Veri Sızıntılarında Yapay Zeka Kuralları Baştan Yazıyor

Ne Oldu

Geçtiğimiz hafta sonu, popüler sağlık ve fitness uygulaması VitaLog, devasa bir veri sızıntısı yaşadığını duyurdu. Ama bu, alıştığımız türden bir sızıntı haberi değil. Genellikle şirketler, sistemlerine aylar önce sızıldığını fark eder ve olayı geç de olsa bir basın açıklamasıyla duyurur. Bu sefer durum farklı. VitaLog’un açıklamasına göre, saldırının tamamı – yani siber suçluların içeri sızması, en değerli verileri bulması ve milyonlarca kullanıcının bilgilerini alıp çıkması – 72 saatten daha kısa sürdü. Bir cuma akşamı başladı, pazartesi sabahı bitti. Bittiğinde ise, milyonlarca insanın en mahrem sağlık verileri artık karanlık internetin bir köşesinde satışa sunulmuştu.

Bu olayı diğerlerinden ayıran şey, hızı ve verimliliği. Güvenlik uzmanları, bunun ancak yapay zeka destekli bir saldırıyla mümkün olabileceğini söylüyor. Artık karşımızda klavye başında kod yazan bir hacker yok. Onun yerine, saniyede milyonlarca olasılığı deneyen, hedefini bir insan gibi analiz eden ve en zayıf noktayı bulup oradan saldıran akıllı bir yazılım var. VitaLog vakası, siber güvenlik dünyasında yeni bir dönemin başlangıcı olabilir: Savunmacıların, yapay zekanın hızına yetişemediği bir dönem.

Ele Geçirilen Veriler

Sızdırılan verilerin listesi mide bulandırıcı. Saldırganlar sadece basit kullanıcı bilgilerini alıp gitmemişler. Bizzat uygulamanın topladığı en hassas, en kişisel verileri hedeflemişler. Listede neler var bir bakalım:

• Kişisel Kimlik Bilgileri: Adınız, soyadınız, doğum tarihiniz, e-posta adresiniz ve şifrelenmiş de olsa parolanız. Bu standart. Ama iş burada bitmiyor.
• Sağlık Metrikleri: Günlük adım sayınız, uyku düzeniniz (ne zaman uyudunuz, ne zaman uyandınız, ne kadar derin uyudunuz), dinlenme ve aktivite anındaki kalp atış hızı kayıtlarınız.
• Beslenme Alışkanlıkları: Uygulamaya kaydettiyseniz, yediğiniz her öğün, aldığınız kalori miktarı ve makro besin değerleri.
• Konum Geçmişi: Özellikle koşu veya yürüyüş takibi için izin verdiyseniz, düzenli olarak kullandığınız rotaların GPS koordinatları. Yani evinizin ve iş yerinizin nerede olduğu, hangi parkta koştuğunuz gibi bilgiler.

Bu veriler bir araya geldiğinde ne anlama geliyor? Bir düşünün. Dolandırıcılar artık sadece “Sayın Mehmet Bey” diye başlayan sahte e-postalar göndermeyecek. “Sayın Mehmet Bey, son zamanlarda uyku kalitenizin düştüğünü ve kalp ritminizin geceleri yükseldiğini görüyoruz. Size özel hazırladığımız şu sağlık paketini...” diye başlayan, korkutucu derecede kişisel bir mesaj alabilirsiniz. Ya da sigorta şirketiniz, koşu performansınızın düştüğünü bahane ederek primlerinizi artırabilir. Bu veriler, artık sadece reklam hedeflemesi için değil, doğrudan hayatınızı manipüle etmek için kullanılabilecek bir silaha dönüştü.

Saldırı Nasıl Gerçekleşti

İşte olayın en can alıcı kısmı burası. Fortra’daki güvenlik araştırmacılarının ilk analizlerine göre, saldırı dört aşamada, insanüstü bir hızla gerçekleşti. Ve her aşamada başrolde yapay zeka vardı.

1. Keşif: Saldırıyı yöneten yapay zeka, interneti tarayarak VitaLog hakkında yazılmış her şeyi – blog yazılarını, geliştirici forumlarını, eski kod parçalarını – saniyeler içinde analiz etti. Şirketin hangi teknolojileri kullandığını, hangi yazılım kütüphanelerine güvendiğini haritalandırdı. Hatta LinkedIn üzerinden şirketin yazılım ekibindeki daha az tecrübeli mühendisleri bile tespit etti. Bu normalde bir hacker ekibinin haftalar sürecek işi, yapay zeka için bir kahve molası kadardı.

2. Silahlanma: Yapay zeka, keşif sırasında VitaLog’un kullandığı daha az bilinen bir üçüncü parti yazılımda, kimsenin fark etmediği minik bir güvenlik açığı buldu. Sonra durmadı, bu açığa özel, daha önce hiç görülmemiş bir zararlı yazılım (malware) üretti. Bu, hazır satılan virüslere benzemiyor. Terzinin size özel diktiği bir takım elbise gibi, sadece VitaLog’un sistemine sızmak için tasarlanmıştı. Bu yüzden de geleneksel antivirüs programları onu tanıyamadı.

3. Sızma: Şimdi hedef, bu özel dikim virüsü içeri sokmaktı. Yapay zeka, daha önce tespit ettiği o genç mühendise, son derece inandırıcı bir e-posta hazırladı. E-postada, mühendisin üzerinde çalıştığı projeden bahsediliyor, sanki proje liderinden geliyormuş gibi bir dil kullanılıyor ve “projenin güncellenmiş belgelerine” bir link veriliyordu. Mühendis linke tıkladığı an, her şey için çok geçti. Virüs ağın içindeydi.

4. Veri Çalma: İçeri giren yapay zeka, bir insan gibi ağı dolaşıp ne var ne yok diye bakmadı. Anında ağın haritasını çıkardı, en değerli verilerin nerede olduğunu (sağlık veritabanları gibi) tespit etti. Milyonlarca kullanıcının verisini paketledi ve bu veri paketlerini, sanki normal bir yazılım güncellemesiymiş gibi göstererek dışarı sızdırmaya başladı. Güvenlik sistemlerinin alarmları çalmadı, çünkü trafik “normal” görünüyordu. Bütün verilerin çalınması, bir saatten az sürdü.

Bu hız ve otomasyon, oyunun kurallarını tamamen değiştiriyor. Savunma ekipleri bir alarmı incelemeye başladığında, saldırganlar çoktan işini bitirip gitmiş oluyor.

Etkilenenler Kim

Kısaca, VitaLog uygulamasını indirmiş ve bir hesap oluşturmuş herkes. Ücretli üye olmanız ya da olmamanız fark etmiyor. Eğer verilerinizi bu platforma girdiyseniz, şu anda risk altındasınız. Bu sadece VitaLog kullanıcıları için bir uyarı değil. Bu tür yapay zeka destekli saldırılar, veri toplayan her şirket için artık birincil tehdit. Bankanız, sosyal medya hesabınız, e-devlet bilgileriniz… Hepsi potansiyel hedef.

Asıl etkilenenler, bu verilerin birleştirilip kullanılacağı kişiler. Yani bizler. Gelecekte, size özel hazırlanmış, reddetmesi neredeyse imkansız dolandırıcılık girişimlerine hazır olun. Çünkü dolandırıcılar artık sadece adınızı değil, alışkanlıklarınızı, korkularınızı ve sağlık durumunuzu da bilecekler.

Ne Yapabilirsin

“Parolanızı değiştirin” veya “iki faktörlü kimlik doğrulama kullanın” gibi klişe tavsiyeleri bir kenara bırakalım. Bunlar elbette önemli, ama bu yeni tehdit karşısında yetersiz kalıyorlar. Artık proaktif olmamız gerekiyor. İşte gerçekten işe yarayabilecek birkaç düşünce tarzı:

• Veri Minimalisti Olun: Bir uygulamayı kullanmaya başlamadan önce kendinize şu soruyu sorun: “Bu uygulamanın benden istediği her bilgiye gerçekten ihtiyacı var mı?” Bir fitness uygulaması, neden tam doğum tarihinizi istesin? Sadece yaşınızı bilmesi yeterli değil mi? Konum servislerini “her zaman açık” tutmak yerine “sadece uygulamayı kullanırken” olarak ayarlayın. Bir hizmete ne kadar az veri verirseniz, olası bir sızıntıda o kadar az şey kaybedersiniz. Verilerinizi, cüzdanınızdaki para gibi düşünün. Her isteyene vermeyin.
• “Akıllı” Özellikleri Sorgulayın: Birçok uygulama size “yapay zeka destekli kişisel koçluk” veya “size özel öneriler” gibi özellikler sunar. Kulağa hoş geliyor, değil mi? Ama bu özelliklerin çalışması için sizin çok daha fazla verinizi sürekli analiz etmeleri gerekir. Eğer bu veri paylaşımından rahatsızsanız, uygulamanın ayarlar menüsüne girip bu “akıllı” ve “kişiselleştirilmiş” özellikleri kapatmayı düşünün. Konfor ve mahremiyet arasında bir seçim yapmanız gerekebilir.
• Paranoyanızı Bir Üst Seviyeye Taşıyın: Eskiden, kötü yazılmış, imla hatalarıyla dolu sahte e-postaları kolayca anlardık. Artık bu mümkün değil. Yapay zeka, sizinle ilgili ele geçirilen verileri kullanarak mükemmel dolandırıcılık senaryoları yazabilir. Sizi arayan, konuşan, mesaj atan ve hakkınızda inanılmaz detaylar bilen biriyle karşılaştığınızda, hemen güvenmeyin. Yeni kural şu: Eğer bir iletişim (e-posta, telefon, mesaj) beklemediğiniz bir anda geldiyse ve sizden bir şey yapmanızı (linke tıklama, bilgi verme, para gönderme) istiyorsa, kimden geldiği ne kadar inandırıcı olursa olsun, şüpheyle yaklaşın. Telefonu kapatın ve o kurumu resmi numarasından siz geri arayın.

Şirket Ne Diyor

VitaLog, olaydan sonra klasik bir kriz yönetimi açıklaması yayınladı. CEO tarafından imzalanan metinde, “Kullanıcılarımızın güvenliği ve mahremiyeti bizim için en büyük önceliktir” denildi. Şirket, siber güvenlik uzmanlarıyla birlikte çalıştıklarını, güvenlik açıklarını kapattıklarını ve olayı ilgili federal kurumlara bildirdiklerini belirtti. Etkilenen kullanıcılara bir yıllık ücretsiz kredi skoru takibi hizmeti sunulacağı da eklendi.

Ancak açıklama, saldırının yapay zeka ile yapıldığına dair detaylara veya şirketin bu yeni nesil tehditlere karşı neden hazırlıksız yakalandığına dair bir özeleştiriye yer vermedi. Bu sessizlik, aslında her şeyi özetliyor: Şu anda birçok şirket, nasıl bir tehditle karşı karşıya olduklarını tam olarak anlamış değil. Anladıklarında ise, muhtemelen çok geç olacak.

Kaynak

https://www.fortra.com/blog/defenders-fall-behind-ai-rewrites-rules-data-breach