Revolut siber saldırısında İtalyan posta skandalı

Avrupa’nın popüler dijital bankacılık platformlarından Revolut, büyük bir sızma vakasıyla sarsıldı. Ancak bu kez krizin çıkış noktası, teknoloji devlerinin altyapısındaki bir açıktan ziyade, İtalyan devletinin resmi e-posta sistemlerindeki şaşırtıcı bir güvenlik ihmali oldu.

Bu konuyu neden mercek altına alıyoruz? Çünkü sıradan bir kullanıcı için banka uygulamasından gelen bir bildirimin resmi bir kaynaktan mı yoksa dolandırıcıdan mı geldiğini ayırt etmek imkansızlaşıyor. Siber suçlular artık rastgele sunucular yerine doğrudan devlet kurumlarının arka kapılarını kullanıyor. Hayatımızda ne değişecek? Bu dakikadan itibaren bankalardan gelen e-postalardaki uzantılara güvenme devri kapanıyor; çünkü arkasında İtalyan devletinin resmi damgası olan bir adres bile bir sızma aracına dönüşebiliyor.

İtalyan devlet altyapısı nasıl bir açık verdi?

Siber güvenlik uzmanlarının altını çizdiği bir gerçek var: En sağlam kale bile içindeki zayıf bir kapı kadar güvenlidir. Revolut olayında saldırganlar, İtalyan kamu kurumlarının kullandığı posta altyapısındaki zafiyetleri ve yetkisiz erişim imkanlarını kendi lehlerine çevirdi. Daha önceki benzer oltalama saldırılarında amatör domain adresleri kullanılırken, bu vakada doğrudan resmi uzantıların arkasına saklanılması işin boyutunu değiştiriyor. Güvenlik duvarları, arkasında devlet ibaresi bulunan mailleri onaylanan listeye aldığından, sistemler bu tehdidi çok geç fark etti.

Geleneksel oltalama yöntemleri ile bu yeni nesil devlet altyapısı istismarının farkları tablodaki gibi şekilleniyor:

Tehdit aktörleri artık kod yazmaktan ziyade mevcut bürokratik sistemlerin güvenlik açıklarını istismar etmeye odaklanıyor. İtalyan devlet e-posta servislerinin bu amaçla nasıl manipüle edildiği soruşturulurken, dijital kimlik hırsırlığında yeni bir eşiğe ulaşıldığı açıkça görülüyor.

Kullanıcılar bu krizden nasıl etkileniyor?

Dijital cüzdanınızda paranın güvende olması, artık sadece uygulamanın şifreleme algoritmasıyla ilgili değil. Karşı tarafın resmi bir kurumdan geldiğine inandığınız bir maile tıkladığınız an, tüm güvenlik önlemleri boşa düşüyor. Revolut tabanlı bu olayda binlerce müşteri, resmi yazışma formatına birebir uyan sahte taleplerle karşılaştı. Hesap bilgilerini güncelleme bahanesiyle paylaşılan veriler, saniyeler içinde siber çetelerin eline geçti.

Şirketler ne kadar gelişmiş güvenlik duvarları kurarsa kursun, zincirin en zayıf halkası olan insan faktörü ve devletlerin dijital altyapıdaki hantallığı bu açıkları beslemeye devam ediyor. İtalyan yetkililerin konuya dair açıklamaları tatmin etmekten uzak. Resmi bir sistemin bu denli rahat kullanılması, uluslararası siber güvenlik iş birliğinin ne kadar aksadığını gösteriyor.

Bundan sonraki süreçte finansal teknoloji şirketlerinin kullanıcılarına güven vermekten çok daha fazlasını yapması gerekiyor. Resmi kurum e-postalarının bile manipüle edilebildiği bir dünyada, kullanıcıların herhangi bir uyarıya tıklamadan önce iki kez düşünmesi hayati bir zorunluluk haline geldi.

Devlet kurumlarının e-posta sistemleri neden hedefte?

Siber suç grupları, son dönemde saldırı maliyetlerini düşürmek ve başarı oranlarını artırmak amacıyla doğrudan kamu altyapılarına yöneliyor. Özel şirketler güçlü e-posta kimlik doğrulama protokollerini (SPF, DKIM, DMARC) hızla devreye alırken, geniş ve eskiyen bürokratik ağlarda bu geçişler yavaş gerçekleşiyor. İtalyan devlet e-posta sistemlerinde yaşanan bu zafiyet, korumasız veya eski protokoller kullanan alt ağların ne derece büyük bir risk barındırdığını gözler önüne seriyor. Saldırganlar, ele geçirdikleri geçerli hesaplar üzerinden binlerce mesaj göndererek posta sunucularının itibar puanını sömürüyor.

Bu durum, e-posta güvenliğinde kullanılan spam filtreleme motorlarının da mantığını sarsıyor. Güvenilir kabul edilen alan adlarından gelen mesajlar genellikle otomatik olarak onaylandığı için, güvenlik yazılımları içeriğin zararlı olup olmadığını derinlemesine incelemeden geçişe izin verebiliyor. Finansal kuruluşların bu tür sızmalara karşı artık sadece alan adı kontrolüne değil, mesaj içerisindeki davranışsal ve anlamsal modellere de odaklanan yapay zeka tabanlı analiz araçları kullanması şart koşuluyor.