ABD Adalet Bakanlığı (DOJ), 12 Kasım 2026'da FBI'ın «FaceStealer» adını verdiği sosyal mühendislik düzeninde kullanılan bulut tabanlı altyapıya el konulduğunu duyurdu. DOJ'a göre bu düzenle son 18 ayda 400 milyon doları aşkın kripto para çalındı ve açık kaynak yazılım tedarik zincirindeki kişiler de hedef alındı. FBI, federal izinle 900'ü aşkın kurban web kamerası videosuna el koydu.
DOJ, saldırıları kamuoyunda Sapphire Sleet, UNC1069, Dangerous Password, CryptoCore, APT38, BlueNoroff ve Stardust Chollima adlarıyla bilinen Kuzey Koreli hacker gruplarına bağladı.
Tuzak nasıl kuruluyor
Düzende hedeflere, önceki kurbanlardan çalınmış hesaplar üzerinden görüntülü toplantı davetleri gönderiliyor. Nextgov'a göre bu davetler Telegram, LinkedIn, Slack ve Discord gibi servislerde ele geçirilmiş gerçek hesaplardan geliyor. The Record'a göre hedefler Calendly davetleriyle Zoom ya da Microsoft Teams toplantısına çağrılıyor ve bağlantılar bu servisleri taklit eden sahte alan adlarına yönlendiriyor. Reuters'a göre saldırılarda Google Meet taklitleri de kullanıldı.
Hedef toplantıya katıldığında saldırganlar kişinin web kamerası görüntüsünü gizlice kaydediyor. Aynı sırada, hedefin tanıdığı önceki kurbanların önceden kaydedilmiş videoları oynatılarak güvendiği kişiler toplantıdaymış izlenimi veriliyor. DOJ'a göre saldırganlar ayrıca kripto ve Web3 sektöründe tanınan kişilerin yapay zekâ ile üretilmiş sahte videolarını (deepfake) da kullanıyor.
Ses sorunu bahanesiyle zararlı yazılım
Görüşme başladıktan sonra örneğin hedefin sesinin duyulmadığı söylenerek sahte bir teknik sorun yaratılıyor ve «düzeltme» amacıyla bir bağlantı ya da komut paylaşılıyor. Nextgov'a göre bu adımlar bir betik çalıştırmayı veya terminale komut yapıştırmayı içerebiliyor. Sözde «düzeltme» cihaza gizlice zararlı yazılım kuruyor; Nextgov'a göre zararlı yazılım tuş vuruşlarını kaydedebiliyor, ekran görüntüsü alabiliyor ve cihaza kalıcı erişim sağlıyor.
DOJ'a göre bazı vakalarda kripto para hırsızlığı ve iletişim hesaplarının ele geçirilmesi, ilk sızmadan birkaç ay ile bir yılı aşkın süre sonra gerçekleşti. Saldırganlar ele geçirdikleri cihaz üzerinden yeni kurbanın kişi listelerine, sosyal medya hesaplarına ve mesajlaşma uygulamalarına ulaşarak bu kez onun kişisel ve iş çevresini hedef aldı.
Hedefte açık kaynak geliştiriciler de var
DOJ'a göre Kuzey Koreli grup, cihazlarına ve kontrol ettikleri yazılım deposu hesaplarına erişmek için giderek açık kaynak yazılım geliştiren ve bakımını yapan kişileri hedef alıyor. Bakanlık bu yönelimi yazılım tedarik zinciri saldırılarına zemin hazırlama çabası olarak değerlendirdi.
Nextgov'a göre FBI, yaygın kullanılan bir yazılımın bakımını yürüten bir geliştiricinin bilgisayarına bu yolla sızıldığını ve yazılıma zararlı kod eklendiğini bildirdi. Saldırının geniş çapta yayılmadan tespit edilerek durdurulduğu aktarılırken ilgili yazılımın adı paylaşılmadı.
Binance'ten çalınan varlıklara da el konuldu
DOJ aynı açıklamada, FaceStealer'dan ayrı bir dosya olarak FBI'ın «TraderTraitor» adıyla tanımladığı Kuzey Kore ordusu mensuplarına ilişkin el koyma işlemlerini de duyurdu. Açıklamaya göre grup, 29 Ekim civarında Binance'ten 6 milyar doları aşkın sanal varlık çaldı. ABD hükümeti ve özel sektör çalınan varlıkların 2,7 milyar doları aşkın kısmını dondururken, Bakanlık bunun 1,2 milyar doları aşkın bölümü için mahkemeden el koyma ve kısıtlama izni aldı.
Neler açıklanmadı
Resmî açıklamalarda FBI'ın el koyduğu 900'ü aşkın web kamerası videosunun kaç farklı kişiye ait olduğu ve kurbanların ülkeleri belirtilmedi. The Record'a göre FBI zincirin ilk kurbanının kim olduğunu da tespit edemedi. Zararlı kod eklenen açık kaynak yazılımın adı açıklanmazken açıklamalarda Türkiye'ye ilişkin herhangi bir bilgi yer almadı.
Bu tür toplantı tuzakları neden işe yarıyor
FBI Los Angeles Saha Ofisi'nden Patrick Grandy, yöntemin etkisini «FaceStealer, en deneyimli teknik ve güvenlik bilinci yüksek bilgisayar kullanıcısını bile kandırabilecek kadar etkili bir sosyal mühendislik düzeni.» sözleriyle özetledi. FBI düzene ilişkin ayrıntılı bir rapor ve www.fbi.gov/facestealer adresinde bir bilgi sayfası yayımladı.
Bu yöntem, siber güvenlikte «ClickFix» olarak adlandırılan ve kullanıcıyı sahte hata mesajıyla kendi eliyle komut çalıştırmaya yönelten tekniklere benziyor. Meşru Zoom veya Microsoft Teams kullanımında ses ya da kamera sorununu gidermek için terminale komut yapıştırmak veya ek yazılım kurmak gerekmiyor. Tanıdık bir hesaptan gelse bile beklenmedik toplantı davetlerinin başka bir iletişim kanalından teyit edilmesi bu tür tuzakların riskini azaltıyor.
Türkiye açısından
DOJ ve FBI açıklamalarında Türkiye'ye ilişkin bir kayıt bulunmuyor. Bununla birlikte kripto para ve Web3 sektöründe çalışanlar ile açık kaynak geliştiriciler doğrudan hedef alındığı için bu alanlardaki Türk kullanıcılar da aynı yöntemle karşılaşabilir.
Kaynaklar
- ABD Adalet Bakanlığı, Justice Department Announces Actions to Disrupt North Korea's Massive Theft of Cryptocurrency (12 Kasım 2026)
- The Record, Feds announce seizure of $1.2 billion from Binance theft; also takedown of 'FaceStealer' tools
- Nextgov, FBI disrupts intricate North Korean fake-call scheme tied to $400M in crypto theft
Kapak görseli: G. Edward Johnson / Wikimedia Commons, CC BY 4.0 (FBI genel merkezi, Washington; kırpıldı, 1200x675).
