Gizlilik mi, güvenlik mi?

Siber suç, bilgisayar sistemleri, internet ve dijital teknolojiler vasıtasıyla işlenen suçlar olarak ifade ediliyor. Bilgiye yetkisiz erişim, veri hırsızlığı, siber dolandırıcılık, kimlik avı, zararlı yazılımlar, çevrimiçi taciz ve finansal dolandırıcılık gibi eylemleri içeren bu kavram, iki ana kategoriden oluşuyor; Bilgi teknolojileri suçları (Bilgi Suçları) ve internet üzerinden işlenen dolandırıcılık ve sahtecilik suçları.

Bilgi teknolojileri suçları, bilgisayar sistemlerine yönelik saldırıları içeriyor. Sistemlere izinsiz giriş, veri hırsızlığı, fidye yazılımı saldırıları ve dağıtık hizmet aksatma (DDoS) saldırıları, yani genel olarak siber saldırılar bu kapsama giriyor. İnternet üzerinden işlenen dolandırıcılık ve sahtecilik suçları ise internet kullanımıyla dolandırıcılık yapmayı hedefliyor. Kimlik avı (phishing), sahte e-ticaret siteleri, finansal dolandırıcılık, sahte uygulamalar ve kredi kartı dolandırıcılığı ise bu gruba giriyor.

2024 yılı sonuna kadar siber suçların küresel maliyetinin yıllık 9,5 trilyon dolara ulaşacağı tahmin ediliyor. Birbirine bağlı cihaz sayısının ve akıllı uygulamaların artması ile de tüm dünyada üretilen veri miktarının 2025 yılına kadar 180 zettabaytın üzerine çıkacağı öngörülüyor.

• Türkiye'de internet kullanıcıları günlük ortalama 7,5 saat internette zaman geçiriyor ve bunun yaklaşık 3 saati de sosyal medyada geçiyor. Her geçen gün artan bu kullanım süreleri ise riskleri beraberinde getiriyor.

Ulusal Siber Güvenlik Stratejisi ve Eylem Planı

Türkiye, bu risklere karşı ilk strateji ve eylem planı olma özelliğini taşıyan ‘Ulusal Siber Güvenlik Stratejisi ve Eylem Planı’nın temellerini 2013 yılında atıyor. 2013-2014, 2016-2019, 2020-2023 yıllarını kapsayan Ulusal Siber Güvenlik Stratejisi ve Eylem Planları doğrultusunda büyük bir yol kat ediliyor. Öyle ki Türkiye, Uluslararası Telekomünikasyon Birliği (ITU) tarafından ülkelerin siber güvenlik konusundaki olgunluğunu ölçmekte kullanılan “Global Siber Güvenlik Endeksi” verilerine göre 200’e yakın ülke arasında 2017’de 43’üncü, 2018’de 20’nci sıradayken 2020’de 11’inci sıraya kadar yükseliyor. Avrupa’da ise 2017’de 22’nci ve 2018’de 11’inci sırada yer alırken 2020 verilerine göre 6’ncı sıraya yükseliyor. Bu yıl hayata geçen 2024- 2028 yılları arasını kapsayan Ulusal Siber Güvenlik Stratejisi ve Eylem Planı ise 6 stratejik amaç, 18 hedef ve 61 eylem maddesinden oluşuyor.

Son dönemde en aktif olan dolandırıcılık yöntemlerinin başında ise finansal dolandırıcılık geliyor. Dünyada pek çok ülkede banka hesaplarının ele geçirilme hadiseleri veya finansal kayıplarla sonuçlanan dolandırıcılık faaliyetleri oldukça gündemde. Siber Güvenlik Araştırmacısı Ersin Çahmutoğlu’na göre, bu dolandırıcılık faaliyetlerinin neredeyse tamamı siber saldırılar üzerinden gerçekleşiyor.

Oltalama, sosyal mühendislik ve trojan!

Siber saldırılar, oldukça eski bir yöntem olan oltalama (phishing) yöntemi ile yapılıyor. Bu yöntem sayesinde, insanları kandırmak ve aldatmak amacıyla tuzak belge, bağlantı ve içerikler ustaca hazırlanıyor. Sosyal medya hesapları, banka hesapları, iletişim ve diğer temel bilgilerin ele geçirilmesi çoğunlukla bu yöntem ile oluyor. Bunun dışında da sosyal mühendislik ve trojan gibi çeşitli zararlı yazılımlarla yürütülen saldırı yöntemleri de kullanılıyor. Bu durumlara karşı temel güvenlik önlemleri almanın yeterli olacağını söyleyen Çahmutoğlu,“Güvenli olmayan web site ve uygulamalar, kaynağı belirsiz içerikler, tuzak belge ve bağlantılar, güçlü olmayan şifreler, aktif edilmeyen çok faktörlü kimlik doğrulama gibi durumlarda siber saldırganların işi daha da kolaylaşıyor” diyor.

Robot süpürge ve buzdolabı da tehdit altında

Cep telefonu, masaüstü bilgisayar, dizüstü bilgisayar, tablet, akıllı kol saatinin yanında evlerde bulunan ve internete bağlanabilen robot süpürge, kamera, fırın, buzdolabı, akıllı tartı ve diğer cihazlar da siber saldırı altında kalan cihazlar arasında yer alıyor. Türkiye’nin ilk siber güvenlik düşünce kuruluşu CyberThink’in Başkanı Mahir Yüksel’e göre şu ayrımı da çok iyi yapmak gerekiyor; Gizlilik ve güvenlik. “Güvenlik ayrı bir olgu, gizlilik ayrı bir olgu” diyen Yüksel, sahip olunan cihazlarda bir güvenlik yapılandırması yapmanın zorunlu olduğunu ardından da bu cihazlar üzerinde gizlilik ayarlarını ayrıca yapmak gerektiğine değiniyor. Yüksel, hackerlerin çalışma düzenini şu sözlerle ifade ediyor; “İnternet üzerinden herkese açık bilgileri araştırarak hangi yazılım veya güvenlik sistemlerinin kullanıldığını öğreniyorlar. Bilgileri topladıktan sonra, sistemde veya yazılımda bir "zayıf nokta" arıyorlar ve buldukları zayıf noktayı kullanarak sisteme giriyorlar. Hackerlar bir kez içeri girdikten sonra daha güçlü yetkiler elde etmeye çalışarak sistemde kalıcı olmak için gizli bir yol oluşturuyor. Ardından da izlerini yok ediyorlar.”

Peki, hackerlar neden yakalanamıyor?

Yüksel’e göre hackerların bu çalışma sistemi, maskeli bir hırsızın herhangi bir evi soyma sürecine benziyor. Maske kullanmaları kim olduklarını bulma ihtimalini düşürürken, farklı ülkelerdeki sunucular üzerinden hareket ettikleri için de nerede olduklarını tespit etmek neredeyse imkansız hale geliyor. Hackerlar bir saldırı gerçekleştirdikten sonra hızlıca başka bir yere geçiyor. Sürekli izlerini değiştirdikleri için yakalanmaları da zorlaşıyor. Aynı zamanda sistemlere girdikten sonra geride bıraktıkları izleri silen hackerlar, bir suç mahallinde parmak izlerini temizleyen hırsızlara benzetiliyor. Sistem yöneticileri ne olduğunu anlayana kadar hackerlar çoktan işlerini bitirmiş ve gitmiş oluyor.

Çahmutoğlu ise hackerların dünyasında yakalanma korkusunun her zaman var olduğuna değiniyor. Ancak devlet destekli gruplar veya gelişmiş siber suç grupları için bu geçerli değil. Çünkü genellikle çok iyi korunuyorlar. Geliştirilen araçlar ve kullanılan yöntemler de bunun başlıca nedeni.

Veri sızıntısından nasıl korunabiliriz?

ABD’den Rusya’ya Çin’den Hindistan’a kadar dünyanın pek çok yerinde veri sızıntısı sorunuyla mücadele edildiğine de değinen Çahmutoğlu, siber güvenlikte yüzde yüz güvende olmama durumunun yıllardır geçerliliğini koruduğunu aktarıyor; “En gelişmiş devletler de en büyük şirketler de bu sorunu yaşıyor. Veri sızıntılarını engelleyebilmek için mali ve teknik açıdan kritik adımların atıldığını görüyoruz. Ancak yine de önüne geçilemiyor. Bu konu özelinde de devletlere, şirketlere ve vatandaşlara iş düşüyor. En küçük güvenlik ihlalinde en güvenli sistemler hacklenebiliyor ve veriler sızabiliyor. Bu sorunu net olarak çözebilen bir devlet henüz yok.”