlular Jack Burkman ve Jacob Wohl tarafından yönetildiğini gösterdi. Şirketin izini alan Krebs, alan adı kayıtları ve federal sözleşme portallarındaki verileri takip ederek IRIS C2'nin "Calvexa Group LLC" adında, Wohl ve Burkman'a ait bir paravan şirkete bağlı olduğunu kanıtladı. Konuyla ilgili röportaj yapılan Jacob Wohl, bilgisayar bilimi veya bilgi güvenliği konusunda hiçbir eğitimi olmadığını ve iddia ettikleri devlet sözleşmelerinin detaylarını sunamadığını itiraf etti.

Neden önemli?

Bu olay, küresel siber güvenlik sektöründe sıfır gün (zero-day) pazarının ne kadar denetimsiz, riskli ve manipülasyona açık hale geldiğini açıkça göstermektedir. Sıfır gün açıkları, yazılımlarda henüz yamalanmamış kritik güvenlik açıklarını temsil eder ve siber suçlular ile devlet destekli korsanlar için bulunmaz birer nimettir. Milyonlarca dolarlık uçuk tekliflerle araştırmacıları cezbetmeye çalışan bu tür karanlık girişimler, en hassas yazılım açıklarının kötü niyetli aktörlerin eline geçmesine zemin hazırlayabilir.

Daha önce 2020 ABD seçimlerinde seçmenleri manipüle etmeye yönelik yasa dışı aramalar (robocall) yapmaktan hüküm giyen ve aşırı sağcı komplo teorileriyle tanınan Burkman ve Wohl ikilisinin bu alana el atması, tehlikenin boyutunu artırmaktadır. Bu kişilerin elde edeceği kritik yazılım açıklarını şantaj, casusluk ya da karaborsada satma amacıyla kullanma ihtimali, uluslararası güvenlik için büyük bir tehdittir. Ayrıca bu olay, sektöre adım atan "isimsiz" ya da "yeni yetme" siber güvenlik firmalarının arka plan araştırması (OSINT) yapılmadan asla güvenilir kabul edilmemesi gerektiğini ortaya koymaktadır.

Kim veya ne etkileniyor?

Bu durumdan en başta ellerindeki değerli yazılım açıklarını satarak gelir elde etmek isteyen bağımsız siber güvenlik araştırmacıları ve hata avcıları (bug bounty hunters) etkilenmektedir. Bu araştırmacılar, IRIS C2 gibi yapılara başvurduklarında hem emeklerinin karşılığını alamama hem de kodlarının çalınması riskiyle karşı karşıyadır. Ancak daha geniş perspektifte, iOS, Android veya Windows gibi yaygın işletim sistemlerine yönelik kritik açıklar bu dolandırıcıların eline geçerse, dünya genelindeki milyarlarca son kullanıcı, özel sektör kuruluşu ve devlet kurumu siber saldırıların hedefi olma riskiyle baş başa kalacaktır.

Ne yapılmalı?

Siber güvenlik dünyasındaki bağımsız araştırmacıların, yüksek meblağlı ödül vaatlerine kanmadan önce iş yapacakları kurumlar üzerinde kapsamlı bir "due diligence" (durum tespiti) çalışması yürütmesi elzemdir. Güvenilirliği şüpheli girişimler yerine, Apple, Google veya Microsoft gibi doğrudan yazılım üreticilerinin resmi hata ödül programları ya da kendisini kanıtlamış, yasal olarak denetlenen aracı kurumlar tercih edilmelidir. Devletlerin ve uluslararası siber güvenlik otoritelerinin ise sıfır gün ticaretini daha sıkı denetleyecek yasal çerçeveler geliştirmesi ve bu pazardaki alıcıların kimliklerini doğrulama zorunluluğu getirmesi gerekmektedir.

**Kaynaklar:**
- Krebs on Security
- CBS News