“Dün Çağrı Cihazı, Bugün Dron Gözlüğü: Teknolojinin İçindeki Tuzak!”

Çağrı cihazlarından dron gözlüklerine, casus yazılımlardan görünmez tedarik zinciri tuzaklarına…

17 Eylül 2024. Lübnan’da bir anda binlerce çağrı cihazı patladı. İnsanlar evlerinde, sokaklarda, iş yerlerinde ve alışveriş merkezlerinde yaralandı. Ertesi gün patlamalar telsizlerle devam etti. Ölenler arasında çocuklar, yaralananlar arasında siviller vardı. Herkes aynı soruyu soruyordu: İnsanların haberleşmek için yanlarında taşıdığı cihazlar nasıl olup da birer silaha dönüşmüştü?

O iki gün yalnızca Lübnan’ın değil, bütün dünyanın teknolojiye bakışını değiştirmeliydi. Çünkü patlayan şey sadece bir elektronik cihaz değildi; insanların satın aldıkları ürüne, markaya, tedarikçiye ve kendilerini güvende tutacağına inandıkları teknolojiye duydukları güvendi.

Bir zamanlar düşmanı bulmak için onun bulunduğu yere gitmek gerekiyordu. Şimdi ise düşmanın kullandığı teknolojinin üretim veya dağıtım zincirine girmek yeterli olabiliyor. Hedef, saldırı aracını hiç şüphelenmeden kendi cebine koyuyor.

BİR CİHAZ NASIL TRUVA ATI OLDU?

Lübnan operasyonunun arkasındaki yöntem zamanla ortaya çıktı. Reuters’ın araştırmaları, çağrı cihazlarının sıradan pillerden ibaret olmayan özel donanımlarla hazırlandığını; bunlara güvenilir ürün görüntüsü vermek için internet siteleri, ürün tanıtımları ve ticari hikâyeler oluşturulduğunu gösterdi. CBS’in “60 Minutes” programında konuşan eski Mossad mensupları da sahte şirketler ve uzun süreli hazırlıklarla cihazların tedarik zincirine nasıl sokulduğunu anlattı.

Burada asıl mesele, bir cihazın içinde ne bulunduğundan daha büyük. Bir ürünün hangi şirketten geldiği, kimlerin elinden geçtiği ve teslim edilmeden önce ne tür müdahalelere uğradığı artık doğrudan millî güvenlik meselesidir.

Üstelik bunu sıradan bir yazılım saldırısıyla karıştırmayalım. Lübnan’da fiziksel olarak tuzaklanan cihazlar kullanıldı. Fakat bu operasyonu mümkün kılan esas unsur, ürünün görünüşte normal olması ve satın alma sürecinin güvenilir görünmesiydi.

Bazen düşman size saldırmak için kapınızı çalmaz. Size bir cihaz satar.

ÇAĞRI CİHAZINDAN DRON GÖZLÜĞÜNE

Aradan iki yıldan fazla zaman geçti. Bu kez tarih 2 Kasım 2026, yer Rusya. Rusya Federal Güvenlik Servisi (FSB), askerî birliklere yardım adı altında ulaştırılmak istenen FPV dron gözlüklerinde patlayıcı düzenekler bulunduğunu duyurdu. Açıklamaya göre cihazlar gönüllü yardım kanallarından gönderiliyor; görünüşte dron kullanan askerin işini kolaylaştıracak bir ekipman gibi sunuluyordu.

FPV gözlüğü, dronun kamerasından gelen görüntüyü operatörün gözlerinin önüne taşıyan bir cihazdır. Yani kullanıcının yüzüne çok yakın çalışır. FSB’nin açıkladığı olayda da tehlike tam bu noktadaydı. Benzer dron gözlüğü tuzakları 2025’te de haber olmuştu.

Bir tarafta Lübnan’da çağrı cihazları, diğer tarafta Ukrayna savaşında dron gözlükleri… Coğrafyalar, hedefler ve savaşların tarafları farklı. Fakat görünen yöntem şaşırtıcı derecede benzer: Önce güven kazanılıyor, sonra o güvenin içine saldırı aracı yerleştiriliyor.

Buradan çıkarılması gereken ders, tek başına “dron gözlüklerini kontrol edelim” değildir. Askerî haberleşme cihazından sensöre, şarj ünitesinden akıllı gözlüğe kadar kritik görevlerde kullanılan her elektronik ürünün nereden geldiği ve hangi denetimlerden geçtiği bilinmelidir.

APPLE’IN UYARISI: CEBİMİZDEKİ ELMADA KURT MU VAR?

Tam bu tartışmalar sürerken Lübnan’dan başka bir haber geldi. Gazeteci Rıdvan Mortada, Apple’dan iPhone’unun son derece gelişmiş bir paralı casus yazılım saldırısıyla hedef alındığına ilişkin uyarı aldı. Lübnan Ulusal İnsan Hakları Komisyonunun 1 Kasım 2026 tarihli açıklamasına göre uyarı 29 Ekim’de gönderilmişti. Apple’ın aynı dönemdeki bildirimleri 99 ülkedeki hedef alınan kullanıcılara ulaşmıştı.

Mortada’nın kimliği bu hikâyeyi daha da dikkat çekici kılıyor. Gazeteci, 2024’te Lübnan’daki çağrı cihazı patlamalarını araştıran “Tuzak” belgeselinin hazırlanmasında yer almıştı. Kendisinin, saldırı uyarısını bu gazetecilik çalışmasıyla ilişkilendirmesi de bu nedenle önemli.

Burada iki ayrı tehlike aynı çizgide buluşuyor. Çağrı cihazında fiziksel tuzak, telefonda ise görünmez bir yazılım tehdidi var. Birincisi insan bedenini hedef alıyor; ikincisi kişinin konuşmalarını, kaynaklarını, haberleşmesini ve özel hayatını hedefleyebiliyor.

Apple’ın uyarısı belirli bir casus yazılımın adını veya saldırının arkasındaki kişileri açıklamıyor. Ama bu, uyarının düşündürdüğü soruyu ortadan kaldırmıyor: Bir gazetecinin, bir bürokratın, bir komutanın veya bir mühendisin telefonunda biriken bilgiler kimin işine yarayabilir?

PEGASUS: TELEFON ÇALMADAN DİNLEME BAŞLAYABİLİR

İsrailli NSO Group’un geliştirdiği Pegasus, telefonların gizlice gözetlenmesi tartışmalarının en bilinen örneklerinden biri. Citizen Lab, 2020’de El Cezire çalışanlarının telefonlarının Pegasus ile hedef alındığı vakaları ortaya koydu. 2023’te ise bazı iPhone’ların, kullanıcı hiçbir bağlantıya dokunmadan istismar edilebilen bir açık üzerinden hedef alınabildiğini belgeledi.

Bu tür saldırılar yalnızca bir kişinin fotoğraflarını görmek için yapılmıyor. Kiminle görüştüğü, neyi araştırdığı, hangi belge üzerinde çalıştığı ve kimi tanıdığı da değerli hâle geliyor. Gazeteci için haber kaynağı, diplomat için temasları, asker için görevi, araştırmacı için projesi saldırganın asıl hedefi olabiliyor.

Bir zamanlar casus, kapıya gizlice dinleme cihazı yerleştirirdi. Bugün casusluk, cebimizde taşıdığımız ve gün boyunca kendi isteğimizle kullandığımız ekran üzerinden yürütülebiliyor.

BU HİKÂYE NE LÜBNAN’DA BAŞLADI NE DE ORADA BİTECEK

2010’da ortaya çıkan Stuxnet zararlı yazılımı, İran’ın Natanz nükleer tesisindeki endüstriyel sistemleri hedef almasıyla tarihe geçti. Dünya, bir bilgisayar saldırısının yalnızca bilgi çalmakla kalmayıp fiziksel üretim süreçlerini de bozabileceğini gördü.

2017’deki NotPetya saldırısında ise Ukrayna’da kullanılan bir muhasebe yazılımının güncelleme mekanizması, zararlı yazılımın yayılmasında rol oynadı. Saldırı kısa sürede uluslararası şirketleri etkiledi. 2020’de SolarWinds olayında güvenilir bir yazılım güncellemesi, çok sayıda kuruluşun ağına sızmak için kullanıldı.

Dikkat ediniz: Birinde endüstriyel sistem, diğerinde muhasebe yazılımı, bir başkasında ağ yönetim programı, Lübnan’da çağrı cihazı, Rusya’da dron gözlüğü, gazetecinin cebinde ise akıllı telefon… Araçlar değişiyor, ama temel soru aynı kalıyor: Güvendiğimiz teknoloji gerçekten kimin denetiminde?

TÜRKİYE BU TABLODAN NE OKUMALI?

Bu olayları yalnızca yabancı ülkelerde yaşanan ilginç istihbarat hikâyeleri gibi okuyamayız. Türkiye de haberleşmesinde, savunma sistemlerinde, enerji altyapısında, ulaşımında, sağlık hizmetlerinde ve gündelik hayatında sayısız elektronik cihaza bağımlı.

Üstelik dijital güvenlik yalnızca yazılımdan ibaret değildir. Ürünün içindeki donanım, üreticisi, üzerinde çalışan yazılım, güncelleme sunucusu, bakım personeli, tedarikçisi ve dışarıya gönderdiği veriler aynı güvenlik zincirinin parçalarıdır. Bu zincirdeki tek bir zayıf halka, bütün sistemi savunmasız bırakabilir.

Bu nedenle kritik kurumların satın aldığı elektronik ürünlerde yalnızca fiyat ve teknik özellik değerlendirmesi yapılması yeterli değildir. Tedarikçi geçmişi, donanım bütünlüğü, yazılım bileşenleri, güncelleme mekanizması, veri trafiği ve bakım yetkileri de bağımsız güvenlik incelemesinden geçmelidir. Risk yalnızca cihaz teslim alınırken değil, kullanım ömrü boyunca izlenmelidir.

Böyle bir yaklaşımda yerli ve millî teknoloji geliştirme kabiliyeti vazgeçilmezdir. TÜBİTAK BİLGEM’in teknik birikimi, Siber Güvenlik Başkanlığının koordinasyonu, üniversitelerimizin araştırma gücü ve yetkin yerli firmalarımızın üretim kapasitesi ortak bir güvenlik anlayışında buluşturulmalıdır. Yerli ürün tek başına güvenli ürün demek değildir; ancak güvenliği denetleyebilme, kusuru düzeltebilme ve kritik bileşenleri gerektiğinde kendi imkânlarımızla üretebilme kabiliyetimizi artırır.

CEBİNİZDEKİ CİHAZ, SİZE KURULMUŞ BİR TUZAK OLMASIN!

Buradan özellikle kritik makamlarında görev yapan yöneticilere, askerî personele, istihbarat mensuplarına ve stratejik kurumlarımızın yetkililerine hayati bir uyarıda bulunmak istiyorum.

Cep telefonu, akıllı saat, kulaklık ve benzeri elektronik cihazları, güvenliği denetlenmemiş kişiye özel siparişlerle temin etmeyiniz! Özellikle kimliğiniz ve göreviniz bilinerek sizin adınıza hazırlanan veya hediye edilen cihazlara karşı son derece dikkatli olunuz.

Çünkü size ulaşacak cihaz önceden biliniyorsa, içine yalnızca casus yazılım değil, patlayıcı bir düzenek de yerleştirilmiş olabilir!

UNUTMAYINIZ!

Dün Lübnan'da çağrı cihazları patlatıldı. Bugün dron gözlükleri tuzaklanıyor, telefonlar casusluk aracı olarak kullanılıyor.

Yarın hangi cihazın, kimin elinde bir silaha dönüşeceğini kim bilebilir?

Düşman, sizin hangi cihazı kullanacağınızı önceden biliyorsa artık size ulaşmasına gerek kalmayabilir. Çünkü siz, farkında olmadan onun hazırladığı tuzağı kendi ellerinizle cebinize koymuş olabilirsiniz!

(E) Tuğg. Halil İbrahim BÜYÜKBAŞ