Robot Süpürge Varlıklarınızı Çalabilir Mi?

Makale, IoT cihazlarındaki güvenlik açıklarının hacker’lar tarafından nasıl kripto hırsızlığına, gizli madenciliğe veya ev ağı ele geçirmeye yol açabildiğini gerçek örneklerle anlatıyor. Robot süpürgelerden akvaryum sensörlerine kadar geniş bir saldırı yüzeyi olduğunu ve korunma yollarını açıklıyor.

Makale, gerçek dünyadan birçok örnek üzerinden, hacker’ların IoT cihazlarındaki güvenlik açıklarını nasıl kullanarak saldırı gerçekleştirdiğini gösteriyor — kahve makinelerine sızma, casino balık tankları üzerinden erişim sağlama ve erişim sensörlerine yönelik saldırılar da dahil.
Bir sabah uyandığınızda robot süpürgenizin çalışmadığını, buzdolabınızın sizden fidye istediğini ve kripto para ve banka hesaplarınızın tamamen boşaltıldığını düşünün.

Hayır, Stephen King’in 1986 tarihli değersiz korku filmi “Maximum Overdrive’ın” (tüm dünyadaki makineleri katil yapan bir salgını tetikleyen bir kuyruklu yıldız hakkında) konusu değil.

Bunun yerine, bilgisayar korsanlarının evinizdeki çok sayıda akıllı cihazdan biri aracılığıyla bilgisayarınıza sızmaya karar vermesi durumunda neler olabileceğidir ki bu durum, dünya çapında tahmini 18,8 milyar Nesnelerin İnterneti (IoT) cihazı ve günde ortalama 820.000 IoT saldırısı ile artık daha olasıdır.

Blok zincir güvenlik firması Beosin’de araştırmacı olan Tao Pan Magazine’e verdiği demeçte, “Güvensiz IoT cihazları (örneğin yönlendiriciler) ev ağlarına giriş noktaları olarak hizmet edebilir” diyor.

2023 itibariyle, ABD’deki ortalama bir hanede internete bağlı 21 cihaz bulunuyor ve akıllı ev cihazı tüketicilerinin üçte biri son 12 ay içinde bir veri ihlali veya dolandırıcılık kurbanı olduğunu bildiriyor.

“Saldırganlar bir kez sızdıktan sonra, kripto işlemleri için kullanılan bilgisayarlar veya cep telefonları da dahil olmak üzere bağlı cihazlara erişmek için yanlara doğru hareket edebilir ve ayrıca cihazlar ve borsalar arasındaki oturum açma kimlik bilgilerini ele geçirebilir. Bu durum özellikle kripto ticareti için API kullanan kripto sahipleri için riskli” diye ekliyor.

Peki, bilgisayar korsanları evinizde tam olarak neleri ele geçirebilir ve ne gibi zararlar verebilirler?

Magazine, kripto para madenciliği yapmak için bir kapı sensörünün hacklendiği bir vaka da dahil olmak üzere, son birkaç yılda hacklenen en garip şeylerden bazılarını bir araya getirdi. Ayrıca verilerinizi ve kripto paranızı güvende tutmak için bazı ipuçlarını bir araya getirdik.

Kahve Makinesi Hacklenebilir mi?

2019 yılında, siber güvenlik şirketi Avast’ta araştırmacı olan Martin Hron, bilgisayar korsanlarının evinizin ağına ve cihazlarına erişmesinin ne kadar kolay olduğunu göstermek istedi.

Doğal olarak, kendi kahve makinesini uzaktan hackledi.

Hron, çoğu akıllı cihaz gibi kahve makinelerinin de varsayılan ayarlarla geldiğini ve cihazı WiFi’ye bağlamak için herhangi bir şifre gerekmediğini, bunun da makineye kötü amaçlı kod yüklemeyi kolaylaştırdığını açıklıyor.

“Birçok IoT cihazı ilk olarak kendi WiFi ağı üzerinden ev ağınıza bağlanır ve bu ağın sadece makineyi kurmak için kullanılması amaçlanır. İdeal olan, tüketicilerin bu WiFi ağını hemen bir şifre ile korumalarıdır,” diye açıklıyor Hron.

“Ancak birçok cihaz WiFi ağını korumak için şifresiz satılıyor ve birçok tüketici şifre eklemiyor” diye ekliyor.

“İstediğim her şeyi yapabiliyorum çünkü kahve makinesini çalıştıran yazılım olan aygıt yazılımını değiştirebiliyorum. Ve yerine istediğim şeyi koyabilirim. İşlevsellik ekleyebilir, işlevselliği kaldırabilir ve yerleşik güvenlik önlemlerinin üstesinden gelebilirim. Bu yüzden her şeyi yapabilirim” dedi Avast tarafından yayınlanan bir videoda.

Hron örneğinde kahve makinesini, fidye ödenmediği takdirde cihazı kilitleyen bir fidye notu görüntülemek için kullanıyor.

Kapatabilirsiniz ama bir daha asla kahve alamayacağınız garanti. (Avast/YouTube)

Bununla birlikte, kahve makinesinin daha kötü niyetli şeyler yapması sağlanabilir; örneğin, yangın tehlikesi yaratmak için brülörünü yakmak veya kurban uymazsa kaynar su tükürmek gibi.

Ancak belki de aynı derecede korkutucu bir şekilde, sessizce tüm ağınıza açılan bir ağ geçidi olarak orada durabilir; banka hesap bilgilerinden e-postalara veya kripto kurtarma ifadelerine kadar her şeyi gözetlemelerine izin verebilir.

Kumarhane akvaryumunun gizliliği ifşa edildi

En ünlü vakalardan biri 2017 yılında, siber saldırganların lobideki internete bağlı bir akvaryumu ele geçirerek Las Vegas’taki bir kumarhaneden 10 gigabayt veri aktarmasıyla yaşandı.

Akvaryumda sıcaklık, yiyecek ve temizliği düzenleyen sensörler vardı ve bunlar kumarhanenin ağındaki bir bilgisayara bağlıydı. Bilgisayar korsanları akvaryumu kullanarak ağın diğer alanlarına geçtiler ve Finlandiya’daki uzak bir sunucuya veri gönderdiler.

Akvaryum böyle bir şeye benzeyebilirdi. (Muhammad AyanButt/Unsplash)
Bu durum, kumarhanenin tipik güvenlik duvarları ve antivirüs yazılımları kullanmasına rağmen gerçekleşmiştir. Neyse ki saldırı hızlı bir şekilde tespit edildi ve ele alındı.

Siber güvenlik firması Darktrace CEO’su Nicole Eagan o dönemde BBC’ye verdiği demeçte, “Bunu hemen durdurduk ve hiçbir hasar meydana gelmedi,” dedi ve internete bağlı cihazların sayısının artmasının “dışarıda bir hacker cenneti olduğu” anlamına geldiğini sözlerine ekledi.

Gizlice kripto madenciliği yapan kapı sensörü

Yıllar sonra, 2020’de, dünya çapındaki ofisler COVID-19 salgını nedeniyle boş kaldığında, Darktrace bir ofisin biyometrik kapı erişimini kontrol eden bir sunucudan yararlanan gizli bir kripto madenciliği operasyonu keşfetti.

Siber güvenlik firması olayı, internete dönük sunucunun ağda hiç görülmemiş harici bir IP adresinden şüpheli bir yürütülebilir dosya indirmesinin ardından tespit etti.

Dosyayı indirdikten sonra sunucu, gizlilik belirteci Monero için madencilik havuzlarıyla ilişkili harici uç noktalara tekrar ve tekrar bağlandı.

Buna cryptojacking deniyor ve Microsoft’un Tehdit İstihbarat ekibi 2023’te bilgisayar korsanlarının Linux sistemlerini ve internete bağlı akıllı cihazları hedef aldığı daha fazla vaka tespit etti.

Tehdit aktörlerinin, internete bağlı Linux ve IoT cihazlarına kaba kuvvetle girmeye çalışarak saldırıyı başlattığını tespit etti. İçeri girdikten sonra bir arka kapı kurarak kriptomadencilik kötü amaçlı yazılımını indirip çalıştırıyor, elektrik faturalarını yükseltiyor ve elde ettikleri tüm geliri cüzdanlarına gönderiyorlar.

Sahte 404 HTML sayfalarına gömülü kripto kaçırma yüklerini içeren en son vakalardan biriyle birlikte daha birçok kripto kaçırma vakası yaşanmıştır.

Yeterince akıllı cihazı hacklerseniz şebekeyi kapatabilirsiniz

Hatta Princeton Üniversitesi güvenlik araştırmacıları bir keresinde, bilgisayar korsanlarının yeterince güç tüketen cihazı, örneğin 210.000 klimayı ele geçirmeleri ve hepsini aynı anda çalıştırmaları halinde, Kaliforniya’nın nüfusuna eşdeğer bir nüfusu yani 38 milyon insanı aniden elektriksiz bırakabileceklerini öne sürmüşlerdi.

Cihazların hepsinin şebekenin bir bölümünde çalıştırılması gerekecek, bu da belirli elektrik hatlarındaki akımı aşırı yükleyecek ve ya bu hatlara yeterince zarar verecek ya da bu hatlardaki koruyucu röleleri tetikleyerek kapatacak, bu da kalan hatlara daha fazla yük bindirecek, şebekede daha da fazla zorlanmaya yol açacak ve basamaklı bir etkiye yol açacaktır.

Ancak, bu tür şebeke dalgalanmaları sık sık meydana geldiğinden (sıcak hava dalgası sırasında olduğu gibi) kötü niyetle zamanlanmış olması gerekir.

Robot süpürgeniz sizi izliyor

Geçtiğimiz yıl, ABD genelinde birkaç robot süpürge kendi kendine çalışmaya başladı.

Bilgisayar korsanlarının Çin yapımı Ecovac robot süpürgelerinin belirli bir serisinde bir güvenlik açığı keşfettiği ortaya çıktı.

Raporlar, bilgisayar korsanlarının evcil hayvanları korkutmak için kullandıkları cihazı fiziksel olarak kullanabildiklerini, kullanıcılara küfür etmek için yerleşik hoparlörlerini kullandıklarını ve hatta insanların evlerinin etrafına bakmak için yerleşik kamerasını kullandıklarını belirtti.

Hacklenmiş Ecovac robot süpürgesinin canlı yayınından bir görüntü. (ABC News)
Siber güvenlik firması Kaspersky, “IoT cihazlarıyla ilgili ciddi bir sorun, ne yazık ki birçok satıcının hala güvenliğe yeterince önem vermemesi” diyor.
Söylemeye gerek yok, şifreleri girerken veya tohum cümleleri yazarken çekilen video görüntüleri yanlış ellerde felakete yol açabilir.

Kendinizi akıllı cihaz korsanlarından nasıl korursunuz?

Evinize baktığınızda neredeyse her şeyin internete bağlı olduğunu fark edebilirsiniz; belki bir robot süpürge, bir dijital fotoğraf makinesi, bir kapı zili kamerası.Bitcoin’inizi nasıl güvende tutuyorsunuz?

Bir seçenek de profesyonel hacker Joe Grand’ın yaklaşımını benimsemek: evinizde hiçbir akıllı cihaz bulundurmayın.

Daha önce Magazine’e verdiği demeçte, “Telefonum en akıllı şey ve hatta istemeyerek de olsa bir telefonum var çünkü haritalar ve ailemle iletişim kurmak için kullanıyorum,” diyor. “Ama akıllı cihazlar yok, mümkün değil.”

Avast’tan Hron, en iyi yolun akıllı cihazlarınız için bir parola belirlediğinizden emin olmak ve onları asla varsayılan ayarlarda bırakmamak olduğunu söylüyor.

Diğer uzmanlar, özellikle bilgisayarınız ve telefonunuzla aynı ağda olması gerekmeyen bir cihazsa, IoT cihazları için bir misafir ağı kullanılmasını, kullanılmadığında cihazın bağlantısının kesilmesini ve yazılımın güncel tutulmasını önermektedir.

İnternete bağlı cihazlar için paralı bir arama motoru bile var ancak internete bağlı hangi cihazlara sahip olduğunuzu ve nerelerde güvenlik açıkları olabileceğini görmenizi sağlıyor.

Bu makale, Cointelegraph kaynağından alıntılanmıştır. Telif haklarına ilişkin sorularınız için bizimle iletişime geçebilirsiniz.