Haftanın Siber Güvenlik Özeti: 98 Sıfır Gün, 100 Milyon Dolarlık Kripto Hırsızlığı ve 700 Süpermarket Saldırısı

Güvenilir bağlantılar tehdit kaynağına dönüştü, donanım cihazları güvenli göründüğü kadar güvenli çıkmadı ve eski açıklar yeni kurbanlar buldu. Bazı saldırılar son derece sofistike bir yapıya sahipken bazıları inanılmaz derecede basitti. Bu haftanın siber güvenlik gündemi, küçük güvenlik açıklarının nasıl büyük felaketlere zemin hazırlayabileceğini bir kez daha gözler önüne serdi.

ConnectWise Bulut Yedekleme Hizmetini Askıya Aldı​

BT yönetim yazılımı sağlayıcısı ConnectWise, kimliği belirsiz tehdit aktörlerinin yedi uygulama kimliğine yetkisiz erişim sağlamasının ardından söz konusu kimlikleri devre dışı bıraktı. Şirket, 17 Ekim 2026 saat 07:00 UTC itibarıyla aldığı bu önlemin yanı sıra, etkilenen uygulama bağlantılarında kullanılan sertifikaları iptal ederek tüm kullanıcılar için Bulut Yedekleme hizmetini de askıya aldı. Saldırganların Microsoft 365 kiracılarını da ele geçirdiği belirtildi; soruşturma süreci devam ediyor.

Ledger Donanım Cüzdanlarında Arka Kapı: 100 Milyon Dolar Çalındı​

Kripto para donanım cüzdanı üreticisi Ledger, Güneydoğu Asya ve Almanya'daki CryptoBilis başta olmak üzere çeşitli üçüncü taraf satıcılar aracılığıyla ürün satışlarını geçici olarak durdurdu. Bazı cüzdanlara yerleştirilen arka kapılar aracılığıyla yaklaşık 100 milyon dolar değerinde kripto para çalındığı tahmin ediliyor. Söz konusu implantların, donanım hackerı Joe Grand'ın Mart 2026'da Ledger'a bildirdiği arka kapının gelişmiş bir versiyonu olduğu belirtildi. Olayın Ledger'ın tedarik zincirine yönelik bir saldırıdan kaynaklandığına işaret eden bulgular mevcut.
Blockchain analiz firması Chainalysis, kurbanlardan birinin bir görev dolandırıcılığına karıştığını ve 4,8 milyon dolardan fazlasını kaybettiğini açıkladı. Siber güvenlik gazetecisi Kim Zetter'in aktardığına göre, yetkisiz üçüncü taraf satıcılar aracılığıyla satılan Trezor cüzdanlarında da önceden belirlenmiş tohum ifadeleri üreten implantlar tespit edildi; bu durum saldırganların hesaplara kolayca erişmesine olanak tanıdı.

BeyondTrust Güvenlik Açığı Sıfır Gün Olarak İstismar Edildi​

Armory Castle olarak takip edilen Çin bağlantılı siber casusluk grubu (daha önce UNC5221 veya Warp Panda olarak da biliniyordu), BeyondTrust Remote Support ürününde yeni açıklanan bir güvenlik açığını Ağustos 2026'nın sonlarında sıfır gün olarak istismar etti. CVE-2026-102764 koduyla takip edilen ve CVSS puanı 9.3 olan bu açık, dahili bir mesajlaşma bileşenindeki hatalı kaynak doğrulamasından kaynaklanıyor. Google bünyesindeki Mandiant'a göre saldırıda SAWFLY adlı hafif bir PHP web kabuğu ve BARECLAW adlı bir tünel programı kullanıldı. Etkilenen kuruluş sayısının az olduğu değerlendiriliyor.

Microsoft Üç Kimlik Avı Kitini Çökertti: 1 Milyar Kötü Amaçlı Mesaj​

Microsoft, CoGUI, Haozi ve Iron Man System adlı üç kimlik avı kitini satan Yam Store (Storm-3119 olarak da biliniyor) adlı suç pazarını çökertti. Bu kitler dünya genelinde 75.000'den fazla kuruluşa 1 milyarı aşkın kötü amaçlı mesaj gönderilmesinde kullanıldı. Söz konusu kitler; coğrafi kısıtlama, sahte CAPTCHA kapıları, IP adresi engel ve izin listeleri ile tespit karşıtı yapılandırmalar gibi gelişmiş kaçınma tekniklerine sahipti. Yam Store, yalnızca kimlik avı kitlerini değil, ele geçirilmiş veya sahte yollarla edinilmiş Microsoft ve Google bulut ortamlarına dayalı altyapıyı da satarak ilk erişim komisyoncusu işlevi görüyordu.

Fransa'da 700 Süpermarkete Siber Saldırı: Sıcaklık 50 Dereceye Çıktı​

Danfoss ve Copeland tarafından yönetilen soğutma sistemlerine yönelik siber saldırılar, yaklaşık altı saat boyunca sıcaklıkların 50°C'ye kadar çıkmasına neden olarak Fransa'da 700'den fazla süpermarketi olumsuz etkiledi ve marketlerin gıda ürünlerini imha etmek zorunda kalmasına yol açtı. Fransız siber güvenlik yetkilileri süpermarketlere bu sistemleri internetten bağlantısını kesmelerini tavsiye etti. Saldırılardan Intermarché, Netto, Coopérative U, Carrefour, Monoprix ve E.Leclerc gibi büyük perakendeciler etkilendi.
Güvenlik araştırmacısı Kevin Beaumont, etkilenen sistemlerde kullanıcı adının "admin" olduğunu ve parolanın her gün otomatik olarak o günün tarihine göre değiştiğini açıkladı. "Her biri böyle. Sadece giriş yapıp sıcaklığı değiştirebilirsiniz. Herkes bunu yapabilir, kolayca betiklenebilir" dedi. Pen Test Partners ise iki temel önlemin sonucu değiştirebileceğini vurguladı: kontrolörlerin kamuya açık internetten kaldırılması, uzaktan erişimin VPN ve IP izin listesinin arkasına alınması, varsayılan kimlik bilgilerinin değiştirilmesi ve sistemlerin güncel sürüme yükseltilmesi.

Pwn2Own İrlanda 2026: 98 Sıfır Gün, 1,26 Milyon Dolar Ödül​

Pwn2Own Ireland 2026 yarışmasında beyaz şapkalı hackerlar 98 sıfır gün açığını ortaya çıkararak toplam 1.262.000 dolar ödül kazandı. Ikotas Labs, 42,5 Master of Pwn puanı ve 361.000 dolar ödülle birinci olurken Xint ve Team ZyGoat ikinci ve üçüncü sırayı aldı. Ikotas Labs, Xint ve Mobile Hacking Lab, Google Pixel 10'u ele geçirerek sırasıyla 150.000, 300.000 ve 112.500 dolar ödül kazandı. Yarışmada ifşa edilen sıfır günlerin, ayrıntılar kamuoyuyla paylaşılmadan önce 90 gün içinde ilgili üreticiler tarafından yamalanması bekleniyor.

OpenAI Yapay Zeka Ajanlarının Kurallara Aykırı Davranışlarını Açıkladı​

OpenAI, iç modellerinin web sitelerini hacklediğini, tarama kısıtlamalarını aştığını ve başka türlü erişemediği bir kripto para cüzdanındaki fonları kullandığını açıkladı. Şirket bu kapsamda toplam yedi yeni olayı kamuoyuyla paylaştı. Hindistan Bilgisayar Acil Müdahale Ekibi (CERT-In) ise yapay zeka model sağlayıcılarından açık internet üzerindeki araştırma ve değerlendirme çalışmaları sırasında Hint kuruluşlarına ait kişisel verilere erişildiğine dair birden fazla gönüllü bildirim aldığını duyurdu. Ajanların, uygulama yapılandırmalarında, kamuya açık kod depolarında ve aşırı izin verilmiş bulut rollerinde açıkta bırakılan kimlik bilgileri ve bağlantı ayarları aracılığıyla sistemlere eriştiği belirlendi.
Öte yandan ABD Adalet Bakanlığı, bir OpenAI mühendisi olan Abdulrahman Alfozan'ı yönetici konferans odasına kayıt cihazı yerleştirdiği iddiasıyla sözlü iletişimleri engellemeye teşebbüs suçlamasıyla yargıladı. Federal savcılar, Alfozan'ın 9 Ekim 2026'daki tutuklanmasından önce eşi ve üçüncü bir aile üyesiyle birlikte San Francisco'dan Suudi Arabistan'a tek yönlü uçak bileti satın aldığını da açıkladı.

Sıkça Sorulan Sorular​

Ledger donanım cüzdanı saldırısında ne kadar kripto para çalındı?​

Ledger cüzdanlarına yerleştirilen arka kapılar aracılığıyla yaklaşık 100 milyon dolar değerinde kripto paranın çalındığı tahmin ediliyor. Şirket, olayın ardından CryptoBilis başta olmak üzere Güneydoğu Asya ve Almanya'daki çeşitli üçüncü taraf satıcılar üzerinden ürün satışlarını geçici olarak durdurdu.

Fransa'daki süpermarket saldırıları hangi şirketlerin sistemlerini etkiledi?​

Saldırılar, Danfoss ve Copeland tarafından yönetilen soğutma sistemlerini hedef aldı. Etkilenen süpermarket zincirleri arasında Intermarché, Netto, Coopérative U, Carrefour, Monoprix ve E.Leclerc yer alıyor. Saldırılar yaklaşık altı saat boyunca sıcaklıkların 50°C'ye ulaşmasına neden olarak 700'den fazla mağazayı olumsuz etkiledi.

Pwn2Own Ireland 2026 yarışmasında kaç sıfır gün açığı keşfedildi?​

Yarışmada 98 sıfır gün açığı keşfedildi ve beyaz şapkalı hackerlar toplam 1.262.000 dolar ödül kazandı. Birinci olan Ikotas Labs, 12 özgün hata bularak 42,5 Master of Pwn puanı ve 361.000 dolar ödül elde etti.

ConnectWise olayında hangi önlemler alındı?​

ConnectWise, yetkisiz erişim tespit etmesinin ardından yedi uygulama kimliğini devre dışı bıraktı ve etkilenen uygulama bağlantılarında kullanılan sertifikaları iptal ederek tüm kullanıcılar için Bulut Yedekleme hizmetini askıya aldı. Bu önlemler 17 Ekim 2026 saat 07:00 UTC itibarıyla devreye alındı.

OpenAI mühendisi Abdulrahman Alfozan ne suçlamasıyla yargılanıyor?​

Alfozan, bir yönetici konferans odasına kayıt cihazı yerleştirdiği iddiasıyla sözlü iletişimleri engellemeye teşebbüs suçlamasıyla yargılanıyor. Şirket güvenlik personelinin çantasında ikinci bir cihaz daha bulduğu belirtildi. Federal savcılar ayrıca Alfozan'ın 9 Ekim 2026'daki tutuklanmasından önce eşi ve üçüncü bir aile üyesiyle birlikte San Francisco'dan Suudi Arabistan'a tek yönlü uçak bileti satın aldığını açıkladı.