Siber güvenlik firması Huntress, 20 Ağustos 2026’da sahte bir kripto para konferansını yem olarak kullanan sofistike bir sosyal mühendislik kampanyasını deşifre etti. Saldırı, ironik biçimde güvenlik araştırmacılarının kendisini hedef alıyordu: Ağustos ayında düzenlenen Black Hat ve DEF CON konferanslarına katılan veya katılmayı planlayan siber güvenlik profesyonelleri, silahlandırılmış bir Google Dokümanı üzerinden kötü amaçlı yazılım bulaştırma girişimiyle karşılaştı.
Kampanya, güvenlik camiasında “avcının avlanması” örneği olarak konuşuluyor; çünkü hedef kitle, bu tür sosyal mühendislik tekniklerini genellikle en iyi tanıyan kişilerden oluşuyor. Bu durum aynı zamanda önemli bir dersi de gözler önüne seriyor: teknik bilgi düzeyi ne kadar yüksek olursa olsun, doğru zamanda, doğru bağlamda ve inandırıcı bir kisveyle sunulan bir sosyal mühendislik girişimi herkes için risk oluşturabiliyor.
Saldırı Nasıl İşledi?
Huntress’in teknik analizine göre saldırgan, tanınmış bir kripto para haber kuruluşunda çalışıyormuş gibi davranarak hedeflerle X (eski adıyla Twitter) üzerinden iletişime geçti. Hem herkese açık yanıtlar hem de doğrudan mesajlar (DM) kullanılan kampanyada saldırgan, kurbanlara konferans planlama dokümanı süsü verilmiş bir Google Dokümanı paylaştı.
Sahte Şifreleme Kutusu Hilesi
Dokümanın en dikkat çekici yönü, kenar çubuğuna yerleştirilmiş sahte bir “şifreli içerik” uyarısıydı. Kurbanlardan, içeriği görüntülemek için bir “şifre çözme anahtarı” girmeleri isteniyordu. Saldırgan bu sahte arayüzü inandırıcı kılmak için Google Apps Script işlevselliğini kullanarak dokümanın davranışını özelleştirdi. Bu teknik, klasik “makroyu etkinleştir” tuzağının Google Dokümanlar ortamına uyarlanmış hali olarak değerlendirilebilir.
Dağıtılan Kötü Amaçlı Yazılımlar
Kurbanın “şifre çözme anahtarını” girmesinin ardından, işletim sistemine göre farklı zararlı yazılımlar devreye giriyordu:
| Hedef Sistem | Zararlı Yazılım Türü | Amaç |
|---|---|---|
| macOS | InfoStealer | Tarayıcı, cüzdan ve kimlik bilgisi hırsızlığı |
| Windows | Uzak masaüstü izleme aracı (amaç dışı kullanım) | Ekranı ve sistemi uzaktan izleme |
| Her ikisi | Sahte Ledger cüzdan yükleyicisi | Kripto cüzdan giriş bilgilerini çalma |
Sahte Ledger donanım cüzdanı yükleyicisi özellikle dikkat çekici; çünkü bu teknik, kripto para saklayan kullanıcıların gerçek bir güvenlik aracı kurduğunu düşünmesini sağlayarak savunmasını tam tersine çeviriyor.
Hedef Kitle Neden Önemli?
Huntress’in araştırmacılarından en az birinin doğrudan hedef alınmış olması, kampanyanın rastgele bir kitleye değil, özellikle siber güvenlik uzmanlarına yönelik tasarlandığını gösteriyor. Güvenlik araştırmacıları genellikle şirketlerin en hassas sistemlerine erişebiliyor; bu nedenle bir araştırmacının cihazının ele geçirilmesi, saldırganlara dolaylı yoldan kurumsal ağlara sızma imkânı sunabiliyor. Bu da kampanyayı sıradan bir kimlik avından ayırıp hedefli (targeted) bir tehdit istihbaratı vakasına dönüştürüyor.
Saldırganın Kimliği Belirlenebildi mi?
Şu ana kadar net bir atıf (attribution) yapılamadı. Huntress araştırmacılarının saldırganla ilişkilendirdiği X hesabı, TechCrunch’ın iletişim girişimlerine yanıt vermedi. Bu durum, kampanyanın devlet destekli bir grup mu yoksa finansal motivasyonlu bağımsız bir aktör tarafından mı yürütüldüğü sorusunu şimdilik açık bırakıyor.
Güvenlik Konferansları Neden Sık Sık Hedef Oluyor?
Black Hat ve DEF CON gibi etkinlikler, her yıl binlerce güvenlik uzmanını, sızma testi (pentest) danışmanını ve kurumsal BT yöneticisini bir araya getiriyor. Bu yoğunluk, saldırganlar için de cazip bir fırsat penceresi yaratıyor: konferans döneminde “planlama dokümanı”, “otel rezervasyon linki” veya “konuşmacı programı” gibi başlıklarla gelen dosyalar, katılımcıların günlük rutini içinde şüphe uyandırmadan açılabiliyor. Geçmiş yıllarda da benzer konferans temalı kimlik avı kampanyaları görülmüştü; ancak bu kampanyayı farklı kılan, sahte şifreleme kutusu gibi nispeten özgün bir ikna tekniği kullanması ve doğrudan güvenlik profesyonellerini hedef alması.
Saldırganların güvenlik uzmanlarını hedef almasının bir diğer nedeni de itibar ve erişim. Bir güvenlik araştırmacısının e-posta hesabı veya not defteri ele geçirildiğinde, saldırgan genellikle henüz kamuya açıklanmamış zafiyet bilgilerine, müşteri raporlarına veya kurumsal ağ erişim bilgilerine ulaşabilir. Bu da tek bir başarılı saldırının etkisini, sıradan bir kullanıcı hesabının ele geçirilmesinden çok daha büyük hale getiriyor.
Kendinizi Nasıl Korursunuz?
Bu tür sosyal mühendislik saldırıları yalnızca güvenlik araştırmacılarını değil, konferans, etkinlik veya iş birliği daveti alan herkesi hedefleyebilir. Aşağıdaki kontrol listesi, benzer bir tuzakla karşılaşma ihtimalini azaltmaya yardımcı olabilir.
- Tanımadığınız kişilerden gelen “doküman görüntülemek için şifre/anahtar girin” talimatlı dosyaları açmayın.
- Google Dokümanlar veya benzeri araçlarda beklenmedik bir Apps Script izni istendiğinde onaylamadan önce durup düşünün.
- Kripto cüzdan yazılımlarını (Ledger dahil) yalnızca üreticinin resmi web sitesinden indirin, e-posta veya doküman linkinden değil.
- Sosyal medyada tanışılan ve konferans/iş birliği teklifi getiren hesapların kimliğini bağımsız bir kanaldan (resmi şirket e-postası, LinkedIn gibi) doğrulayın.
- Hesaplarınızın ele geçirilip geçirilmediğini düzenli olarak kontrol edin ve şüpheli oturum açma bildirimlerini ciddiye alın.
Bu kampanya, daha önce sektörde konuşulan yazılım tabanlı güvenlik açıklarından farklı olarak, teknik bir zafiyetten değil tamamen insan davranışından faydalanıyor. Bu yüzden güvenlik yazılımı veya güncel yama tek başına yeterli bir savunma oluşturmuyor; kullanıcı farkındalığı da en az teknik önlemler kadar önemli hale geliyor. Genel gizlilik ve güvenlik alışkanlıkları için VPN ve temel çevrimiçi güvenlik önlemlerini gözden geçirmek de faydalı bir adım olabilir.
Saldırının teknik detaylarına TechCrunch’ın haberinden ulaşılabilir.
Sık Sorulan Sorular
Bu saldırı sadece güvenlik araştırmacılarını mı hedef alıyor?
Kampanya öncelikli olarak Black Hat ve DEF CON’a katılan güvenlik uzmanlarına yönelik tasarlanmış görünse de, kullanılan teknik (sahte konferans belgesi, sahte şifreleme kutusu) prensip olarak herhangi bir sektördeki kullanıcıya uyarlanabilir.
Google Dokümanlar üzerinden gerçekten kötü amaçlı yazılım bulaşabilir mi?
Dokümanın kendisi doğrudan zararlı değil; saldırı, kullanıcıyı harici bir bağlantıya tıklamaya veya bir “anahtar” girmeye ikna ederek çalışıyor. Asıl risk, bu adımdan sonra indirilen sahte yazılım veya yükleyicilerde ortaya çıkıyor.
Ledger cüzdanımı nasıl güvenli şekilde güncellerim?
Ledger gibi donanım cüzdanı yazılımlarını yalnızca üreticinin resmi web adresinden veya cihazın kendi uygulama mağazasından indirin. E-posta, doküman veya sosyal medya linkinden gelen yükleyici dosyalarına güvenmeyin.
Şirketim bu tür saldırılara karşı ne yapabilir?
Çalışanlara yönelik düzenli sosyal mühendislik farkındalık eğitimleri, beklenmedik dosya paylaşımlarını raporlama süreçleri ve Apps Script gibi üçüncü parti doküman eklentilerine varsayılan olarak kısıtlı izin verilmesi, riski azaltmaya yardımcı olabilir.
Saldırganın kim olduğu netleşecek mi?
Şu an için kesin bir atıf yok. Huntress ve ilgili araştırmacılar teknik izleri paylaşmaya devam ettikçe, saldırganın kimliği veya bağlı olduğu grup zamanla netleşebilir; ancak bu tür kampanyalarda kesin atıf çoğu zaman aylar sürebiliyor.
