Heilbronn'da bir posta kutusu ele geçirildi ve birden soru şu oluyor: o adres defterinde başka kim var?
Heise'in aktardığına göre, Friedrich Merz ve çok sayıda başka kişiyi hedef alan bir oltalama kampanyası sırasında Heilbronn'daki bir CDU e-posta hesabı hacklendi. Bu bir işletim sistemi açığı değil, sıfır gün değil, gösterişli bir sızma değil. İnternetin en eski saldırı tekniği — ve hâlâ güvenilir biçimde çalışıyor.
Asıl bulgu bu.
Bir parti posta kutusu neden göründüğünden değerli
E-posta hesabı bugün bir posta kutusundan çok bir maymuncuk. Kurtarma işlevi üzerinden neredeyse her şey ona bağlıdır: bulut sürücüleri, takvimler, sohbetler, parti yazılımları, e-posta listeleri, sosyal medya hesaplarına erişim. Bir posta kutusunu kontrol eden kişi, hiç saldırmadığı servisler için şifre sıfırlama talebinde bulunabilir. Ve başkalarının güvendiği birinin adına yanıt yazabilir.
Siyasi çıkarı olan bir saldırgan için bu, mümkün olan en ucuz giriş yolu. Güvenlik duvarını aşmanız gerekmez. Bir insanı bağlantıya tıklatıp, neredeyse doğru görünen bir sayfaya şifre yazdırmanız gerekir.
Oltalama zorlaşmadı, kolaylaştı
Eski savunmanın adı iki faktörlü kimlik doğrulamaydı ve yıllarca iyi iş gördü. Modern oltalama kitleri karşısında umulandan az işe yarıyor. "Adversary-in-the-middle" denen saldırıda saldırgan, kullanıcı ile gerçek giriş sayfası arasına oturur: şifre doğrudur, tek kullanımlık kod doğrudur, oturum yine de ele geçirilir — çünkü saldırgan hâlihazırda doğrulanmış oturum jetonunu çalar. Ondan sonra hiçbir servis ikinci faktör sormaz.
Karşı önlemler biliniyor ve zahmetli: şifre yerine passkey, çünkü alan adına bağlıdır ve taklit bir sayfada çalışmaz. Aynı özelliğe sahip donanım anahtarları. Ve iletilen bir e-postanın otomatik olarak "patron konuşuyor" sayılmadığı bir kültür.
Son madde en zoru, çünkü satın alınamıyor.
Siyasi boyut
Partilere yönelik saldırılar yan mesele değil. Almanya'da soruşturma makamları geçmişte partilere yönelik benzer hack'leri yabancı istihbarat servislerine, birkaç kez Rus askerî istihbaratının çevresine atfetti. Heilbronn vakasında bunun geçerli olup olmadığı kamuya açık biçimde netleşmedi — ve varsayılmamalı. Söylenebilecek olan şu: üst düzey siyasetçilerin posta kutuları hem devlet hem suç aktörleri için ilgi çekici ve iki grup da aynı araçları kullanıyor.
Bir parti için hasar iki kat. Bir yandan posta kutusunda ne varsa — iç değerlendirmeler, randevular, kişiler, belki kişisel veriler. Diğer yandan oradan ne gönderildiyse: ele geçirilmiş bir adresten çıkan her mesaj, gönderenin güvenini miras alır. Hacklenmiş posta kutularının yeni oltalama dalgaları için bu kadar etkili yayıcı olmasının nedeni tam olarak bu.
Partiler ve kurumlar neyi yanlış yapıyor
İki örüntü tekrar ediyor. Birincisi zaman çizelgesi: ele geçirme, fark etme ve kamuya açıklama arasında genelde haftalar var. O sürede saldırı sürerken etkilenenler her şeyin yolunda olduğunu sanır. İkincisi yetki: partiler hukuken kritik altyapı sayılmaz; bilişim altyapıları çoğu zaman kendiliğinden büyümüş, dağınık ve gönüllülerce yürütülür. Heilbronn'daki bir ilçe teşkilatının bir holdingin güvenlik departmanı yok — ama bir istihbarat servisinin ilgisini çekecek yazışmalara erişimi var.
Bariz sonuç, para gerektirdiği için sevilmiyor: milletvekilleri için merkezî ve profesyonel işletilen posta kutuları, zorunlu passkey, giriş kayıtları ve basın ofisinden geçmeyen bir bildirim kanalı.
Bu vaka ne değil
E-postanın güvensiz olduğunun kanıtı değil; kapalı sistemlere dönüş için bir argüman değil. Ekrandaki insanın hâlâ en zayıf nokta olduğunun kanıtı — ve buna karşı savunmanın siber savunma nutuklarından değil, sıkıcı ve her yeri kapsayan temel hijyenden geçtiğinin.
Nelere bakmalı
Vakanın aydınlatılıp aydınlatılmayacağına ve faillik konusunda sağlam bir açıklama yapılıp yapılmayacağına. Aynı çevrede başka posta kutularının da etkilenip etkilenmediğine — bu saldırı türünde ele geçirilmiş tek hesap nadiren tekdir. Ve partilerin bilişim sorumluluklarını bir sonraki seçimden sonra mı, yoksa bir sonraki olaydan sonra mı düzene koyacağına.
