Uluslararası Kriminal Polis Teşkilatı Interpol, Black Axe siber suç örgütü yönelik operasyon düzenleyerek çeteye büyük darbe vurdu.
Interpol, Black Axe (Kara Balta) adlı organize siber suç örgütüne karşı yürütülen koordineli küresel operasyon kapsamında 75 kişinin tutuklandığını açıkladı.
Kurumdan yapılan açıklamada, Black Axe ve diğer Batı Afrikalı organize suç gruplarının ulus ötesi ağlar geliştirerek mağdurları milyonlarca dolar dolandırırken, elde ettikleri kârı lüks yaşam tarzlarına ve uyuşturucu kaçakçılığından cinsel istismara kadar diğer suç faaliyetlerine kanalize ettikleri bildirildi.
Kod adı Operation Jackal olan operasyona Arjantin, Avustralya, Fildişi Sahili, Fransa, Almanya, İrlanda, İtalya, Malezya, Nijerya, İspanya, Güney Afrika, Birleşik Arap Emirlikleri, İngiltere ve ABD katıldı.
Nijerya’da 1977 yılında bir konfederasyon olarak ortaya çıkan ve daha sonra bir mafya grubuna dönüşen Black Axe, sadece cinayet ve dolandırıcılık operasyonlarıyla bağlantılı olmakla kalmamış, aynı zamanda ülkenin siyasi sistemine sızmakla da suçlanıyor.
Geçtiğimiz ayın sonlarında Güney Afrika’da tutuklanan online dolandırıcılardan ikisinin, kurbanlardan 1.8 milyon dolar kazanmalarını sağlayan çeşitli dolandırıcılık planları düzenlediğine inanılıyor.
ŞÜPHELİLERİN HESAPLARINDAKİ 1,2 MİLYON AVROYA EL KONULDU
Soruşturma kapsamında ayrıca 49 mülkte arama yapıldı ve 12 bin SIM kart ile bir konut, üç araba ve on binlerce nakit para dahil olmak üzere diğer lüks varlıklara el konuldu. Ayrıca şüphelilerin banka hesaplarındaki 1,2 milyon avroya el konuldu.
Ekim 2021’de, kartelin sekiz üyesi ABD Adalet Bakanlığı tarafından en az 2011’den 2021’e kadar “aşk tuzağı ve ön ödeme dolandırıcılığı planlarını içeren yaygın internet dolandırıcılığı” yapmakla suçlanmıştı.
Interpol’den Stephen Kavanagh, yasadışı finansal fonların, sınır aşan organize suçların can damarı olduğunu ve Black Axe gibi grupların çevrimiçi finansal dolandırıcılıklardan elde ettikleri parayı uyuşturucu ve insan kaçakçılığı gibi diğer suç alanlarına nasıl yönlendirdiklerine tanık olduklarını ifade etti.
Siber suç platformları kapandıkça yenisi açılıyor. Kapanan RaidsForums’dan sonra Breached siber suç dünyasında ön plana çıkmaya başladı.
500 binden fazla kullanıcı topluluğuna sahip olan dünyanın en büyük siber suç platformlarından biri olarak bilinen RaidForums, geçtiğimiz aylarda yapılan operasyonla çökertilmişti. Bu denli büyük bir platformun yerinin dolması ise uzun sürmedi. Breached adlı siber suç platformu, kurulalı birkaç ay geçmesine rağmen RaidForums’un halefi olarak büyümeye devam ediyor.
RAIDFORUMS’UN YERİNE GEÇTİ
Dünya çapında bilinen ve 2015 yılından beri faal durumda olan siber suç platformu RaidForums’un operatörlerine bu yılın ocak ayında yapılan operasyon sonucu site çökertilmişti. Yapılan operasyonda veri tabanlarına, çalıntı kimlik bilgilerine ve daha nice veriye el konulmuştu.
Tüm bunlara karşılık 2022’nin Mart ayında ise yeni bir siber suç platformu adını duyurmuş, RaidForums’un alternatifi olarak piyasaya çıkmıştı. BreachForums veya Breached olarak ortaya çıkan yeni platform, “pompompurin” adlı tehdit aktörü tarafından RaidForums’un tasarımıyla neredeyse aynı olan tasarımla piyasaya sürülmüştü.
Mart ayından itibaren geçen altı ayda 82 binden fazla kullanıcıya sahiplik yapan Breached, birçok siber suç faaliyetinin gözde platformlarından biri hâline geldi. Bu popülaritesiyle birlikte Breached, RaidForums’un yeni halefi olarak görülmeye başlandı.
SİBER SUÇ DÜNYASINDAKİ BOŞLUĞU ÇOK HIZLI DOLDURDU
Platformun oluşturucusu “pompompurin”, motivasyonunun RaidForums veri tabanlarını içeren bir platform oluşturmak olduğunu belirterek kullanıcıları yeni platforma çekecek olan büyük bir sızıntı veri tabanı oluşturtmaya başladı.
Daha önce RaidForums’da bulunan sızıntı veri tabanlarını platformda dolaştırmaya başlayarak kullanıcıları çekmeye çalışan “pompompurin”, kullanıcıları da aktif olarak katılmaya teşvik etti. Aktif olarak katılan kullanıcılara “kredi” sistemini tanıtan “pompompurin”, kullanıcıların veri tabanlarına ulaşma olasılıklarını artırarak kullanıcı kitlesini geliştirmeyi başardı.
Piyasaya çıktıktan iki hafta sonra 100’den fazla sızıntı veri tabanına sahip olan platform, bunları kullanıcılara açtı. Söz konusu sızıntı veri tabanlarından biri 2020 yılında RaidForums’ta paylaşılan Wattpad sızıntısıydı. 17 Mart 2022’de bir tehdit aktörü Wattpad veri tabanını yeniden paylaştı ve 270 milyon kullanıcının kişisel bilgilerini yeniden yayımladı.
Eski RaidForums sızıntılarından hariç olarak platformda yeni sızıntılar da eklenmeye başladı. Rusya-Ukrayna savaşının siber suç ortamını etkilediği bilinirken bunun yansıması olarak platforma da her iki ülkeyle alakalı sızıntılar eklendi. Örneğin 6 Mayıs 2022’de bir tehdit aktörü, ad, e-posta adresi, fiziki adres ve telefon numaraları dahil olmak üzere 31 milyon kimlik bilgisini ifşa eden bir Rus tıp laboratuvarının veri tabanını paylaştı.
Mart’tan Ağustos 2022’ye kadar, yüzde 39’u platformda paylaşımda bulunan 82.000’den fazla üye Breached’e kaydoldu. Yeni platformda ayda yaklaşık 34.000 gönderi oluşturuldu. Buna karşılık 2021 boyunca RaidForums’ta ayda 55.000’den fazla gönderi yayınlandı.
Temmuz 2022’de, Breached’e kayıtlı kullanıcı sayısında bir sıçrama yaşandı. 24 Haziran 2022’de 20.000’den fazla kayıtlı kullanıcı varken Temmuz sonunda bu sayı neredeyse 52.000 kayıtlı üyeyle iki katına çıktı.
Kullanıcı sayısı arttıkça gönderi sayısı da artan platformda yalnızca Temmuz ayında yaklaşık 65 bin gönderi paylaşıldı. Böylelikle yeni siber suç platformu RaidForums’un yerini giderek doldurmaya başladı.
RAIDFORUMS’UN EN AKTİF ÜYELERİ BREACHED’E GELDİ
Breached, RaidForums’un tasarımını ve veri tabanlarını almakla kalmadı, RaidForums’un en aktif on kullanıcısı da yeni siber suç platformuna taşındı. Kimi orijinal takma adlarına benzer takma adları kullansa da çoğu tehdit aktörü aynı adla platforma katıldı.
Söz konusu kullanıcılardan bazıları RaidForums’ta paylaştığı gönderi sayısından 6 aylık süreçte daha fazla gönderi paylaştı. Bu ise eski RaidForums kullanıcılarının yeni platformu benimsediklerini gösteren emarelerden biri olarak görünüyor.
FİDYE YAZILIMI AKTÖRLERİNDEN RAĞBET VAR
Breached’te görünen aktörlerden bazılarıysa fidye yazılımı çeteleri oldu.
Everest, SolidBit gibi fidye yazılımı çetelerinin yanı sıra Chaos, Redeemer gibi fidye yazılımlarının geliştiricileri ve satıcıları da platformda yer aldı.
Breached’te fidye yazılımı çeteleriyle ilgili olarak görülen bir detaysa fidye yazılımı operatörlerinin paylaşım yapmasına izin verilmesi. Operatörler gerek işe alım gerekse ticaret yapmak gibi birçok amaç doğrultusunda platform içerisinde paylaşım yapabiliyor.
RAIDFORUMS’U GEÇEBİLİR
Tüm bu gelişmelerle birlikte Breached, kısa bir zaman diliminde büyük bir veri sızıntı pazarı hâline geldi. Artan kullanıcı sayısı, platformdaki aylık gönderiler, RaidForums’tan bilinen aktörlerin platforma katılmayı seçmesi gibi veriler, sitenin popülaritesini ve etkisini gözler önüne seriyor.
Bunun yanı sıra fidye yazılım operatörlerine verilen paylaşım izni gibi çeşitli etkinlikler de siber suçluların çeşitli amaçlar doğrultusunda platformda yer edinebileceği anlamını taşıyor. Breached’in önümüzdeki aylarda daha fazla popülerlik kazanacağı ve RaidForums’tan daha büyük ve karmaşık hâle geleceği düşünülüyor.
ABD’de hacker olarak işe alınan Hintli casusların, karşı taraf aleyhine delil arayan davacıların gizli bir silahı haline geldiği ortaya çıktı.
Reuters tarafından ortaya çıkarılan binlerce e-posta kaydı, dünyanın dört bir yanındaki onlarca davanın taraflarını hackleyen Hintli siber kiralık askerlerin faaliyetlerini gözler önüne serdi.
Carlo Pacileo adındaki koruma, büyük bir baskı altındaydı. Zira Pacileo’nun Ryan Blair adlı “doğrudan satış girişimcisi” olan patronu bir hukuk mücadelesi başlatmıştı ve rakibi aleyhine sızdırabileceği bilgi arayışındaydı. Pacielo hiçbir şey bulamadı ve bunun üzerine Afganistan’daki günlerinden beri tanıdığı bir Silikon Vadisi dedektifine başvurdu.
Kuzey Carolina’da bir dönem şerif yardımcılığı yapan Nathan Moser, günler sonra Pacileo’nun Hollywood’daki dairesine, gözetleme ekipmanlarıyla dolu bir spor çantasıyla geldi. Moser, Pacileo’ya tavanlarda veya televizyonların arkasına gizlenebilen İsrail yapımı dinleme cihazları da dahil olmak üzere çeşitli araçlar gösterdi. Bunların arasında özellikle bir hizmet göze çarpıyordu: Moser, e-postalara erişebilecek bir Hintli bilgisayar korsanını tanıdığını söyledi. Pacileo yakın zamanda Reuters’a yaptığı açıklamada “Hemen kulak kabarttım. Zira böyle şeyler yapabileceğini bilmiyordum.” dedi.
HİNTLİ HACKER ÖZEL BİLGİLER İÇİN DEVREDE
Moser, işi kaptı ve Blair’in diyet içecek distribütörlüğü yapan ViSalus adlı şirketi için çalışmaya gitti. ViSalus o sıralarda Ocean Avenue adlı rakibinin peşinden giden satıcılara bir dizi dava açmaktaydı. Şubat 2013’ten itibaren, Sumit Gupta adında genç bir bilgisayar güvenlik uzmanı olan Hintli hacker, Ocean Avenue yöneticilerinin e-posta hesaplarına girerek ekran görüntülerini ve şifrelerini ViSalus’A gönderdi.
Ocean Avenue casusluğu öğrendiğinde, Utah’da Visalus’a karşı gasp, sindirme ve hackleme iddiasıyla federal bir dava açtı. ViSalus başlangıçta rakibinin iddialarını destekleyecek yeterli kanıt sunamadığını savundu; daha sonra ise belirli şartlar altında uzlaşmaya gitti.
ViSalus yöneticileri konuyla ilgili açıklama yapmayı reddetti. Reuters’ın davada sanık olarak adlandırılmayan Blair’e gönderdiği mesajlar da cevapsız kaldı. Blair, Los Angeles’taki işine ve evine gönderilen mektuplara da dönmedi.
Uzlaşma, meseleyi çözüme kavuşturamadı. Federal Soruşturma Bürosu (FBI) hacklemeyi öğrendi ve Şubat 2015’te ajanlar Pacileo ve Moser’in evlerine baskın düzenledi. Her ikisi de Ocean Avenue saldırılarıyla bağlantılı siber suçlardan mahkum oldu. Mahkumiyetler Pacileo’nun kariyerini mahvetti, Moser’in güvenlik soruşturması işi sona erdi.
KARŞI TARAF ALEYHİNE HER TÜRLÜ BİLGİ SIZDIRMAK İSTEYEN DEDEKTİFLER RAĞBET EDİYOR
Gupta için ise her şey yeni başlıyordu. Önümüzdeki on yıl boyunca, kendisi ve küçük Hintli meslektaşları, davalarda taraf olan müvekilleri için karşı taraf aleyhine ‘delil’ arayan Moser gibi özel müfettişler için bir merkez olacak bir yeraltı hack operasyonu kurdu.
Kaliforniya’da görülen bir ceza davasında “hackleme” suçuyla suçlanan Gupta, ABD makamları tarafından asla tutuklanmadı. Reuters, 2020’den bu yana kendisine ulaşamadı. Gupta 2020’de verdiği son demeçte adı geçen saldırıları yapmadığını söylemişti.
Reuters, 2013’ten bu yana Hintli bilgisayar korsanlarının şifre çalma e-postaları göndererek belge elde etmeye çalıştıkları 35 dava tespit etti.
Mesajlar genellikle müvekkillerden, meslektaşlarından, arkadaşlarından veya ailesinden gelen zararsız iletişim olarak kamufle edilmiş durumdaydı. Söz konusu mesajlar, bilgisayar korsanlarına hedeflerin gelen kutularına ve nihayetinde avukat-müvekkil arasında gönderilen ve alınan ayrıcalıklı bilgilere erişim sağlamayı amaçlıyorlardı.
Reuters’e göre, en az 75 ABD ve Avrupalı şirket, 30’dan fazla hukuk ve medya şirketi ve çok sayıda Batılı işletme yöneticisi bu hack girişimlerinin kurbanı oldu.
Haber, mağdurlar, araştırmacılar, soruşturmacılar, eski ABD hükümet yetkilileri, avukatlar ve bilgisayar korsanlarıyla yapılan görüşmelere ve yedi ülkeden mahkeme kayıtlarının incelenmesine dayanıyor. Ayrıca, Hintli bilgisayar korsanları tarafından yedi yıllık bir süre boyunca 13 bin hedefe gönderilen 80 binden fazla e-postadan oluşan benzersiz bir veritabanına da dayanıyor. Veri tabanı bilgisayar korsanlarının tuttuğu bir liste ve siber kiralık askerlerin 2013 ve 2020 yılları arasında kimlik avı e-postalarını kime gönderdiğine dair ikinci bir bakış açısı ortaya koymakta.
Reuters daha sonra e-posta verilerinin gerçekliğini altı uzman grubuyla doğruladı. Butik bir siber araştırma firması olan Scylla Intel, İngiliz savunma yüklenicisi BAE, ABD siber güvenlik firması Mandiant’ın yanı sıra teknoloji şirketleri LinkedIn, Microsoft ve Google’dan araştırmacılar e-postaları analiz etti.
HER GİZLİ FAALİYETİN ALTINDAN GUPTA ÇIKIYOR
Her bir firma, veritabanının, daha önce hackerların teknikleri hakkında topladıkları verilerle karşılaştırarak Hintli kiralık hackerlık faaliyeti gösterdiğini bağımsız olarak doğruladı. Mandiant, Google ve LinkedIn’deki ekipler casusluğun, biri Gupta’nın kurduğu, biri Gupta’nın bir dönem çalıştığı ve diğeri Gupta’nın bir dönem iş birliği yaptığı üç Hintli şirketle bağlantılı olduğunu tespit ederek daha ayrıntılı bir analiz yaptı.
Google’ın siber tehdit analiz ekibi başkanı Shane Huntley, “Bu veri setinin Hintli kiralık hack firmalarının devam eden operasyonlarını iyi bir şekilde yansıttığını düşünüyoruz.” dedi.
Reuters veri tabanındaki her kişiye ulaştı, her birine e-posta attı ve 250’den fazla kişiyle konuştu. Cevap verenlerin çoğu, e-posta veritabanında ortaya çıkan hack girişimlerinin ya beklenen davalardan önce ya da dava devam ederken gerçekleştiğini söyledi.
Hedeflerin avukatları da sık sık saldırının kurbanı oldu. Reuters’e göre, Hintli hackerlar 108 farklı hukuk firmasında yaklaşık 1000 avukatın gelen kutularına girmeye çalıştı.
Hedefteki hukuk firmaları arasında ABD merkezli Baker McKenzie, Cooley ve Cleary Gottlieb de dahil olmak üzere küresel girişimler de bulunuyor. Londra merkezli Clyde & Co ve Cenevre merkezli tahkim uzmanı LALIVE de dahil olmak üzere büyük Avrupalı firmalar da saldırıya uğradı. 2018’de, Hintli bilgisayar korsanları yalnızca Paris merkezli Bredin Prat’ta 80’den fazla farklı gelen kutularını ele geçirmeye çalıştı.
ÇALINAN BELGELER MAHKEMENİN KARARINI DOĞRUDAN ETKİLİYOR
İngiltere merkezli bir karşı gözetleme firması olan Cognition Intelligence’ın genel müdürü Anthony Upward, “Mahkeme savaşlarında karşı tarafı hedeflemek için Hintli hacker gruplarını kullanan bazı özel dedektiflerin olduğu açık bir sır.” dedi.
Reuters tarafından tespit edilen davalar profil ve önem bakımından farklılık gösteriyor. Davaların bir kısmı kişisel anlaşmazlıklar içeriyor. Diğerlerini ise servetleri tehlikede olan çok uluslu şirketler oluşturuyor. Mahkeme kayıtlarına göre, bazı durumlarda çalınan belgeler kararı doğrudan etkiledi.
Gupta’nın operasyonuna dair bazı ayrıntılar daha önce Reuters, diğer medya ve siber güvenlik araştırmacıları tarafından bildirilmişti. Ancak davalara katılımının geniş çapta oluşu ve daha geniş bir Hintli hacker ağının rolü ilk kez bu şekilde açığa çıkmış oldu.
Konuyla ilgili bilgi sahibi olan üç kişiye göre, FBI Moser’in ötesinde Gupta’nın ekibini Amerikan hedeflerinin peşinden gitmek için kimin tuttuğunu belirlemek adına 2018’in başından beri Hint hackerları araştırıyor.
Açığa çıkan e-postalar, avukatların ve müvekkillerinin siber kiralık askerler tarafından nasıl hedef alındığına dair şaşırtıcı bir bakış sunuyor, ancak bazı soruları cevapsız bırakıyor. Örneğin liste casusları kimin tuttuğunu göstermiyor ve bilgisayar korsanlığının başarılı olup olmadığı ya da çalınan bilgilerin nasıl kullanıldığına ilişkin net bir bilgi sunmuyor.
Google’dan Huntley, bu saldırıların yasal süreci baltalama potansiyeline dikkat çekiyor.
Hindistan iş kayıtlarına göre, Sumit Gupta, Visalus’u hackledikten birkaç hafta sonra Mayıs 2013’te BellTroX Infotech Services Private Ltd şirketini kuruyor. Gupta sadece 24 yaşında bir hacker. Ancak Moser Skype çağrılarının diğer ucunda düzgün giyimli, kendine güvenen bir genç adamı hatırlıyor. Moser o döneme dair Gupta’nın şöyle dediğini hatırlıyor: “Bu bilgiyi istiyorsan, alabilirim.”
Merkezi batı Delhi’de olan Belltrox çevrimiçi olarak “etik hackleme” hizmetlerini açıkça ilan eden bir şirket. Bir iş geliştirme web sitesinde Gupta’nın “aradığım müşteriler arasında özel dedektifler ve şirket avukatları bulunmakta” diye yazdığı biliniyor. Eski çalışanlar, hackerların ofisinin düşük bütçeli bir çağrı merkezine benzediğini söyledi. Ofiste konuşmanın çok önerilmediği, kişisel telefon kullanımının yasaklandığı ve güvenlik kameralarının her tuş vuruşunu izlediği belirtiliyor.
2016 Yılına gelindiğinde BellTroX’ın, eski çalışanlara ve Reuters tarafından incelenen çevrimiçi özgeçmişlere göre düzinelerce işçi çalıştırdığı görülüyor. İki eski çalışan ve şirket kayıtlarına göre, bir aylık maaşın 25.000 rupi (yaklaşık 370 Dolar) değerinde olduğu biliniyor.
2013’te Gupta’dan ayrılan ve o zamandan beri Hindistan’da birkaç teknoloji girişimi başlatan eski bir BellTroX yöneticisi Chirag Goyal, “Belltrox’un ortak sahibi olarak Gupta, “öncelikli” hedefler için hesap başına birkaç bin dolardan 20.000 dolara kadar ücret alabiliyor.” dedi.
Goyal, devamlı müşterilerin Belltrox’un gelirinin büyük kısmını oluşturduğunu söylüyor ve ekliyor: “Bu sektörde gerçek iş, yalnızca tavsiye üzerine geliyor.” Reuters, Gupta’nın firmasının yıllık toplam gelirini tespit edebilmiş değil. Belltrox’u piyasaya sürmeden önce Gupta’nın başlangıçta siber güvenlik eğitimi franchise’larında ve ana BT güvenlik çalışmalarında adından söz ettiren Hintli bir şirket olan Appin için çalıştığı öğrenildi.
Altı eski çalışan, eski bir ABD istihbarat yetkilisi ve özel dedektiflere göre Appin 2010 yılına kadar hükümetler ve kurumsal müşteriler adına hackleme yapmaktaydı. Bir Alman özel dedektif ve Dünya Dedektifler Birliği eski başkanı Matthias Willenbrink, kendisine o zamanlar Appin’den böyle bir casus teklifi geldiğini söyledi.
Willenbrink, normalde bilgisayar korsanlarını kullanmayacağını ancak 2012’de sadece bir kez zengin bir Alman iş adamı için yüksek rakamlı bir miras anlaşmazlığının ortasında Appin ile yalnızca bir kez çalıştıklarını söyledi. Willenbrink’in ismini vermeyi reddettiği müvekkil, kendisine kimlerin isimsiz bir şekilde şantaj yapmaya çalıştığını bilmek istedi.
Willenbrink suçluyu teşhis etmekle görevlendirildi. Hedefin e-posta hesabına başarılı bir şekilde girme karşılığında ise Appin’e yaklaşık 3 bin dolar ödediğini söyledi. Bu şekilde davayı çözen Willenbrink, şunları söyledi: “Çok etkilendim. Bana tüm iletişimlerini üç gün içinde gönderdiler.”
Willenbrink şantajcıyı avlarken, İsrailli özel dedektif Aviram Halevi, geçen yıl Tel Aviv’de yayınlanan bir mahkeme kararına göre, İsrail’de KIA Corp otomobillerinin dağıtımı hakları konusundaki yasal bir anlaşmazlığın ortasında Koreli bir iş adamının önünü kesmek için Appin’e “önemli miktarda” ödeme yaptı. Davaya bakan hakim, Halevi’nin tazminat ödemesine ve saldırıya uğramış verileri imha etmesine hükmetti. Hintli hackerları yeminli ifadeyle işe aldığını itiraf eden Halevi, yorum yapmaktan kaçındı. Bir KIA sözcüsü de davayla ilgili yorum yapmayı reddetti. Koreli kurbanın avukatı e-postalara cevap vermedi.
Appin’in kurucu ortağı ve Appin Güvenlik Grubu da dahil olmak üzere birçok Appin şirketinin başkanlığını yapan Rajat Khare, Reuters’in görüşme taleplerine yanıt vermedi. Avukatı iddiaları reddederken Khare’nin “on yıl kadar önce bıraktığı bir şirket hakkında yorumda bulunmayacağını” söyledi.
Appin’in itibarı arttıkça rekabeti de artmaktaydı. Gupta, benzer şirketler kurmak için 2012 civarında firmadan ayrılan Appin eski çalışanlarından oluşan bir grubun parçasıydı. İki eski çalışan ve konuya aşina olan iki özel araştırmacının Reuters’e yaptığı açıklamaya göre Belltrox’tan sonra birkaç ay içinde kurulan bir başka Hintli casusluk firması da Delhi’nin Gurugram banliyösünde bulunan CyberRoot Risk Advisory Private Ltd. idi.
Mahkeme kayıtlarına ve siber güvenlik araştırmacılarına göre Appin, BellTroX ve CyberRoot bilgisayar altyapısını ve personelini paylaştı. Reuters’in verilerini inceleyen LinkedIn, Google ve Mandiant araştırmacıları, 2013 ve 2020 yılları arasında şirketlerle bağlantılı hack faaliyetlerinin bir karışımını ortaya koyduğunu söyledi.
CyberRoot, konuyla ilgili bilgi vermeyi reddetti. Bir Reuters muhabiri yakın zamanda ziyaret ettiğinde firmalar için listelenen adreslerde CyberRoot veya BellTroX’a ait bir iz yoktu. Komşular şirketler hakkında bilgilerinin olmadığını söylediler.
GUPTA: DEDEKTİFLERE YARDIM EDİYORUM AMA CASUS DEĞİLİM
Reuters iki yıl önce Gupta ile temasa geçtiğinde, Gupta iddiaları reddetmiş özel dedektiflere IT alanında yardım ettiğini kabul etmesine rağmen casus olmadığını söylemişti: “Onlara biraz teknik destek sağlamak büyük bir iş değil. Posta kutularını indirmek bunun bir parçası olabilir.”
2017’de, bu posta kutularından biri yüzünden 1,5 milyar dolarlık uluslararası bir hukuk savaşı başladı.
Oldukça karlı durumda olan Nijerya petrol sahalarının kaderini belirleyen uluslararası hakemlerin gelen kutusuna 11 Haziran’da önemli bir e-posta geldi. “Pan Ocean Oil Nijerya’ya karşı davası hakkındaki gerçekler” başlıklı mesaj, Nijerya hükümetinin Pan Ocean Oil Corporation Ltd’nin kontrolüne ilişkin olarak İtalyan iş adamı Vittorio Fabbri’nin mirasçılarına karşı açtığı bir davada ateşleyici görevi gördü.
Fabbri şirketi 1983 yılında satın alarak OML-98 olarak bilinen Nijer Deltası sahalarında ham petrol pompalamasına izin vermişti. Daha sonra bir güç mücadelesi, yerel yönetim lehine kendinin şirketten dışlanmasına sebep oldu. 1998’deki ölümünün ardından mirasçıları kontrolü yeniden kazanmak için hukuk savaşı başlattı ve sonunda hükümet yetkililerini onları devirmeye yönelik çabaları desteklemekle suçladı.
Fabbris, 2013 yılında mücadeleyi Washington merkezli Uluslararası Yatırım Uyuşmazlıkları Çözüm Merkezi’ne götürdü ve bu merkez yatırımcılar ve hükümetler arasındaki yasal kavgaları tahkim etti. Vittorio’nun oğlu Patrizio Fabbri Reuters’e verdiği demeçte, davayı yavaş hareket eden Nijerya mahkemelerinden çekme karşılığında 1,5 milyar dolarlık tazminat teklifi sunduklarını söyledi.
Gizemli 11 Haziran e-postası Fabbri tarafı için zafer vaat ediyor gibi görünüyordu. Ekte Nijerya’nın hukuk ekibinden Pan Ocean genel müdürüne hitaben yazılmış hükümetin yasal ücretlerini geri ödemesini isteyen belgeler bulunmaktaydı. Belgelerden biri, “Firmamın ödenmemiş ücretlerini size hatırlatmak istiyorum.” diyerek, “önemli bir kısmının derhal ödenmesini” talep ediyordu.
Fabbris, talebi önemli bir kabul olarak gördü çünkü dava Pan Ocean ve Nijerya hükümetinin şirketin aile kontrolünü reddetmek için komplo kurduğunu kanıtlamaya dayanıyordu.
Garip bir şekilde, e-postanın hakemlere Nijerya hükümetinin avukatı Oluwasina Ogungbade tarafından gönderildiği ortaya çıktı. Avukat müvekkilinin davasını sabote ediyor gibiydi. Patrizio, açık bir itirafı öğrendiği için çok heyecanlandığını söyledi.
“Vay canına” diye düşündüğünü hatırladı. “Sonunda Nijerya’da biri dürüstçe davrandı.”
Reuters ile yaptığı görüşmelerde, Ogungbade belgelerin gerçekliği konusunda açıklama yapmayı reddetti ancak bunları mahkemeye hiç göndermediğini söyledi. Bunun yerine, bilgisayar korsanlarının belgeleri çaldığını, kendi adına sahte bir e-posta oluşturduğunu ve materyali hakemlere göndermek için kullandığını söyledi.
Reuters tarafından incelenen Ekim 2017 tarihli bir Nijerya polis raporu, bu açıklamayı destekliyor ve mesajın “bilinmeyen bazı şüpheli(ler) tarafından yazıldığına dair güçlü bir şüphe olduğunu” belirtiyor.
Pan Ocean ve Nijeryalı yetkililer açıklama yapmayı reddetti. Ancak Reuters tarafından incelenen Hint bilgisayar korsanlığı kayıtları hikayedeki boşlukları dolduruyor.
Gupta’nın sahibi olduğu Belltrox Ogungbade’in hesabını hacklemek için defalarca girişimde bulundu. Hindistan’ın hedef listesine ve siber güvenlik araştırmacıları tarafından toplanan diğer verilere göre, Pan Ocean’ın 100’den fazla çalışanı ve Nijerya hükümeti için çalışan diğer avukatlar da hedef alındı.
Kısa bir süre sonra BellTroX, Nigeriaoilleaks.com adında WikiLeaks tarzı bir web sitesi oluşturarak yolsuzluğa bulaşmış Nijeryalı politikacıları ifşa etmeyi ve çalınan Pan Ocean e-postalarından oluşan daha büyük bir önbelleği indirilmek üzere paylaşmayı vaat etti.
Ogungbade’nin itirazları üzerine mahkeme, onun adıyla gönderilen dosyaları kabul etti, ancak belgelerin kaynağının şüpheli kalması halinde “belgeleri çok az dikkate almaya veya hiç almamaya karar verebileceği” uyarısında bulundu.
2020 yılında mahkeme Fabbri ailesi aleyhine karar vererek hükümetin devralmaya taraf olmadığını tespit etti; çalınan e-postalardan kararda neredeyse hiç bahsedilmedi.
Yine de Ogungbade, sızıntıların hakemleri Nijerya hükümetinin yasal masraflarının çoğunu reddetmeye ikna ettiğine inanıyor. Reuters bu iddiayı bağımsız olarak doğrulayamasa da, hükümet talep ettiği 3,8 milyon doların sadece 660.000 dolarını alabildi.
Hackleme işlemi için kimin talimat verdiği ise öğrenilemedi. Patrizio Fabbri bununla “ilgisi olmadığını” söyledi. Ailenin Nijeryalı avukatı Olasupo Shasore, kendisinin ve meslektaşlarının şansları karşısında “şaşkına döndüklerini” belirtti.
Bu tür yüksek riskli davalarda, dava finansörleri de dahil olmak üzere, sonuçta çıkarı olan birden fazla üçüncü taraf bulunabiliyor. Mahkemenin iki hakemi – Boston Üniversitesi profesörü William Park ve hakem Julian Lew – Reuters’in sorularına yanıt vermedi. Üçüncü kişi olan Kenya Yüksek Mahkemesi eski yargıcı Edward Torgbor ise yorum yapmayı reddetti.
Ancak Torgbor sızıntıyla ilgili endişelerini dile getirmişti. 2018 tarihli bir azınlık görüşünde, “şüpheli nitelikteki” belgelerin kabul edilmesinin mahkemenin bütünlüğü açısından “ciddi bir risk” oluşturduğu uyarısında bulundu: “Mahkeme, kendi kimliği ve dürüstlüğü gizlenen bilinmeyen bir kişiden ‘gerçeği’ nasıl keşfeder veya ortaya çıkarır?”
KİRALIK HACKER SEKTÖRÜ GİTTİKÇE BÜYÜYOR
Hindistan’ın kiralık hacker sektörü büyüdükçe, dünyanın dört bir yanındaki avukatlar da benzer sorularla giderek daha fazla boğuşuyor. Reuters’in Hindistan’ın casusluk kampanyasının mağdurlarıyla temasa geçmesi üzerine, en az yedi farklı davaya müdahil olan hedeflerin her biri kendi soruşturmalarını başlattı.
Konuyla ilgili bilgi sahibi olan dört kişiye göre, en önde gelenlerden biri, kendisinin ve diğer şirket yöneticilerinin e-posta hesaplarının Ağustos 2017’den itibaren Hintli bilgisayar korsanları tarafından hedef alındığını Reuters’ten öğrendikten sonra New York’taki Seiden Hukuk Grubu’nu işe alan WeWork kurucu ortağı Adam Neumann’dı.
Neumann’a yönelik hack girişimleri, WeWork’ün Japon SoftBank’tan 4,4 milyar dolarlık bir yatırım aldığını duyurmaya hazırlandığı sırada ortaya çıktı. Neumann 2020’de hacklendiğini öğrendiğinde ortaklık çökmüş ve WeWork’ten çıkarıldıktan sonra SoftBank’a dava açmıştı. Konuyla ilgili bilgi sahibi olan dört kişiye göre SoftBank yöneticileri, Neumann’ın Japon yatırım devinden yaklaşık 500 milyon dolar tazminat almasından sadece haftalar önce Neumann’ın avukatları tarafından bilgisayar korsanlığı hakkında sorgulandı. Kaynaklar, yöneticilerin casusluk konusunda herhangi bir bilgi sahibi olduğu iddialarını reddettiklerini söyledi.
Reuters, Neumann’ı ya da meslektaşlarını gözetlemeleri için Hintli bilgisayar korsanlarını kimin tuttuğunu belirleyemedi. Neumann ve SoftBank temsilcileri mesajlara cevap vermedi. WeWork hack girişimlerinin bloke edildiğini belirtirken ayrıntı vermedi. Seiden Hukuk Grubu, bir siber güvenlik sorununu araştırmak için Neumann tarafından işe alındığını doğrularken daha fazla yorum yapmayı reddetti.
ÖZEL DEDEKTİFLER HACKERLAR VE MÜŞTERİLER ARASINDA ARACILIK YAPIYOR
Müşterileri ile Hintli bilgisayar korsanları arasında aracı olarak çalıştıkları iddia edilen özel dedektifler, mağdurlar ve kolluk kuvvetleri cevaplar için bastırdıkça baskı altında kalmaya devam ediyor.
Bunlardan biri, FBI tarafından 2019’te tutuklanan eski İsrail polisi Aviram Azari. Savcılar, kısa süre önce New York’ta, aralarında New York hedge fonu çalışanlarının da bulunduğu “çok sayıda” kişiyi hedef almaları için Hintli casusları işe aldıktan sonra elektronik dolandırıcılık, kimlik hırsızlığı ve bilgisayar korsanlığı ile ilgili suçlamaları kabul etti.
Yetkililer Azari’nin planıyla ilgili çok az ayrıntı verdi, ancak konuyla ilgili bilgi sahibi dört kişi Azari’nin bilgisayar korsanlığını gerçekleştirmesi için BellTroX’u tuttuğunu söylüyor. Azari’nin avukatı Barry Zone, Nisan ayında Reuters’e yaptığı açıklamada, özel dedektifin şu anda feshedilmiş Alman finans firması Wirecard için yaptığı çalışmalarla ilgili olarak kovuşturma altında olduğunu söyledi. Zone e-postalara yanıt vermedi.
Wirecard’ın eski patronu Markus Braun, şirketin hesaplarından 1,9 milyar avronun kaybolduğunun ortaya çıkmasının ardından Haziran 2020’de tutuklandı. Firma kısa bir süre sonra çöktü.
Braun’un hukuk ekibi, Wirecard’ın Azari veya BellTroX ile olan ilişkisi hakkında yorum yapmaktan kaçındı. Braun sahtekarlık ve piyasa manipülasyonuyla suçlanıyor ancak suçlamaları reddediyor. Duruşması ise devam ediyor. Diğer eski üst düzey Wirecard yöneticilerinin beş avukatı da mesajlara geri dönmedi.
Reuters tarafından ele geçirilen hedef listesi, BellTrox’un iflas etmeden önce Wirecard’ın iş uygulamalarına şüpheyle yaklaşan açıktan satış yapan kişileri, muhabirleri ve finansal analistleri yoğun bir şekilde hedef aldığını gösteriyor. Bazı durumlarda bu saldırılar Wirecard tarafından yapılan tehditlerle aynı zamana denk gelmiştir.
ABD savcıları dosyalarında Azari’nin başka müşterileri de olduğunu iddia ederek, İsrailli bu kişinin adı açıklanmayan çok sayıda Amerikalı müşteri adına da çalıştığını söyledi. Dosyada konu “Binlerce potansiyel mağdur var” sözleriyle yer aldı. Savcılar, Azari’nin en az iki yıl hapis cezası ve ülkeden sınır dışı edilme cezasıyla karşı karşıya kalacağı bu yılın sonlarına doğru hüküm giyeceğini söyledi.
Yine de Azari’nin tutuklanmasının kamuoyuna yansıması, Hindistan’ın kiralık hacker sektörünü caydırmadı. Aralık ayında Facebook’taki güvenlik araştırmacıları BellTroX bağlantılı casusların hala dünyanın dört bir yanındaki kimliği belirsiz avukatların özel dosyalarına girmeye çalıştığını söyledi.
Cenevre merkezli Athena Intelligence adlı şirketi Hindistan’daki hack saldırılarını çok sayıda kurban adına araştıran Jonas Rey, Delhi’deki bazı yetkililerin ülkedeki kiralık hack pazarını görmezden geldiğine inanıyor.
Gupta, ABD adaletinden kaçmaya devam ediyor. Hintli hackerın 2013 yılında çalıştığı şirket olan ViSalus, şu anda sahte aramalar yaptığı için 925 milyon dolara varan bir toplu dava kararına itiraz ediyor. ViSalus’un CEO’su Ryan Blair 2016 yılında şirketten ayrıldı.
Blair’in eski güvenlik müdürü Carlo Pacileo ise şimdilerde Japonya’nın Shikoku Adası’ndaki dağların eteğinde bir spor merkezi işletiyor. Eski özel dedektif Nathan Moser, Irak ve Afganistan’da geçirdiği zamanın ardından Utah’taki bir rehabilitasyon merkezinde kalıyor.
Geçtiğimiz günlerde Gupta olayını değerlendiren Moser, özel dedektiflerin “sonuç odaklı bir sektörde” çalıştıkları için büyük bir baskıyla karşı karşıya olduklarını söyledi ve ekledi: “Hacklemek sonuç almanın en kolay yolu”
BM’nin siber suçlarla mücadele etmek için küresel bir anlaşma sağlanması yönündeki çabaları insan hakları savunucuları tarafından tepki gördü. Hak örgütleri, hükümetlere sağlanacak geniş yetkilerin kötüye kullanıma oldukça açık olduğu yönünde eleştiriler getiriyor. Rusya’nın başı çektiği anlaşmayla ilgili müzakereler 30 Mayıs’ta başlayacak.
BM’nin internet üzerinden işlenen siber suçlarla mücadele amacıyla küresel bir anlaşma geliştirme çalışmaları insan hakları savunucularının tepkisine sebep oldu. Hak savunucuları anlaşmanın devletlere daha önce benzeri görülmemiş yetkiler tanıyacağını ve bu durumun bunun insan haklarını ciddi manada aşındırabileceği eleştirilerini getiriyor. Taslağın geniş çaplı bir anlaşmaya dönüşmesi halinde ifade özgürlüğü ve vatandaşların internetteki mahremiyetinin zarar göreceği düşünülüyor.
Budapeşte Sözleşmesi olarak bilinen söz konusu küresel siber suç anlaşmasının çerçevesi büyük ölçüde Avrupa Konseyi tarafından oluşturulması ve dünyanın geri kalanının görüşüne başvurulmamış olması nedeniyle Avrupa merkezli olmakla da eleştiriliyor.
Siber suçlara karşı küresel bir iş birliği anlaşması geliştirme önerisinde büyük ölçüde Moskova’nın etkili ve istekli olduğu görülüyor. Rusya’dan gelen taslak önerisi, hükümetlerin “siyasi, ideolojik, sosyal, ırksal, etnik veya dini nefret veya düşmanlık motivasyonu taşıyan yasa dışı eylemler, bu tür eylemlerin savunulması ve meşrulaştırılması veya bunlara erişim sağlanması” gibi eylemleri kriminalize etmesini beraberinde getiriyor.
Rusya Devlet Başkanı Vladimir Putin söz konusu çalışmalar hakkında Mart ayında yaptığı açıklamada, “çatışmaları önlemek ve küresel siber uzayda karşılıklı yarar sağlayan bir ortaklık kurmak için tasarlanmış evrensel uluslararası yasal anlaşmalar imzalamanın gerekli olduğuna” inandığını söylemişti.
Aralarında Çin’in de bulunduğu diğer yedi ulus devlet, hükümetlerin BM tarafından hazırlanan bir anlaşmaya dayanarak ifade özgürlüğünü aşındırmasına imkan vermekle eleştirilen öneriye destek verdi. 8 Nisan’da kendi teklifini sunan Amerika Birleşik Devletleri ise, “Bu Sözleşmedeki hiçbir şey, Birleşmiş Milletler Şartı ve uluslararası insan hakları hukuku da dahil olmak üzere, devletlerin ve bireylerin uluslararası hukuk kapsamındaki diğer hak ve yükümlülüklerini etkileyecek şekilde yorumlanamaz” açıklamasıyla gelmişti.
Rusya devletlere internet üzerinde tam hakimiyet sağlamayı amaçlıyor. Her ne kadar Ukrayna’yı işgal etmesi sebebiyle Rusya’nın uluslararası kamuoyunda eli zayıflamış olsa da, birçok devletin Moskova’dan gelen bu öneriye olumlu yaklaşmasından endişe ediliyor. BM gözlemcileri 30 Mayıs’ta başlayacak olan müzakerelerin anlaşmaya varmasının yıllar alabileceğini söylüyor.
HRW: HÜKÜMETLER HER EYLEMİ KRİMİNALİZE EDEBİLİR
İnsan Hakları İzleme Örgütü’nde (HRW) kıdemli araştırmacı ve dijital haklar savunucusu olan Deborah Brown, bu geniş hakların hükümetlerce suistimal edilmeyeceğinin garantisi olmadığını söyledi. Brown, “Bir alanda gerçekten iyi görünen şeyler başka bir alandaki bir şeye feda edilebilir. Bazı eyaletler ve hükümetler ifade özgürlüğünün daha fazla savunucusu iken aynı zamanda mahremiyetten vazgeçmeye razı olabilir. Bu yüzden ‘Gerçekten müdahaleci bir ortamda yasaların uygulanabilmesi için verilere erişimi feda etmemizde sorun yok’ diyebilirler.” dedi.
Brown, HRW’nin birçok insan hakları aktivistinin internette söyledikleri şeyler nedeniyle siber suçlar kapsamında hapse girdiklerini belgelediğini söylerken, anlaşma kapsamında “hükümetin münasip gördüğü her şeyin suç; ve internetin kullanıldığı her eylemin de artık siber suç olarak damgalanmasından” endişelendiklerini dile getirdi.
Farklı alanlarda faaliyet gösteren ABD şirketlerinin veritabanı bilgilerine ulaşan bilgisayar korsanları, milyonlarca kredi kartı, banka hesap numarası ve çevrimiçi hesaplara erişmek için gereken kullanıcı adları ile şifreleri ele geçirdi.
Europol Avrupa Siber Suç Merkezi, yaklaşık 1 yıl süren hazırlık sonrası, 5 ayrı ülkede hacker platformuna yönelik “Torniquet” adı verilen operasyonu başlattı.
ORTAK OPERASYONA 5 ÜLKE KATILDI
Europol bünyesindeki Ortak Siber Suç Eylem Görev Gücü (J – CAT) tarafından yönetilen operasyon, ABD, İngiltere, İsveç, Portekiz ve Romanya güvenlik güçleri ile ortaklaşa gerçekleştirildi.
Operasyon kapsamında, hacker platformundaki, yönetici, kara para aklayıcıları, veri hırsızlığı ve yüklemekte sorumlu kullanıcılar ve alıcılar takibe alındı.
Ortak operasyon sonucu “RaidForums” çökertilerek bu ülkelerdeki altyapısına el kondu.
Hacker platformu yöneticisi ile 2 suç ortağı da, güvenlik güçleri tarafından gözaltına alındı.
Europol Avrupa Siber Suç Merkezi Başkanı Edvardas Šileris, siber suçların işlenmesini önlemek amacıyla uluslarası ortaklarıyla birlikte çalışmaya devam edeceklerini söyledi.
