CISA Sızıntısı Kongre'yi Ayağa Kaldırdı

Ne Oldu

Washington'da tansiyon yüksek. Normalde manşetlerde görmeye alışık olmadığımız bir kurum olan ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), kendi evinin içindeki devasa bir yangınla uğraşıyor. Olay, siber güvenlik dünyasının duayenlerinden Brian Krebs'in bu hafta patlattığı bir haberle başladı. KrebsOnSecurity'nin raporuna göre, CISA için çalışan bir yüklenici, kelimenin tam anlamıyla krallığın anahtarlarını halka açık bir GitHub deposuna yükledi. Evet, yanlış duymadınız. Ülkenin siber savunmasından sorumlu kurumun en hassas verilerinden bazıları, herkesin erişebileceği bir platformda öylece duruyordu.

Bu haberin Kongre koridorlarında yankılanması uzun sürmedi. Hem Temsilciler Meclisi'nden hem de Senato'dan, partiler üstü bir tepkiyle, CISA'dan derhal açıklama talep eden sesler yükselmeye başladı. Temsilciler Meclisi İç Güvenlik Komitesi ve Senato İstihbarat Komitesi'nin CISA Direktörü'ne sert sorularla dolu mektuplar gönderdiği söyleniyor. "Nasıl oldu bu?", "Kim sorumlu?", "Ulusal güvenliğimiz ne kadar risk altında?" gibi sorular havada uçuşuyor. Durumun ironisi ise acı verici: Diğer tüm federal kurumlara ve özel sektöre siber güvenlik konusunda akıl hocalığı yapan, standartları belirleyen CISA, şimdi kendi temel güvenlik protokollerini çiğneyen bir olayla gündemde. Kurum şu sıralar, sızan kimlik bilgilerini geçersiz kılmak ve hasarı sınırlamak için hummalı bir çalışma içinde, ancak sızıntının boyutu o kadar büyük ki, uzmanlar bunun haftalar, hatta aylar sürebileceğini belirtiyor.

Ele Geçirilen Veriler

Peki, tam olarak ne sızdırıldı? Elimizdeki bilgiler, durumun vahametini ortaya koyuyor. Bu, basit bir kullanıcı listesi veya e-posta sızıntısı değil. Çok daha derinde ve çok daha tehlikeli.

• AWS GovCloud Anahtarları: Bu, sızıntının belki de en korkutucu kısmı. AWS GovCloud, ABD hükümetinin en hassas verilerini barındırmak için kullandığı, yüksek güvenlikli, izole bir bulut platformu. Sızdırılan bu anahtarlar, CISA'nın bu platformdaki kaynaklarına yönetici düzeyinde erişim sağlayabilir. Bu, saldırganların CISA'nın bulut altyapısında depolanan verileri okuyabileceği, değiştirebileceği, hatta silebileceği anlamına geliyor. Hangi veriler mi var orada? Belki de devam eden siber operasyonlara dair istihbarat, kritik altyapı zafiyet analizleri veya diğer devlet kurumlarıyla yapılan gizli yazışmalar.
• Kurumsal Ağ Bilgileri: Sızan veriler arasında CISA'nın iç ağ topolojisi, sunucu bilgileri, IP adresi aralıkları ve hatta güvenlik duvarı yapılandırmaları gibi detayların olduğu iddia ediliyor. Bu, bir hırsıza evin hem anahtarını hem de detaylı kat planını vermek gibi bir şey. Dışarıdan bir saldırganın içeri sızmasını ve fark edilmeden hareket etmesini inanılmaz derecede kolaylaştırır.
• Kimlik Bilgileri ve Jetonlar: Sadece AWS anahtarları değil, aynı zamanda çeşitli iç sistemlere ve veritabanlarına ait kullanıcı adları, şifreler (umarız hash'lenmiştir) ve erişim jetonları da sızdırılanlar arasında. Bu kimlik bilgileri, CISA'nın farklı departmanları arasında yatay bir geçiş yapmak için kullanılabilir.
• Hassas Proje Kodları: CISA, ulusal siber savunma için özel araçlar ve yazılımlar geliştiriyor. Bu projelerin kaynak kodlarının bir kısmının da sızdırıldığı belirtiliyor. Düşman bir devletin veya hacker grubunun, CISA'nın kullandığı savunma araçlarını analiz edip onlara karşı nasıl saldırı geliştirebileceğini öğrenmesi felaket olurdu.

Kısacası, sızan veri yığını, CISA'nın dijital omurgasını ve operasyonel sırlarını ifşa etme potansiyeline sahip. Bu, sadece utanç verici bir durum değil, aynı zamanda aktif bir ulusal güvenlik tehdidi.

Saldırının Nasıl Gerçekleştiği

Bu devasa hatanın kökeni, siber güvenlikte sıkça karşılaşılan ama bu seviyede affedilemez olan bir soruna dayanıyor: Geliştirici ihmali veya kötü niyeti. Krebs'in raporu, verilerin bir CISA yüklenicisi tarafından "kasten" halka açık bir GitHub hesabına yüklendiğini söylüyor. Buradaki "kasten" kelimesi önemli. İki olası senaryo var:

Birincisi, inanılmaz bir ihmal. Geliştirici, kodlarını depolamak için GitHub'ı kullanıyordu. Belki de evden çalışırken işleri kolaylaştırmak için özel (private) olması gereken bir depoyu yanlışlıkla genel (public) olarak oluşturdu. Kodların içine gömülü olan AWS anahtarları, veritabanı şifreleri ve diğer sırlar ise temizlenmemişti. Bu, sektörde "hardcoded secrets" olarak bilinen ve asla yapılmaması gereken bir uygulama. Geliştiricinin niyeti kötü olmasa bile, sonucu felaket oldu.

İkinci senaryo ise çok daha karanlık: Kasıtlı bir eylem. Yüklenici, CISA'ya zarar vermek amacıyla bu verileri bilerek sızdırmış olabilir. Belki de bir iç tehdit, kızgın bir çalışan veya daha kötüsü, yabancı bir istihbarat servisi tarafından devşirilmiş bir casus. "Kasten" ifadesi bu olasılığı akla getiriyor ve FBI'ın olaya çoktan dahil olduğuna kesin gözüyle bakılıyor. GitHub, herkese açık depoları sürekli tarayan botlarla dolu. Bu tür hassas anahtarlar genellikle yüklendikten dakikalar sonra otomatik sistemler tarafından bulunur. Verilerin ne kadar süreyle açıkta kaldığı ve bu süre içinde kimlerin eriştiği, soruşturmanın en can alıcı sorularından biri.

Etkilenenler Kim

Bu sızıntının dalga dalga yayılan etkileri var ve sadece CISA ile sınırlı değil.

• CISA: En başta kurumun kendisi var. Operasyonel güvenliği delinmiş, itibarı yerle bir olmuş durumda. Aylarca, belki de yıllarca bu olayın enkazını temizlemekle uğraşacaklar.
• ABD Federal Hükümeti: CISA, Enerji Bakanlığı'ndan Pentagon'a kadar tüm federal kurumlara hizmet veriyor. CISA'nın ağlarına sızan bir saldırgan, bunu diğer kurumlara atlamak için bir sıçrama tahtası olarak kullanabilir. Federal hükümetin siber güvenlik zincirinin en güçlü halkası olması gereken CISA, bir anda en zayıf halkası haline geldi.
• Özel Sektör ve Kritik Altyapı Sağlayıcıları: CISA, ülkenin enerji santralleri, finansal sistemleri, su arıtma tesisleri gibi kritik altyapılarını korumak için bu şirketlerle yakın çalışır ve onlarla hassas zafiyet bilgilerini paylaşır. Eğer bu bilgiler sızdırıldıysa, ülkenin en temel hizmetleri doğrudan risk altına girmiş demektir.
• Amerikan Halkı: Nihayetinde, ulusal güvenliğin zafiyete uğraması herkesi etkiler. Bu sızıntı, yabancı devletlerin veya terörist grupların ABD'ye karşı siber saldırılar düzenlemesini kolaylaştırabilecek bir istihbarat hazinesi sunuyor.

Ne Yapabilirsin

Böyle devasa, ulusal düzeyde bir olay karşısında birey olarak eliniz kolunuz bağlı gibi hissedebilirsiniz. Haklısınız da. Ancak bu olay, herkesin alması gereken bazı dersler içeriyor ve atılabilecek adımlar var.

Eğer bir yazılım geliştirici veya BT güvenlik uzmanıysanız, bu olayı ekibiniz için bir "asla yapmayın" dersi olarak kullanın. Kodlarınızın içinde asla ama asla şifre, API anahtarı veya herhangi bir kimlik bilgisi bırakmayın. Tüm depolarınızın (repository) erişim ayarlarını iki kez, hatta üç kez kontrol edin. Bu olay, en tecrübeli kurumların bile en temel hataları yapabildiğini gösteriyor. Kendi altyapınızda benzer bir zafiyet olup olmadığını kontrol etmek için tam zamanı.

Sıradan bir internet kullanıcısı olarak ise bu olay, dijital dünyada hiçbir şeyin yüzde yüz güvenli olmadığını bir kez daha hatırlatmalı. En güvendiğiniz kurumlar bile veri sızıntısı yaşayabilir. Bu nedenle, farklı platformlarda aynı şifreyi kullanmamak, iki faktörlü kimlik doğrulamayı (2FA) her yerde aktif etmek gibi temel güvenlik önlemleri hayati. Bu olay, genel Veri Sızıntısı Haberleri'ni takip etmenin neden önemli olduğunu gösteriyor. Kendi verilerinizin daha önceki sızıntılarda ifşa olup olmadığını merak ediyorsanız, güvenilir bir Veri Sızıntısı Sorgulama aracı kullanarak e-posta adresinizi kontrol edebilirsiniz. Bilgi, en iyi savunmadır.

Kurum Ne Diyor

CISA, olay karşısında beklendiği gibi sıkı bir iletişim politikası izliyor. Yaptıkları ilk açıklamada oldukça standart bir dil kullanıldı. Bir sözcü, "KrebsOnSecurity tarafından bildirilen durumun farkındayız ve olayı ciddiyetle araştırıyoruz. Önceliğimiz, potansiyel riski anlamak ve azaltmaktır. Federal ortaklarımızla ve siber güvenlik topluluğuyla yakın bir şekilde çalışıyoruz," dedi. Ancak kapalı kapılar ardında, durumun tam bir kriz modunda yönetildiği biliniyor. Sızan tüm anahtarların ve kimlik bilgilerinin tespit edilip iptal edilmesi gerekiyor. Bu, devasa bir altyapıda iğneyle kuyu kazmak gibi. Her bir anahtarın nerelerde kullanıldığını bulmak ve değiştirmek, sistemlerde kesintilere yol açmadan bunu yapmak zorundalar. Kongre'nin baskısı artarken, CISA'nın önümüzdeki günlerde daha detaylı ve şeffaf bir açıklama yapması bekleniyor. Ancak şu bir gerçek ki, ajansın itibarı ağır bir yara aldı ve bu güveni yeniden tesis etmeleri uzun zaman alacak.

Kaynak

https://krebsonsecurity.com/2026/05/lawmakers-demand-answers-as-cisa-tries-to-contain-data-leak/