Seul'deki Yoido Full Gospel Church binası gece; tepede ışıklı haç ve kilise tabelası (arşiv fotoğrafı, Aralık 2016)

Güney Kore'nin en büyük iki kilisesi olan Seul merkezli Yoido Full Gospel Church ve Sarang Community Church siber saldırıya uğradı. Siber tehdit istihbaratı şirketi Oasis Security, yurt dışındaki bir saldırgan sunucusunda Ağustos 2026'da bu iki kiliseden çalındığı kayıtlı verileri buldu. Olay, 6 Ekim 2026 tarihinde kamuoyuna yansıdı.

Oasis Security'nin analizine göre, saldırgan sunucusunda Yoido Full Gospel Church'e ait yaklaşık 960 bin üye bilgisi kaydı, yaklaşık 330 bin bağış kaydı, yaklaşık 68 bin elektronik onay belgesi, 14.706 iç mesajlaşma konuşması yer alıyor ve toplam veri boyutu 47,3 GB'ı buluyor. 960 bin, kişi sayısı değil kayıt sayısıdır; Oasis'e göre bunlar son iki yılda güncellenen üye bilgisi kayıtları. SBS'ye göre kilisenin yaklaşık 500 bin kayıtlı üyesi var. Sarang Community Church için ise yaklaşık 89 bin üyenin adı, adresi ve telefon numarası ile baş papaz dahil 286 çalışanın bilgileri ve fotoğrafları tespit edildi. Sarang Community Church bu rakamı doğrulamadı ya da yalanlamadı.

Kiliselerin açıklamaları ve kapsam itirazı

Yoido Full Gospel Church, 7 Ekim 2026 tarihinde yaptığı açıklamada 6 Ekim 2026'da Kore İnternet ve Güvenlik Ajansından (KISA) bildirim aldığını, aynı gün kötü amaçlı yazılımı tespit edip sildiğini ve 7 Ekim'de dış erişimi keserek parolaları değiştirdiğini belirtti. Kilise, dış güvenlik şirketinden gelen 7 şüpheli veri setinden 6'sında kişisel veri bulunmadığını, 1993–2019 dönemi bağış verilerinin yalnızca fiş numarası, tutar ve açıklama içerdiğini vurguladı. Kiliseye göre kişisel veri içerdiği doğrulanan tek set, üye bilgisi değişiklik geçmişi; bu sette 2.629 kimlik numarası, 3.964 telefon ve 7.202 adres değişikliği kaydı var. Baş papaz Lee Young-hoon özür diledi. Sarang Community Church ise olası sızıntı belirtisi üzerine acil durum görev gücü kurarak kurumlara bildirimde bulundu.

Saldırı nasıl yapıldı

Oasis Security'nin analizine göre Yoido Full Gospel Church'e yönelik saldırıda, saldırgan web shell (sunucuya gizlice yerleştirilen uzaktan kontrol dosyası) kullanarak ERP sunucusuna sızdı ve MSSQL veritabanında sysadmin yetkisi aldı. Sarang Community Church saldırısında ise ele geçirilmiş hesaplarla kurum içi iş ve yazışma platformu (groupware) sistemine girildi, IDOR açığıyla (başka kullanıcının kaydına numara değiştirerek erişme) yetki yükseltildi. Ardından groupware'in tek oturum açma (SSO) özelliğiyle ek giriş yapmadan SAP portalına erişildi; Oasis'e göre çalışan bilgileri ve fotoğrafları burada alındı.

Oasis'e göre saldırgan, ABD merkezli bir dini içerik ve yayın hizmetine yönelik ihlalde ele geçirdiği bir MinIO yönetici hesabını Kore'deki kiliselerden çalınan verileri saklamak ve aktarmak için yeniden kullandı. Şirket bunun bir kampanya olabileceğini söylüyor, ancak eldeki kanıtın iki saldırıyı aynı kişilerin yaptığını göstermeye yetmediğini de belirtiyor.

Kilise saldırıları, Güney Kore'de bankalara yönelik, yapay zekâ kullanıldığından şüphelenilen saldırılar ve Cumhurbaşkanı Lee'nin soruşturma emri ile gündeme gelen dalgayla aynı döneme denk geldi. SBS'ye göre saldırıda kullanılan IP adresleri bankalara yönelik saldırılarla örtüşmüyor; bu da farklı bir saldırgana işaret ediyor. KISA kiliseleri uyardı. SBS'ye göre kiliseler kâr amacı gütmediği için siber ihlali bildirme yükümlülüğü taşımıyor.

Bilinmeyenler

Saldırganın kimliği ve grubu resmi olarak açıklanmadı; herhangi bir fidye talebi veya verilerin satışa çıkarıldığına dair bilgi bulunmuyor. Oasis Security'nin analizinde sunucuda yapay zekâ kullanımına işaret eden "alt ajan" (sub-agent) ifadeleri ve Çince açıklama satırları bulunduğu belirtilse de yapay zekâ ile gerçekleştirildiği kesinleşmedi.

Kaynaklar

Kapak görseli: Yoido Full Gospel Church, Seul (arşiv, Aralık 2016) — Striker9498 / Wikimedia Commons, CC0