Avrupa’daki Bomba İhbarı Dolandırıcılıklarında Ele Geçirilen E-posta Hesapları Soruşturmaları Zorlaştırıyor

Avrupa’daki Bomba İhbarı Dolandırıcılıklarında Ele Geçirilen E-posta Hesapları Soruşturmaları Zorlaştırıyor

Bu hafta Avrupa genelinde binlerce okula gönderilen bomba tehditleri, Tayvan’daki bir üniversiteye ait ele geçirilmiş bir e-posta hesabından kaynaklandı. Bu olay, meşru kurumlardan gönderilen mesajlarla havaalanlarını ve haber merkezlerini hedef alan bir dizi sahte tehdidin sonuncusu oldu.

Tayvan’ın Da-Yeh Üniversitesi, Çarşamba günü e-postaları göndermek için kullanılan hesabı askıya aldığını duyurdu. Kolombiya’nın başkenti Bogota’daki yetkililer ise geçen hafta, diğer sahte e-postaların da kaynaklandığı bir şehir sağlık kurumunu etkileyen potansiyel bir siber saldırıyı araştırdıklarını belirtmişti.

Gerçek ve nispeten güvenilir kurumlara ait ele geçirilmiş hesapların kullanılması, dolandırıcıların kimlik doğrulama kontrollerini geçen ve spam filtrelerini tetiklemeyen mesajlar göndermesine olanak tanıyor. Bu durum aynı zamanda, sorumluları bulmaya çalışan araştırmacılar için de zorluklar yaratıyor.

Çalınan kimlik bilgileri hem suçlular hem de devlet destekli bilgisayar korsanları tarafından yaygın olarak alınıp satılıyor ve kötüye kullanılıyor. Güvenlik şirketi Proofpoint, geçen hafta incelediği tehditlerin sahte adreslerden ziyade ele geçirilmiş hesaplardan geldiğini belirtti.

Hiçbir hükümet bu dolandırıcılıkları belirli bir aktöre atfetmedi, ancak İrlanda hükümeti geçen hafta bunun “koordineli bir aksaklık kampanyası olmasının muhtemel göründüğünü” ifade etti. Proofpoint, kampanyanın bazı yönlerinin “bir ulus-devletle bağlantılı bir aktörle tutarlı olabileceğini” belirtirken, bu sonuca varmak için yeterli kanıta sahip olmadığını ekledi.

E-posta güvenlik şirketi Abnormal Security, Litvanya alan adından gelen ve “sahte bir adres yerine meşru, ele geçirilmiş bir hesaptan” gönderilmiş gibi görünen başka bir sahte tehdit tespit ettiğini bildirdi.

Mesajlar gerçek webmail hesapları aracılığıyla gönderildiği için, bunlarla ilişkili teknik detaylar büyük ölçüde e-posta sağlayıcılarının kendi hizmetlerine yönlenecektir. Dolandırıcılar VPN’ler veya proxy ağları gibi anonimleştirme araçları kullanmışsa, her hesaba kimin eriştiğini gösteren oturum açma kayıtları çıkmaza girebilir.

Hesapların birden fazla yargı alanına yayılması da, genellikle çok yavaş olan karşılıklı hukuki yardım talepleri aracılığıyla farklı yargı alanlarından kanıt aramak zorunda kalacak araştırmacılar için bir zorluk teşkil edecektir.

Yeni Dalga

Geçen haftaki sahte ihbarlar, Çarşamba günü çok daha büyük ölçekte tekrarlandı. Binlerce İtalyan devlet okuluna “soykırım” tehdidi içeren ve okullara patlayıcı yerleştirildiğini iddia eden bir e-posta gönderildi. Bu tehditler, Milano’dan Sicilya’ya kadar okullarda tahliyelere yol açtı.

Benzer mesajlar İskoçya, Kuzey İrlanda ve İrlanda Cumhuriyeti’ndeki yüzlerce okula ulaştı. İskoçya Polisi yardımcı şefi Mark Sutherland Çarşamba günü yaptığı açıklamada, “yaklaşık bin İskoç okulunun tehdit edici bir e-posta mesajı aldığını” ve bu mesajın Birleşik Krallık genelindeki diğer okullara da gönderildiğini söyledi.

Sutherland, “Bu mesajlar derhal değerlendirildi ve bunları sahte ihbar olarak ele alıyoruz. Yaptığımız araştırmalar, bunların güvenilir bir tehdit oluşturduğuna veya halk için daha geniş bir tehdit olduğuna dair hiçbir şey olmadığını ortaya koydu” dedi.

İrlanda polis gücü An Garda Síochána da okullara gönderilen tehditleri “güvenilir değil” olarak değerlendirdi ve “herhangi bir eğitim kurumuna tahliye tavsiyesinde bulunmadığını” vurguladı.

Perşembe sabahı İtalyan okullarına, Filipinler Eğitim Bakanlığı’na ait bir adresten başka bir tehdit gönderildiği bildirildi. Bakanlık, yorum talebine hemen yanıt vermedi.

Proofpoint, geçen hafta çoğu Avrupa’da olmak üzere yaklaşık 20 kuruluşu hedef alan tehditler gözlemlediğini, bunların arasında en az bir düzine haber merkezi ve birkaç havaalanının bulunduğunu belirtti.

Proofpoint’te tehdit araştırmacısı Mark Kelly, mesajların kötü amaçlı bağlantılar veya ekler içermediğini, “bunun amacının kötü amaçlı yazılım dağıtımı veya kimlik bilgisi hırsızlığı yerine aksaklık veya sindirme olduğunu gösterdiğini” söyledi.

Mesajların metninde, gönderenler ele geçirilmiş bilgisayar sistemlerine erişimleri olduğunu iddia ettiler. Geçen hafta haber merkezlerine gönderilen ve Recorded Future News tarafından görülen bir e-postada, gönderen, uçuş tehditlerinden sorumlu aynı grubun lideri olduğunu belirtiyordu.

Mesajda, grubun e-postaları göndermek için “çoklu iş parçacığı ile denemeler yaptığını” ve Avrupa’daki ve başka yerlerdeki kişilere ait ele geçirilmiş cihazlara, sunuculara ve hesaplara erişim sağladığını belirtiyordu.

Tehdit dalgalarının aynı düşmanca eylem kampanyasının bir parçası mı olduğu yoksa taklitçilere mi ilham verdiği bilinmiyor. Bazı e-postalar farklı imzalar taşıyordu; uçuşları hedef alan birkaç mesaj, Rusya’da yasaklı olan Rus anti-feminist hareketi “Male State’in savaşçıları” tarafından imzalanmıştı. Hareketin kurucusu, olayla ilgisi olmadığını reddetti.

Haber merkezlerine ve okullara gönderilen diğer mesajlar “Mikhail Andropov” imzası taşıyordu, ancak bu imzaların hiçbiri, gönderenleri herhangi bir kanıt standardına göre belirlemiyor.

İrlanda’da, Garda Komiseri Justin Kelly, polisin tehditlerin ülke dışından kaynaklandığına ve özellikle Perşembe günü Dublin’de düzenlenen Avrupa Siyasi Topluluğu zirvesi etrafında “ayrılık tohumları ekmeyi” amaçladığına inandığını söyledi. Bu zirvede düzinelerce Avrupalı lider, İrlanda tarihindeki en büyük güvenlik operasyonu altında bir araya geldi.

Kuzey İrlanda polis teşkilatı sözcüsü şunları söyledi: “Bu soruşturmanın bir parçası olarak, memurlar ve dedektifler, bu toplu dağıtılan e-postaların kaynağını ve önceki e-postalarla olası bağlantılarını tespit etmek için kapsamlı araştırmalar yürütüyorlar.

“Çalışma teorisi, bu sahte ve kötü niyetli e-postaların Birleşik Krallık dışından gönderildiği yönünde; soruşturmanın diğer yönleri üzerinde araştırmalar devam ediyor” dediler.