"50 Şirket, Bir Parola, Sıfır MFA"
Çalınan Kimlik Bilgileri, Terabaytlarca Veri: Zestix Kampanyasından Öğrenilen Dersler
Son birkaç haftada siber güvenlik camiasında ciddi bir deprem yaşandı. Hudson Rock'un Infostealers.com için hazırladığı kapsamlı rapor, "Zestix" ve "Sentap" takma adlarıyla bilinen bir tehdit aktörünün yaklaşık 50 büyük küresel şirketin bulut dosya paylaşım portallarına nasıl sızdığını gözler önüne serdi. Havacılıktan savunma sanayiine, sağlık sektöründen enerji altyapısına kadar uzanan bu saldırılar, modern siber güvenlik anlayışındaki kritik boşlukları acımasızca ortaya koyuyor.Bu yazıda söz konusu kampanyanın teknik detaylarını, saldırganların kullandığı yöntemleri ve en önemlisi kurumların bu tür tehditlere karşı nasıl korunabileceğini inceliyoruz.
Saldırının Anatomisi: Sofistike Değil, Etkili
Zestix kampanyasının en çarpıcı yönü, kullanılan yöntemlerin teknik karmaşıklıktan yoksun olması. Burada sıfırıncı gün açıkları, gelişmiş kalıcı tehditler veya karmaşık exploit zincirleri söz konusu değil. Saldırının temeli son derece basit: çalınmış kimlik bilgileri ve eksik MFA.
Bir çalışan farkında olmadan kötü amaçlı bir dosya indiriyor. Bu dosya RedLine, Lumma veya Vidar gibi yaygın infostealer ailelerinden birini içeriyor. Zararlı yazılım sessizce çalışarak tarayıcıda kayıtlı tüm parolaları, çerezleri ve oturum bilgilerini topluyor. Bu veriler "log" adı verilen paketler halinde karanlık web pazarlarında satışa sunuluyor.
Zestix burada devreye giriyor. Tehdit aktörü bu logları tarayarak ShareFile, Nextcloud ve OwnCloud gibi kurumsal dosya paylaşım platformlarına ait kimlik bilgilerini ayıklıyor. Ardından bu kullanıcı adı ve parola kombinasyonlarını kullanarak portallara giriş yapıyor. MFA uygulanmadığı için önünde hiçbir engel kalmıyor.
Raporun belki de en rahatsız edici bulgusu şu: bazı kimlik bilgileri yıllardır loglarda bekliyordu. Parolalar değiştirilmedi, oturumlar geçersiz kılınmadı. Yıl önce enfekte olmuş bir cihazdan çalınan bir parola, bugün hâlâ geçerliydi.
Hedeflenen Platformlar ve Kurbanlar
Zestix'in hedef aldığı platformlar kurumsal dünyada yaygın olarak kullanılan dosya senkronizasyon ve paylaşım çözümleri:
ShareFile (Progress Software): Özellikle hukuk firmaları ve mühendislik şirketleri tarafından tercih ediliyor. Pickett & Associates, Iberia Airlines, Mercedes-Benz'in hukuk danışmanlığını yapan Burris & Macomber gibi kurumların portalleri bu platform üzerinden ihlal edildi.
Nextcloud ve OwnCloud: Açık kaynaklı veya self-hosted çözüm tercih eden kurumlar tarafından kullanılıyor. Brezilya'nın Maida Health şirketi, Endonezya'nın önde gelen uydu operatörü PT Pasifik Satelit Nusantara gibi organizasyonlar bu platformlar üzerinden saldırıya uğradı.
Kurban listesi endişe verici bir çeşitlilik gösteriyor:
Pickett & Associates: ABD'li mühendislik firmasından 139 GB veri sızdırıldı. Duke Energy, Tampa Electric gibi büyük enerji şirketlerinin altyapı haritaları, LiDAR verileri ve iletim hattı tasarımları ele geçirildi. Bu tür veriler altyapı sabotajı planlamasında kullanılabilir.
Intecro Robotics: Türk savunma sanayiinin kritik tedarikçilerinden biri. TF-X savaş uçağı ve Akıncı İHA projelerine ait STEP dosyaları, ITAR kontrollü modeller ve CNC programları 11.5 GB'lık bir paketle satışa çıkarıldı.
Maida Health: Brezilya Askeri Polisi'nin sağlık kayıtlarını barındırıyordu. 2.3 TB'lık sızıntı, güvenlik güçlerinin kimlik bilgilerini, aile detaylarını ve tıbbi raporlarını içeriyor.
Iberia Airlines: İspanya'nın bayrak taşıyıcı havayolu şirketinden 77 GB veri çalındı. A320/A321 bakım programları, uçuşa elverişlilik belgeleri ve Airbus ACDATA sistem dökümleri dahil.
CRRC MA: Dünyanın en büyük demiryolu araçları üreticisinin Massachusetts bölümü. LA Metro ve MBTA için üretilen trenlerin tüm mühendislik sunucuları ele geçirildi. Sinyal çizimleri, SCADA RTU listeleri ve kontrol odalarının GPS koordinatları sızdırıldı.
Hudson Rock'un araştırması, Zestix'in aynı zamanda "Sentap" takma adını da kullandığını ortaya koydu. 2024 sonu ile 2025 başı arasında aktif hale gelen bu tehdit aktörü, Rusça konuşulan kapalı forumlarda faaliyet gösteriyor.
DarkSignal'ın araştırmasına göre Sentap, İranlı bir birey ile ilişkilendiriliyor ve en az 2021'den beri aktif. Aktör, "Güven İstismarı Modeli" adı verilen bir yaklaşım benimsiyor: açık altyapıları ve üçüncü taraf erişimlerini hedef alıyor.
Zestix/Sentap'ın operasyonu klasik bir Initial Access Broker (IAB) modeli izliyor. Şirketlere doğrudan saldırmak yerine, elde ettiği erişimleri Bitcoin karşılığında satışa çıkarıyor. Fiyatlar kurbanın değerine göre birkaç yüz dolardan on binlerce dolara kadar çıkabiliyor.
Aktörün Funksec siber suç grubuyla bağlantısı da tespit edildi. Bu grup, yüksek hacimli ve fırsatçı saldırılarıyla tanınıyor.
Infostealer Ekosistemi: Modern Siber Suçun Yakıtı
Zestix kampanyasını izole bir olay olarak değerlendirmek büyük hata olur. Bu saldırı, çok daha büyük bir ekosistemin parçası.
2025 yılı rakamları ürkütücü boyutlarda:
Flashpoint'in verilerine göre infostealer kaynaklı kimlik hırsızlığında yılın başından bu yana yüzde 800'lük artış yaşandı. 1.8 milyardan fazla kurumsal ve kişisel hesap ele geçirildi.
Vectra AI'ın raporuna göre 5.8 milyon cihaz enfekte edildi. Ekim 2025'te 183 milyon Gmail kimlik bilgisi karanlık web pazarlarına düştü, hesap başına sadece 10 dolar fiyatla satıldı.
KELA'nın araştırması ilginç bir bulgu ortaya koyuyor: enfekte edilen cihazların yüzde 35.7'si kişisel, paylaşılmayan bilgisayarlar. İş bilgisayarları değil, evdeki kişisel cihazlar en büyük risk faktörü. Hibrit çalışma döneminde bu cihazlar kurumsal kimlik bilgileri barındırıyor, ancak kurumsal güvenlik kontrollerinden yoksunlar.
Verizon'un 2025 DBIR raporuna göre web uygulama ihlallerinin yüzde 88'i çalınmış kimlik bilgileriyle gerçekleşti. Ransomware kurbanlarının yüzde 54'ünün domain bilgileri infostealer dökümlerinde tespit edildi.
Bu rakamlar tek bir gerçeğe işaret ediyor: parolalar artık siber suçun birincil giriş noktası.
MFA Bypass: Tek Başına Yeterli Değil mi?
Zestix kampanyasında MFA'nın yokluğu kritik bir faktör. Ancak MFA uygulansa bile saldırganların kullandığı bypass teknikleri mevcut.
Pass-the-Cookie Saldırıları: Infostealer zararlıları yalnızca parolaları değil, oturum çerezlerini de çalıyor. Bu çerezler tarayıcıya enjekte edildiğinde saldırgan, meşru kullanıcının kimliğine bürünebiliyor. MFA zaten geçilmiş oluyor çünkü çerez, başarılı bir MFA doğrulamasının ardından oluşturulmuş.
Recorded Future'ın verileri, karanlık web forumlarında "cookies", "session hijacking" gibi terimlere yapılan referanslarda son yıllarda istikrarlı bir artış olduğunu gösteriyor.
Adversary-in-the-Middle (AiTM) Saldırıları: Evilginx, Modlishka gibi araçlar kullanılarak gerçekleştiriliyor. Kullanıcı meşru bir siteye giriş yaptığını sanırken, saldırganın proxy sunucusu üzerinden geçiyor. Hem kimlik bilgileri hem de MFA tokenları yakalanıyor.
MFA Fatigue: Kullanıcıya sürekli MFA onay bildirimi gönderilerek yıpratılıyor. Sonunda kullanıcı bir tanesini yanlışlıkla veya bıkkınlıkla onaylıyor. Uber ihlalinde bu teknik kullanıldı.
Bu teknikler MFA'yı gereksiz kılmıyor, ancak tek başına yeterli olmadığını gösteriyor.
Öğrenilen Dersler ve Öneriler
👇🏻
1. MFA Zorunlu Olmalı, İstisna Kabul Etmemeli
Zestix kampanyasındaki kurbanların ortak noktası MFA eksikliği. ShareFile, Nextcloud ve OwnCloud gibi platformlar güçlü MFA desteği sunuyor, ancak bu özellik varsayılan olarak aktif değil.
MFA, tüm kullanıcılar için, tüm erişim noktalarında zorunlu olmalı. Yöneticiler için, ayrıcalıklı hesaplar için, üçüncü taraf erişimleri için istisna tanınmamalı. MFA fatigue'e karşı number matching veya phishing-resistant MFA (FIDO2/WebAuthn) tercih edilmeli.
2. Kimlik Bilgisi Hijyeni Kritik
Raporun en çarpıcı bulgularından biri, bazı kimlik bilgilerinin yıllardır loglarda bekliyor olması. Bu durum parolaların düzenli olarak değiştirilmediğini, oturumların geçersiz kılınmadığını gösteriyor.
Ayrıcalıklı hesaplar için 30-60 günlük rotasyon döngüsü belirlenmeli. Normal kullanıcı hesapları için 90-180 günlük döngü uygulanabilir. Ancak NIST'in güncel önerileri, zorunlu periyodik değişiklik yerine risk tabanlı rotasyonu öneriyor. Yani bir güvenlik olayı tespit edildiğinde veya şüpheli aktivite görüldüğünde anında rotasyon yapılmalı.
Parola yönetim araçları kullanılmalı. Otomatik rotasyon, güçlü parola üretimi ve kullanım denetimi bu araçlarla sağlanabilir.
Have I Been Pwned gibi servislerle entegrasyon yapılmalı. Çalışanların kullandığı parolaların daha önce sızdırılıp sızdırılmadığı kontrol edilmeli.
3. Endpoint Güvenliği Yeniden Tanımlanmalı
Geleneksel endpoint koruma çözümleri kurumsal cihazlara odaklanıyor. Ancak KELA'nın verilerine göre enfeksiyonların çoğu kişisel cihazlarda gerçekleşiyor.
Hibrit çalışma modelinde kurumsal kaynaklara erişen kişisel cihazlar için minimum güvenlik standartları belirlenmeli. BYOD politikaları gözden geçirilmeli. Kurumsal verilere erişim için cihaz sağlık kontrolü (device posture check) uygulanmalı.
EDR çözümleri infostealer tespitine odaklanmalı. Geleneksel antivirüs çözümleri bu tehditleri kaçırabiliyor. Davranışsal analiz yapan çözümler tercih edilmeli.
4. Oturum Yönetimi Güçlendirilmeli
Pass-the-cookie saldırılarına karşı oturum süreleri kısaltılmalı. Kritik uygulamalar için 24 saatten uzun oturumlar risk oluşturuyor.
Koşullu erişim politikaları uygulanmalı. Farklı IP adresinden, farklı cihazdan veya farklı lokasyondan erişim denendiğinde yeniden kimlik doğrulama istenebilir. Anormal oturum davranışları için uyarı mekanizmaları kurulmalı.
Malware enfeksiyonu tespit edildiğinde tüm aktif oturumlar anında geçersiz kılınmalı. Bu, incident response playbook'larına eklenmeli.
5. Tehdit İstihbaratı Proaktif Olmalı
Hudson Rock'un raporda vurguladığı önemli bir nokta var: Zestix listelerine girmeden çok önce, birçok kurumun kimlik bilgileri infostealer loglarında tespit edilebilirdi.
Kurumlar, domain ve e-posta adreslerini karanlık web tarama servisleriyle izlemeli. Compromised credential servisleri kullanılmalı. Tehdit istihbaratı reaktif değil, proaktif bir savunma katmanı olarak konumlandırılmalı.
6. Üçüncü Taraf Riskleri Değerlendirilmeli
CiberC örneği özellikle dikkat çekici. Cisco Gold Partner olan bu teknoloji entegratörünün ihlali, yüzlerce alt müşteriye sıçrama potansiyeli taşıyordu.
Tedarik zinciri güvenliği değerlendirmeleri düzenli yapılmalı. Üçüncü tarafların güvenlik standartları sorgulanmalı. Kritik sistemlere erişim veren ortaklar için MFA zorunluluğu sözleşmelere eklenmeli.
7. Farkındalık Eğitimleri Güncellenmeli
ClickFix gibi sosyal mühendislik teknikleri, kullanıcıları kendi güvenliklerini devre dışı bırakmaya ikna ediyor. Sahte CAPTCHA'lar, tarayıcı hata mesajları gibi tuzaklar kullanılıyor.
Çalışan eğitimleri bu yeni teknikleri kapsamalı. Phishing simülasyonları güncel saldırı vektörlerini yansıtmalı. "Şüpheli görünüyorsa tıklama" mesajı yeterli değil; kullanıcılar neyin şüpheli göründüğünü bilmeli.
Gerçek Dünya Örneği: Saldırı Zincirinin Anatomisi
Teorik açıklamalar yerine somut bir senaryo üzerinden gidelim. Raporda yer alan Iberia Airlines vakası, saldırı zincirinin nasıl işlediğini göstermek için ideal bir örnek.
Bir Iberia çalışanı evde kişisel bilgisayarından bir torrent sitesine giriyor. "Ücretsiz" bir yazılımı indiriyor. Bu yazılımın içinde Lumma infostealer gizli. Kurulum sırasında zararlı kod da sessizce yükleniyor.
Lumma, tarayıcıdaki kayıtlı parolaları taramaya başlıyor. Chrome'da iberiaexpress.sharefile.com için kayıtlı bir kurumsal hesap buluyor. Parola, e-posta adresi, URL ve tarayıcı çerezleri bir pakete alınıyor.
Bu "log" birkaç saat içinde karanlık web pazarına düşüyor. Fiyatı muhtemelen birkaç dolar. Zestix, otomatik araçlarla bu logları tarıyor. ShareFile URL'si dikkatini çekiyor. Kurumsal bir hedefe ait olduğunu anlıyor.
Zestix, çalınan kimlik bilgileriyle iberiaexpress.sharefile.com adresine giriş yapıyor. MFA yok. Giriş başarılı. Önünde 77 GB'lık bir hazine var: A320/A321 bakım programları, uçuşa elverişlilik belgeleri, Airbus sistem dökümleri.
Zestix bu verileri indiriyor ve forumlarda satışa çıkarıyor. Belki başka bir aktör satın alıp endüstriyel casusluk için kullanacak. Belki bir rakip havayolu şirketi. Belki bir ulus-devlet aktörü.
Tüm bu zincir, bir noktada kırılabilirdi:
• Çalışan güvenlik eğitimi almış olsaydı ve torrent sitelerinden yazılım indirmeseydi
• Kişisel cihazda kurumsal hesap bilgileri kayıtlı olmasaydı
• ShareFile portalında MFA zorunlu olsaydı
• Kurumsal parola 90 gün içinde değiştirilmiş olsaydı
• Tehdit istihbaratı servisi, kimlik bilgilerinin loglarda göründüğünü tespit etmiş olsaydı
Bu kadar çok kırılma noktası varken, hiçbiri devreye girmedi.
Sektörel Etki ve Regülasyonlar
Zestix kampanyasının etkileri sektörlere göre farklı boyutlarda:
Sağlık sektörü için durum özellikle kritik. GreenBills, NMCV Business ve Verahealth ihlalleri HIPAA kapsamında ciddi yaptırımlar getirebilir. 2025 yılında ortalama sağlık veri ihlali maliyeti 7.42 milyon dolar seviyesinde. Hasta kayıtlarının sızdırılması hem finansal hem itibar kaybı demek.
Savunma sanayi açısından Intecro ihlali ulusal güvenlik boyutu taşıyor. ITAR kontrollü verilerin sızdırılması ciddi yasal sonuçlar doğurabilir.
Kritik altyapı sektöründe Pickett örneği, enerji şebekesi haritalarının yanlış ellere geçmesinin ne anlama geldiğini gösteriyor. CRRC MA ihlali ise toplu taşıma güvenliğini tehdit ediyor.
NIS2 direktifi gibi düzenlemeler, bu tür ihlaller için zorunlu bildirim ve ciddi cezalar öngörüyor. Kurumların compliance açısından da bu tehditleri ciddiye alması gerekiyor.
Sonuç: Saldırganlar Ön Kapıdan Giriyor
Zestix kampanyasının en önemli dersi şu: saldırganlar artık sofistike exploit'lere ihtiyaç duymuyor. Çalınmış bir parola ve MFA eksikliği, en büyük kurumların en hassas verilerine kapı açabiliyor.
Bu saldırılar bir kuantum bilgisayarın şifreleme kırmasıyla gerçekleşmedi. Bir çalışanın cihazının enfekte olması ve kurumun MFA'yı zorunlu kılmamasıyla gerçekleşti. Bu kadar basit, bu kadar önlenebilir.
Hudson Rock'un verilerine göre Deloitte, KPMG, Samsung, Honeywell, Walmart ve hatta CDC gibi dev organizasyonların çalışan kimlik bilgileri şu anda infostealer loglarında dolaşıyor. Bu, Zestix listesinde olmayan ama risk altındaki kurumların boyutunu gösteriyor.
Dijital çağda erişim tek geçerli para birimi. Bu erişimi korumak, güvenliğin temeli olmak zorunda.
Son Söz
Siber güvenlik dünyasında sıkça tekrarlanan bir söz var: "Saldırganların sadece bir kez haklı olması yeterli, savunucuların her zaman haklı olması gerekiyor." Zestix kampanyası bu asimetriyi acı bir şekilde hatırlatıyor.
Ancak bu kampanyanın bir diğer dersi de umut verici: bu saldırılar önlenebilirdi. Karmaşık ve pahalı güvenlik çözümleri değil, temel güvenlik hijyeni bu felaketleri engelleyebilirdi. MFA, düzenli parola değişikliği, oturum yönetimi, farkındalık eğitimi.
Saldırganlar sofistike olmak zorunda değil çünkü hedefler temel güvenlik kontrollerini ihmal ediyor. Bu denklemi değiştirmek tamamen kurumların elinde.
Zestix'in portföyündeki şirketler için geri dönüş yok. Ancak aynı kaderi paylaşmamak için henüz vakit var. Temel soruyu sormak gerekiyor: Bugün bir çalışanınızın yıllar önce enfekte olmuş cihazından çalınan parola hâlâ geçerli mi?
Kurumunuzun infostealer loglarında görünüp görünmediğini kontrol etmek için Hudson Rock'un ücretsiz araçlarını kullanabilirsiniz. Güvenlik ekiplerinin proaktif tehdit istihbaratı çözümlerini değerlendirmesi, 2026 planlamalarının kritik bir parçası olmalı.
İlk yayın: LinkedIn, 2026-01-09 13:02. Orijinal makale: https://www.linkedin.com/pulse/50-%C5%9Firket-bir-parola-s%C4%B1f%C4%B1r-mfa-melih-%C3%B6zhan-1nahf
Yorumlar