Etiket arşivi: singapur

Singapur hükümeti sistemlerindeki açıkları bulan hackerları ödüllendiriyor

Singapur hükümeti sistemlerindeki açıkları bulan hackerları ödüllendiriyorSingapur hükümetinin CIO’su (Bilişim Daire Başkanı), beyaz şapkalı hackerları kamuda kullanılan sistemlerdeki zafiyetleri ortaya çıkarmaları karşılığında 5 bin dolara kadar ödüllendireceği bir bug bounty (ödül avcılığı) programı başlattı.

Hükümet Teknoloji Ajansı (GovTech), yeni güvenlik açığı ödül programının, iletişim teknolojisi sistemlerinin güvenliğini artırmak için hayata geçirdikleri üçüncü kitle kaynaklı girişim olduğunu söyledi. Hükümet aynı zamanda, potansiyel güvenlik açıklarını bildirmeleri karşılığında kamuya açık güvenlik açığı ifşa programları da yürütüyor.

Hükümet’e bağlı Bilişim Ofisi, bug bounty programlarının “dönemsel” olduğunu ve her çalışma sırasında beş ila 10 adet kritik ve “yüksek profilli” sisteme odaklanıldığını söyledi. Öte yandan yeni ödül programlarının yapılmaya devam edeceğini ve böylece temel dijital hizmetleri sunmak için gereken daha geniş kapsamlı kritik iletişim teknolojisi sistemlerinin “sürekli olarak test edileceğini” söyledi.

Ortaya çıkan güvenlik açıklarının ciddiyetine bağlı olarak, ödül programına katılmaları onaylanan hackerlara 250 ila 5 bin dolar arasında ödül takdim edilecek. 

HAYATİ ÖNEME SAHİP AÇIK BULANA 150 BİN DOLARLIK ÖZEL ÖDÜL

Ek olarak, seçilen sistemler ve veriler üzerinde potansiyel olarak “olağanüstü etki” yaratabileceği tespit edilen güvenlik açıkları için 150 bin dolara kadar özel bir ödül verilebileceği belirtiliyor. Bu tür güvenlik açıklarının içeriğine ilişkin detaylar sadece kayıtlı hackerlara verilecek ve yalnızca seçilmiş sistemler için geçerli olacak. 

GovTech’e göre, özel ödül programı, Google ve Microsoft gibi teknoloji devleri tarafından gerçekleştirilen küresel kitle kaynaklı güvenlik açığı programları ile kıyaslanabilecek boyutta bir program. 

Ödül programına yalnızca bir dizi kriteri karşılayan hackerların katılmasına izin verilecek ve kontroller bug bounty operatörü HackerOne tarafından yapılacak. Katılımcılar onay aldıktan sonra, HackerOne tarafından sağlanan belirlenmiş özel bir sanal network geçidi üzerinden güvenlik değerlendirmeleri yapmak zorunda kalacak ve katılım kurallarını ihlal ettikleri takdirde erişimleri geri çekilecek. 

2018’DEN BERİ DÜZENLENİYOR

Govtech’in yönetişim ve siber güvenlikten Sorumlu Genel Müdür Yardımcısı Lim Bee Kwan, kuruluşlarının ilk olarak 2018’de kitle kaynaklı güvenlik açığı bulma programlarını kabul ettiğini söyledi. O zamandan beri, 500 geçerli güvenlik açığını tespit etmek için binden fazla hackerla çalışıldı. 

Lim, “Yeni güvenlik açığı ödül programı, hükümetin kritik sistemlerimizi test etmek için küresel siber güvenlik yetenekleri havuzundan daha fazla istifade etmesine ve vatandaşların verilerini güvende tutmasına olanak tanıyacak.” dedi. 

Ağustos 2021 itibariyle Singapur hükümeti, her biri iki ila üç hafta süren ve 33 sistemi kapsayan dört bug-bounty programı başlattı. Katılımcılara 100 bin dolardan fazla para dağıtıldı.  

Kamuya açık güvenlik açığı bilgilendirme programı, Ekim 2019’da başlatıldı ve Mart 2021 itibariyle 59 devlet kurumunu kapsayan 900’den fazla güvenlik açığı bildirildi. Bunlardan en az 400’ü o zamandan beri geçerli olan hatalardı. 

Geçen ay yayınlanan bir rapor, Singapur hükümetinin bug bounty ve ifşa programları aracılığıyla 2020’de ortaya çıkarılan güvenlik açıklarının yarısının hala geçerli olduğunu ortaya koydu. Smart Nation ve Dijital Devlet Ajansı’nın raporuna göre, kamu sektörü geçtiğimiz yıl veri olaylarında yüzde 44’lük bir artış kaydetti, ancak hiçbirinin “yüksek şiddette” olmadığı değerlendirildi.

Taramadan önce düşünün: QR kodlarını güvenli kullanmanın yolları

Günlük hayatımızı hızlandıran ve kolaylaştıran QR kodların siber suçlular tarafından kötüye kullanılması da epey mümkün.

Kare kodların hayatımızı kolaylaştırdığına şüphe yok. Bu şık kodlar dijital ödemeleri mümkün kılmaktan uygun kişi takibine kadar günlük hayatımızı sürdürürken bizi sayısız form doldurma endişesinden kurtardı.

Ancak veri paylaşımını kolaylaştırmak için kullanılan tüm platformlarda olduğu gibi, akla gelen ilk soru şu: Bu şekilde veri paylaşmak güvenli mi?

QR kod teknolojisinin kendisi doğası gereği güvenli olsa da, siber saldırganların bu kodları haksız kazanç elde etmek için kullanma yollarına karşı dikkatli olmalıyız.

SİBER SUÇLULARIN QR KODLARINI KULLANMA YOLLARI

Pandemi sırasında, siber güvenlik firması Palo Alto Networks’ün tehdit istihbarat ekibi Unit 42, QR kodlarını kötüye kullanmanın ve yeraltı çevrimiçi forumlarında sıradan tüketicileri hedef almanın yollarını tartışan siber suçluları tespit etti.

Unit 42, saldırı gerçekleştirmek için QR kodlarının nasıl kullanılacağına ilişkin eğitim sunan çevrimiçi açık kaynaklı araçlar ve video eğitimleri de buldu. Neticede kullanıcıları nereye yönlendireceği belirsiz olan bu QR kodları, potansiyel siber saldırılara bir giriş yolu sağlayabilir.

Siber suçlular, kullanıcıları otomatik olarak web sayfalarına, uygulama mağazalarına ve ödeme sayfalarına yönlendirirken, kendilerini sürece dahil etme fırsatları elde ediyor.

Siber suçluların QR kodlarını kötü niyetli kazançlar için kullanmalarının birkaç yolu var. Bunlardan biri, bir işletmenin web sitesine girip QR kodunu kendi kodlarıyla değiştirmek. QR kodlarının görüntüsü birbirine oldukça benzediğinden, değiştirilen bir kodun fark edilmesi inanılmaz derecede zor.

Kişisel veriler teknoloji devlerinin arasını açtı: Apple güvenlik, Facebook reklam derdinde

Bu kodun taranması, durumdan şüphelenmeyen tüketicileri, siber suçluların kullanıcı kimlik bilgilerini isteyebileceği ve ardından e-posta veya sosyal medya hesaplarının kontrolünü ele geçirebileceği bir şifre avcılığı URL’sine yönlendirebilir.

Ayrıca kullanıcıları, virüs veya diğer kötü amaçlı yazılım türlerini içeren kötü amaçlı bir uygulamayı bilmeden indirebilecekleri resmi olmayan uygulama mağazalarına yönlendirebilir. Veri hırsızlığı veya gizlilik ihlali gibi daha ciddi sonuçlar ortaya çıkabilir.

Singapur’da, son üç yılda QR kodunun dolandırıcılık yapmak için araç olarak kullanıldığı yaklaşık 210 vaka rapor edildi. Bu istatistiğe internetteki aşk dolandırıcılıkları ve kurbanların dolandırıcının banka hesabına veya kripto para birimi adresine para aktarmak için yasal QR kodlarını taradığı dolandırıcılıklar da dahil.

QR KODLARIN YÖNLENDİRDİĞİ ALAN ADLARINI KONTROL EDİN

Pekiyi, kendimizi bu tehlikeden nasıl koruyabiliriz? Bir QR kodunun siber suçlular tarafından kötüye kullanılıp kullanılmadığını anlamanın kesin bir yolu olmasa da alabileceğimiz bazı önlemler var.

Hepimiz şüpheli bir bağlantıya veya e-postaya “tıklamadan önce düşünmemiz” gerektiğini defalarca duyduk ve bu bilgiyi içselleştirdik. Artık bunu QR kodlarına uygulamanın zamanı geldi. Taramadan önce düşünün.

Sadece güvenilir kaynaklardan gelen QR kodlarını tarayın ve yönlendirilmeyi beklediğiniz yerde olduğundan emin olmak için web sitesinin ve alan adının önizlenimine bakın.

Kullanıcıların web sitelerini ziyaret etmeden önce önizlemelerini sağlayan birçok güvenli QR kod tarama uygulaması mevcut. Bazı tarayıcılar ayrıca kullanıcıların bilinmeyen web sitelerine otomatik yönlendirmeleri devre dışı bırakmasına izin vererek, kişilerin güvenilir olup olmadığına karar vermeden önce URL alan adını iki kez kontrol etmelerini sağlıyor.

Uygulamaları yalnızca Apple App Store veya Google Play Store gibi güvenilir kaynaklardan indirin. Bunun da ötesinde, en son güvenlik korumalarından yararlanmak için tüm akıllı cihazlarınızı periyodik olarak güncelleyin.

Kişisel veriler teknoloji devlerinin arasını açtı: Apple güvenlik, Facebook reklam derdinde

İşletme sahipleri ve IT yöneticileri, QR kodlarının doğru bilgileri ve bağlantıları içermelerini sağlamak için sitelerinde ve uygulamalarında düzenli bütünlük kontrolleri yapmak durumunda.

Hem web hem de mobil tarayıcı sürümleri kontrol edilmelidir. İşverenler ayrıca çalışanlarını eğitmek için siber güvenlik uygulamaları konusunda yeterli eğitimi vermelidir. Bu eğitimler arasında hem kişisel hem de iş hesapları için güçlü şifreler kullanma, çok faktörlü kimlik doğrulamayı ayarlama ve şifre avcısı e-postalarının yanı sıra güvenli olmayan sanal ortamları tanımlamak yer almalı.

Birçok çalışan uzaktan çalışmaya devam ettiği düşünüldüğünde, siber farkındalık eğitimi onları mantıklı kararlar almaları için gerekli bilgilerle donatacak ve saldırganların kişisel ve kurumsal ağlara, cihazlara ve verilere erişme riskini azaltacaktır.

Ana akım toplumda yaygınlaşan herhangi bir teknolojide olduğu gibi, önümüzdeki aylarda siber suçluların QR kodlarını kötüye kullanma girişimlerinde bir artış görülmesi bekleniyor.

İstihbarat için altın yumurtlayan tavuk LinkedIn, Çinli casusun elinde nasıl oyuncak oldu?

Singapurlu çiçeği burnunda doktora öğrencisi Jun Wei Yeo, 2015 yılında bir grup Çinli akademisyene sunum yapmak üzere Pekin’e davet edildiğinde kuşkusuz büyük heyecan yaşamıştı.

Yeo’nun doktora tezi Çin dış politikası üzerineydi ve sunumun hemen ardından genç akademisyenin etrafını kendilerini Çin’li think- tank kuruluşu çalışanı olarak tanıtan bir grup insan sardı. Bu kişiler Jun Wei’den kendilerine para karşılığında siyasi haber ve bilgi sağlamasını istiyorlardı. Gerçek amaçlarını ise daha sonra açıklayacaklardı: “Söylentiler ve içeriden bilgi sızdırma”

Jun Wei, bu kişilerin Çinli istihbarat ajanı olduğunu anlaması uzun sürmese de onlarla iletişim halinde kalmayı sürdürdü. İlk başlarda kendisinden Güneydoğu Asya ülkelerine odaklanması isteyen Çinli ajanların ilgisi bir süre sonra ABD hükümetine kaydı.

Çin ajanı olma yolundaki serüveni bu şekilde başlayan Jun Wei, daha sonra sahte bir danışmanlık şirketi kurarak LinkedIn üzerinden ve meraklı bir akademisyen kimliği ile ABD’deki hedeflerini tuzağa düşürmeye girişti. Beş yılın sonunda, ABD ve Çin arasında baş gösteren derin çatışmalar ve Washington’dan Pekinli casuslara yönelik kısıtlamaların arttığı bir sırada, Jun Wei dış güçler için ‘yasadışı casus’luk yaptığı gerekçesiyle ABD mahkemesi tarafından suçlu bulundu. 39 yaşındaki Singapurlu akademisyenin 10 yıla kadar hapse mahkum edilebileceği belirtiliyor.

Linkedin’deki ‘sahte e-Devlet sitesine’ dikkat!

ESKİ BİR ETKİ AJANI OLAN ÜNİVERSİTE HOCASI

Olayla ilgili ilgi çekici bir ayrıntı ise Yeo’nun üniversitedeki hocasıyla ilgili. Singapurlu ajanın doktora danışmanı Amerikalı-Çinli Profesör Huang Jing, 2017 yılında “yabancı bir ülkenin etki ajanı” olduğu suçlamasıyla Singapur’dan sınır dışı edilmişti. İddiaları yalanlayan Hung Jing, Singapur’dan sınır dışı edilmesinin ardından bir süre Washington’da çalıştı. Şimdilerde ise Pekin’de yaşıyor. Etki ajanları, birebir casusluk yapmaktan ziyade başka ülkelerin çıkarları doğrultusunda fikirler savunan kişiler için kullanılan bir kavram.

Mahkeme belgelerine göre, Singapurlu akademisyen birlikte iş yaptığı Çin’lilerle Çin’in farklı yerlerinde onlarca kez buluştu. Bu görüşmelerden birinde kendisinden ABD Ticaret Bakanlığı, yapay zeka ve Çin-ABD ticaret savaşı hakkında özel bilgi edinmesi istendi.

ÇİN İSTİHBARATI İÇİN ÇALIŞTIĞINI BİLİYORDU’

Singapur Dışişleri Bakanlığının eski müsteşarı Bilahari Kausikan, “Dickson’ın Çin istihbarat servisleri için çalıştığını bildiğinden” şüphesi olmadığını söyleyerek Jun Wei’nin “hiçbir şeyden habersiz kullanışlı bir aptal” olmadığını ifade etti.

Yeo en önemli bağlantılarına, profesyonel iş ilişkileri kurmak için kullanılan ve dünya genelinde 700 milyon insanın kullandığı LinkedIn yoluyla ulaştı.

Washington Post, çok sayıda eski hükümet yetkilisi, asker ve şirket yetkilisi kişinin LinkedIn’de geçmişte yaptıkları işlerle ilgili önemli bilgiler paylaştığını ifade ediyor. Bu durum istihbarat örgütleri açısından altın yumurtlayan tavuk demek.

2018 yılında ABD Karşı İstihbarat ve Güvenlik Merkezi Direktörü William Evanina, Microsoft’a ait platformu Çin’in “çok aktif ve sert” bir şekilde kullandığını açıklamıştı. Bu arada birçok sosyal medya platformunun yasak olduğu Çin’de LinkedIn kullanmak serbest.  Geçtiğimiz yıl askeri sırları Çinli bir ajana ifşa ettiği suçlamasıyla 20 yıl hapse mahkûm olan eski CIA ajanı Kevin Mallory de ilişkilerini LinkedIn üzerinden kurmuştu.

Çinli siber casusların bir hedefi de Kayseri’de çıktı!

İSTİHBARAT AÇISINDAN ALTIN YUMURTLAYAN TAVUK: LİNKEDIN

Alman istihbarat ajansı da 2017 yılında Çinli ajanların LinkedIn’i en az 10 bin Alman vatandaşına ulaşmak için kullandığını açıklamıştı. LinkedIn iddialara ilişkin bir yorumda bulunmazken daha önce yaptığı açıklamada bu tür zararlı faaliyetleri engellemek için geniş çaplı önlemler aldığını söylemişti.

Dickson Yeo, LinkedIn aracılığıyla bulduğu bazı kişilerden sözde danışmanlık şirketi için raporlar yazmalarını istemiş ve bu raporları Çinli ortaklarına göndermişti.

Hedefindeki kişilerden biri de ABD Hava Kuvvetleri’nin F-35 savaş uçakları programında çalışan bir kişiydi ve bu kişi ekonomik sıkıntısı olduğunu itiraf etti. Bir diğer kişi de ABD ordusunda görev yapan bir subaydı ve bu kişinin ABD’nin Afganistan’dan çekilmesinin Çin’e muhtemel etkileri başlıklı bir rapor hazırlaması için Yeo’dan en az 2 bin dolar ödeme aldığı belirtiliyor.

SAHTE İLANLARA YANI EN ÇOK ESKİ ASKER VE BÜROKRATLARDAN

Yeo, 2018 yılında sözde danışmanlık şirketi için sahte iş ilanları yayınladı. Savcılara verdiği bilgide bu ilanlara 400’ü aşkın başvuru yapıldı ve bunların yüzde 90’ı ‘güvenlik yetkisine sahip’ Amerikalı asker ve sivil bürokratlardan geliyordu. Yeo, bu bilgilerin bir kısmını birlikte çalıştığı Çinli istihbaratçılara gönderdi.

Çin’in casusluk faaliyetleri ile ilgili bir kitap yazan Matthew Brazil’e göre LinkedIn’in araç olarak kullanılması hiç de şaşırtıcı değil. Danışmanlık şirketleri kanalıyla insanlara uzmanlık alanlarında rapor yazdırmanın, bu kişileri sonrasında gizli bilgileri de sızdırmaya ikna edilebilecek casuslar haline getirmenin bir yöntemi olduğunu belirtiyor.

Siber Bülten abone listesine kaydolmak için formu doldurunuz

Zoom’da sorunlar bitmiyor, Singapur uygulamayı yasakladı

Singapur’da video konferans uygulaması Zoom üzerinden ders yapılması yasaklandı. Hükümet bu kararı, 39 ortaokul birinci sınıf öğrencisinin katıldığı bir coğrafya dersinin “hacklenmesi” ve ekranlarda “müstehcen” görüntülerin belirmesi, ardından da iki bilgisayar korsanının öğrencilerden üstlerini açmalarını istemesinden sonra aldı.

Okulların Çarşamba günü kapatıldığı Singapur’daki olayda Singapurlu olmadıkları söylenen iki bilgisayar korsanının “müstehcen” sözler söylemesinden sonra öğretmenin dersi hemen durdurduğu belirtildi.

Singapur Eğitim Bakanlığı, olayla ilgili inceleme başlatıldığını, soruşturma sonuçlanıncaya kadar okullarda uygulamanın yasaklandığını duyurdu.

Olay bir öğrencinin yaşananları annesine söylemesi ve annenin de yerel basına konuşmasıyla duyuldu.

Uygulamayı daha önce de Google, SpaceX ve Filipinler’de ISP olarak faaliyet gösteren Smart Communications şirketleri yasaklamıştı.

Ayrıca ABD Senatosu, Alman Dışişleri Bakanlığı, Tayvan ve Avustralya Savunma Bakanlığı da yasakladı.

Zoom, veri ihlali ve veri gizliliği açısından ne kadar güvenli?

Yeni özellikler eklendi

Zoom sözcüsü BBC’ye yaptığı açıklamada “Bu tür olayların yaşanmasındanderin üzüntü duyduk” dedi.

Sözcü, yakın bir zaman önce uygulamanın varsayılan ayarlarının değiştirildiğini belirtti.

Buna göre toplantıyı organize eden kişinin katılımcıları onaylayabilmesi için bekleme odası özelliği varsayılan ayarlara dahil edildi.

Ayarlarda sadece toplantıyı organize eden kişi ekranını paylaşabiliyor.

ABD’nin Utah ve Pennsylvania eyaletlerinde son iki hafta içinde benzer olaylar yaşanmıştı.

Geçen hafta Utah’da 50 kadar ilkokul öğrencisinin katıldığı bir derste ekranda porno görüntüler belirmiş, bundan bir hafta önce de Cumhuriyetçi Parti’nin eyalet toplantısında porno video izletilmişti.

Pennsylvania’da da bir okulun dersi ve yerel yönetim toplantısı hedef alınmıştı.

Yedi yıllık uygulamayı 200 milyon kullanıyor

2013’ten beri kullanılan Zoom uygulaması koronavirüs salgınından sonra popüler hale gelmişti.

Geçen yıla kadar uygulamanın bir gündeki en yüksek kullanıcı sayısı 10 milyondu.

Mart’tan itibaren bu sayının 200 milyonu aştığı belirtiliyor.

Siber Bülten abone listesine kaydolmak için formu doldurunuz