50 bin kiþilik liste dünya gündemine oturdu! Türkiye'den kimler var?

Ýran Araþtýrmalarý Merkezi (ÝRAM) Güvenlik Araþtýrmalarý masasýnda görev yapan Ersin Çahmutoðlu, "Dünyayý tehdit eden casus yazýlým: Pegasus" baþlýklý çarpýcý bir yazý kaleme aldý. Ýþte AA'da yer alan analiz yazýsý;

Uluslararasý siber silah pazarýnýn adeta hâkimi olan dijital casusluk yazýlýmý Pegasus, sarsýcý iddialarla yeniden dünya gündemine oturdu. Guardian, Washington Post, AFP, CNN ve Reuters'ýn da aralarýnda bulunduðu 16 farklý medya kuruluþunca gündeme getirilen iddialar, Ýsrail üretimi Pegasus'un küresel ölçekte kimlere karþý hangi amaçla kullanýldýðýna iliþkin tartýþmalara neden oldu.

Pegasus'a dair söz konusu iddialarýn büyük bir kýsmý esasýnda yýllardýr dile getiriliyor. Ýlk olarak 2016 yýlýnda teknik araþtýrma raporlarýnda gördüðümüz Pegasus'un, Suudi Arabistan, Birleþik Arap Emirlikleri (BAE), Fas, Pakistan, Hindistan, Sudan, Meksika, Ýspanya, Fransa, Macaristan gibi 50'den fazla ülkede tespit edildiði, adý geçen ülkelerde üst düzey siyasetçiler, gazeteciler, aktivistler, hukukçular ve STK temsilcilerinin izlendiði iddia edilmiþti. Pegasus'un üreticisi Herzliya merkezli firma olan NSO Group, o dönemlerde söz konusu iddialarýn tümünü yalanlamýþtý.

2016 yýlýndan günümüze kadar gelen süreçte, Pegasus'un Türkiye'de de tespit edildiði ve birtakým isimlerin hedef alýndýðý iddialar arasýndaydý. Meselenin esas tartýþma konusu haline gelmesi ise 2018 yýlýnýn Ekim ayýnda vahþice katledilen Cemal Kaþýkçý'nýn Pegasus ile bir süre izlenmiþ ve hedef alýnmýþ olmasýydý. 2019 yýlýnda, Kaþýkçý'nýn yakýn arkadaþý Ömer Abdülaziz önce kendisinin sonra da Kaþýkçý'nýn Suudi Arabistan Veliaht Prensi Muhammed bin Selman yönetimi tarafýndan hedef alýndýðýný çok defa dile getirmiþti. NSO, bu iddialarýn doðruluk payý olmadýðýný, ürünlerinin Kaþýkçý cinayetinde herhangi bir rolünün bulunmadýðýný açýklamýþtý.

Uluslararasý basýnda, Pegasus yazýlýmýnýn bu þekilde kötüye kullanýldýðýna dair çýkan birçok haberi yalanlayan þirket, bu söylemlerine bugün de ýsrarla devam ediyor. Özellikle uluslararasý gazeteciler konsorsiyumu Forbidden Stories ve Uluslararasý Af Örgütü'nün (UAÖ) hazýrlayýp 16 medya kuruluþundan 80 gazeteciyle paylaþtýðý "dünya çapýnda 50 bin telefona Pegasus bulaþtý" iddialarý þirket tarafýndan peþ peþe yapýlan açýklamalarla reddediliyor. Ýddialara verilen cevaplarýn ikna edici olmadýðý da uluslararasý alanda tartýþýlýyor. Peki bu iddialarýn doðruluk payý nedir? Bu soruya cevap vermeden önce NSO Group þirketinden ve Pegasus casus yazýlýmýndan bahsetmek gerekiyor.

- Pegasus ile gelen kötü þöhret

Ýsrail'in en bilinen siber casusluk ve teknoloji þirketi olan NSO Group, 2010 yýlýnda Herzliya kentinde üç Ýsrailli tarafýndan kuruldu. On bir yýllýk geçmiþe sahip olan þirket, küresel þöhretini amiral gemisi ürünü olan Pegasus casus yazýlýmý sayesinde kazandý. Fakat çeþitli skandallar ve insan haklarý ihlalleri gibi davalarda adý geçen NSO için Pegasus, kötü bir þöhret getirdi.

NSO, Ýsrail askeri istihbarat servisi AMAN'da teknik istihbarat faaliyetlerinde temel rolü olan Unit8200 teþkilatýndan gelen üç kiþi tarafýndan kuruldu. Niv Carmi, Shalev Hulio ve Omri Lavie tarafýndan kurulan þirketin adý, kurucularýnýn isimlerinin baþ harflerinden oluþuyor. Daha sonra Niv Carmi ekipten ayrýldý ve NSO 2019 yýlýnda Ýngiltere merkezli yatýrým þirketi olan Novalpina Capital tarafýndan satýn alýndý. Niv Carmi'nin yerine Novalpina Capital geçti. Shalev ile Omri, þirketin üst düzey yöneticileri olarak görevlerine halen devam ediyorlar.

2016 yýlýndan itibaren adýný daha çok duyduðumuz NSO, bugün sahip olduðu deðer bakýmýndan Ýsrail'in en büyük siber teknoloji þirketi olarak nitelendirilebilir. Her ne kadar çoðu yerde Pegasus gibi siber casusluk ürünleri saðlayan bir þirket olarak bilinse de NSO, Eclipse adýný verdiði bir "counter-drone" sistemi de geliþtiriyor. 2020 yýlýnýn baþlarýnda þirket, yine bir baþka Ýsrail firmasý olan ve anti-drone teknolojileri üreten Convexum adlý þirketi 60 milyon dolara satýn almýþtý. Bu satýn almanýn ardýndan NSO, sadece altý ayda tamamen kendi ürünü olan Eclipse'i üretti.

Þirketin, Pegasus ve Eclipse dýþýnda iki farklý ürünü daha mevcut. Telefon dinleme ve teknik takip cihazý/aygýtý olan Pixcell ve coðrafi istihbarat (GEOINT) alanýnda askeri teknolojilere örnek olan Landmark isminde stratejik araçlar da geliþtiriyor. Pixcell ve Landmark adlý ürünler hakkýnda sadece "özel" görüþmelerde bilgi veriliyor.

NSO'nun en meþhur ve muhtemelen en pahalý ürünü olan Pegasus, ifþa olan resmi dokümana göre þirketin en stratejik ürünü olarak biliniyor. 2021 rakamlarýna göre 45 ülkede kullanýma sunulan Pegasus'u çoðunlukla devletlerin istihbarat servisleri satýn aldý. Deðeri net olarak bilinmese de çeþitli kaynaklarda 30-50 milyon dolar arasý rakamlardan söz ediliyor.

Kamuoyunda kötü þöhretle anýlmaya baþladýðý 2016 yýlýndan itibaren NSO'ya karþý uluslararasý alanda çeþitli suç duyurularý yapýldý. Bunlardan en bilineni, 2019 yýlýnda WhatsApp tarafýndan açýlan dava. Þirket, günümüzde de çeþitli devletlerin ve þirketlerin açtýðý onlarca davayla mücadele ediyor.

- Pegasus'u diðerlerinden ayýran nedir?

Stratejik siber silah olarak tanýmlayabileceðimiz Pegasus casus yazýlýmý þahýs ya da þirketlere deðil, sadece devletlerin istihbarat servislerine ve kolluk kuvvetlerine satýlýyor. Satýþlar ve diðer bütün görüþmeler doðrudan NSO uzmanlarý ile yapýlýyor. Bu satýþlar da Ýsrail Savunma Bakanlýðý'nýn onayýndan geçmek zorunda. Yani Pegasus, yalnýzca Tel Aviv yönetiminin izin verdiði devletlere satýlabiliyor.

Günümüzde 45 ülkede kullanýmda olduðu söylenen Pegasus'un, yine Tel Aviv yönetiminin talebiyle sadece beþ ülkeye satýþý yapýlmýyor; ABD, Rusya, Çin, Ýsrail ve Ýran. Hatta bir baþka bilgiye göre Pegasus, söz konusu beþ ülkenin sýnýrlarýna girdiði anda kendini imha ediyor. Bu özellik, istihbarat fonksiyonu olan bir teknoloji ürünü için stratejik bir konu. Pegasus'un en büyük özelliklerinden biri de bu tip bir "self-destruction" (kendini imha etme) niteliðine sahip olmasý. Diðer yandan NSO þimdiye kadar 90 ülkenin Pegasus'u satýn alma talebini reddetmiþ. Burada da Tel Aviv'in çýkarlarýnýn göz önünde tutulduðu görülüyor.

Pegasus, esas olarak iki farklý metotla hedefe bulaþýyor. Ýlki, kullanýcý etkileþimi (týklama vb.) gerektirirken, diðeri ise "zero click" olarak bilinen, WhatsApp gibi uygulamalar üzerinden enfekte olma yöntemi. Pegasus casus yazýlýmý, (en güvenli olarak bilinenler dahil) dünyada bilinen bütün mobil cihazlara bu iki yoldan sýzýp onlarý tamamen kontrol edebiliyor. Sadece kamera, mikrofon ve uygulamalara eriþmekle, mesajlarý okumakla kalmýyor, hedef olan cihaza tamamen hükmedebiliyor.

Yýllar önce ifþa olan NSO dokümanýndan gördüðümüz bilgilere göre Pegasus'un sýzdýðý bir cihazdan elde ettiði veriler þu þekilde listelenebilir:

Telefon çaðrýlarý (görüþmeleri anlýk olarak dinler ve kayýt alýr)

Kamera ve mikrofon (Anlýk olarak çevreden ses ve görüntü alýr)

Metin mesajlarý (SMS'lerin tamamýna eriþir, okur)

Chat uygulamalarý (WhatsApp gibi programlardaki yazýþmalarý okur)

E-postalar (Gelen ve giden e-posta ve eklerini okur)

Konum bilgileri (Anlýk olarak konum takibi yapar, gidilen yerleri kaydeder)

Cihaz özellikleri, ayarlar ve þebeke bilgileri

Rehberde kayýtlý kiþiler

Web tarayýcý kayýtlarý (her türlü internet tarayýcýsýný anlýk olarak izler)

Takvim etkinlikleri

Dosya transferleri (alýnan ve gönderilen dosyalarý okur)

Bütün bunlar Pegasus'un basit bir casus yazýlým deðil, stratejik bir akýlla üretilen bir siber silah olduðunun göstergesi. Pegasus'un Ýsrailli uzmanlarca "askeri düzeyde casus yazýlým" olarak tanýmlandýðýný da vurgulamak gerekir. Son olarak, Pegasus için söylenen þu söz, onun niteliðini özetliyor: "Pegasus cihazýnýza bulaþýrsa, o cihaz artýk sizin deðildir."

- Pegasus, 50 bin kiþiyi izledi mi?

NSO ve Pegasus'tan bahsettikten sonra, analize konu olan esas meseleye geliyoruz. Geçtiðimiz günlerde "Pegasus Project" baþlýðýyla birçok yayýn kuruluþu tarafýndan eþ zamanlý olarak gündeme taþýnan haberlerdeki en sarsýcý husus, Pegasus'un dünya çapýnda 50 bin telefona bulaþtýðý ve muhtemelen tamamýný anlýk olarak izlediði iddiasýydý. Forbidden Stories ve UAÖ, söz konusu iddialarýn kaynaðý olarak biliniyor. Forbidden Stories ve UAÖ'nün teknik analizlerine dayandýrdýðý iddialarý daha sonra diðer uluslararasý medya kuruluþlarý da haberleþtirince uluslararasý kamuoyunun dikkati bir anda bu konu üzerine odaklandý.

50 bin telefon numarasýnýn yer aldýðý listeden bahseden söz konusu kuruluþlar, listenin nasýl ve nereden elde edildiðini açýklamadýlar. Ýddialarý öne sürerken de ellerinde nasýl bir kanýt olduðuna dair açýk bilgi/veri sunmadýlar.

Aralarýnda Fransa Cumhurbaþkaný Emmanuel Macron, Pakistan Baþbakaný Ýmran Han gibi onlarca üst düzey devlet görevlisinin, holding patronlarýnýn, gazetecilerin, aktivistlerin ve akademisyenlerin bulunduðu ve 50 bin kiþi içerdiði söylenen liste, esasýnda potansiyel hedefler olarak nitelendiriliyor. Listenin içeriðine dair bilgiler kýsýtlý olarak açýklansa da bunlara dair sunulan teknik rapor ve ortaya konulan dokümanlar, mevcut haliyle ikna edici olmaktan uzak kalýyor.

Bu konuda NSO'nun CEO'su ve kurucu ortaðý Shalev Hulio da iddialarý yalanlayan bir açýklama yaptý. Hulio, kendilerine, 50 bin kiþilik listenin dolaþýmda olduðuna dair güvenilir yerden bir ihbarýn geldiðini ifade ediyor. NSO'nun Kýbrýs'ta yer alan sunucularýnýn hacklendiðini ve sonrasýnda söz konusu listenin elde edildiðini öðrendiklerini ancak incelemeler sonrasý böyle bir listenin varlýðý konusunda herhangi bir bulguya ulaþmadýklarýný vurguluyor.

Burada bir noktayý da açmak gerekiyor: NSO'nun Ýsrail dýþýnda Kýbrýs ve Bulgaristan'da da ofisleri olduðu söyleniyor. Ýsrailli bir baþka firma olan Circles, Kýbrýs'ta faaliyet yürüten bir siber istihbarat þirketiydi. Kurucusu Tal Dilian, Unit8200'de üst düzey yönetici olarak görev yaptýktan sonra oradan ayrýlýp Circles'ý kurmuþtu.

2019 yýlýnda "Casus Panelvan" adýyla haberlere konu olan Tal Dilian, þirketi üzerinden Kýbrýs'ta teknik istihbarat faaliyetleri yürüttüðü tespit edilince üç kiþiyle birlikte tutuklanmýþtý. Þirketin NSO'ya katýlmasýyla birlikte faaliyetlerinin tümü de NSO uzmanlarýnca yürütülmeye baþlanmýþtý. Fakat þirketin karþý karþýya kaldýðý sorunlardan sonra NSO geçen yýl tüm Circles çalýþanlarýnýn iþine son verdi ve Kýbrýs'taki ofisi de kapattý.

NSO'nun CEO'su Hulio, 50 bin kiþilik listeyle ilgili iddialarýn tümünü birçok kez yalanladý. "NSO'nun tüm geçmiþini alsanýz dahi, þirketin kuruluþundan bu yana Pegasus'ta 50 bin kiþi içeren bir hedef listesine ulaþamazsýnýz," diyen Hulio; "Pegasus'un 45 müþterisi var ve müþteri baþýna yýlda yaklaþýk 100 hedef var. NSO'nun tüm Pegasus hedeflerini içeren bir listesi bulunmuyor. Çünkü þirket, müþterilerinin sistemi nasýl kullandýðýný gerçek zamanlý olarak bilemez," ifadelerini kullandý.

Hulio bu açýklamalara ilave olarak þunu da belirtmiþti: "Eðer Bin Ladin gibi bir terörist deðilseniz, Pegasus sizi hedef almaz." Fakat ayný zamanda Hulio'nun açýklamalarýnda diðerleriyle çeliþen bir cümle de var: "Müþterilerimizin kimleri hedef aldýðýný anlýk olarak bilemeyiz. Ancak soruþturma baþlattýktan sonra gereken incelemeleri yapabiliriz. Aykýrý durum olursa, sistemi kapatýrýz..." Bu ifadelerden þunu anlayabiliriz: NSO, Pegasus operatörlerinin (devletlerin) kimleri hedef aldýðýný nihayetinde mutlaka bilir ve istediðine müdahale edip sistemi kapatabilir.

Diðer yandan, Pegasus'un hedef aldýðý iddia edilen 50 bin kiþilik listeyi öne süren kaynaklardan biri olan UAÖ, kendi içerisinde de çeliþen açýklamalarda bulundu. UAÖ'nün Ýsrail temsilcisi, söz konusu listeyi hiçbir þekilde NSO ile iliþkilendirmediklerini resmi bir belgeyle açýkladý. "Ýsrail menþeli bir haber sitesinde yayýnlanan bu iddiayý Twitter'da paylaþtýðýmýzda dünya çapýnda olaðanüstü bir reaksiyon geliþti." UAÖ'nün uluslararasý ofisi NSO'yu suçlarken, Ýsrail ofisi aksini söylüyor. Buradan da anlaþýlacaðý üzere, kafa karýþtýrýcý açýklamalar yüzünden NSO'nun gerçekten toplamda 50 bin kiþiyi hedef alýp almadýðý konusu tartýþmalý bir mesele olarak kaldý.

- Türkiye'den kimler var?

Pegasus'un dünya çapýnda hedef aldýðý isimlere dair haberler 2016 yýlýndan beri teknik raporlarda açýklanýyor. Bugüne kadar onlarca gazeteci, aktivist, avukat, siyasetçi, suç örgütü lideri ve teröristin hedef alýndýðý biliniyor. Pegasus'un sadece terörle ve uluslararasý suçlarla mücadele amacýyla geliþtirildiðini söyleyen NSO yöneticileri, muhalif gazeteci, siyasetçi ya da diðer meslek gruplarýnýn neden hedef olduklarýna dair ikna edici açýklamalar yapamýyorlar.

Elli bin kiþilik listeye gelince yine ayný durumla karþý karþýyayýz. Listede yer alan isimlerin hiçbirinin terör örgütü/suç örgütü üyesi olmadýðý söyleniyor. Devlet baþkanlarý, siyasetçiler ve üst düzey bürokratlarýn yer aldýðý listede Türkiye'den de bazý isimlerin olduðu dile getiriliyor.

2018 yýlýnda Cemal Kaþýkçý vahþice öldürüldükten sonra, Kaþýkçý'yla birlikte yakýn arkadaþý gazeteci Ömer Abdülaziz, eski eþi El Atr ve niþanlýsý Hatice Cengiz'in telefonlarýnýn Pegasus'la hedef alýndýðý açýklanmýþtý. Kanada'da yaþayan Abdülaziz, bu iddialarý çok defa doðrulamýþtý. Hulio, diðer iddialar gibi bunlarýn da tamamýný reddediyor.

Dünyanýn konuþtuðu iddialar, geçtiðimiz günlerde ortaya atýlan listedeki bazý isimlerin açýklanmasýný takiben Türk kamuoyunun da dikkatini çekti. Kaþýkçý cinayetini soruþturan eski Ýstanbul Cumhuriyet Baþsavcýsý Ýrfan Fidan, AK Parti Genel Baþkan Danýþmaný Yasin Aktay ve gazeteci Turan Kýþlakçý listede bilinen isimler olarak öne çýktýlar.

Ýddialarýn doðru olup olmadýðýný net olarak bilen tek merci NSO'nun kendisi. Ancak adý geçen isimlerin de konu hakkýnda bilgisi olmasý muhtemel. Diðer yandan istihbarat kurumlarýnýn da Pegasus'un ülkemizdeki aktivitelerine dair bilgiye sahip olduðu düþünülüyor.

- Pegasus ve benzerlerinin gidiþi nereye?

Dünya siber silah pazarýnýn geldiði nokta oldukça endiþe verici. Hem bireyler ve devletler hem de þirketler ve uluslararasý örgütler bazýnda büyük tehlikeler söz konusu. Pegasus gibi siber casusluk araçlarýnýn kimler tarafýndan ne amaçla kullanýldýðý net olarak bilinmediði için özellikle devletler büyük tehdit altýndalar.

Ulusal güvenlik meselesi olarak görülebilecek bu tür siber silahlar, iki düþman devletin birbirine karþý kullanabileceði bir silah haline gelebilir. Hatta barýþ dönemlerinde bile devletler, pratik ve hýzlý olmalarý nedeniyle bu tür "dijital casuslara" istihbarat toplama amacýyla baþvurabilir.

Buraya kadar anlattýklarýmýz sadece Pegasus deðil, diðer casus yazýlýmlar için de geçerli olabilir. Bu durum, siber silah endüstrisinin gidiþatýnýn korkutucu boyutuna iþaret ediyor. Bu korkutucu gidiþata "dur" diyecek olanlar ise sadece devletler.

[Siber güvenlik alanýnda istihbarat ve devlet destekli siber aktiviteler konularýnda çalýþmalar yapan Ersin Çahmutoðlu Ýran Araþtýrmalarý Merkezi (ÝRAM) Güvenlik Araþtýrmalarý masasýnda görev yapmaktadýr]