Etrafımızdaki her şey, durmaksızın veri üretiyor: Tüm dijital işlemler, sensörler, mobil telefonlar, GPS cihazları, araba motorları, tıbbi laboratuvar testleri, kredi kartı işlemleri, otellerdeki kapı ki­litleri, rapor kartları ve sosyal medya faaliyetleri veri üretiyor. Akıllı telefonlar bizleri birer insan sensörüne dönüştürürken, hayatımıza dair ciddi boyutta ciddi boyutta veri ortaya çıkarıyor. Sonuç olarak, bugün doğan çocuklar tüm hayatlarını devasa bir dijital ayak izinin gölgesinde geçiriyor, Zaten halihazırda dünyadaki çocukların yüzde 92si öyle veya böyle internette bulunuyor. Ailelerinin ultrasondan çıkan ilk fotoğrafı Facebook’a yüklemelerinden, kalp pillerinin bağlantısı kesilene kadar geçen yüz yılı aşkın bir sürede, doğumdan ölüme kadar her anları dijital olarak kaydediliyor ve sonsuza kadar bulutta korunuyor. Veri üretim döngümüz bir an olsun durmuyor.³

Yalnızca 2014 yılı İçinde, her bir dakikada;

• 166.667 e-posta gönderdik,
• Google’da 2 milyon arama yaptık,
• Facebook’ta 684.000 içerik paylaştık,
• Twitter’da 100.000 tweet attık,
• Apple App Store’dan 47.000 uygulama indirdik,
• YouTube’a 48 saat uzunluğunda yeni videolar yükledik,
• Instagram’a 36.000 yeni fotoğraf koyduk,
• WhatsApp ta 34 milyon mesaj yazdık.

Başka bir deyişle, her on dakikada, insanoğlunun ilk on bin neslinin ürettiği kadar bilgi ürettik.⁴ Biz bunları yaparken, bu bo­yuttaki veriyi depolamanın maliyeti de sürekli olarak azaldı.⁵ Ör­neğin, 2014 sonlarında Amazon.com’dan sadece 300 dolara satın alınabildiğimiz altı terabaytlık bir sabit diskte, tarih boyunca dünya üzerinde bestelenen tüm müzikleri depolayabiliyorduk.

Dünyanın bilgi altyapısındaki akıl almaz büyümeye, “büyük veri devrimi” adı verildi. Büyük veri, insanlığa uzun süredir çözü­lemeyen karmaşık problemlerin ölçülebilir olduğunu, bu yüzden de deneysel olarak çözülebilir olduğunu vaat etti. Bu raddede tıp dünyası harika bir örnek olabilir. Tüm hasta verileri elektronik tıp kayıtlarında kataloglandıkça, doktorların da en etkili tedavileri belirlemek, ölümcül ilaç etkileşimlerini fark etmek ve hatta fiziksel semptomlar görünmeye başlamadan hastalık başlangıcını tahmin etmek için veri setlerini incelemesi kolaylaşıyor. Yani sayısız hayatın kurtarılma ihtimali bulunuyor.

İster perakende, ister ulaşım, isterse ilaç sektörü olsun, tüm en­düstrilerde büyük veri neticesinde inanılmaz boyutlarda ekonomik değer görülecek.⁶ Hatta bu değerler o kadar yüksek olacak ki, Dün­ya Ekonomi Forumu, kısa süre önce veriye ‘yeni petrol” adını taktı. IBM, Oracle, SAS, Microsoft, SAP, EMC, HP ve Dell gibi yüzlerce şirket, büyük veri fenomeninden en yüksek kârı elde edebilmek için yeni çağın altın kapma yarışına girdiler. Veri gerçekten yeni petrolse, dijital dünyanın modern para birimiyse, en fazla veriye sahip olanlar da muazzam güce ve etkiye sahip olacaktır. İlk petrol baronları John D. Rockefeller ve J. Paul Getty’nin kendi çağlarını yönetmesi gibi, bugün elinde en yüksek miktarda veriyi bulunduran isimler de, Mark Zuckerberg ve Eric Schmidt’in belirttiği üzere, yaşadığımız çağda sözü en çok geçenler olacak. Facebook, Google ve Acxiom gibi şirketler insan davranışıyla ilgili tarih boyunca biriken tüm verileri bir araya getirirken, kısa zaman içerisinde bunları kendi çıkarları için kâr, gözetleme, tıbbi araştırma, siyasi baskı, şantaj veya nasıl isterlerse o şekilde kullanabilecekler.

Ancak veri yeni petrolse, diğer köklü doğal kaynaklar gibi onun da sıkıca korunması gerekir. En basitinden bugün 100 milyon varil petrolümüz olsa, onları korumasız bırakmamız neredeyse imkânsız olurdu, ama oluşturduğumuz verilerin çok çok büyük bir kısmına bir daha dönüp bakmıyoruz bile. Dijital bilgilerimiz üzerindeki koruma, olması gerektiği seviyenin yakınına bile yaklaşamıyor. Hem zeminde hem de borulardaki o 100 milyon varil petrolü silahlı muhafızlar, dikenli teller, güvenlik kameraları ve sensörler koruyor. Ama Target gibi perakendecilerden çalınan 100 milyon kredi kanı ve müşteri kaydı ne olacak? Önceki bölümlerde gördüğümüz gibi, o veriler doğası gereği güvensiz ve korunmasız veritabanlarında tutuluyor. Bu kadar büyük boyutlardaki veriyi toplayıp korumayı başaramadığınız zaman ne olacağını sanıyorsunuz? Bilgileri elde edip saklama yeteneğimiz, onu ve sonuçlarını anlama yeteneğimize kim bilir kaçıncı turunu bindiriyor. Dünyanın bilgisini depolama­nın kurumsal maliyeti sıfıra doğru yaklaşırken, sosyal maliyet her geçen gün anıyor. Bu da toplumumuz ve dünyamız için gelecekte çok daha büyük sorumluluklar üstlenmemizi gerektiriyor.

Burada tarihten ders çıkarabiliriz, Amerikalı ünlü banka soygun­cusu Willie Sın ton, 1920’lerde başlayıp on yılları aşan hırsızlık kari­yerinde 2 milyon doları aşkın para çaldı. FBI tarafından yakalandık­tan sonra bir muhabir kendisine bir soru yöneltti: “Baksana Willie, neden banka soyuyorsun?” Suttonin bu soruya verdiği cevap, yıllar boyunca sürekli tekrarlandı: “Çünkü para orada.” Sutton’ın iki milyon insandan birer dolar çalma gibi bir seçeneği olsa da, ünlü hırsız çok daha mantıklı ve zaman açısından verimli bir yaklaşım sergileyerek, para birimi toplayıcılarını (bankalar) soymayı seçti. Yani bugünkü suçluların Target, Sony veya diğer büyük veri top­layıcılarının peşine düşmesi biç şaşırtıcı değil. Sonuçta risk düşük, ödül büyük. Günümüz dünyasında para, verinin olduğu yerde.

Gordon Moore ve adını verdiği yasasından esinlenerek, ben de her gün meydana getirdiğimiz veri dağının doğurduğu riskleri tanımlamak için bir vecize düşündüm. Karşınızda Goodman Yasası:

Sis ne kadar veri üretip depolarsanız, organize suçlar da o kadar veri tüketir.

Eninde sonunda, özel bilgileriniz kartellerin, rakiplerin ve hatta yabancı hükümetlerin eline düşecek.⁷ Büyük veri “yeni petrol” ta­nımını alırken, kişisel verilerimiz ise silah derecesinde plütonyum gibi düşünülebilir. Tehlikeli, dayanıklı ve bir kez salındığında geri döndürülemez…

Artık federal hükümet bile bu suça kurban gidebileceğini an­ladı. 2010’daki WikiLeaks fiyaskosuna ve Er Chelsea (Bradley) Manning’in Irakta ordu istihbarat analisti olarak çalıştığı sırada çalmayı başardığı yüz binlerce gizli diplomatik belgeye bakmamız yeterli. Tabii bundan sadece birkaç yıl sonra Edward Snowden ile tanıştık. Kendisi de Ulusal Güvenlik Ajansı sistem yöneticisi yetkisiyle, becerilerini kullanarak Amerika’ya ve müttefiklerine dair milyonlarca çok gizli belgeyi çalarak gazeteciler ile paylaştı. Kimileri böylesine büyük çaptaki bu bilgi hırsızlığı ve paylaşımını “bilgi çağının sivil itaatsizliği” olarak adlandırdı. Ancak Manning ve Snowden -çok kapsamlı soruşturmalara rağmen- federal hükü­metten böylesine devasa boyutlardaki verileri toplayıp çalabildiyse,Target, Çiti bank veya Apple adına çalışmaları halinde neler olurdu? Kurumsal verilerin üstel büyümesi, dijital bir cihazda depolanan ticari sırların, mühendislik tasarımlarının, teknik bilgilerin, müşteri listelerinin, maaş tablolarının, fiyatlandırma stratejilerinin, teda­rikçilerin ve diğer bilgilerin sızabileceği anlamına geliyor. Bugün,büyük veya küçük her şirket, içinde bir Snowden barındırıyor olabilir. Bunun sonuçlarında ise veri güvenliği, gizlilik ve uzun vadede ekonomik uygulanabilirlik konularında ağır zararlar doğabilir.

Facebook, Google veya Apple hesaplarından çalınacak bir e-posta adresi, hackerların yıllar boyunca birikmiş e-posta mesajlaşmalarına, takvim randevularına, anlık mesajlara, fotoğraflara, telefon görüşmelerine, Amazon’daki alışveriş geçmişine, banka ; hesaplarına ve Dropbox veya Google Drive’daki belgelere erişim sağlamasına yol açabilir. Bununla birlikte bugün algılayabildiğimiz veri kayıplarının, yarın mümkün olacaklar ile birlikte ciddi şekilde soluk kalacağını da unutmamak gerekiyor. Günümüz dünyasında, hem insan hem de makineler tarafından oluşturulan bilgileri topla­yıp ebedi olarak saklama yeteneğimiz, beraberinde getirdiği riskleri anlama yeteneğimizin her zaman üzerinde olacak.

Kötü Koruyucular, İyi Kurbanlar Yoksa İkisi Birden mi?

“Gençliğimde yaptıklarımı bugün yapmak kat kat daha kolay. Teknoloji suç doğuruyor. ”

– Frank W. Abagnale

Sony, Target ve T. J. Maxx hacklendiğinde suçlu kimdi? Bu şirketler, çok gelişmiş uluslararası organize suç örgütlerinin ustalıkla altından kalktığı siber saldırıların kurbanı mıydı? Yoksa yetersiz güvenlik önlemleri almayı başaramadıkları ve en temel koruma öğelerini bile kurmaya üşendikleri için kendilerine güvenen yüz milyonlarca insanı mı kurban etmişlerdi? Cevap, bu iki ucun ara­sında yatıyor. Milyonlarca müşterinin verilerini koruma konusunda perakende mal satan şirketlerin yetersiz bir çalışma sergilemesinin dışında, her gün bir yenisi açılan internet girişimleri ve sosyal medya devleri de güven vermiyor. Verilerinizi Facebook, Google Linkedin ve diğer şirketlerle paylaştığınızda, sadece gizlilik konusunda endişelenmekle kalmamalı, suçluların o verileri ele geçirmesi durumunda ortaya çıkacak sonuçları da düşünmelisiniz. Adı geçen isimler için hacklenme artık rutin bir hale büründü, ancak çalınan veri tamamen size ait. Peki bu şirketler ne sıklıkla mı hackleniyor? Emin olun hayal edebileceğinizden bile daha sık.

Örneğin Facebook’un güvenlik birimi, sarsıcı bir şekilde her gün 600.000’den fazla hesabın ele geçirildiğini kabul etti. Anlayabildiniz mi? Yıllık ya da aylık değil. Her gün 600.000 hesap. Yani her 140 milisaniyede bir hesap çalınıyor.⁸ (Bir göz kırpışımızın 300 milisa­niye olduğunu hatırlayalım.) Bu veriler kimlik hırsızlığı, suç amacı güderek farklı bir kişiliğe bürünme, vergi kaçırma, sağlık sigortası dolandırıcılığı ve çok sayıda diğer suçun hammaddesi oluyor. Şimdi Facebook’ta paylaştığınız o inanılmaz boyutlardaki özel verilerinizi ve bunların organize bir suç örgütünün eline düşmesi durumun­da neler olabileceğini düşünün? Annenizin kızlık soyadı mı, var. Doğum yeriniz mi, var. Doğum tarihiniz mi, var. Çocuğunuzun fotoğrafları mı, o da var.

Facebook hesabının ele geçirilmesi ise nihai hedef değil, sadece başlangıç. İnsanların yüzde 75’i, farklı internet sitelerinde aynı parolayı kullandığı ve yüzde 30 kadarı da tüm online hizmetle­rinde aynı giriş bilgisi ve parolayı kullandığı için, Facebook hesap şifreniz bir kez ele geçirildiğinde banka hesabınıza, kredi kartınıza ve e-posta hesaplarınıza erişim de mümkün olabilir.⁹ Ek olarak, artık dijital dünyanın kalanına geçiş için bir pasaport halini alan Facebook hesabınızla üçüncü şahıs şirketlerin sitelerine de giriş ya­pabiliyorsunuz. Siz Facebook hesabınızla alışveriş yaparken, müzik dinlerken ve oyun oynarken büyük bir kolaylık görüyor olsanız da, tek bir giriş verisi elde edildiğinde kullandığınız tüm hizmetler elde edilmiş oluyor.

6,5 milyon hesabı kaybeden Linkedin, 4,6 milyon hesap ile telefon numarasını kaybeden Snapchat ile Google, Twitrer ve Yahoo.da dahil olmak üzere çok sayıda sosyal medya şirketi geçmişte bü­yük hack saldırılarıyla karşılaştı.¹⁰Tüm bu veri saldırılarının yüzde 85 kadarını uluslararası organize suç örgütleri gerçekleştirirken, hedefleri siber yeraltında en yüksek değere sahip olacak mümkün olan en fazla miktarda veriyi çalmak oluyor.¹¹ Kimi zaman ise bu organize suç örgütlerinin, bir bilgisayar sistemine girmek için hack-emesine gerek bile kalmıyor. Sistem zaten kollarını açmış, onları bekliyor vaziyette oluyor. Aynı Serengeti düzlüklerinde yaşayan yırtıcı hayvanların, halihazırda ölü bir hayvanın yanından geçip gitmeyeceği gibi, hackerlar da önlerine çıkan ücretsiz veri ödüllerini boş geçmiyor. 201 İde bulut depolama hizmeti veren dev şirket Dropbox’ın başına da bu geldi.¹² Şirket, ağına ulaşım için gereken bütün hesap şifrelerini yanlışlıkla devre dışı bıraktı. Sonuç olarak, isteyen herhangi biri, Dropbox’a o zamana kadar yüklenen herhangi bir dosyaya erişebiliyordu.

Bu noktada sosyal medya veya internet hesaplarınızın, kimlik hırsızlığı veya başkasının ihmalkârlığı sebebiyle banka hesabınızdan çalınan on binlerce dolar ile sonuçlanacak şekilde ele geçirilmesi durumunda bilginizi riske atanları dava edecek bir hakka sahip olduğunuzu düşünebilirsiniz. Ama tabii ki öyle bir hakkınız yok. “Hizmet kullanım şartlarını okudum ve kabul ediyorum’ tuşuna tıkladığınız zaman o haklarınızdan vazgeçtiniz. Bir tık ile birlikte, o şirketler sistemlerinin ele geçirilmesinde en az zararı gören taraf oldu.

Facebook’un Koşullar bölümünde kocaman harflerle yazdığı madde, konuya iyice açıklık getiriyor:

Facebook’u sürekli olarak sorunsuz biçimde çalışır durumda, virüssüz ve emniyetli tutmaya çalışıyoruz, ancak Facebook u kullanırken karşı karşıya kalabileceğiniz riskler tamamen sizin sorumluluğunuzda olacaktır… Facebook’un her zaman güvenli, güvenilir ve hatasız olacağını garanti etmeyiz…

Bu arada, Google, Yahoo! ve Facebook hesaplarınızda oluş­turduğunuz o kocaman veri havuzlarının peşine düşenler sadece organize suç örgütleri değil, içeride ve dışarıda devletler de onları istiyor, örneğin, Ocak 2010da Google tüm ağlarında oldukça kapsamlı bir saldırıya maruz kaldığını ve saldırının arkasında da Çin hükümetinin olduğunu kamuoyuna duyurdu. Google,Çin hükümetinin Amerika, Asya ve Avrupa’da Çin’deki insan hakları uygulamalarına dair protestolarda bulunan eylemcilerin Gmail hesaplarına erişmek istediğini açıkladı. Saldırıda hedef alınanlar arasında ticari sırlar ile bildiğimiz Google’ı ve ürünlerini çalıştıran, şirketin kaynak kodu da vardı.

Google saldırı aldığını kabul etmiş olsa da, Çin hükümeti ta­rafından nelerin alınabildiği bilgisi şirket sırrı olarak kaldı. An­cak daha sonra Çin Halk Kurtuluş Ordusu’na bağlı hackerların, Google’ın küresel parola yönetim sistemine ait kaynak kodunu ele geçirdiği belirtildi.¹³ Google’ın kaynak kodunun çalınması ise, Çinlilere Google’ın tüm dünyadaki milyonlarca kullanıcısına ait parolalara erişim imkânı sağlamış olabilir. Yine hackerların uzun­ca bir süre Google sistemlerinde saklanmış olması da mümkün. 2010’dan bu yana Google parolanızı hiç değiştirdiniz mi? Değiştirmediyseniz, Çin Halk Kurtuluş Ordusunda bir kopyası bulunuyor olabilir. Internet ve sosyal medya şirketleri, ister verilerimizin kötü koruyucuları, ister sık sık hedef alınan kurbanları, isterse ikisinden de biraz biraz olsun, internet sitelerine ve şirketlere güvenerek açığa çıkardığımız veriler her an suçluların, teröristlerin ve diğerlerinin eline düşebilir.

Veri Simsarları: Verilerin Kötü Koruyucuları

Her birimize dair inanılmaz oranlarda veri depolayan karanlık ve iyi düzenlenmemiş veri simsarlığının en önemli sorunlarından biri, bu şirketlerin de gayet rahat bir şekilde hacklenebilecek olma­sıdır. Acxiom gibi firmalar insanlara dair trilyonlarca veri depoladı­ğında, Willie Sutton’ın da hatırlattığı üzere para orada olduğu için organize suç örgütlerinin hedefi haline geliyor. Veri simsarlarından böyle büyük çapta veri setlerinin çalınması ise çok öncelere dayanıyor. Örneğin 2002 ve 2003’te, Acxiom ve müşterilerinden milyar kullanıcı kaydı çalındı. Dava belgelerine göre, saldırıdan sorumlu olan hacker Scott Levine, Acxiom’dan 8 GB veri indirerek,kişisel verilerin çalınmasını içeren en başarılı siber saldırılardan birine imza attı.¹⁴

Günümüze biraz daha yaklaşacak olursak, veri simsarlığı yapan Experian şirketi, tüm Amerikalıların neredeyse üçte birine tekabül eden miktarda kişisel veriyi, yanlışlıkla Vietnamlı bir suç örgütüne sattı.¹⁵ Bu inanılmaz dolandırıcılık sebebiyle, şu an 200 milyon Amerikalının sosyal güvenlik numarası dünyanın dört bir yanındaki suçluların eline geçti. Çalınan veri setleri, suçluların kredi kartı başvurusu yapması ve kurbanların adına kredi çekmesi için gereken tüm bilgileri içerdiğinden, suçlu dünyasında bu setlere “fiiliz” adı veriliyor. Bu akıl almaz fiyaskonun yaşanma sebebi ise Experian’ın Vietnamlı hacker örgütüne gereken özeni göstermemesiydi. Suç­lular, paravan bir şirket kurarak kendilerini ABD’de bulunan bir özel soruşturma firması olarak göstermiş ve soruşturdukları dava için gereken verileri satın almak istediklerini belirtmişti. Anladınız mı? Experian, 200 milyon kullanıcı veri belgesini bir kimlik hır­sızlığı örgütüne sattı. Satılan veriler daha sonra SuperSet.info ve FindGet.me gibi onlarca hacker internet sitesinde kayıt başına on altı ile yirmi beş sent gibi fiyatlardan satışa çıkarıldı. Ödemeler ise sadece Liberty Reserve ve WebMoney gibi takip edilemez online para birimleri üzerinden kabul ediliyordu. Experian’ın saldırıdan haber alması ise olaydan çok sonra satılan bilgileri hacker sitelerinde gören Gizli Servisin kendilerini aramasıyla oldu.¹⁶

Peki “sözde” saygın bir firma, neden gereken özeni göstermeden onca veriyi satıyordu ki? Cevap her zamanki gibi paradan geçiyor. Veri simsarları, verileri korudukları zaman değil, sattıkları zaman para kazanıyor. Soruşturma sırasında, suçluların sistem kapatıl­madan önce veri setlerine en az 3,1 milyon kez erişim sağladığı da keşfedilenler arasındaydı. İş işten geçeli çok olmuştu.¹⁷

Her birimize dair verilerin bu denli kolay erişilebilirliği düşü­nüldüğünde, organize suç örgütlerinin, belirli ilgi alanına sahip kişiler ile ilgili bilgileri kötücül amaçlarla elde etmek için kendi veri simsarlığı yapan firmalar ile paravan şirketlerini kurduğunu bilmek şaşırtıcı olmayacaktır. Bunun bir örneği, suça yatkın kitlesine hack gücünü göstermek isteyen bir Rus grubunun açtığı Exposed.su isimli internet sitesiyle karşımıza çıktı. Herhangi bir insana dair veri toplayabilecekleri iddiasını güçlendirmek isteyen hackerlar, siyaset, hukuk ve eğlence dünyasından çok sayıda ünlü ismin kredi dosyalarını paylaştı.

Ele geçirdikleri bu verileri almak için ise hırsızlar Equifaxa ait AnnualCreditReport.com sitesinin güvenlik sistemlerini çökerte­rek, hedefledikleri isimlerin bütün kredi raporlarına ulaştı. Saldırıya kurban giden isimler arasında Ashton Kutcher, Kim Kardashian, Jay-Z, Bili Gates, Beyonce, Robert De Niro, Lady Gaga ve Sean Combs gibi dünyaca tanınan ünlüler vardı.¹⁸ Kredi raporlarına erişilen üst düzey siyasiler arasında ise First Lady Michelle Obama, Başkan Yardımcısı Joe Biden, eski ABD Başkanı George Bush, FBI Başkanı Robert Mueller, CLA Başkanı John Brennan, Başsavcı Eric Holder ve Los Angeles Emniyet Müdürü Charlie Beck yer alıyordu.¹⁹

Exposed.su hacker takımı üstte belirtilen ünlülerin tam tekmil kredi raporlarını internette PDF formatında yayımladı. O dosya­larda tüm dünya, kurbanların sosyal güvenlik numaralarını, doğum tarihlerini, kullandıkları tüm adresleri, özel telefon numaralarını, haklarında verilen yasal kararları, American Express Black kredi kartlarında her ay kaç yüz bin dolar para harcadıklarını ve kaç milyon dolar mortgage borçları olduğunu görebiliyordu. Saldırıdan etkilenen isimlerin kredi raporları, site nihayetinde ulaşılamaz hale gelene kadar bir milyon kez görüntülendi.

Bir önceki bölümde belirttiğim üzere, büyük veri simsarları, in­sanları “beyaz, lise mezunu, taşrada yaşayan, ailesine bağlı, avcılık ve balıkçılık ile ilgilenen, evinde maç izleyenler” gibi belirli kümelere ayırarak oldukça detaylı listeler oluşturabiliyordu. Anlaşılan, bazı veri simsarları, önemli ipuçları için en yüksek parayı ödemeye hazır organize suç örgütlerine özel listeler de hazırlıyor. Dolandırıcılar, veri simsarlarının gözünde oldukça kârlı bir kaynak halini alırken, veri sektörü de suçlu müşterileri için seve seve yeni listeler hazırlıyor. Veri simsarları, listelerinin kullanımı ile ilgili hiçbir sorumluluğu kabul etmezken, ahmak , şansının değişebileceğine inanmak is­teyen emekliler” gibi etiketler kullanarak insanları kümeliyor,²⁰ Bu kümelerin suçluların eline düşmesiyle birlikte ise yaşlı vatandaşlar hayatları boyunca biriktirdikleri paraları kaybediyor.

ChoicePoint, Experian ve Equifax gibi veri simsarları için eko­nomik teşvikler, kamuoyunun güvenliği ve emniyetiyle kıyaslandı­ğında çok daha büyük bir öneme sahip oluyor. Nitekim organize suç örgütlerinin artık bilgi yönetimi işine girdiği büyük veri çağında bu durum daha da endişe verici bir hal alıyor. Bu örgütler, büyük veri dünyasında artık etkili ve çalışkan birer güç oldu. Biz veri ürettikçe, onlar da büyük bir keyifle tüketiyor.

Sosyal Medya Belası

Kimlik hırsızlığı söz konusu olduğunda, suçluların istediği tüm bilgileri, doğum tarihinizi, annenizin kızlık soyadını ve çok daha fazlasını Facebook hesabınıza gönüllü bir şekilde girdiğiniz için sos­yal medya inanılmaz kolaylık sağlıyor. Şimdi, “Suçlular o bilgileri göremez ki, gizlilik ayarlarımda kapatmıştım ben,” diyor olabilir­siniz. Keşke sistem o şekilde işliyor olsa. Facebook ta paylaştığınız herhangi bir bilginin sızmasının arkasında çok çeşitli sebepler var. İlk olarak, yukarıda da belirttiğimiz gibi Facebook’un hizmet kul­lanım şartları güncellendiğinde, çoğu zaman uzun uğraşlar sonucu yaptığınız gizlilik ayarları, mümkün olan en açık şekildeki varsayı­lan ayarlara geri döndürülüyor ve bilgilerinizi özellikle reklamcılar olmak üzere herkese açık bir hale getiriyor. İkinci olarak, her gün 600.000 Facebook hesabının çalınması, suçluların belirlediği he­defler arasında sıranın her an size gelebileceğini gösteriyor. Son olarak ise, artık paranın olduğu yerde sosyal veriler olduğu için, suçlular da hedeflenmiş virüsler ve Trojanlar formunda özel yazılım araçları geliştirerek Facebook ve diğer sosyal medya hesaplarınızı ele geçiriyor.

Sosyal ağları kullanan insanların en az yüzde 40’lık bir bölümü herhangi bir kötü amaçlı yazılıma maruz kalırken, en az yüzde ,20lik bir kısmımızın e-posta veya sosyal ağ hesapları üçüncü şahışlar tarafından iznimiz olmaksızın ele geçirildi.²¹ Kötü adamlar arkadaşlardan veya aile üyelerinden gelmiş gibi görünen mesajların içerisine sahte bağlantılar ekleyerek, sosyal mühendislik adı verilen yöntem ile kullanıcıları kandırıyor. Suçlular, sosyal ağlarımızda güvendiğimiz kişilerin dijital kılığına bürünerek güvenimizden fay­dalanıyor ve durmaksızın kullanıcıları bir Trojan, virüs veya solucan bulaştıracak linklere tıklamaya itiyor.

Dahası, organize suç örgütleri son dakika haberlerine tepki gösterme konusunda inanılmaz hızlı davranarak, masum kullanıcıların karşısına virüs dolu bağlantı­lar çıkarıyor. İster Haiti’de bir deprem olsun, ister Justin Bieber tutuklansın, isterse de Miley Cyrus çıplak yakalansın, manşetler insanların görmezden gelemeyeceği kadar ilgi çekici oluyor ve her­kes onlara tıklıyor. Malezya Havayolları’na ait MH370 sefer sayılı uçak Hint Okyanusunun üzerinde kaybolduğunda, saldırganlar da uçağa dair sahte fotoğrafları ve “MH370 bulundu!²²CNN’in yayınladığı sarsıcı videoyu izleyin!” gibi başlıklarla çok sayıda söz­de videoyu bir anda internete yaymaya başladı. Bu iletiler sosyal medya sitelerinde gizemin çözülmesini arayan meraklı kullanıcı­lar tarafından binlerce kez paylaşılırken, hiçbiri cihazlarına virüs bulaştığından haberdar değildi. İnsanın başına gelen, gerçekten meraktan gelmişti.

Sosyal medya virüsleri arasında en ünlüsü ise, tüm dünyada­ki Facebook kullanıcılarını hedef alan, dev sosyal ağın taklitçisi Koobface’ti.²³ Kötücül sosyal medya solucanı, kullanıcıları arka­daşlarından gelmiş gibi görünen ve “Oha! internette çıplak videon var!” tarzı başlıklara sahip karşı koyması imkânsız bağlantılar ile kandırıyordu. Kim tıklamaz ki buna? Ne yazık ki tek bir tık ile virüs yağmuru başlıyordu. Bir kez bulaştığında, Koobface solucanı, Facebook, Skype, Yahoo! Messenger ve Gmail gibi bir bilgisayarda bulabildiği tüm giriş bilgilerini çalıyordu. Solucan aynı zamanda bilgisayarınızı hizmet aksatma saldırılarına katılmaya zorluyor ve güvenilmez internet sitelerine bağlanmanıza sebep olacak şekilde web arama sonuçlarını düzenleyebiliyordu. Kötü amaçlı yazılım,St. Petersburg, Rusya’dan bir hacker grubu tarafından tasarlanıp geliştirilmişti.²⁴ Tüm dünyaya yayılan saldırıdan sorumlu suçlular birer birer belirlenip isimleri duyurulmasına rağmen, Rus yetkililer bu suçları dolayısıyla vatandaşlarım yargılamayı reddetmişti.

Elbette günümüzde sosyal medya saldırı araçlarını kullanmak da gelişen tüm teknolojilerle birlikte oldukça kolay bir hal aldı. Bilgi çalmak için artık usta bir hacker olmanıza gerek yok. Örneğin, herhangi birinin rahatlıkla indirip kurabileceği Firefox eklentisi Firesheep, aynı ağdan Facebooka bağlanan kişilerin hesaplarını ele geçirip çalabiliyor. Bu eklenti ile, örneğin bir Starbucks’ta onlarca diğer insanla birlikte aynı ağa bağlandığınızda, o insanlardan biri Firesheep kullanıyorsa, saldırgan eklentiyi kullanarak sizin hesap bilgilerinizle Facebook’a giriş yapabiliyor.²⁵ Bu kadar kolay. Bir kez giriş yaptığında ise hırsız tüm kişisel bilgilerinize erişebiliyor, hesap ayarlarınızı değiştirebiliyor ve duvarınıza istediğini yazıp, arkadaşlarınıza istediği mesajı gönderebiliyor. Bu şaka gibi kolay tekniğe kimi zaman oturum hırsızlığı denirken, yeraltı dünyasında bu “sidejacking” olarak da adlandırılıyor.

Saldırganlar, bunların dışında üçüncü şahıs uygulamalar ve onli­ne oyunlar üzerinden sosyal medya sitelerindeki kullanıcıları hedef alırken, banka hesaplarınıza yönelik düzenlenen saldırılar ile kredi­niz mahvolabiliyor. Maryland, Baltimore da yaşayan Lisa Lockvvood da, on yedi yaşındaki oğlunun Facebook’taki bir oyun uygulamasına çok fazla bilgi vermesiyle bu dersi zor yoldan öğrendi. Oyun, genç çocuğa sosyal güvenlik numarasını da talep eden bir anket ile ekstra oyun puanı vaat ediyordu. Doğal olarak, “seviye yükselmek” için kendisine sunulan bu inanılmaz fırsatı kabul eden çocuk tüm an­keti doldurdu. Sosyal güvenlik numarasının, birkaç gün içerisinde yedi farklı araba kiralama başvurusunda kullanacağından ise hiç haberi yoktu. Yaşadıkları yerdeki bir Subaru-Volkswagen bayisinin annesini arayıp, oğlunun yeni bir araba için kredi başvurusunda bulunduğunu söylemesine kadar olay sürdü.²⁶

Marc Goodman – Geleceğin Suçları,Timaş,syf;125-137

Dipnotlar:

2- Lauren Indvik, “92% of U.S. Toddlers Have Online Presence”, Mashable, 7 Ekim 2010.
3- Allegra Tepper, “How Much Data Is Created Every Minute?” Mashable, 22 Haziran 2012; Kristin Burnham, “Facebook’s WhatsApp Buy: 10 Staggering Stats”, Informa- tionWeek, 21 Şubat 2014.
4- Verlyn Klinkenborg, “Trying to Measure the Amount of Information That Humans Create”, New York Times, 12 Kasım 2003.
5- McKinsey Global Institute, Big Data; The Next Frontier Jor Innovation, Competition, and Productivity, Mayıs 2011; Kevin Kelly’nin “Web 2.0” konferans konuşması, 2011, http://blip.tv/web2expo/web-2-0-expo-sf-2011 -kevin-kelly-4980011.

……..

“Teknolojik gelişim, patolojik bir hastanın eline verilmiş balta gibidir. ”

— Albert Einstein

İnsan ırkı, bulunduğu her yerde internet bağlantısı oluşturmaya doğru bir yola girmişken, hem kendini hem de dünyayı yeniden yazıyor. Bu küresel bağlantı üzerinden de akıl almaz ölçüde iyilik geçiyor. İnsanoğlu, kaynağı ve konumu fark etmeksizin gerçek za­manlı bir şekilde şimdiye kadar kaydedilmiş tüm bilgi ve düşün­celeri biriktiriyor. Fotosentezin kimyasal formülünden Bakudeki anlık hava durumuna, 1901’deki İngiltere kriket finalini kimin kazandığından, Justin Bieber’ın son yaramazlıklarına kadar her şey, kendimizi internet dediğimiz bu küresel beyne bağladığımız an parmaklarımızın ucuna geliyor.

Bununla beraber, insanoğlu nesneler online oldukça kontrolü de ele geçiriyor. Arabanızı park ettikten sonra salondaki televizyonu açabiliyor, evden çıkmadan arabanızı çalıştırıp ısıtabiliyorsunuz. Uç boyutlu yazıcılar yedek otomobil parçalarından kıyafete, oyuncak­tan inşaat malzemesine kadar çok çeşitli ürünün “baskısını” alıyor. Insülin pompaları, kalp atışlarını düzenleyen kalp pilleri ve nakledilebilir kardiyak defibrilatörler artık internete bağlanıp, hayati dijital bilgileri gerçek zamanlı bir şekilde doktorunuza gönderiyor. Doktorlar, uzaktan bağlantılı robot yardımcılar ile kıtalararası ameliyat yapabiliyor, hiç gitmedikleri yerlere şifa götürüyor. Insanoğlu bundan çok da uzak olmayan bir geçmişte hayal dahi edilemeyecek imkânsız şeyleri yaparak, artık gezegenin öbür yanındaki şeyleri kontrol edebiliyor.¹⁶

Bu dönüşümler bariz bir maliyet, verim ve kapasite avantajı sağlamasına rağmen, dünyamıza da muazzam bir karmaşıklık ge­tiriyor. Bu karmaşıklıkları belirlemek için kabataslak bir hesap ile, bir yazılım veya sistemin çalışabilmesi için gereken bilgisayar kod satırlarının (LÖC) sayısını göz önünde bulundurabiliriz, örneğin, 1969’daki Apollo 11 seferinde astronotların dünyadan 356.000 kilometre uzaktaki aya güvenle inip geri gelmesini sağlayan Guidance bilgisayarı, günümüz standartlarında inanılmaz bir başarı olarak kabul edilmesine rağmen, komik derecede düşük bir sayı olan 145.000 satır kod içeriyordu.¹⁷ Uzay mekiklerinin işlevsel hale geldiği 1980 lerin başında ise ana uçuş yazılımı biraz daha büyüyerek 400.000 satır koda ulaşmıştı.¹⁸

Basit bir karşılaştırmayla, bugün Microsoft Office 2013 paketi toplam 45 milyon satır kod ile oluşturuluyor. 50 milyon satır kod ile kendisinden biraz daha büyük olan Avrupa Nükleer Araştırma Örgütü’nün Cemdeki Büyük Hadron Çarpıştırıcısı ile Office 2013 arasındaki fark oldukça küçük. Bugün, ortalama bir modern oto­mobildeki yazılımın çalışması için gereken satır sayısı 100 milyona ulaşırken, ciddi şekilde ağır eleştiriler alan ABD’nin HealthCare. gov internet sitesinin eşi benzeri görülmemiş bir şekilde 500 milyon satıra sahip olduğu söyleniyor.¹⁹ Bu şekilde karşılaştırma yapmak biraz abes kaçacak olsa da, HealthCare.gov sitesinin, Apollo 11 ’i uzaya çıkarıp geri getiren rehber sisteminden otuz beş kat daha karmaşık olduğu söylenebilir. Nitekim, sitenin daha sonrasında çöktüğünü bilmek sizi şaşırtmayacaktır.

Özellikle günlük hayatımızın bir parçası olan arabalar, uçaklar, köprüler, tüneller ve nakledilebilir tıbbi cihazlar gibi fiziksel nes­nelerin bilgisayar kodlarıyla çalışabilir olmasıyla birlikte, bilgisayar yazılımlarının artan karmaşıklığı da küresel güvenliğimiz ile em­niyetimizi bizzat etkiliyor. Fiziksel nesneler, artan bir şekilde bilgi teknolojilerine dönüşüyor. Örneğin arabalar, “İçinde gittiğimiz bilgisayarlar” haline geliyor.²⁰ Kodların sayısı ve karmaşıklığı bu kadar artarken, barındırdığı hatalar ile yazılım bugları da aynı şekilde artıyor. Carnegie Mellon Üniversitesinin yaptığı bir ça­lışmaya göre, sıradan bir ticari yazılımın her bin kodunda yirmi ila otuz arasında bug bulunuyor.²¹ Bu da, elli milyon kodluk bir yazılımda, hackerların faydalanabileceği 1 milyon ila 1,5 milyon arasında açık olduğu anlamına geliyor. Bilgisayarlara yapmaması gereken bir şeyi yaptıran kötü amaçlı yazılım saldırılarının ilk he­defi, her zaman o açıklar oluyor. Yani bilgisayar kodları gelişip daha sofistike bir hal aldıkça, yazılım bug’larının sayısı artıyor ve genel anlamda toplum adına önemli sonuçlar doğuracak şekilde dijital güvenliğimiz eksik kalıyor.

Kötüler tarafından istifade edilmiyor olsa bile, artan sistem karmaşıklıkları, önemli güvenlik risklerini beraberinde getiriyor. Örneğin, Kanada ve Amerika’da elli beş milyon insanı günlerce karanlıkta bırakan 2003 Kuzeydoğu elektrik kesintisini ele alalım. Labirent gibi bir elektrik şebekesi, bir operatör hatası ve bir yazılım bug’ı bir araya geldi ve Kuzey Amerika tarihinin en büyük elektrik kesintisi yaşandı.²² Bilgisayar hataları, 2010 senesinde on bir işçinin ölümüne yol açan ve Meksika Körfezi ne sızan 4,9 milyon varil petrol ile Amerika tarihindeki en büyük çevre faciasına sebep olan Deepwater Horizon felaketinde de önemli bir rol oynadı.²³ Açılan kamu davasında ifade veren Deepwater Horizon petrol kulesinin elektronik teknisyen müdürü Michael Williams, sondaj monitör ve kontrol sistemlerinin yazılım hataları sebebiyle sürekli arızalan­dığını itiraf etti.²⁴ Kulenin batmasına sebep olan patlamadan önce ise kule bilgisayarında “ölümün mavi ekranı”nı gördüğünü belirtti.

2003 Kuzeydoğu elektrik kesintisi ile Deepwater Horizon fe­laketi tamamen kazara meydana gelmiş olmasına rağmen, bilgi­sayar sistemlerinin arızalanması neticesinde ne kadar büyük zarar görülebileceğine dair oldukça değerli bilgiler sağladı. Bir bilgisayar sisteminin kazara mı yoksa suç gerekçesiyle mi çöktüğü ise yalnızca niyet meselesi. Modern bilgisayar kodlarındaki inanılmaz boyutlara ulaşan bug sayısı düşünüldüğünde, kötü niyetli birileri harekete geçtiğinde karşımıza ne çıkacak? Dünyayı kurtarıp küreselleşmenin kapılarını açabilecek teknoloji; radikaller, suçlular, teröristler ve hükümetler tarafından aynı dünyanın yok olması için kullanılabilir.

Ne yazık ki bir siber silah dünyaya bırakıldığında, bir daha ölmez; sadece başka bir amaca uygun hale getirilebilir. Hedeflerine ulaştığı zaman milyonlarca parçaya ayrılan geleneksel bombaların aksine, silahlaştırılmış kötü amaçlı yazılımlar tekrar tekrar kulla­nılabilir. Askeri yetkililer ile istihbarat görevlileri, belirli bir silahın geliştirilmesini saklamak adına milyonlarca dolar harcayadursun, bilgisayar kodları rahatlıkla kopyalanabilir. Bir kez salındığında ise hacktivistler, suç örgütleri ve teröristler o kodları kendi amaçlan doğrultusunda kullanarak yeni siber silah türlerinin yaygınlaşma­sına olanak sağlar.

Kötü amaçlı yazılımları, karşı tarafa gönderildikten sonra bize yeniden fırlatılabilen bir molotofkokteyli olarak düşünebilirsiniz. Suç örgütleri ile kötü niyetli hükümetlerin ilk etapta kendilerine karşı kullanılan kod tasarımlarını kopyalayarak kendi saldırıları için kullandığına daha önce tanık olduk.²⁵ Bilgisayar kodları silahlaştırılmaya devam ettikçe, buna benzer saldırılar da sıklaşacak ve daha sofistike bir hal alacaktır.

Her ne kadar rahatsız edici bir gerçek olsa da, şu ana kadar geliştirilmiş hiçbir bilgisayar sisteminin hacklenemez olduğu söy­lenemiyor. İletişimden ulaşıma, hizmetten sağlık sektörüne kadar birçok alanda bu makinelere olan bağlılığımız düşünüldüğünde, gayet ayıltıcı bir gerçek karşımıza çıkıyor. Mat Honan’ı bu denli savunmasız bırakan parolalar ve sistem kontrollerinin hava cıva olması bir yana, dünyayı yönettiğimiz yazılımlar da bir o kadar saçma. Yani kısaca; her şey bağlantılı olduğunda, herkes savunmasız hale geliyor.

Moore Yasası’nın gücü, sadece teknolojinin olumlu yanlarına değil, olumsuz yanlarına da etki ediyor. Moore Yasası, “Moore Suçlularını doğurduğunda, hackerlar, teröristler, hacktivistler ve devletler, teknolojiyi diledikleri gibi suistimal edebiliyor. Hızla gelişen teknoloji odaklı medeniyetimizden istediklerini zorla elde etmek için çok çeşitli sistem karmaşalarını çözüp, kötü kodlanmış yazılımlardan nasıl faydalanacaklarını iyi biliyorlar. Tüm nesnelerin bilgisayara dönüştüğü ve tüm bilgisayarların da kodlarla çalışma­sıyla birlikte, bu güç sahibi yeni kötüler, koda hâkim olduklarında, dünyaya da hâkim olabileceklerini gayet iyi biliyor.

Ancak endişelenmemizi gerektiren tek aktör suçlular ile sert hükümetler değil. Çoğu zaman güvenliğimiz, engellerimiz ve eğ­lencemiz için bel bağladığımız şirketler ve organizasyonlar da bizi savunmasız bırakıyor. Çünkü onlar, hayatımızı çalıştıran kodları kontrol ediyor.

Marc Goodman – Geleceğin Suçları,Timaş,syf;63-67

Dipnotlar:

16-Jacques Marescaux ve çalışma arkadaşları, “Transatlantic Robot-Assisted Telesurgery* Nature, 29 Mayıs 2001.

17-Phil Johnson, “Curiosity About Lines of Code” IT World, 8 Ağustos 2012; Saran, “Apollo 11.”

18-Steven Siceloff, “Shuttle Computers Navigate Record of Reliability”, NASA, 20 Ocak 2011.

19-David McCandless, “Codebases”, Information Is Beautiful, 30 Ekim 2013; “KIB—Lines of Code (Public)”, Google.doc, https://docs.google.com/; Pollwatcher, “Healthcare, gov: 500 Million Lines of Code! Thats İnsane! Update”, Daily Kos, 22 Ekim 2013.

20-Cory Doctorow, “Lockdown”, Aralık 2011.

21-Michelle Delio, ”Linux, Fewer Bugs Than Rivals”, Wtred, 14 Aralık 2004.

22-“Northeast Blackout of 2003”, Wikipedia.

23-National Commission on the BP Deepvvater Horizon Oil Spill and Offshore Drilling, “Deep Water: The Gulf Oil Disaster and the Future of Offshore Drilling”, Report to the President, Ocak 2011; “Deepwater Horizon Explosion”, Wikipedia; Jeremy Repanich, “The Deepwater Horizon Spill by the Numbers”, Popular Mechanics, 10 Ağustos 2010.

24-Gregg Keizer, “Tech Worker Testifies of‘Blue Screen Death’ on Oil Rig’s Computer”, Computerworld, 23 Temmuz 2010; David Hammer, “Oil Spill Hearings: Bypassed General Alarm Doomed Workers in Drilling Area, Technician Testifies”, Times- Picayune, 23 Temmuz 2010.

25-Tom Simonite, “Stuxnet Tricks Copied by Computer Criminals”, MIT Technology Review, 19 Eylül 2012.

‘Bilgisayar sistemlerinin büyük çoğunluğunun ne kadar kolay ve ne kadar hızlı bir şekilde hacklenebileceğini gördük. Mat Hona’nın yaşadığı deneyim, dijital hayatlarımızın birkaç saniye içerisinde nasıl yok olabileceğini kanıtladı. T. J. Maxx ve Citibank, binlerce kilometre ötedeki suçluların, gözlerine kestirmeleri halinde neler yapabileceğini yaşayarak öğrenmek zorunda kaldı. Tüm bu bariz tehlikelere bakınca, insan fişe takılan ve bataryayla çalışan her şeyi küresel bilgi şebekesine eklemeden önce biraz ihtiyatlı bir yakla­şım sergiler diye düşünüyor. Ancak hepimiz, teknolojik her şeye duyduğumuz aşk ile arkamıza bile bakmadan tam gaz yola devam ediyoruz.

Bunun sonucunda ise bilgisayar sistemlerine günbegün daha da fazla bağlanmaya başlıyoruz. Nitekim bu bağlantılar da tamamen emniyetsiz ve açıklarla dolu. Yani 21. yüzyıl bilgi toplumunun, aslında çok zayıf bir temeli bulunuyor. Ancak o temelin üzerine de bir yandan durmaksızın ağır yükler bindiriyoruz. Kişisel ve iş bilgisayarlarımızın internet ağlarıyla sarılmış olması bir yana, mo­dern toplumlarımızın bel bağladığı önemli altyapılar da internete güveniyor. Elektrik şebekeleri, gaz boru hatları, acil durum nu­maraları, hava trafik kontrolleri, borsalar, içme suyumuz, sokak lambaları, hastaneler ve sıhhi tesisatlar, internet ile yeni teknolojiler olmadan işlem göremiyor. Bu yeni cesur dünyada, süreçten insa­noğlunu çıkarıp, uygarlığımızın bel kemiğini makinelere teslim etmiş durumdayız.

Kredi kartı POS’ları ve ATM’ler, ağlarını işletecek bilgisayarlar ile birlikte dünyada ticaretin akmasını ve kapitalizmin devamlılığını sağlıyor. Güç şebekelerinin stabil çalıştığından emin olmak için elektriğin nasıl, nereye ve ne zaman yönlendirileceğine bilgisayar­lar karar veriyor. Bilgisayar destekli acil durum hizmetleri, polis arabalarını, ambulansları ve itfaiyeleri takip ederek acil durumun yaşandığı yere en yakın birimleri sevk etmek için hazırda bekliyor.

Yaşadığımız distopik dünyanın, bilgisayarlar ve elektrik olma­dan nasıl görüneceğine küçük bir bakış atmak için, televizyonu açıp tekno-mahşer-zombi istilası benzeri bir şey anlatan The Walking Dead gibi dizileri veya Maymunlar Gezegeni ve Zor ölüm 4 gibi filmleri izleyebilirsiniz. Hollywood’un entrikaları bir tarafta dursun, bilgisayar destekli en önemli bilgi altyapılarımız durmaksızın saldırı alıyor ve sistem arızalarına açık bir şekilde işliyor.

Dünyanın en önemli altyapılarının büyük bölümü, veri taban­lı kontrol ve gözedeme sistemi (SCADA) ile çalışıyor. SCADA sistemleri, “sensörler tarafından elde edilen dijital geri bildirim verilerine dayanarak, çeşitli anahtar ve makas değişimleri ile üre­timin otomatik olarak gözlenip ayarlanmasını ve diğer kontrol işlemlerini”³ gerçekleştiriyor. Trenlerin raylardaki gidişinden, bir şehrin tüm elektriğinin dağıtılmasına kadar her şeyi gerçekleştiren fiziksel ekipmanların kontrolünü sağlayan bu özelleştirilmiş bilgi­sayar sistemleri, çoğunlukla eski teknolojilere dayanıyor. SCADA sistemleri, artan bir hızla internete bağlanmaya devam ediyor ve güvenliğimiz açısından önemli tehlikeler oluşturuyor. Ne yazık ki, bu sistemler tasarlanırken ne güvenlik önlemleri ne de internet bağlantılı bir dünyaya karşı dayanıklılık göz önünde tutulmuş. Sıkıntı ise tahmin edebileceğinizden bile daha büyük: Temmuz 2014’te farklı iş kollarında hizmet veren önemli altyapı şirketleri üzerinde yapılan bir araştırmaya göre, önceki on iki aylık süreçte şirketlerin yüzde 70 kadarı en az bir güvenlik ihlaliyle karşılaşarak gizli bilgilerinden olmuş veya işlemlerin kesilmesine yol açan sal­dırılara maruz kalmış.⁴

Peki bir hacker, bu sistemlere erişim sağlayarak ne yapabilir? örneğin, yerel su arıtma tesisini idare eden karmaşık bilgi teknoloji sistemini ele alalım. SCADA sistemi, devamlı olarak suyumuzu temizleyip içilebilir hale getirmek için gereken kimyasalların uygun karışımlarını hesaplayıp devreye alıyor. Bu sistemin hacklenmesi durumunda ne olur? Kimyasallar yanlış oranda katılırsa, arıtıl­ması gereken suyumuz zehirli bir hal alabilir mi? Biraz uçuk bir senaryoymuş gibi görünüyor olabilir, ancak 2011 ’den bir BBC haberine göre, hackerlar Teksas, Güney Houston bölgesindeki Su ve Kanalizasyon Birimi’ne yönelik bir saldırı gerçekleştirdi.⁵ Saldı­rının kaynağı, IP adresleri üzerinden Rusya’ya uzanırken, saldırıya karışan hackerların bir pompayı art arda açıp kapatarak sistemin çökmesine sebep olduğu belirtiliyor. Saldırı sonucunda hiç kim­seye bir zarar gelmemesine karşın, bahsettiğimiz şeyin kolaylıkla kanıtlandığı görülüyor.

Peki başka hangi altyapı sistemleri hacklenebilir? Görünü­şe bakılırsa, hackerların herhangi bir sınırı yok. Massachusetts, Worcester’daki Federal Havacılık İdaresi’nin kontrol kulesi 1998’de bunu acı bir şekilde öğrendi. Bölgede yaşayan bir genç, bilgisayar bilgisini kullanarak havalimanına yaklaşan bir uçak ile kule ara­sındaki iletişimi keserken, uçağın iniş yapacağı pistteki ışıkları bile söndürdü.⁶ Bu kazada da kimse hayatını kaybetmezken, felaketin olası boyutları hatırı sayılır ölçüde büyüktü. Elbette, zaman için­de dünyanın farklı bölgelerinde önemli bilgi altyapılarına yönelik çok daha fazla saldırı gerçekleştirildi. İlk Örneklerden bir diğeri, Avustralya Queensland’deki Maroochy Shire’da yaşandı. 2001’de bir hacker, bölgenin kanalizasyon arıtma tesisine saldırdı. Tesisin endüstriyel kontrol sistemlerinin idaresini eline geçiren saldırgan, “milyonlarca litre saf kanalizasyon suyunu yerel parklara, nehirlere ve hatta bir Hyatt Regency otelinin bahçesine boşalttı.”⁷ Saldı­rı sonucunda bölgedeki deniz yaşamı ve doğal bitki örtüsü ciddi zarara uğrarken, bölge sakinlerinin karşılaştığı sağlık tehditleri de cabasıydı.

Saldırılara karşı en hassas ve en önemli sistemlerimizden biri ise elektrik şebekesi. Elektrik olmadan, modern dünyamızın tüm güzelliklerinden de mahrum kalırız: Işıklar yanmaz, asansörler kalk­maz, ATM’ler çalışmaz, trafik lambaları, metrolar, garaj kapıları, buzdolapları ve benzinlik pompaları işlev göremez. Yedek bataryalar ile acil durum jeneratörleri de nihayet boşaldığında, cep telefonu ile internet de hayatımızdan çıkar. Geçici hayatlarımızın merkezin­deki teknolojik altyapının en hayati öğesi olan elektriğe bu kadar bağlı olmamıza rağmen, eski ABD Savunma Bakanı Leon Panetta, “Karşılaşacağımız bir sonraki Pearl Harbor, güç sistemlerimiz ile elektrik şebekemizi bozacak bir siber saldırı olabilir,” diyordu.⁸

Panetta’nın endişeleri ise ABD Enerji Bakanlığı’nın yayımladığı bir rapor ile iyice doğrulanmış görünüyor. Raporda, dünyanın en karmaşık makinesi olarak bilinen Amerika enerji şebekesinin, elli sekiz bin ayrı elektrik santralini bağlayıp 600.000 kilometreden uzun yüksek voltajlı iletim hattına sahip olduğu belirtiliyor. Buna rağmen, şebekenin en önemli parçalarından yüzde 70 kadarı en az yirmi beş yaşında.⁹ Yine bu parçaların her biri, rahat bir şekilde saldırı alabilen ve doğal olarak sürekli hedef alman çok eski SCADA teknolojilerini kullanıyor.

Enerji ve Ticaret Komitesi’nin yaptığı bir araştırmaya göre, Amerikada onlarca kamu hizmeti veren kuruluş, “günlük”, “sürekli” veya “sık sık” siber saldırılara maruz kaldığını belirtiyor. Saldırılar yemleme, virüs bulaştırma veya yoklama taarruzu şeklinde vuku buluyor. Hatta kuruluşlardan birinin, her ay 10.000den fazla siber saldırıyla mücadele ettiğini belirten rapor; yabancı hükümetlerin, suçluların veya canı sıkılan hackerların, bir şebekeyi işlevsiz hale getirmek için ya uğraştığı ya da planladığını vurgulayarak son buluyor.¹⁰ İstihbarat yetkililerinin Wall Street Journal^’ a yaptığı, siher casusların ABD deki elektrik şebekelerine girip daha sonra sistemi kullanışsız hale getirecek yazılım parçaları bıraktığı” yönündeki açıklamalar ile bu bulgular birleştiğinde ise durum daha da vahim bir hal alıyor. Aynı yetkililer, Rus ve Çinli casusların, Amerika’daki elektrik şebekesinin tüm haritasını çıkardığını ve kriz veya savaş durumlarında ABD’deki tüm elektrik ağının “kapatılabileceğini” bile söylüyor.¹¹

Amerika’daki kilit altyapı sistemleri, teröristlerin de radarından kaçmamış durumda. 2012 yazında, El-Kaide’nin As-Sahab medya kolu tarafından hazırlanan bir video, FBI tarafından keşfedildi. Videoda, terör örgütü, saklanmakta olan militanlarına elektrik şebekesi de dahil olmak üzere ABD’deki çeşitli kamu hizmeti alt­yapılarına siber saldırılar düzenleme çağrısı yapıyordu.¹² Daha eski FBI soruşturmaları neticesinde de, El-Kaide’nin Amerika’daki acil telefon sistemleri, elektrik üretim santralleri, su dağıtım tesisleri, nükleer güç santralleri ve gaz depolama ağları gibi hedefler üzerinde online araştırma ve gözetleme yaptığı öğrenilmişti.¹³

Terör örgütü ayrıca saldırılması muhtemel altyapılar üzerinde detaylı hedefleme paketleri hazırlamış; hedeflerin yakın çekim fo­toğrafları, ayrıntılı notlar ve online araştırma sonuçları da paket­lerde yer almıştı.

Bir taraftan hackerlar da SCADA ile diğer önemli bilgi alt­yapılarındaki açıklıkları anlamak, yaymak ve kendi çıkarları için kullanmak adına sıkı bir çalışma sergiliyor. Almanya’da her yıl dü­zenlenen yıllık hacker toplantısı Kaos iletişim Kongresi’nde, Positive Research firmasından analistler, gaz, kimyasal, petrol ve enerji sektörlerindeki endüstriyel altyapılardaki kontrolün tam olarak nasıl ele geçirileceğini anlattı.¹⁴ Daha can sıkıcı olanı ise hackerların bu tür bilgileri birbirleriyle paylaşıyor olması. Altyapı sistemlerini ele geçirmek için kullanılabilen ünlü açıkların paylaşıldığı, tama­men aranabilir bir veritabanı bile oluşturmuş durumdalar.

En ünlü hacker veritabanlarından biri olan Shodan, elektrik santrallerinden rüzgâr türbinlerine kadar her şeyin, ülke, şirket veya cihaz bazında aranarak nasıl patlayabileceğine dair ipuçları paylaşırken, ayrıntılı “nasıl yapılır” makaleleri ile kötü niyetli herhangi birinin önemli altyapılara saldırmak için gereken bilgi ve teknik ihtiyacını ciddi ölçüde düşürüyor.¹⁵ Hatta, internete bağlı dünyamızda kontrolü ele geçirmek isteyen herhangi bir saldırgan için, Shodan âdeta bir Google işlevi görüyor. Web sitesi, dünyanın farklı ülkelerinde yer alan sunucularda barındığı ve bu ülkelerde savunma açıklarını ya­yınlamak yasadışı olmadığı için de rahatlıkla erişimde kalabiliyor.

Organize suç örgütleri bunlar dışında çeşitli kamu hizmeti veren kuruluş ve hükümetlerden zorla para almak için de altyapı sistem­lerine yöneliyor. Nitekim 2005 ile 2007 yılları arasında Brezilya’da bu amaçla gerçekleştirilen çeşitli saldırılar meydana geldi.¹⁶ Rio de Janerio’nun kuzeyi ile Espırito Santo eyaletlerinde, bir dizi siber saldırı gerçekleşti. Yerel bir suç örgütünün taleplerini yerine ge­tiremeyen elektrik sağlayıcıları sebebiyle üç milyona yakın insan karanlıkta kaldı. Sonucunda ise dünyanın en büyük demir cevheri üreticilerinden olan Vitöria şehrinde çok sayıda santral devre dışı kaldı ve şirket 7 milyon dolar zarara uğradı. Saldırılar ABD istih­baratı ve güvenlik araştırmacıları tarafından doğrulanırken, Başkan Obama da şöyle bir açıklama yaptı: “Başka ülkelerde, siber saldır­ganların bütün bir şehri elektriksiz bıraktığını gözlemliyoruz.”¹⁷

Marc Goodman – Geleceğin Suçları,Timaş,syf;36-41

Dipnotlar:

3-Mat Honan, “How Apple and Amazon Security Flaws Led to My Epic Hacking”,Wired, 6 Temmuz 2012; Mat Honan, “Kili the Password: Why a String of Characters Can’t Protect Us Anymore”, \Vired, 15 Kasım 2012.

4-Peter Diamandis, “Abundance Is Our Future”, TED Konu‏mas‎, ubat 2012.

5-Deloitte Consulting, Sub-Soharan Ajrica Mobile Observatory 2012, 4 ubat 2014.

6- Marc Goodman, “The Power of Moores Law in a World of Geotechnology”, National Interest, Ocak-ubat 2013.

7-Amv Harmon, “Hacking Theft of S10 Million from Citibank Revealed” Los Angeles Times, 19 Aנustos 1995.

8-jason Kersten, “Going Viral: How Two Pakistani Brothers Created the First PC Virus”, Mentol Floss, Kas‎m 2013.

9-Amjad ve Basit Farooq ile bilgisayar virsleri tarihine olaנanst ve eğlenceli bir bak‎‏ aח‎s‎ iחin bkz. Mikko Hypponen, “Fighting V‎ruses and Defending the Net”, TED Konu‏mas‎, Temmuz 2011.

10- Byron Acohido, “Malware Now Spreads Mostly Through Tainted Websites”, USA Today, 4 May‎s 2013.

11-Brian Fung, “911 for the Texting Generation Is Here”, Washington Post, 8 Aנustos 2014.

12-Nicole Perlroth, “Outmaneuvered at Their Own Game, Antivirus Makers Struggle to Adapt”, New York Times, 31 Aral‎k 2012.

13-Kaspersky Lab, Global Corporate T Security Risks: 2013, May‎s 2013.

14-“Online Exposure”, Consumer Reports, Haziran 2011.

15-“Gartner Says Worldwide Security Software Market Grew 7.9 Percent in 2012″, Gart- ner Newsroom, 30 May‎s 2013; Steve Johnson, “Cybersecurity Business Booming in Silicon Valley”, San Jose Mercury News, 13 Eyll 2013.

16- Imperva, Hacker Intelligence Initiative, Monthly Trend Report #14, Aral‎k 2012.

17-Tom Simonite, “The Antivirus Era Is ײver”, MIT Technology Review, 11 Haziran 2012.