Apple uyarısıyla 3 bakanın telefonu değiştirildi: Casus yazılım alarmı

Apple, geçtiğimiz günlerde Türkiye'deki üç bakanın iPhone cihazlarına "devlet destekli saldırganlar" tarafından hedef alındıklarını gösteren kritik güvenlik bildirimlerini gönderdi. Resmi kaynaklardan edinilen bilgiye göre, Bildirimler Apple'ın "Mercenary Spyware" (Kiralık Casus Yazılımı) tespit sistemleri tarafından tetiklenmiş olup, hedef alınan bakanların telefonları anında kullanımdan kaldırılarak Milli İstihbarat Teşkilatı (MİT) ve Cumhurbaşkanlığı güvenlik ekiplerinin koordinasyonuyla adli incelemeye sevk edildi.

Kilitli Mod ve adli analiz süreci

Güvenlik protokollerine uygun olarak ilgili bakanlara yeni, temizlenmiş ve "Kilitli Mod" (Lockdown Mode) etkin cihazlar teslim edildi. Kilitli Mod, iOS'un en katı savunma katmanıdır; mesaj ekleri, karmaşık web teknolojileri ve gelen FaceTime aramaları gibi sıfır gün (zero-day) istismar vektörlerini büyük ölçüde engeller. MİT ekipleri, eski cihazlarda Pegasus veya Predator gibi ticari casus yazılımların izlerini (indicator of compromise) taramak için derin adli analiz (forensic imaging) başlattı. Henüz hangi ajans veya aktörün arkasında olduğu resmi olarak açıklanmamış olsa da, Apple bildirimlerinin "devlet destekli" ifadesini kullanması, saldırının bireysel hırsızlık değil, stratejik istihbarat toplama operasyonu olduğunu gösteriyor.

Apple tehdit bildirim sistemi nasıl çalışıyor?

Apple, 2021'den beri bu sistemle 150'den fazla ülkedeki kullanıcıları uyarıyor. Şirket, tespit yöntemlerini gizli tutarak saldırganların uyarlamasını zorlaştırıyor; bildirim, cihazın kesin olarak enfekte edildiği anlamına gelmez, "hedef alındığı" yönünde yüksek güvenilirlikli bir istihbarat sinyali verir. Türkiye'de son dönemde muhalefet politikacılarının, gazetecilerin ve akademisyenlerin de benzer bildirimler alması, kiralık casus yazılımı ekosisteminin (Intellexa, NSO Group vb.) coğrafi odaklanmasının genişlediğini kanıtlıyor.

Yüksek profilli hedeflerde yeni protokol

Vak'a, resmi kurumların siber higyeni standartlarının yenilenmesini zorluyor. Başkanlık Dairesi ve MİT, son aylarda "yüksek riskli personel" listesi için cihaz yenileme periyotlarını kısaltmış, tüm iletişimin şifreli platformlara (Signal, Threema vb.) yönlendirildiği ve cihazların düzenli olarak "temizleme" tarama geçirildiği yeni bir yönerge çerçevesi çizmişti. Bu alarma, o yönergenin ilk büyük gerçek testi olarak kaydedildi. Araştırmacılar, saldırı vektörünün sıfır tıklamasız (zero-click) bir iMessage veya WhatsApp arama istismarı olabileceğini, bu yüzden cihaz değiştirmenin tek başına yeterli olmayıp, hesap kimliklerinin (Apple ID, iCloud) de güvenliğin sağlandığı yeni cihazlara taşındığını vurguluyor.