Yerde Bir USB Bellek Buldunuz… Ne Yaparsınız?

Yerde bulunan 297 USB bellekten Natanz’a, Pentagon’dan savcılık itiraflarına… Bir kurum ajandasıyla birlikte bana verilen küçük hediyenin yıllar sonra düşündürdükleri.

Sabah işinize giderken yerde bir USB bellek buldunuz. Üzerinde isim yok, adres yok. Sahibine ulaştırmak istiyorsunuz. Bilgisayarınıza takıp dosyalara göz atmak, ilk anda en pratik yol gibi görünüyor. Peki gerçekten bunu yapar mıydınız?

ABD’de Illinois Üniversitesi araştırmacıları bu sorunun cevabını bir kampüste aradı. 2015 yılında, farklı noktalara 297 USB bellek bıraktılar. 2016’da IEEE Security and Privacy Sempozyumu’nda yayımlanan sonuçlar, siber saldırganların neden yalnızca yazılımlara değil, insan davranışlarına da odaklandığını gösteriyordu.

¹ Araştırma anketine cevap veren katılımcılar arasında; belleği bilgisayara takarken önlem almadığını söyleyenlerin oranı.

Rakamların en şaşırtıcı yanı insanların niyetiydi: Bazıları USB’yi yalnızca sahibini bulmak için bilgisayara bağlamıştı. Yani iyi niyet bile bir saldırganın kullanabileceği zafiyete dönüşebiliyordu.

Peki, o USB’yi yerde bulmak yerine yıllardır tanıdığınız biri size hediye etseydi?

Bu soruyu benim için unutulmaz hâle getiren bir olay var. 2014 yılında bizzat yaşadım. Önce bir USB belleğin dünyada hangi kapıları açabildiğine bakalım.

NATANZ: İNTERNET OLMASA DA TEHLİKE VAR

2010 yılında İran’ın Natanz uranyum zenginleştirme tesisi, Stuxnet adlı zararlı yazılımla dünya gündemine girdi. Hedef yalnızca bilgisayardaki veriler değildi; santrifüjleri yöneten endüstriyel kontrol sistemleriydi. Stuxnet, çıkarılabilir USB bellekler aracılığıyla yayılabilen kabiliyetlere sahipti.

Dış dünyadan büyük ölçüde yalıtılmış bir sisteme bile taşınabilir bir aygıt üzerinden yaklaşılabildi. Zararlı yazılım, belirli kontrol süreçlerini manipüle ederek fiziksel hasara yol açabilecek biçimde tasarlanmıştı. Siber saldırının gerçek dünyadaki makinelere uzanabildiğini herkes gördü.

PENTAGON’U SARSAN USB BELLEK

2008’de Ortadoğu’daki bir Amerikan askerî tesisinde, zararlı yazılım taşıyan bir USB bellek bilgisayara takıldı. Kod, ABD Merkez Komutanlığının kullandığı ağlara yayıldı. Pentagon, “Operation Buckshot Yankee” adı verilen geniş kapsamlı bir siber savunma operasyonu başlattı. Dünyanın en güçlü askerî ağları bile küçük bir taşınabilir cihazın açtığı kapıdan etkilenebilmişti.

Aynı yöntem yıllar sonra hediye paketlerinin içinde yeniden görüldü. FBI’nin 2022’de bildirdiği FIN7 kampanyasında, ABD’de savunma şirketleri de dâhil olmak üzere kuruluşlara zararlı USB cihazları gönderiliyordu. Bazı cihazlar, bilgisayara takılınca kendisini klavye gibi tanıtabiliyor ve komutlar çalıştırabiliyordu. Bir hediyenin dış görünüşü, içerdiği tehlike hakkında hiçbir garanti vermiyordu.

USB BAITING: ÖNCE İNSANIN GÜVENİNE SIZMAK

Siber güvenlikte bu yaklaşım “USB Baiting”, yani “USB ile Yemleme” olarak bilinen sosyal mühendislik yöntemleri arasında yer alır. Bellek bazen bir otoparkta unutulmuş gibi bırakılır; bazen üzerine merak uyandıran bir etiket yapıştırılır. Bazen de ziyaretin sonunda masanıza hediye olarak konur.

Saldırgan her zaman güvenlik duvarını aşmaya çalışmaz. Bazen sizin merakınızı, yardım etme isteğinizi, eski dostluğunuzu veya kurumsal nezaketi kullanır. Asıl istediği tek bir davranıştır: Cihazı bilgisayara bağlamanız.

2014: BİR USB BELLEK, BİR KURUM AJANDASI

2014 yılında görev yaptığım kuruma eski bir tanıdığım ziyarete geldi. Geçmişte bilimsel bir projede birlikte çalışmıştık. Ziyaret sıradandı; sohbet ettik, eski çalışmalarımızdan söz ettik.

Ayrılırken masama iki küçük hediye bıraktı: Çalıştığı kurumun ajandası ve bir USB bellek. İş hayatında garipsenmeyecek, nezaket olarak görülecek iki eşya… Teşekkür ettim.

Ancak o USB belleği hiçbir zaman bilgisayarıma takmadım.

Çünkü bilgi güvenliği derslerimde kaynağı denetlenmemiş USB belleklerin sakıncalarını zaten anlatıyordum. Başkalarına öğrettiğim güvenlik kuralını kendim ihlal edemezdim. Üstelik bunun yalnızca bir virüs bulaşması meselesi olmadığını çok iyi biliyordum.

Kamuoyunda Ergenekon ve Balyoz davaları olarak bilinen süreçlerde bilirkişi olarak görev yapmıştım. Dijital delillerin nasıl değerlendirilmesi gerektiğini, hedef alınan insanların bilgisayarlarında bulunan dosyaların kaynağının neden hayati önem taşıdığını incelemiş; kumpas niteliğindeki dijital işlemlere ilişkin tespitlerimi raporlamıştım.

Bir dosyanın bilgisayarda bulunmasıyla, o dosyayı bilgisayar sahibinin oluşturmuş olması aynı şey değildir. Kötü amaçlı bir yazılımın sisteme erişim sağlaması, kullanıcıdan habersiz dosya aktarabilmesi veya bazı işlemleri onun adına gerçekleştirebilmesi mümkündür. Bu nedenle o hediye USB’yi bilgisayarıma bağlamamak benim için tereddüt değil, mesleki bir güvenlik refleksiydi.

Aradan yaklaşık bir yıl geçti. Bana USB belleği getiren kişinin FETÖ soruşturması kapsamında tutuklandığını öğrendim. Ardından gazetelerde yayımlanan savcılık ifadesiyle ilgili haberleri okudum. Basına yansıyan anlatıma göre hedef seçtikleri kişilere USB bellek hediye ederek onları tuzağa düşürdüklerini savcılıkta itiraf etmişti.

Bu, internette dolaşan kaynağı belirsiz bir söylenti değildi; benim okuduğum, savcılıkta verilen bir ifadenin gazetelere yansımasıydı.

Zihnim bir anda 2014 yılına döndü: Odama gelen eski çalışma arkadaşım… Masama bıraktığı kurum ajandası… Ve yanındaki USB bellek… Artık o küçük hediye, zihnimde çok daha ağır bir soruya dönüşmüştü: Ya bilgisayarıma taksaydım?

Belleğin içerisinde ne bulunduğunu bilmiyorum. Çünkü onu hiç takmadım ve teknik olarak inceletmedim. Bana verilen cihazın gerçekten bu amaçla hazırlanıp hazırlanmadığını söyleyemem. Fakat savcılık itirafına ilişkin haberler, o günkü tedbirimin neden önemli olduğunu bir kez daha hatırlattı.

“ELMA YEDİRME”: SAVCILIK İFADESİNE GİREN YÖNTEM

Bu hadiseden ayrı bir soruşturmada, Anadolu Ajansının 7 Nisan 2021 tarihli haberinde FETÖ yapılanmasında görev almış bir mahrem imamın itirafları yer aldı. İfadede “elma yedirme” olarak adlandırılan yöntem anlatılıyordu: Özel hazırlanmış mikro SD veya flaş belleklerle hedef seçilen askerî personelin bilgisayarındaki bilgi ve görüntülere ulaşılması, elde edilen malzemelerin o kişiler aleyhine kullanılması…

Aynı haber, isimsiz ihbar mektupları üzerinden hedef personelin yıpratılmasına da yer veriyordu. Bu sözler teknik bir ihtimal tartışması değil, soruşturma dosyasına yansıyan itirafçı anlatımlarıydı. Kendi yaşadığım 2014 ziyaretiyle aynı dosya değildir; fakat USB’nin istihbarat ve kumpas amacıyla nasıl kullanılabildiğini anlamak bakımından sarsıcı bir örnektir.

KÖLE BİLGİSAYAR: DELİLİN KAYNAĞI KİM?

Bir bilgisayar zararlı yazılımla uzaktan yönetilebilir hâle geldiğinde, artık yalnızca bilgi sızması tehlikesinden söz etmeyiz. Bilgisayar bir “köle bilgisayar” gibi başkasının komutlarını yerine getirebilir. Dosyalar kopyalanabilir, sistem üzerinde işlemler yapılabilir; uygun yetki ele geçirilmişse sahibinin hiç oluşturmadığı içerikler cihaza yerleştirilebilir.

Şimdi en ağır senaryoyu düşünün: Bilgisayarınızda sizin haberiniz olmadan gizlilik dereceli belgeler veya çocukların cinsel istismarını içeren yasa dışı materyaller ortaya çıkıyor. Ardından bir ihbarla karşı karşıya kalıyorsunuz. Bir anda dosyanın varlığı değil, o dosyanın kim tarafından, ne zaman ve nasıl yerleştirildiği hayatî soruya dönüşüyor.

Böyle bir dosya yerleştirme girişiminin 2014’te bana verilen USB’de bulunduğunu söylemiyorum; bunu gösterecek bir incelemem yok. Ancak bilirkişilik tecrübem bana dijital delilin aidiyetinin, bütünlüğünün ve elde edilme zincirinin ne kadar önemli olduğunu öğretti. Siber güvenlik bazen sadece sırların çalınmasını önlemek değil, insanın itibarını ve özgürlüğünü de korumaktır.

KÜÇÜK HEDİYE, BÜYÜK GÜVENLİK DERSİ

Askerî karargâhlarda, savunma sanayii kuruluşlarında, istihbarat birimlerinde, araştırma merkezlerinde ve kritik kamu kurumlarında çalışanlara özellikle seslenmek istiyorum: Fuar, toplantı veya ziyaretlerde size verilen USB bellekleri ve elektronik hediyeleri kurumsal güvenlik denetiminden geçmeden bilgisayarınıza bağlamayın. Yerde bulduğunuz bir USB’nin sahibini öğrenmek için bile içine bakmayın; yetkili güvenlik birimine teslim edin.

Unutmayın, bazı USB aygıtları yalnızca depolama belleği gibi davranmaz. Otomatik çalıştırmayı kapatmak tek başına yeterli olmayabilir. Teknik korumalar, cihaz politikaları ve çalışanların güvenlik disiplini birlikte işlerse anlam kazanır.

Bugün 2014 yılındaki o sahneyi hâlâ hatırlıyorum: Masamda bir kurum ajandası ve yanında küçük bir USB bellek. İkisi de sıradan bir nezaket hediyesi gibi görünüyordu. O belleği hiçbir zaman bilgisayarıma takmadım.

Peki ya taksaydım?

İçeriğini bilmiyorum. Fakat bildiğim şu: Siber istihbaratta bazen ilk saldırı bilgisayara değil, insanın güvenine yönelir. Kapıyı kırmak yerine kapıyı çalıp size küçük bir hediye uzatırlar. O andan sonra güvenliğinizi belirleyen, hediyeyi kabul etmeniz değil, onu hangi sisteme bağlamayacağınızdır.