Sizin E-Posta Hesabınız da Listede Olabilir

Hindistan’ın Gucerat eyaletindeki kamu kurumlarına 10 Eylül’de gönderilen e-postada bombalı saldırı tehdidi vardı. Mesajda 12 Eylül'de Hindistan'ın Yeni Delhi kentinde gerçekleşen BRICS Zirvesi’ne ve Hindistan’la iş birliği yapan ülkelere de göndermeler yapılıyordu. Aramalarda patlayıcı bulunmadı, ancak e-postayı izleyen soruşturma çok daha büyük bir mail hesap ağına ulaşıyordu.

Gucerat Polisi, Bihar ve Jharkhand eyaletlerinde yakalanan iki şüpheliden 513 bin 847 farklı Gmail adresi ile bunlara ait parolaların bulunduğu bir liste ele geçirdiğini duyurdu. Polise göre hesaplar, kamu kurumlarına, okullara, üniversitelere ve mahkemelere tehdit mesajları göndermek gibi farklı suçlarda kullanılmak üzere hazırlanıyor ve başka kişilere satılıyordu. New Indian Express’ın aktardığı soruşturmada, mali hareketlerin bir bölümünün kripto para cüzdanları üzerinden yürütüldüğü ve Bangladeş bağlantısının incelendiği belirtiliyor.

Reuters’ın 15 Eylül tarihli haberine göre, şüphelilerden biri Bangladeş’teki bir alıcıya hesap grupları sağladı ve ödemelerin bir bölümünü kripto parayla aldı. Polis, listenin 2022’den beri kullanılan hesapları içerdiğini ve hesapların tamamında iki aşamalı doğrulama bulunduğunu ileri sürüyor. Google’dan hesap açma sistemindeki korumaların nasıl aşılmış olabileceğine ilişkin açıklama istenecek.

Bu noktada 513 bin 847 sayısını dikkatli okumak gerekiyor. Polis, şüphelilerden bu kadar e-posta adresi ve parola ele geçirildiğini söylüyor. Liste kamuoyuyla paylaşılmış değil. Google da adreslerin kaçının gerçek, etkin veya soruşturmadaki mesajlarda kullanıldığını doğrulamadı. Dolayısıyla bu sayı, 513 bin 847 tehdit mesajı gönderildiği ya da aynı sayıda kişinin hesabının çalındığı anlamına gelmiyor.

Eldeki bilgiler, hesapların sıfırdan mı açıldığı, başkalarından mı satın alındığı, veri sızıntılarından mı toplandığı veya bunların bir karışımından mı oluştuğu sorularını da henüz yanıtlamıyor.

Buna rağmen ele geçirilen listenin büyüklüğü, e-posta hesaplarının internet ekonomisindeki yerini yeniden düşünmeyi gerektiriyor. Bir Gmail adresi bugün mesaj gönderip almak için kullanılan basit bir posta kutusu değil. Sosyal medya hesabı açmanın, uygulamalara kaydolmanın, bulut depolamaya erişmenin, parola sıfırlamanın ve başka platformlarda kimlik oluşturmanın anahtarlarından biri.

Bu nedenle çok sayıda kullanılabilir e-posta hesabını kontrol eden kişi, aynı zamanda başka hizmetlerde kullanılabilecek yüz binlerce başlangıç kimliğine sahip oluyor.

İki aşamalı doğrulama kimi doğruluyor?

Polisin açıklamasındaki en şaşırtıcı ayrıntı, hesaplarda iki aşamalı doğrulama bulunması. Bu özellik genellikle hesabın gerçek bir kişiye ait olduğunun kanıtı gibi algılanıyor. Oysa iki aşamalı doğrulamanın fonksiyonu bu değil.

Sistem, hesaba girmeye çalışan kişinin parola dışında ikinci bir araca da erişebildiğini kontrol ediyor. Bu araç telefona gelen kod, doğrulama uygulaması, güvenlik anahtarı veya daha önce tanımlanmış bir cihaz olabilir. Parola çalınsa bile ikinci araca sahip olmayan saldırganın içeri girmesini zorlaştırır.

Fakat hesap baştan kötüye kullanılmak amacıyla açılmışsa iki aşamalı doğrulama onu meşru hale getirmiyor. Hesabı açan veya satın alan kişi, ikinci doğrulama aracını da kendisi kontrol edebiliyor. Böylece güvenlik özelliği, hesabı dışarıdan gelecek hırsızlığa karşı korurken hesabın sahibinin ne yaptığı hakkında bir şey söylemiyor.

Başka bir ifadeyle iki aşamalı doğrulama, hesabın başındaki kişinin ‘iyi niyetli’ olduğunu kanıtlamıyor. O kişinin parola ve ikinci doğrulama aracına birlikte sahip olduğunu gösteriyor.

Google, hesap açma veya oturum açma sırasında şüpheli bir durum gördüğünde telefon doğrulaması isteyebildiğini belirtiyor. Şirket ayrıca aynı telefon numarasıyla açılabilecek hesap sayısını sınırladığını söylüyor. Gucerat’taki şüphelilerin yüz binlerce hesap için bu sınırları nasıl aştığı henüz bilinmiyor. Polisin Google’a yöneltmek istediği sorulardan biri de bu.

Spam filtresi tehdit e-postasını neden durdurmayabilir?

Google, Gmail’in yapay zeka destekli sistemlerle dakikada yaklaşık 10 milyon istenmeyen mesajı engellediğini; spam, kimlik avı ve zararlı yazılımların yüzde 99,9’undan fazlasının gelen kutusuna ulaşmasını önlediğini kendi güvenlik sayfasında belirtiyor.

Bu oran büyük hacimli istenmeyen e-postalara karşı yürütülen mücadeleyi gösteriyor. Gucerat’taki olay ise başka bir tür kullanım biçimine işaret ediyor. Bombalı saldırı tehdidi içeren bir mesajın binlerce kişiye gönderilmesi, içinde zararlı yazılım taşıması veya para isteyen bir bağlantı barındırması gerekmiyor. Tek bir kuruma, tek bir hesaptan gönderilen kısa bir metin de binanın boşaltılmasına, bomba ekiplerinin görevlendirilmesine ve kamu hizmetinin saatlerce aksamasına yol açabiliyor.

Güvenlik filtresinin önündeki sorun burada başlıyor. Sistem bir mesajın teknik olarak zararlı olup olmadığını, gönderim sıklığını, adresin geçmişini ve alıcıların tepkilerini değerlendirebilir. Fakat düşük hacimli, bağlantısız ve hedefli bir mesajın gerçek bir tehdit mi, suç amacıyla hazırlanmış bir aldatmaca mı yoksa kötü bir şaka mı olduğunu önceden belirlemek daha zor.

Bu durum, saldırgan lehine büyük bir maliyet farkı yaratıyor. Tehdit mesajını göndermek birkaç dakika sürerken alıcı kurumun onu görmezden gelme imkanı bulunmuyor. Okullar, mahkemeler ve kamu binaları güvenlik protokolünü uygulamak; binayı aramak, personeli tahliye etmek ve mesajın kaynağını araştırmak zorunda kalıyor.

Sahte hesap ağı da tam bu noktada işe yarıyor. Bir hesap kapatıldığında yenisi kullanılabiliyor. Adresler farklı cihazlara veya alıcılara dağıtılabiliyor. Hesapların bir kısmı bekletilip daha sonra devreye sokulabiliyor. Böyle bir yapıda platformun karşısında sürekli mesaj gönderen tek bir bot değil, gerektiğinde kullanılmak üzere hazırlanmış bir hesap stoğu bulunuyor.

Sizin Gmail hesabınız da listede olabilir mi?

Şu an buna ulaşabileceğiniz bir liste yok. Gucerat Polisi listenin içeriğini yayımlamadı ve ele geçirilen parolaların gerçek kullanıcılara ait olup olmadığını açıklamadı.

Yine de bir e-posta hesabının ele geçirilmesi, ona bağlı diğer hizmetleri de etkileyebiliyor. Aynı parolayı farklı sitelerde kullanıyorsanız saldırgan, ele geçirdiği adres ve parola çiftini diğer platformlarda deneyebilir. E-posta hesabına erişebiliyorsa parola sıfırlama bağlantılarını alabilir, bulut dosyalarını görebilir veya sizin adınıza mesaj gönderebilir.

Google, şüpheli bir durumda kullanıcıların son güvenlik olaylarını ve hesaba bağlı cihazları kontrol etmesini öneriyor. Tanımadığınız bir cihaz, sizin oluşturmadığınız bir yönlendirme kuralı, değiştirilmiş kurtarma adresi veya ‘Gönderilmiş’ klasöründe size ait olmayan mesajlar varsa parola değişikliğinin yanında açık oturumları ve hesaba erişen uygulamaları da incelemek gerekiyor.

İki aşamalı doğrulama, çalınmış bir parolanın tek başına kullanılmasını zorlaştırıyor. Parola yerine cihazda saklanan geçiş anahtarları ise kimlik avına karşı daha güçlü bir seçenek. Google’a göre geçiş anahtarları kopyalanamıyor veya yanlışlıkla başka bir siteye verilemiyor. Ancak Gucerat soruşturmasının gösterdiği gibi güvenli oturum açma ile hesabın meşru amaçla kullanılması birbirinden farklı konular.

Soruşturma tamamlandığında 513 bin 847 adresin ne kadarının etkin olduğu, kaçının tehdit mesajlarında kullanıldığı ve nasıl oluşturulduğu daha küçük bir sayıya inebilir. Bugünkü bilgiler bu sorulara cevap vermiyor.

Yine de olay, platformların sahte hesap sorununu neden gönderilmiş spam sayısıyla ölçemeyeceğini gösteriyor. Takip edilmesi gerekenler arasında birlikte açılan hesap kümeleri, aynı doğrulama kaynaklarının tekrar kullanılması, hesapların el değiştirmesi ve uzun süre bekledikten sonra birden faaliyete geçmesi de bulunuyor.

Bir platform milyonlarca zararlı mesajı engelleyebilir. Fakat tek bir e-posta, bir okulu veya mahkemeyi boşaltmaya yetiyorsa hesap güvenliğinin ölçüsü engellenen mesajların yüzdesinden ibaret kalamaz. Gucerat’taki soruşturmanın Google’a yönelttiği soru da burada düğümleniyor: Yarım milyon hesabın aynı ağın elinde toplanması, ilk tehdit mesajı gönderilmeden önce fark edilebilir miydi?