Bunu hayatınızdaki insanlara gönderin. İnterneti kullanan herkesin —yani aslında herkesin— neler olup bittiğini ve kendini korumak için ne yapabileceğini bilmesi gerekiyor.
Tam şu an, siz bunları okurken, muhtemelen bir sürü yapay zekâ ajanı kullandığınız web sitelerine sızmaya çalışıyor. Sadece biri değil. Birçoğu.
Yılların en büyük siber güvenlik krizinin tam ortasındayız. Bazı güvenlik uzmanları şimdiden buna Kara Ekim adını veriyor bile.
Bunları sizi korkutmak için yazmıyorum. Çoğu şey sizin kontrolünüz dışında. Ama kendinizi korumak için yapabileceğiniz basit şeyler var ve hiçbir şey yapmamaktansa bir şeyler yapmak her zaman daha iyidir.
Bu hafta her saat başı yeni bir saldırı gün yüzüne çıktı. Siz bu yazıyı bitirene kadar muhtemelen bir tane daha ortaya çıkacak.
İşte olan biten ve bu konuda yapmanız gerekenler.
Şu an neler oluyor?
Eğer şimdilik bu kadar bilgi fazla geldiyse, doğrudan ne yapılması gerektiği kısmına atlayabilirsiniz. Ama tamamını okumanızı gerçekten tavsiye ederim.
Dün, web sitelerinin yaklaşık %70'inin altyapısını oluşturan PHP yazılımında ciddi bir açık ortaya çıktı.
Olayı şöyle düşünün: Biri ülkedeki milyonlarca binanın aynı bozuk kilidi kullandığını keşfetti ve artık herkes o kilidi nasıl açacağını biliyor. Kilit üreticisi bir yama yayınladı ama her bina sahibinin bunu kendisinin takması gerekiyor ve çoğu henüz takmadı.
Cloudflare CEO'sunun açıklamasına göre, haber duyulduktan iki saat içinde saldırganlar o kilidi yüz binlerce kez denedi. Şimdi bu sayı milyonlara ulaştı. Amazon, birinin bu açığı duyurulmadan dört gün önce zaten denediğini belirtti ve şirketin güvenlik şefi açığın "artık gerçek dünyada yaygın şekilde istismar edildiğini" söyledi. (Burada alarm veren Amazon, hacklenen Amazon değil.) Şu ana kadar kimse bu açık üzerinden başarılı bir sızma olduğunu doğrulamadı ama saldırganlar her kapıyı zorluyor. Önlem olarak Wikipedia'yı yöneten kuruluş bazı sistemlerini kapattı; Hollanda, Finlandiya, Almanya, Fransa ve diğer ülkelerdeki hükümetler ise web sitelerini çevrimdışına aldı.
Bu sadece tek bir hikâye ve buzdağının yalnızca görünen kısmı. En büyüklerinden birkaçını paylaşıyorum. Hepsini listeleseydim saatlerce okurdunuz.
- Microsoft'un açıklamasına göre, Çin devletiyle bağlantılı bir hacker grubu, BT firmalarının güvendiği bir yedekleme hizmeti aracılığıyla 2.000'den fazla kuruluşa sızmak için yapay zekâ destekli bir hacking aracı kullandı.
- Yaklaşık iki milyon geliştiricinin kullandığı bir bulut platformu, müşterilerin gizli anahtarlarına erişilmiş olabileceğini duyurdu. Bir arkadaşımın hesabından bu sabah bu araçlardan biriyle para çekildi.
- Hindistan'ın en büyük bankası, yaklaşık 3.900 müşterisinin kişisel bilgilerinin dark web'de ifşa edildiğini açıkladı.
- Bir suç çetesi, Latin Amerika genelinde 400'den fazla banka ve finans kuruluşuna saldırmak için yapay zekâ araçları kullandı.
- Hackerlar, büyük bankalar da dahil olmak üzere Güney Kore'deki 16 finans kuruluşuna sızdı.
- Japonya hükümeti, on milyonlarca kişinin verilerini ifşa etmiş olabilecek ihlallerin ardından şirketlere savunmalarını sıkılaştırmalarını söyledi.
- Stop & Shop, Hannaford ve Food Lion'ın web siteleri ile uygulamaları bir haftadan uzun süre çöktü.
- FBI, NSA ve üç kurum daha, yapay zekâ ile yazılmış saldırı kodları kullanan hackerların su, enerji ve üretim tesislerini yöneten sistemleri taradığı konusunda uyardı.
Hükümetler bunun geleceğini görmüştü. Haziran ayında ABD ve en yakın müttefikleri yapay zekâ destekli hack saldırıları hakkında şu uyarıyı yaptı: "Süreç yıllarla değil, aylarla ölçülüyor." Dört ay sonra işte buradayız.
Bu yazının orijinal haline buradan ulaşabilirsiniz.
Bu neden farklı?
Yıllardır hack olaylarını duyuyorsunuz. İşte değişen şey bu.
Her binanın zayıf noktaları vardır: tam kapanmayan bir pencere, ucuz bir kilidi olan arka kapı. Yazılımlar da böyledir. Gizli zayıf noktalarla doludurlar. Onlarca yıl boyunca bunları bulmak nadir bulunan, son derece yetenekli insanlar gerektiriyordu ve bu insanlardan pek yoktu. Korunmamızı sağlayan buydu. İyi kilitler değil. Sadece hırsız kıtlığı.
O kıtlık sona erdi. Üç şey birden gerçekleşti.
Birincisi, yapay zekâ artık zayıf noktaları bulabiliyor. PHP açığı yapay zekâ yardımıyla bulundu ve yapay zekâ araçları yıllarca fark edilmeyen binlerce hatayı gün yüzüne çıkarıyor.
İkincisi, yapay zekâ artık kendi başına içeri sızabiliyor. Yetenekli bir hackera gerek yok. Bir kişi yapay zekâ ajanlarına bir tweetten kısa, 100 Çince karakterden az talimat verdi ve onları büyük ölçüde kendi hallerine bıraktı. Ajanlar, John Deere dahil olmak üzere 100'den fazla şirkete ait web sitelerine, tahmini olarak her sızma başına 50 dolar maliyetle girdi. Uyumuyorlar ya da sıkılmıyorlar. Sadece bir yol bulana kadar denemeye devam ediyorlar.
Üçüncüsü, savunan taraf yetişmeye çalışıyor. Her zayıf noktanın hâlâ düzeltilmesi, test edilmesi ve zaten kapasitesinin sınırında çalışan insanların yönettiği milyonlarca sisteme yüklenmesi gerekiyor. En kritik hatalarda bile bir yamayı yayınlamak ortalama yaklaşık iki hafta sürüyor ve birçok web sitesi hiç güncellenmiyor. Güvenlik firması Cisco, bu yazılımı çalıştıran internete açık sunucuların yaklaşık yarısının resmi yamayı alamayacak kadar eski olduğunu tahmin ediyor.
Bunları bir araya getirdiğinizde, saldırganların sadece bir kez kazanmasının yeterli olduğu bir kedi-fare oyunu elde edersiniz. Saldırganlarla savunanlar arasındaki bu uçurum, önümüzdeki birkaç gün haberlerde izleyeceğiniz şey olacak.
Bu olmaya devam edecek ve daha da kötüleşecek
Bu sadece kötü geçen bir hafta değil. Hepimizin hazırlıklı olması gereken bir dönemin başlangıcı.
Rakamlara bakın yeter. Güvenlik firması CrowdStrike, tespit ettiği ve muhtemelen yapay zekâ ajanlarının rol oynadığı saldırıların Ağustos'ta ikiye katlandığını, Eylül'de tekrar ikiye katlandığını söylüyor. Ve bu hafta bir göstergeyse, hızlanmaya devam ediyor. Yapay zekâ her birkaç ayda bir gelişirken çalıştırma maliyeti de düşüyor. Hackerların bugün kullandığı araçlar, sahip olacakları en kötü araçlar.
Ayrıca bu araçlar artık dışarıda dolaşıyor. Bir yapay zekâ hacking aracının Kore bankalarına yapılan saldırılarla bağlantısı ortaya çıkınca, yaratıcısı aracı herkese açık olarak yayınlamayı durdurdu ve indirme sayfası kaldırıldı. Ama bunun bir önemi olmadı. Daha önce indirmiş olan herkes onu kullanmaya devam edebilir.
Ancak iyi haber şu ki, savunanların da yapay zekâsı var ve zayıf noktaları her zamankinden daha hızlı bulup düzeltiyor. Sonunda yazılımlara sızmak bugünkünden çok daha zor hale gelecek. Ama şu an saldırı savunmanın önünde ve bu durum bir süre daha böyle kalabilir.
Bu sizin için ne anlama geliyor?
Axios'a göre şu anda JPMorgan, Bank of America ve Wells Fargo dahil büyük ABD bankaları, müşteri hesaplarının içinde yetkisiz yapay zekâ ajanları buluyor. Bazılarını müşterilerin kendileri kurmuş ama birçok banka hangilerinin müşteri adına hareket ettiğini, hangilerinin etmediğini ayırt edemiyor. Banka yöneticileri durumu "korkunç" olarak nitelendirdi. Axios herhangi bir para çalındığını bildirmedi.
Ancak bugün çoğu insan için asıl tehlike hâlâ üç şeyden ibaret. Bilgileriniz sızıyor; dolandırıcılar adınızı, doğum tarihinizi, adresinizi ve bankanızı biliyor, bu yüzden aramaları ve mesajları gerçekçi geliyor. Hesaplarınız, yıllar önce bir kez kullandığınız ve her yerde aynı parolayı girdiğiniz bir site üzerinden ele geçiriliyor. Ve bağımlı olduğunuz şeyler —bir uygulama, bir eczane veya bir mağazanın web sitesi— günlerce çöküyor.
Açık olmak gerekirse: Bu süreç devam ediyor ama insanların en çok korktuğu en kötü senaryolar henüz gerçekleşmedi. Umarım hiçbir zaman gerçekleşmez. Ama tedbiri elden bırakmamak pişman olmaktan iyidir, özellikle de bu durum devam edeceği için.
Bugün ne yapmalısınız?
Birincisi, bu fırtına dinene kadar bilmediğiniz sitelere girmeyin. Büyük ve bilinenlerle yetinin: bankanız, Amazon, Google. Küçük sitelerin yama yapmış olma ihtimali en düşük olanlardır ve bunu dışarıdan anlayamazsınız. Önümüzdeki birkaç hafta boyunca tanımadığınız hiçbir şeye parola veya kart numarası girmeyin.
İkincisi, her şeyi güncelleyin: telefonunuzu, bilgisayarınızı, tabletinizi ve web tarayıcınızı. Telefonunuzun veya bilgisayarınızın kendi Ayarlar menüsü bir güncelleme olduğunu söylediğinde onu yükleyin. Kilidiniz budur. Aynı şeyi modeminiz için de yapın; eğer güncelleme almayacak kadar eskiyse değiştirin. Ancak asla bir web sitesindeki açılır pencereden ya da bir SMS veya e-postadaki bağlantıdan gelen "güncellemeyi" yüklemeyin. Bu çok yaygın bir dolandırıcılık yöntemidir. Bunları nasıl yapacağınızdan emin değil misiniz? İşte basit bir adım adım rehber.
Üçüncüsü, kullanmadığınız kapıları kapatın. İhtiyacınız olmayan akıllı cihazların fişini çekin ve kullanmadığınız uygulamaları silin. Bağlı olan her şey, içeri girmek için yeni bir yoldur.
Dördüncüsü, banka hesabınızı koruyun. Eğer biri sizi arar, mesaj atar veya e-posta gönderip parolanızı ya da az önce telefonunuza gelen bir kodu isterse, bu bir dolandırıcılıktır. Her seferinde. O kodlar yalnızca sizin bankanızın kendi uygulamasına veya web sitesine girmeniz içindir. Bankanızla ilgili her aramayı, mesajı veya e-postayı, kendiniz doğrulayana kadar şüpheli kabul edin: verdikleri bağlantılara tıklamayın ve size verdikleri numarayı geri aramayın. Kapatın ve kartınızın arkasındaki numarayı arayın. Gerçekten bankanızsa size yardımcı olabilirler.
Banka kullanıcı adınızı ve parolanızı yalnızca bankanızın kendi uygulamasına veya web sitesine girin. Ne kadar faydalı görünürse görünsün, bir yapay zekâ asistanı veya başka bir uygulama dahil olmak üzere bunları kimseye vermeyin. Chase'in açıklamasına göre bunları kimseyle paylaşmayın. E-postanız ve bankanız için iki adımlı doğrulamayı açın (nasıl yapılacağı burada) ve aynı parolayı her yerde kullanmayı bırakın. Bir parola yöneticisi bunu kolaylaştırır ve iPhone veya Android telefonunuzda zaten yerleşik olarak bulunur.
Ekstra dikkatli olmak istiyorsanız, evde biraz nakit bulundurun; birkaç günlük market alışverişi için yetecek kadar, ayrıca biraz yiyecek ve su. Bu normal bir acil durum setidir ve zaten bulundurmakta fayda var.
Yapmayacağım tek şey paramı bankadan çekmek olur. Panik, tam da dolandırıcıların güvendiği şeydir. Bir banka batarsa bile, FDIC sigortalı bankalardaki mevduatlar kişi başı, banka başı 250.000 dolara kadar korunmaktadır. Bu sigorta, hacklenmiş bir hesaptan çalınan parayı kapsamaz. Ancak federal kurallar, hızlı bildirirseniz yetkisiz transferlerden kaynaklanan kaybınızı genellikle sınırlar; bu yüzden hesaplarınızı sık sık kontrol edin ve tuhaf bir şey görürseniz hemen bankanızı arayın. Sizi kandırarak kendi ellerinizle gönderdiğiniz parayı geri almak çok daha zordur, bu yüzden dolandırıcılık aramaları daha büyük bir tehlikedir.
Önümüzdeki birkaç gün garip geçecek. Daha fazla açıklama gelecek. Umudum çoğu şeyin çalışmaya devam etmesi. Bugün sadece o sıkıcı işleri halledin.
Bunu hemen şimdi hayatınızdaki insanlara gönderin. Anne babanıza, büyükanne ve büyükbabanıza, arkadaşlarınıza, grup sohbetlerinize. İnternete bağlı olan herkesin —ki bu kelimenin tam anlamıyla herkes demek— neler olduğunu bilmesi gerekiyor. Bundan haberdar olma ihtimali en düşük olan kişiler, bundan zarar görme ihtimali en yüksek olanlardır.
Bu yazının orijinal haline buradan ulaşabilirsiniz.
