Devlet takviyeli siber hücumlarda Türkiye en çok amaç alınan ülkelerden
Kaspersky datalarına nazaran, APT kümeleri 2024’te bilhassa hükümet, telekomünikasyon, finans, güç ve savunma kesimlerini maksat aldı. Aynı yıl en çok maksat alınan 12 ülke ortasında Türkiye de yer aldı. En faal APT kümeleri ortasında, Lazarus, HoneyMyte, Kimsuky, Charming Kitten ve SideWinder öne çıktı.
Kaspersky uzmanlarına nazaran, hücumların hem kapsamı hem de karmaşıklığının artış gösterdiği 2025’in en faal APT kümeleri, SideWinder, Kimsuky, Lazarus, Salt Typhoon, APT42 ve TetrisPhantom oldu.
Bu kümeler, sadece data hırsızlığı yahut casusluk değil, tıpkı vakitte kritik altyapılara ziyan vermeyi de hedefleyen gelişmiş operasyonlar yürütüyor.
Yapay zeka takviyeli taarruz tekniklerinin daha sık kullanılmaya başlanması ve kimi kümelerin etkinliğindeki artış, APT tehdidinin boyutlarını genişletti. SideWinder, iki yıl üst üste öne çıkan aktör olurken, TetrisPhantom ve APT42 ise 2025’te birinci kere listeye girdi.
Türkiye çevrim içi tehditlerde META bölgesinde birinci sırada
Kaspersky’nin 2025’in birinci çeyreğine ait bilgilerine nazaran, Türkiye’deki kullanıcıların yüzde 26,1’i çevrim içi tehditlerden etkilendi. Türkiye bu oranla Orta Doğu, Türkiye ve Afrika (META) bölgesinde en yüksek risk düzeyine sahip ülke oldu. Türkiye’yi, yüzde 20,1 ile Kenya, yüzde 17,8 ile Katar, yüzde 17,5 ile de Güney Afrika izledi.
Bölgede, SideWinder, Origami Elephant ve MuddyWater üzere 25 APT kümesi etkin biçimde izleniyor. Taşınabilir aygıtlara yönelik istismar teknikleri ve gelişmiş gizlenme kabiliyetleri, APT akınlarının daha sofistike hale geldiğini gösteriyor.
APT kümeleri maddi yarar değil, stratejik bilgi peşinde
Kaspersky Global Araştırma ve Tahlil Grubu (GReAT) Baş Güvenlik Araştırmacısı Maher Yamout, Türkiye’nin jeopolitik pozisyonu sebebiyle bölgede en çok akın alan ülkeler ortasında yer aldığını söyledi.
Yamout, bilhassa devlet kurumlarını gaye alan APT kümelerinin, klasik siber taarruzlardan farklı olarak maddi kar yerine stratejik bilgi peşinde olduğunu belirtti.
Geleneksel siber hatalıların kullanıcı ismi, parola ve kredi kartı üzere bilgileri çalıp karanlık ağda satmayı amaçladığını tabir eden Yamout, APT kümelerinin ise ekonomik çıkarlar yahut askeri bilgiler üzere kritik bilgileri ele geçirmeye odaklandığını vurguladı.
Yamout, “Bu kümeler, amaç ülkelerdeki sistemlere sızarak hassas bilgileri çalmayı ve bu dataları tahlillerinde kullanmayı amaçlıyor. Bu kümelerin birçok devlet kurumlarını hedef alıyor. Dışişleri bakanlığı gibi çeşitli devlet kurumları ve bakanlıklar çoklukla bu tehdit aktörlerinin öncelikli maksatları ortasında yer alıyor.” dedi.
Türkiye, Mısır ve Pakistan, jeopolitik nedenlerle hedefte
Geçen yıl Türkiye, Mısır ve Pakistan’ın, siber casusluk faaliyetlerinin ağırlaştığı ülkeler ortasında yer aldığını kaydeden Yamout, bunun temelinde bölgedeki jeopolitik ve ekonomik gelişmelerin yattığını söyledi.
Yamout, “Ayrıca teknolojik bir boyut da var. Kimi ülkeler, öteki ülkelere askeri teknolojiler yahut üretim dayanağı veriyor. Bu durum, öteki APT kümelerinin bu ülkeleri daha yakından anlamak istemesine neden oluyor. Bu nedenle o ülkelerin sistemlerine sızarak hassas bilgileri ele geçirmeye çalışıyorlar. Hangi teknolojileri kullanıyorlar, ne üretiyorlar üzere soruların karşılığını öğrenmek istiyorlar.” diye konuştu.
YouTube üzerinden bilinmeyen ilişki kuran virüs saldırısı
Yamout, bugüne kadar karşılaştığı en enteresan siber hücumun, siber paralı askerler tarafından düzenlenen ve klasik usullerden çok farklı yol izleyen bir taarruz çeşidi olduğunu anlattı.
Saldırının teknik açıdan karmaşık olmadığını lakin bugüne kadar karşılaştığı en dikkat alımlı akın olduğunu kaydeden Yamout, kelam konusu olay hakkında şu bilgileri paylaştı:
“Siber paralı askerler tarafından gerçekleştirilen bu akında, kurbanın aygıtına bir ziyanlı yazılım yüklendi. Ekseriyetle saldırganların, bu çeşit zararlılarla bilgi çalmak için direkt bağlantı kurması gerekirken, bu olayda alışılmadık bir yol tercih edilmişti. Saldırganlar, ziyanlı yazılımın komuta sunucusuyla direkt ilişki kurmak yerine, aracı olarak bir YouTube görüntüsünü kullandı. Görünürde sıradan bir görüntü olan içerikte, açıklama ya da yorum kısmına gizlenmiş formda virüsün komuta sunucusunun adresi yerleştirilmişti. Ziyanlı yazılım evvel bu görüntüye bağlanıyor, akabinde ilgili bilgiyi alarak asıl sunucuyla irtibata geçiyordu. Bu dolaylı ve son derece zımnî irtibat metodu, birinci bakışta sırf YouTube’a yapılan sıradan bir irtibat üzere göründüğünden, tespit edilmesi hayli zordu. Bu atak tekniği, benim için bilhassa farklı ve öğretici bir örnek oldu.”
