Musk’ın ‘Her Şeyin App’i’ İdeası Siber Saldırılara Karşı

Elon Musk'ın X'i yalnızca bir sosyal medya platformu olmaktan çıkarıp hayatın mümkün olduğunca büyük bir bölümünü tek uygulamada toplamaya yönelik planı, sonunda en kritik eşiklerinden birine ulaştı. X Money artık ABD'deki Premium ve Premium+ kullanıcılarına açılmış durumda. Para gönderme, alma, hesapta para tutma ve Visa banka kartıyla harcama gibi finansal işlemler X'in içine taşındı.

Ancak X Money'nin genişletilmesinin hemen ardından platformun kullanıcıları bu kez başka bir nedenle hesaplarını kontrol etmeye başladı: İstemeden gönderilmiş çok sayıda şifre sıfırlama e-postası.

X'in ürün mühendislerinden Mridul Singhai, saldırganların X Money'nin yaygınlaşmasıyla hesaplara yetkisiz erişim sağlamaya çalışıyor gibi göründüğünü söyledi. Şirket, şu ana kadar sistemlerinde bir ihlal ya da saldırıların başarılı olduğuna dair kanıt bulamadığını belirtiyor.

Ancak konu, bir X kullanıcısının hack’lenip hacklen’mediğinden daha büyük bir resme delalet ediyor.

Paradoks: Daha versatil, daha değerli ve daha tekinsiz

Çünkü X'in yıllardır kurmaya çalıştığı, Elon Musk’ın adeta ‘everything app’ yani ‘her şeyin uygulaması’ fikri tam da burada kendi güvenlik paradoksuyla karşılaşıyor: Bir uygulamaya ne kadar çok hayat alanı eklerseniz, o uygulamadaki tek bir hesabı ele geçirmek de o kadar değerli hale geliyor.

Zira Musk'ın X için tasarladığı gelecek, Twitter'ın sosyal medya mantığından oldukça farklı. 1999'da kurduğu X.com zaten bir finansal hizmet girişimiydi ve daha sonra PayPal'a dönüşecek birleşmenin parçası oldu. Musk, Twitter'ı 2022'de satın aldıktan sonra platformun adını X'e çevirdi ve yıllardır ‘everything app’ vizyonundan söz ediyor, adeta bununla yatıp kalkıyor.

Temmuz sonunda başlayan ABD lansmanında X Money; para yatırma hesabı, platform içi eşler arası para transferleri ve Visa banka kartını tek bir hizmette birleştirdi. X Money hesabındaki para Cross River Bank üzerinden tutuluyor. Kullanıcılar X Card'ı Apple Pay'e de ekleyebiliyor.

Sadece ABD’de (Şimdilik)

Ağustos sonunda hizmetin ABD'deki Premium ve Premium+ kullanıcılarına daha geniş biçimde açılmasıyla birlikte X artık kullanıcı hesabını yalnızca sosyal kimliğin değil, finansal işlemlerin de merkezi haline getirmeye başladı. Bu değişiklik güvenlik açısından küçük bir ayrıntı değil.

Daha önce ele geçirilen bir X hesabının değeri; hesabın takipçilerine, itibarına, mesajlarına veya sahibinin kimliğine bağlıydı. Şimdi aynı hesabın potansiyel olarak paraya erişim sağlayan bir anahtar haline gelmesi mümkün ve saldırganların bunu fark etmiş olması şaşırtıcı değil.

Şifre sıfırlama e-postası bombardımanı

Şu anda görünen tablo, klasik anlamda bir ‘X hack’lendi’ senaryosundan farklı.

Çok sayıda kullanıcı, kendilerinin başlatmadığı halde X'ten şifre sıfırlama e-postaları aldığını bildirdi. Bazı kullanıcılar kısa süre içinde çok sayıda e-posta aldıklarını söyledi. CoinDesk'in görüştüğü çalışanlar arasında da benzer bildirimler alanlar oldu.

X'in açıklamasına göre saldırganlar, kullanıcıların herkese açık kullanıcı adlarını kullanarak şifre sıfırlama mekanizmasını tekrar tekrar tetikliyor olabilir. Bunun kritik bir sonucu var: Şifre sıfırlama e-postasının gelmesi, saldırganın hesabınıza girdiği anlamına gelmiyor. Hatta e-postanın gerçekten X'ten gelmesi bile hesabın ele geçirildiği anlamına gelmiyor.

Sistem, biri bir kullanıcı adı üzerinden şifre sıfırlama talebi başlattığında hesabın gerçek sahibinin kayıtlı e-posta adresine bir doğrulama mesajı gönderiyor. Saldırgan doğrulama aşamasını tamamlayamazsa yalnızca bu mesajları üretmiş oluyor.

Başka bir deyişle saldırganın yaptığı şey, en azından şu ana kadar görünen tabloya göre, kapıyı açmak değil; kapının ziline durmadan basmak.

Bu da saldırganların e-posta adresinizi kesin olarak bildiğini göstermeyebilir. X'in şifre sıfırlama akışında herkese açık kullanıcı adı üzerinden talep başlatılabilmesi, bu tür bir saldırının mümkün olmasını sağlıyor.

Strateji panik psikolojisi

Burada saldırının daha ilginç bir boyutu ortaya çıkıyor. Bir kullanıcı art arda beş, on veya daha fazla şifre sıfırlama e-postası alınca doğal refleksi ‘hesabım saldırı altında’ demek oluyor. Tam da bu panik, saldırganların ekmeğine yağ sürüyor. Bazı kullanıcılar, gerçek X şifre sıfırlama bildirimlerinin arasında X'ten geliyormuş gibi görünen başka phishing mesajları da aldıklarını iddia ediyor. Bu e-postalar kullanıcıyı hesabını korumak için şifresini değiştirmeye çağırıyor; ancak içlerindeki bağlantı sahte bir X sayfasına götürerek kullanıcı adı ve şifre gibi bilgileri çalmayı hedefleyebilir.

X bu ikinci aşamanın gerçekleştiğini resmen doğrulamasa da şirketin ürün mühendisi bunun makul bir ihtimal olduğunu belirtiyor.

Bu, klasik phishing'in daha sofistike bir versiyonu olabilir: Önce gerçekten X'in sisteminden gelen bir güvenlik uyarısıyla kullanıcıyı alarma geçiriyor. Sonra aynı güvenlik krizini taklit eden sahte bir e-posta gönderiyor. Kullanıcı zaten korkmuş olduğu için bu kez sahte bağlantıya tıklama ihtimali yükseliyor.

Yani saldırganın ihtiyacı olan şey bazen teknik olarak kusursuz bir sahte e-posta değil; gerçek bir güvenlik olayının yarattığı paniği kendi saldırısının kılığına sokmak.

Çeşitlilik iyidir

Musk'ın vizyonunun cazibesi kolay anlaşılır. Neden ayrı bir banka uygulaması, ayrı bir mesajlaşma uygulaması, ayrı bir ödeme uygulaması, ayrı bir sosyal medya uygulaması kullanalım ki? Bunların hepsini tek yerde yapabilsek daha kolay olmaz mı? Teoride evet.

Fakat siber güvenlik açısından bunun tersinden okunabilecek bir tarafı da var. Bir uygulama ne kadar fazla iş yaparsa, tek bir hesabın ele geçirilmesinin maliyeti o kadar büyür. Sosyal medya hesabınız ele geçirildiğinde saldırgan hesabınız üzerinden takipçilerinizi dolandırabilir. Mesajlaşma hesabınız ele geçirildiğinde tanıdıklarınızı kandırabilir. Ödeme sistemi de aynı hesaba bağlandığında ise saldırganın hedefi artık yalnızca sizin dijital kimliğiniz değil, paranızdır.

Bu nedenle X Money saldırıları başarılı olmuş olmasa bile, olay Everything App fikrinin karşı karşıya olduğu temel güvenlik problemini gösteriyor: Merkezileştirme kullanıcı için kolaylık sağlarken saldırgan için de daha yüksek değerli bir hedef yaratıyor.

X hesabı adeta ziynet kasası

Bir X hesabının gelecekte ne kadar değerli olacağını anlamak için yalnızca X Money'ye bakmak bile yeterli. X Money ile kullanıcılar para gönderebiliyor, para alabiliyor ve hesaplarında para tutabiliyor. Hizmet ayrıca fiziksel ve dijital Visa kart sunuyor.

X'in creator ekonomisi açısından da bunun önemli bir tarafı var. Platform, içerik üreticilerinin ve diğer kullanıcıların para alışverişini doğrudan X içerisinde yapabilmesini kolaylaştırmayı hedefliyor.

Dolayısıyla X hesabı giderek yalnızca ‘Ben kimim?’ sorusunun cevabı olmaktan çıkıp ‘Param nerede?’ sorusunun da cevabı olma yönünde ilerliyor.

Bu dönüşüm, güvenlik mimarisinin de aynı hızda değişmesini gerektiriyor.

Şu anki olayın belki de en önemli tarafı burada: Saldırganlar X Money'yi kırmış olmayabilir. X'in güvenlik sistemindeki yeni ekonomik teşviki fark etmiş olmaları bile yeterli olabilir.

Phishing’i anlamak

Phishing'in gücü hiçbir zaman yalnızca sahte web sitesinin ne kadar iyi tasarlandığıyla ilgili değildi. En etkili saldırılar, kullanıcının psikolojisini de hedefliyor. ‘Şifreniz değiştirildi’, ‘Hesabınız ele geçiriliyor’, ‘Ödemeniz başarısız oldu’, ‘Şimdi doğrulama yapın’. Bu mesajların ortak noktası, kullanıcıya düşünmeden hareket etmesi için bir neden vermeleri.

X olayındaki potansiyel saldırı zinciri ise bu mantığı bir adım ileri taşıyor: Gerçek sistemden gelen bir bildirimi, sosyal mühendislik saldırısının yemine dönüştürmek. Bu nedenle güvenlik e-postalarında en önemli soru artık yalnızca ‘Bu mail gerçek mi?’ değil. ‘Bu mail gerçek olsa bile, benden gerçekten ne yapmamı istiyor?’

Önlemler basit

X kullanıcılarına önerilen önlemler de bu nedenle oldukça basit: İki faktörlü kimlik doğrulamayı etkinleştirmek, X'in ‘Password Reset Protect’ özelliğini açmak ve e-postalardaki bağlantılara tıklamak yerine X'e doğrudan uygulamadan veya tarayıcıya adresi kendiniz yazarak ulaşmak. X ayrıca kullanıcıların X'ten gelen e-postalarda alan adını kontrol etmesini ve doğrulanmış BIMI işaretine dikkat etmesini öneriyor.

Türkiye’de neden X Money yok?

X Money'nin mevcut lansmanı ABD ile sınırlı. Dolayısıyla Türkiye'deki kullanıcılar şu anda X Money'nin ABD'deki finansal özelliklerine erişemiyor. Hizmetin Türkiye'ye ne zaman geleceğine ilişkin doğrulanmış bir tarih bulunmuyor.

Bunun önemli bir nedeni de finansal hizmetlerin sosyal medya uygulamasına bir özellik eklemek kadar basit olmaması.

Türkiye'de ödeme hizmetleri ve elektronik para faaliyetleri 6493 sayılı Kanun ve buna bağlı düzenlemeler çerçevesinde düzenleniyor; ödeme ve elektronik para kuruluşlarının faaliyetleri Türkiye Cumhuriyet Merkez Bankası tarafından yetkilendiriliyor ve denetleniyor.

Dolayısıyla X'in Türkiye'de X Money'yi sunabilmesi, yalnızca uygulamaya yeni bir sekme eklemesinden ibaret olamaz. Hizmetin hangi finansal faaliyetleri Türkiye'de gerçekleştireceğine göre lisanslama, yerel ortaklıklar, müşteri varlıklarının tutulması, veri ve tüketici koruması gibi başlıkların da çözülmesi gerekiyor.

Apple Pay’la ortak payda

Aynı soruyu Apple Pay için de sormak mümkün. Apple Pay'in çalışabilmesi için Apple'ın yanı sıra bankalar, kart kuruluşları ve yerel ödeme altyapısının da sisteme entegre olması gerekiyor. Üstelik Türkiye'nin kendine özgü ödeme altyapısı ve düzenlemeleri bulunuyor. TCMB, ödeme hizmetleri alanındaki faaliyetleri 6493 sayılı Kanun ve ikincil düzenlemeler üzerinden denetliyor.

Bu nedenle X Money ile Apple Pay aynı problem olmasa da ikisinin ortak bir tarafı var: İnternette küresel görünen bir ürün, para söz konusu olduğunda bir anda ulusal sınırlarla karşılaşıyor.

Peki Everything App gerçekten her şeyi yapabilecek mi? X'in önündeki mesele artık yalnızca ‘X Money başarılı olacak mı?’ sorusu değil.

Musk'ın Everything App vizyonu gerçekleşirse X; sosyal medya, iletişim, içerik üretimi, ödeme, alışveriş ve finansal hizmetleri aynı kullanıcı hesabında birleştirebilir. Bu, kullanıcı deneyimi açısından olağanüstü bir kolaylık olabilir. Ama aynı zamanda yeni bir güvenlik denklemi yaratıyor: Daha fazla hizmet, daha fazla veri, daha fazla para, daha değerli hesap, daha büyük saldırı teşviki.

X'teki son password-reset dalgası bu zincirin henüz ilk halkalarında olduğumuzu gösteriyor. Şirketin açıkladığı kadarıyla ortada doğrulanmış bir sistem ihlali veya kitlesel hesap ele geçirme yok. Fakat saldırganların X Money'nin genişlemesini hesapları ele geçirmek için yeni bir fırsat olarak görmesi bile önemli bir sinyal.

Şu an Everything App'in gerçek sınavı, bütün bu hizmetleri tek uygulamada birleştirip birleştiremeyeceği değil. Bunların hepsini tek bir hesabı kaybettiğinizde hayatınızın tamamını kaybetmeyeceğiniz kadar güvenli biçimde birleştirip birleştiremeyeceği.