İsrailli şirket internet reklamlarıyla telefonları sızdı

Citizen Lab, Discover-Tech reklamlarının kullanıcı tıklamadan cihazlara casus yazılım yerleştirmek için kullanıldığını ileri sürüyor.

Toronto Üniversitesi bünyesinde çalışan araştırma laboratuvarının bulguları, reklam dağıtımı ile cihazlara izinsiz erişim arasında bir bağlantı bulunduğu iddiasına dayanıyor. Araştırmacılara göre İsrail merkezli şirketin reklam kampanyaları, Katar’da faaliyet gösteren bir yayın kuruluşunda çalışan onlarca kişinin cihazına casus yazılım bulaştırılmasında kullanıldı.

Discover-Tech kendisini dijital reklam hizmetleri sunan bir ajans olarak tanıtıyor. Citizen Lab ise şirketin rolünü reklamların yayımlanmasıyla sınırlı görmüyor; işlettiği Controlium platformunun başka casus yazılım sağlayıcılarına hedefledikleri cihazlara ulaşabilecekleri bir kanal sunduğunu belirtiyor.

Controlium üzerinden tıklamasız erişim iddiası

Citizen Lab’in değerlendirmesinde Controlium, kullanıcıların geniş ölçekte profillenmesini ve anonim internet faaliyetlerinin kimliklerle ilişkilendirilmesini sağlayan bir platform. Araştırmacılar, bu altyapının üçüncü tarafların gizli cihaz erişimini kolaylaştırdığını söylüyor; reklam hizmeti, kullanıcı kimliğinin belirlenmesi ve casus yazılımın yerleştirilmesi böylece aynı zincirin parçaları olarak tarif ediliyor.

Raporda anlatılan yöntemin ayırt edici özelliği, hedef kişinin bir dosyayı açmasına veya bağlantıyı izlemesine ihtiyaç duymaması. Citizen Lab’e göre sıfır tıklama olarak adlandırılan bu yöntemde yazılım, kullanıcının farkına varmadığı ve birkaç saniye sürebilen bir işlemle cihaza yerleşebiliyor.

Bu iddianın güvenlik açısından önemi, saldırının gerçekleşmesi için kullanıcıdan ayrıca bir eylem beklenmemesinde yatıyor. Bulgular doğrulanırsa, yalnızca şüpheli bağlantılardan uzak durmaya dayalı bir yaklaşım, araştırmacıların tarif ettiği reklam kaynaklı erişim yolunu tek başına kapatmış olmayacak.

Citizen Lab, platformla bağlantılı casus yazılım şirketlerinin hedef grupları arasında kamu görevlilerini, gazetecileri, iş dünyası temsilcilerini ve aktivistleri sayıyor. Akademisyenler ile diplomatik temsilciliklerde çalışanlar da araştırmacıların aktardığı kapsamda bulunuyor; ancak bu meslek gruplarının her biri için ayrı bir bulaşma sayısı verilmiyor.

Milyonlarca gösterim, farklı kanıt düzeyleri

Araştırmacılar, Discover-Tech’in söz konusu reklamları 2024’ten itibaren milyonlarca internet kullanıcısına ulaştırdığını bildiriyor. Verilen ülke örnekleri arasında Yemen ve Çekya’nın yanı sıra Brezilya ile Meksika da yer alıyor; bu bilgi dağıtımın tek bir ülkeyle sınırlı olmadığını gösteriyor.

Bununla birlikte, reklamın bir kullanıcıya gösterilmesi ile o kullanıcının cihazının ele geçirilmesi ayrı bulgular. Milyonlarca kişiye erişildiği yönündeki sayı, aynı sayıda başarılı sızma yaşandığını kanıtlamıyor; aktarılan cihaz bulaşması tespiti yayın kuruluşu çalışanlarıyla ilgili daha dar bir grubu kapsıyor.

Bağımsız araştırma grubu Confiant’ın paralel incelemesi de şirketin reklamlarının ulaştığı çevrelere odaklanıyor. Grubun bulgularına göre gösterimler, ABD ile Avrupa’daki kamu kurumlarının ağlarında bulunan kullanıcılara ve Birleşmiş Milletler, NATO, Uluslararası Ceza Mahkemesi ile Uluslararası Atom Enerjisi Ajansı personeline kadar uzanıyor.

Confiant’ın aktarılan tespiti, reklamların bu çevrelere ulaştığı yönünde; kurumların sistemlerine başarıyla sızıldığını ortaya koyan ayrı bir bulgu aktarılmıyor. Bu nedenle paralel çalışma, Citizen Lab’in cihazlara bulaşma iddiasının bütün ayrıntılarını bağımsız biçimde doğrulayan bir sonuç olarak okunamaz.

Cihaz erişiminin kapsamı ve belirsizlikler

Citizen Lab’e göre platformla birlikte kullanılan casus yazılımlar, ele geçirilen cihazlardan yazışmaları, görüntüleri ve elektronik postaları çıkarabiliyor. Araştırmacılar ayrıca aramaların kaydedilebildiğini, kamera ile mikrofonun cihaz sahibinin bilgisi dışında çalıştırılabildiğini belirtiyor; bunlar yazılımlara atfedilen yetenekler, her vakada gerçekleştirildiği belgelenen işlemler değil.

Discover-Tech açısından temel açık soru, reklam hizmetiyle iddia edilen izinsiz erişim arasındaki ilişkinin teknik kapsamı; şirketin bu bulgulara yanıtı aktarılmıyor. Reklam dağıtımına ilişkin tespitler cihaz incelemeleriyle de doğrulanırsa, incelemelerin odağı tek tek kullanıcılardan reklam zincirindeki aracılara genişleyebilir; mevcut bilgiler ise hangi cihazların ve yazılım sürümlerinin etkilendiğini belirlemeye yetmiyor.