ConnectWise'a Çin Saldırısı: Yapay Zeka Dakikada 3 Bin Deneme Yaptı

Bir IT yönetim devinin arka kapısından binlerce şirkete sızmak için insan eli neredeyse hiç değmemiş olabilir. Microsoft araştırmacılarının ortaya koyduğu tabloya göre, Çin devletiyle bağlantılı bir hacker grubu ConnectWise'ın bulut yedekleme sistemini ele geçirdi ve bu kapıdan 2.250 kuruma dakikada neredeyse 3.000 giriş denemesiyle saldırdı. Bu hız, insan eliyle değil, ARTEX adlı açık kaynaklı bir yapay zeka çerçevesiyle elde edildi.

Peki ama bir güvenlik ihlali neden 'binlerce şirket' boyutuna bu kadar hızlı ulaşabiliyor? ConnectWise, dünya genelinde küçük ve orta ölçekli şirketlere uzaktan erişim ve yedekleme hizmeti sağlayan bir altyapı sağlayıcısı. Hackerlar tek bir müşteriyi değil, ConnectWise'ın bulut servisiyle müşterileri arasındaki kimlik bilgilerini (credentials) çaldı. Bu bilgilerle, sanki yetkili bir kullanıcıymış gibi müşterilerin Microsoft tabanlı ortamlarına giriş yapıp e-postalara ve dosyalara erişebildiler. Tek bir kırılma noktası, zincirleme bir felakete dönüştü.

Ne Oldu, Nasıl Anlaşıldı?

Microsoft'un güvenlik ekibi, saldırının imzasını ARTEX çerçevesine bağladı — bu yazılımın aynı zamanda Güney Kore'nin finans sistemlerindeki yakın tarihli bir ihlalde de kullanıldığı belirtiliyor. Orada da çok faktörlü kimlik doğrulamanın (MFA) eksikliği saldırganların işini kolaylaştırmıştı. ARTEX, aslında savunma sistemlerini 'stres testine' tabi tutmak için tasarlanmış açık kaynaklı bir araç; yani meşru bir güvenlik testi aracının saldırı silahına dönüştürülmesi söz konusu. Bu da sormamız gereken bir soruyu gündeme getiriyor: açık kaynaklı güvenlik test araçlarının saldırganların eline geçmesini engelleyecek bir mekanizma var mı, yoksa her defasında olaydan sonra mı öğreniyoruz?

ConnectWise'ın yanıtı ise dikkat çekici bir sadelikte: bulut yedekleme sistemine erişimi durdurduk, soruşturuyoruz. Perşembe günü itibarıyla servisi 'geri yüklemeye çalıştıklarını' söylediler. Peki ama ihlal ne zaman başladı, kaç şirketin verisi gerçekten dışarı sızdı, hangi sektörler hedef alındı? Şirketin kamuoyuyla paylaştığı bilgi, Microsoft'un araştırma notlarının çok gerisinde kalıyor. Bir altyapı sağlayıcısının, müşterilerinin güvenliğini doğrudan etkileyen bir olayda bu kadar az ayrıntı paylaşması, şeffaflık tartışmasını yeniden açıyor.

Bu Ne Anlama Geliyor?

Burada asıl kırılma noktası, saldırının 'hızı'. Geleneksel bir sızma denemesinde güvenlik ekipleri anormal giriş trafiğini saatler, belki günler içinde fark edip müdahale edebilir. Ama dakikada 3.000 deneme yapabilen bir yapay zeka ajanı karşısında bu pencere neredeyse kapanıyor. Daha önce Microsoft'un kendi güvenlik ekiplerinin yapay zeka ajanlarını 'içeriden tehdit' olarak tanımladığı uyarıyı hatırlayınca, burada tablo daha da netleşiyor: artık tehdit sadece dışarıdan gelen insan saldırganlar değil, otomatikleşmiş, ölçeklenebilir ajan sistemleri. John Deere ve SharkNinja'ya yönelik benzer bir saldırı dalgasında da görmüştük: yapay zeka destekli saldırganlar artık tedarik zincirinin en zayıf halkasını — burada bir IT sağlayıcısını — hedef alarak onlarca, yüzlerce müşteriye aynı anda ulaşabiliyor.

Microsoft'un yayımladığı tehdit istihbaratı notları, kurumsal müşterilere somut bir uyarı niteliği taşıyor; dilerseniz Microsoft Security blogundan güncel tehdit analizlerini takip edebilirsiniz.

Türkiye'ye Etkisi

Türkiye'de ConnectWise'ın doğrudan büyük bir müşteri tabanı olmasa da, benzer uzaktan erişim ve yedekleme hizmetlerini kullanan yerli IT şirketleri ve MSP'ler (yönetilen hizmet sağlayıcılar) için tablo aynı: tedarik zincirindeki tek bir sağlayıcının kimlik bilgisi sızıntısı, onlarca müşteri şirketin verisini riske atabiliyor. Çok faktörlü kimlik doğrulamanın hâlâ zorunlu olmadığı kurumsal ortamlarda bu tür saldırıların hızı, Türkiye'deki şirketler için de bir uyarı niteliği taşıyor. Peki yerli IT sağlayıcıları, benzer bir yapay zeka destekli saldırı dalgasına karşı ne kadar hazır — bu sorunun cevabını büyük ihtimalle bir sonraki ihlal haberinde öğreneceğiz.