İran, Hamas yanlısı siber destekli etki operasyonlarına hız verdi

Hamas'ın 7 Ekim'de gerçekleştirdiği terör saldırısından bu yana İran'ın siber ve etki operasyonları birden fazla evreden geçti. Ancak bu operasyonların bir unsuru süreç boyunca sabit kaldı: Hem fırsatçı siber hedefleme hem de tesirin doğrulunu veya kapsamını çoğunlukla yanlış tasvir eden etki operasyonları birlikte kullanıldı.

Bu raporda İran'ın 7 Ekim'den 2023'ün sonuna kadar yürüttüğü etki ve siber destekli etki operasyonları ele alınmış, 2023 Baharına kadar kaydedilen eğilim ve operasyonlara da yer verilmiştir.

İranlı gruplar İsrail-Hamas savaşının ilk evresinde tepkisel bir tutum sergiledi. İran kamu yayın kuruluşları siber saldırılarla ilgili yanıltıcı ayrıntılara yer verirken İranlı gruplar ise geçmiş operasyonlara ait eski materyallerden yararlandı, savaş öncesinde elde edilen mevcut erişimi yeni amaca uygun hale getirdi ve üstlendiği siber saldırıların kapsam ve etkisini genel anlamda gerçekte olduğundan daha büyük gösterdi.

Microsoft, savaşın neredeyse dördüncü ayına girdiğimiz bu döneme kadar elde ettiği verilerde, İranlı grupların siber veya etki operasyonları ile Hamas'ın 7 Ekim'de İsrail'e saldırı planı arasında herhangi bir koordinasyon gerçekleştirdiğine dair kesin kanıt tespit edememiştir. Elde ettiğimiz birçok veri ve bulgu, koordinasyonun aksine İranlı siber aktörlerin tepkisel davranışlar sergilediğini, İsrail'e yönelik siber ve etki operasyonlarına Hamas'ın saldırıları sonrasında hızla ivme kazandırdığını göstermektedir.

Kamu yayın kuruluşlarının saldırı iddiaları hakkında paylaştığı yanıltıcı ayrıntılar: 
İslam Devrimi Muhafızları Ordusu ile ilişkili İranlı bir haber kuruluşu olan Tasnim Haber Ajansı'nın savaşın başladığı gün yaptığı haberde "Cyber Avengers" adlı grubun İsrail'deki bir enerji tesisine yönelik siber saldırı gerçekleştirdiği belirtildi. Bu saldırıların Hamas saldırılarıyla "aynı anda" düzenlendiğine dair gerçeği yansıtmayan ayrıntılara yer verildi. ² İslam Devrimi Muhafızları Ordusu tarafından işletilen Cyber Avengers siber kişiliği, Hamas'ın düzenlediği harekattan bir önceki günün akşamında İsrail'deki bir elektrik şirketine karşı siber saldırı düzenlediğini iddia etti.³ Haftalar önce yayınlanmış ve "son yıllara ait" elektrik kesintisi başlıklarını ve şirketin web sitesindeki tarihsiz bir hizmet kesintisi bildiriminin ekran görüntüsünü delil olarak sundu. ⁴

Önceden edinilmiş materyal kullanımı: 
Cyber Avengers, Hamas'ın İsrail'e karşı düzenlediği saldırıdan sonra bir dizi siber saldırıda İsrail'i hedef aldığını iddia etti. Yürüttüğümüz araştırmalar, bu saldırılardan ilkinin asılsız olduğunu ortaya koydu. Grup, 8 Ekim'de İsrail'deki bir güç santraline ait belgeleri sızdırdığını iddia etti. Ancak bu belgeler İslam Devrimi Muhafızları Ordusu'nun işlettiği bir diğer siber kişilik olan "Moses Staff" tarafından daha önce, Haziran 2022'de yayınlanmıştı.⁵

Önceden sağlanan erişimden yararlanma: 
Değerlendirmelerimize göre İran'ın İstihbarat ve Güvenlik Bakanlığı tarafından işletilen "Malek Team" ise 8 Ekim'de İsrail'deki bir üniversiteden kişisel veri sızdırdı. Hedefleme bakımından, bölgede meydana gelen çatışmayla somut herhangi bir bağlantı bulunmaması, saldırının fırsata dayalı bir şekilde gerçekleştiğini belki de savaştan önce sağlanmış bir erişime göre tercih edildiğini gösteriyor. Malek Team, sızdırılan verileri Hamas'ın operasyonlarıyla ilişkilendirmek yerine önce X'te (eski adıyla Twitter) Hamas'ı destekleyen diyez etiketleri kullandı. İsrail Başbakanı Binyamin Netanyahu'yu aşağılayan ve diğer İran etki operasyonlarında da gözlemlenen türde mesajlar vermeye ancak günler sonra başladı.

İslam Devrimi Muhafızları'na bağlı olan ve Microsoft'un Storm-0784 kod adıyla izlediği Şehit Kave Grubu, özelleştirilmiş fidye yazılımı kullanarak 18 Ekim'de İsrail'deki güvenlik kameralarına karşı siber saldırı düzenledi. Daha sonra, siber kişiliklerinden biri olan "Soldiers of Solomon" üzerinden yayınladığı asılsız iddialarda Nevatim Hava Üssü'ne ait güvenlik kameraları ve veriler için fidye talep ettiğini duyurdu. Soldiers of Solomon tarafından sızdırılan güvenlik kayıtlarının incelenmesiyle görüntülerin Nevatim Hava Üssü'ne değil, Tel Aviv'in kuzeyinde yer alan ve aynı adı taşıyan bir sokağa ait olduğu öğrenildi. Öyle ki kurbanların konumları da incelendikten sonra hiçbirinin askeri üssün yakınında bulunmadığı anlaşıldı (Bkz. Şekil 5). İranlı gruplar her ne kadar yıkıcı saldırılara başlamış olsa da yürütülen operasyonların çoğu fırsatçı nitelikteydi ve saldırıların gerçekliğini veya etkisini olduğundan büyük göstermek için etki çalışmalarından yararlanmaya devam ediyordu.

İslam Devrimi Muhafızları Ordusu grubu Cotton Sandstorm (daha yaygın olarak bilinen adıyla Emennet Pasargad) tarafından işletilen başka bir siber kişiliğin 21 Ekim'de paylaştığı videoda, saldırganların sinagoglardaki ekranlara erişim sağladığı ve İsrail'in Gazze'deki operasyonlarını "soykırım" olarak değerlendiren mesajlar yayınladığı gösterildi. ⁷ Bu gelişmeyle, görece kolay erişilebilir hedeflere yönelik mesaj yerleştirme yöntemi kullanılmış oldu.

Bu evrede, İran'ın etki faaliyetlerindeki gerçek olmayan etki genişletme biçimlerinin kapsamı ve karmaşıklığı daha ileri bir düzeye taşındı. Savaşın ilk iki haftasında gerçek olmayan etki genişletme faaliyetlerinin düşük düzeylerde seyretmesi de operasyonların tepkisel nitelikte olduğunu gösteriyor. Savaşın üçüncü haftasına gelindiğinde İran'ın en aktif etki aktörü Cotton Sandstorm devreye girerek 21 Ekim'de siber destekli üç etki operasyonu başlattı. Grubun faaliyetlerinde sıkça gözlemlediğimiz üzere, bu operasyonlarda da etki genişletme amacıyla sosyal medya kukla hesaplarından oluşan bir şebeke kullanıldı. Ancak bu hesapların İsrailli gibi görünmesi için gerçekçi kılıflar geçirilmeden aceleyle devreye sokulduğu anlaşıldı. Cotton Sandstorm, operasyonların etkisini genişletme veya operasyonlarla övünme amaçlı gönderdiği kısa mesaj ve e-postalarda, ele geçirilmiş hesaplardan yararlanarak gerçeklik unsurunu artırdı.⁸

İranlı gruplar, İran'ın İsrail'e destek sağladığını belirlediği ülkeleri de hedeflemeye başlayarak siber destekli etki çalışmalarını İsrail'in ötesine taşımış oldu. İran bu hamleyle muhtemelen İsrail'in askeri operasyonlarına verilen uluslararası siyasi, askeri veya ekonomik desteği zayıflatmayı amaçladı. Hedeflemenin bu biçimde genişlemesi ile, Yemen'de faaliyet gösteren İran destekli Şii milis grubu Husilerin İsrail'le ilişkili uluslararası kargo gemilerine saldırması aynı zamana denk geldi (Bkz Şekil 8).⁹

İran'ın siber destekli etki operasyonları bu son evrede karmaşıklık açısından da ilerleme gösterdi. Kukla hesaplar daha iyi bir şekilde gizlendi. Kimilerinin adı değiştirilirken kimilerinde daha gerçekçi bir şekilde İsrailli gibi görünecek profil fotoğrafları kullanıldı. Yapay zekayı verilen mesajlarda temel bir unsur olarak kullanmak gibi İranlı aktörlerin önceki operasyonlarında görülmemiş yeni tekniklerden de yararlanıldı. Değerlendirmelerimize göre Cotton Sandstorm, Aralık ayında "For Humanity" (İnsanlık için) adlı kişilik üzerinden Birleşik Arap Emirlikleri ve diğer ülkelerde televizyon yayınında aksaklığa yol açtı. For Humanity'nin Telegram'da yayınladığı videolarda ekip, üç çevrimiçi yayın hizmetine sızıyor, birden çok haber kanalında yayını kesiyor ve yapay zekayla üretildiği anlaşılan bir spikerin sunduğu haber programını yayınlıyor. Bu sahte haber yayınının, İsrail'in askeri operasyonları sonucu yaralanan ve öldürülen Filistinlilerin görüntülerini aktardığı iddia ediliyor (Şekil 7).¹⁴ BBC dahil, BAE, Kanada ve Birleşik Krallık'taki haber kuruluşları ve izleyiciler de televizyon programlarında For Humanity'nin iddialarıyla örtüşen kesintiler yaşandığını belirtti.¹⁵

Bilgi alanındaki hedeflerini yakalamak isteyen İran geçtiğimiz dokuz ayda dört etki taktik, teknik ve prosedüründen (TTP) yoğun bir şekilde yararlandı. Hedef kitleleri harekete geçirmek amacıyla, kimliğe bürünme yöntemine ve ileri düzey becerilere başvurdu. Etki operasyonlarının etkisini genişletmek içinse kısa mesajla saldırı kampanyaları yürütüp İslam Devrimi Muhafızları Ordusu'yla ilişkili yayın organlarından istifade etti.

İsrailli aktivist grupların ve İran ortaklarının kimliğine bürünme 
İranlı gruplar, uzun süredir kullandığı ve ustalaştığı kimliğe bürünme tekniklerinden yararlandı: Daha spesifik ve gerçeği andıran kişilikler İran'ın hem dostlarını hem de düşmanlarını taklit etti. İran'ın geçmişteki birçok operasyon ve kişiliğinde Filistin davasını destekleyen unsurlar görülmüştü.²⁷ Ancak Cotton Sandstorm tarafından işletildiğini belirlediğimiz bir kişilik bu kez daha da ileriye giderek Hamas'ın askeri kanadının adı olan El Kassam Tugayları'nın hem adını hem de logosunu kullandı, Gazze'de tutulan rehinelerle ilgili yanlış mesajlar yayıp İsraillilere tehdit mesajları gönderdi. IDF (İsrail Savunma Kuvvetleri) mensuplarını hedef alan başka bir Telegram kanalı ise askerlerin kişisel verilerini sızdırdı. İran istihbaratına bağlı gruplarca işletildiğini düşündüğümüz bu kanal da El Kassam Tugayları logosunu kullanıyordu. İran'ın bu eylemleri Hamas'ın onayı dahilinde gerçekleştirip gerçekleştirmediğine dair kanıt bulunmuyor.

İran benzer şekilde uyguladığı tekniklerle giderek daha inandırıcı hale getirdiği İsrailli sahte aktivist örgütleriyle İsrail siyasi yelpazesinde hem sağda hem solda kendine yer ediniyor. İran, bu sahte aktivistler üzerinden İsrailli topluluklara sızmayı, güvenlerini kazandıktan sonra nifak tohumları ekmeyi amaçladı.

İsraillileri harekete geçirme 
İran, olup bitenden habersiz İsraillileri İran'ın asılsız operasyonlarını destekleyen saha faaliyetlerine sürükleme konusunda Nisan ve Kasım aylarında tekrar tekrar başarı elde etti. İranlı aktörler, kısa süre önce yürütülen "Tears of War" adlı operasyonda, İsraillileri Tears of War hesabına ait afişleri İsrail mahallelerine asmaya başarıyla ikna etti. Bu afişlerde Binyamin Netanyahu'nun yapay zekayla üretildiği düşünülen bir resmi bulunuyor ve görevden alınması talep ediliyor (Bkz. Şekil 11).²⁸

Sıklığı ve karmaşıklığı artan kısa mesaj ve e-postalarla etki genişletme 
İran etki operasyonları hedef kitlelere ulaşmak amacıyla, gerçeği yansıtmayan unsurlardan yararlanarak sosyal medyada koordine bir şekilde etki genişletme faaliyetlerine yoğun bir şekilde devam ediyor. Ancak buna, siber destekli etki operasyonlarının psikolojik tesirini kuvvetlendirme amacıyla kullanımı giderek artan toplu kısa mesaj ve e-posta gönderimi de eşlik ediyor. Sosyal medyada kukla hesaplarla yürütülen etki genişletme faaliyetleri ile kişilerin e-posta adresine hatta cep telefonuna gönderilen mesajların etkisi bir değil. Cotton Sandstorm 2022'den beri kullandığı bu teknikle elde ettiği başarılı sonuçlardan²⁹ yola çıkarak Ağustos'tan bu yana en az altı operasyonda toplu kısa mesaj, e-posta veya hem kısa mesaj hem e-posta gönderdi. Bu tekniğin kullanımında artış yaşanması, grubun bu yeteneği geliştirdiğini ve etkisinden memnun kaldığını gösteriyor. Cotton Sandstorm'un Ekim sonunda düzenlediği"Cyber Flood" kapsamında İsraillilere gönderilen üç toplu mesaj ve e-posta kümesi, iddia edilen siber saldırıların etkisini genişletmeyi veya İsrail'in Dimona yakınlarındaki nükleer tesislere Hamas'ın saldıracağına dair asılsız uyarıları yaymayı hedefliyordu.³⁰ En az bir olguda e-postaları daha gerçekçi göstermek amacıyla, ele geçirilen bir hesaptan faydalanıldı.

Devlet yayın organlarından yararlanma 
İran, iddia ettiği siber operasyonların etkisini genişletmek ve sonuçları olduğundan büyük göstermek amacıyla İslam Devrimi Muhafızları Ordusu'yla ilişkili yayın organlarından hem açık hem de örtülü bir şekilde yararlandı. İslam Devrimi Muhafızları Ordusu'yla ilişkili haber kuruluşları, Cyber Avengers'ın İsrail demiryolu sistemine karşı saldırı düzenlediğini iddia etmesinin hemen ardından bu iddiaların etkisini genişletip neticesini olduğundan büyük göstermeye koyuldu. İslam Devrimi Muhafızları Ordusuyla ilişkili Tasnim Haber Ajansı, bu siber saldırının düzenlendiğine dair kanıt olarak İsrail medyasından başka olaylarla ilgili haberleri gerçeği yansıtmayan bir şekilde kullandı.³¹ Hem bu haber hem de İranlı ve İran'la ilişkili başka yayın organların yaptığı diğer haberler, siber saldırı iddiasına dair kanıt bulunmadığı gerçeğinin üzerini örterek etkiyi genişletti.³²

Etki operasyonlarında yapay zeka kullanımının ortaya çıkışı 
MTAC, İranlı aktörlerin İsrail-Hamas Savaşı'nın başlangıcından beri yapay zekayla üretilen görüntü ve videolardan yararlandığını gözlemledi. Cotton Sandstorm ile Storm-1364'ün yanı sıra Hizbullah ve Hamas ile ilişkili haber kuruluşları, gözdağının tesirini artırmak ve Netanyahu'yu ve İsrail yönetimini eleştiren görüntüler oluşturmak için yapay zekadan yararlandı.

1. İş birliğinde artış 
İsrail-Hamas Savaşı'nın başladığı günün üzerinden haftalar geçtiğinde İran'la ilişkili gruplar arasında iş birliğine dair örnekler görüyoruz. Bu durum, aktörlerin daha etkili sonuçlar elde etmesinin önünü açabilir. İş birliği, daha çok aktörün sahneye daha kolay giriş yapabilmesine, her grubun elindeki mevcut olanakları elverişli hale getirmesine ve tek bir grubun tam kapsamlı araç ve yöntemler geliştirme ihtiyacını ortadan kaldırmasına yol açabilir.

Değerlendirmelerimize göre, İran istihbaratıyla ilişkili Storm-0861 ile Storm-0842 grupları Ekim sonunda İsrail'e, ardından Aralık sonunda Arnavutluk'a karşı yıkıcı siber saldırı düzenlemek üzere iş birliği yaptı. Muhtemelen her iki örnekte de önce Storm-0861 ağ erişimi sağlamış, Storm-0842 ise kötü amaçlı silme yazılımını çalıştırmıştı. Arnavutluk devlet kurumlarının hedef alındığı Temmuz 2022 tarihli benzer saldırıda da önce Storm-0861 erişim sağlamış, Storm-0842 de ardından silme yazılımını çalıştırmıştı.

Storm-0842'nin "BiBi" silme yazılımını dağıttığı kuruma İran istihbaratı iltisaklı başka bir grup olan da Storm-1084 de Ekim ayında erişmiş olabilir. Sildiği dosyaların adını "BiBi" dizesiyle değiştirdiği için, zararlı yazılıma bu ad verilmiştir (Bibi, Binyamin Netanyahu'nun lakabıdır). Storm-1084 grubunun bu yıkıcı saldırıda hangi rolü üstlendiği veya herhangi bir şekilde yer alıp almadığı kesin değil. 2023'ün ilk aylarında Storm-1084, İran istihbaratıyla ilişkili başka bir grup olan Mango Sandstorm'un (diğer adıyla MuddyWater) desteğiyle İsrail'deki başka bir kuruma yıkıcı siber saldırılar düzenledi.³³

Microsoft Tehdit Analizi, savaşın başlangıcından bu yana, İran istihbaratıyla iltisaklı bir grup olan Pink Sandstorm ile Hizbullah siber unsurları arasında iş birliği gerçekleştiğini tespit etti. Microsoft, altyapıda örtüşme bulunduğunu ve araçların paylaşıldığını gözlemledi. Siber operasyonlarda İranlı aktörlerin Hizbullah ile ortak çalışması ilk kez görülmese de endişe veriyor: Savaşın bu grupları ülke sınırlarını aşarak yakınlaştırması ve operasyonlarda birlikte hareket etmeye itmesi mümkün.³⁴ İran'ın bu savaştaki tüm siber saldırılarında etki operasyonlarından kullanılsa da İran'ın gerçek olmayan kişiliklerine gerçeklik kazandırmak amacıyla anadili Arapça olan ve bölgenin yerlisi olan kişilerden yararlanması gibi bir olasılık da söz konusu.

2. İsrail'e yoğun bir şekilde odaklanma 
İranlı siber aktörler İsrail'e giderek daha çok odaklanmaya başladı. Tahran'ın ABD ile birlikte ana rakibi olarak gördüğü İsrail, uzun süredir İran'ın hedefleri arasındaydı. Microsoft Tehdit Analizi verileri de İran'ın geçtiğimiz yıllarda en çok İsrailli ve ABD'li kuruluşları hedef aldığını gösteriyor. Savaşın öncesinde İranlı aktörler en çok İsrail'e, ardından Birleşik Arap Emirlikleri ve ABD'ye odaklanıyordu. Savaş başladıktan sonra da İsrail'e odaklanmada ani bir artış gerçekleşti. Microsoft'un izlediği İran ulus devlet siber faaliyetlerinin yüzde kırk üçünün hedefi İsrail oldu. Bu oran, hedeflenen ülkeler listesinde sıradaki 14 ülkenin toplamından daha fazla.

İran'ın siber ve etki operasyonlarının teşkil ettiği tehdidin İsrail-Hamas çatışması sürdükçe, özellikle de çatışmanın başka cephelerde kızışma potansiyelinin yükseldiği bu dönemde artmasını bekliyoruz. İranlı gruplar savaşın ilk günlerinde apar topar operasyon yürütmeye veya üretmeye başlasa da yakın zamanlı operasyonlarında, arzu edilen erişimi elde etmeye ya da daha karmaşık etki operasyonları geliştirmeye zaman ayırmak amacıyla bir yavaşlama yaşandığı gözlemlenmiştir. Savaşın bu raporda ana hatlarıyla belirtilen evreleri, İran siber ve etki operasyonlarının yavaş yavaş gelişerek daha hedefli, iş birliğine dayalı ve yıkıcı bir nitelik kazandığını gösteriyor.

İranlı aktörlerin aynı zamanda hedefleme konusunda daha cesur hareket etmeye başladığını görüyoruz. ABD'den gelebilecek mukabeleleri umursamadan ABD'deki bir hastaneye düzenlediği siber saldırıyla Vaşington'un kırmızı çizgilerini yoklaması bunun en belirgin örneği. İslam Devrimi Muhafızları Ordusu'nun ABD'deki su kontrol sistemlerine yönelik saldırıları tabiatı itibarıyla tepkisel olmanın ötesinde, İran'ın İsrail'de üretilmiş ekipmanlara saldırmayı meşru görmesine Vaşington'un nasıl tepki vereceğini sınayan akıllıca bir taktiktir.

Kasım 2024'te düzenlenecek ABD seçimleri arifesinde İranlı ve İran ile ilişkili gruplar arasında iş birliğinin artması, seçim savunmasından sorumlu taraflar için daha büyük bir zorluk teşkil ediyor. Savunmadan sorumlu olan kişilerin birkaç grubu izlemesi artık yeterli değil. Öyle ki erişim sağlayan oyuncuların, etki gruplarının ve siber aktörlerin sayısının giderek artmasına bağlı olarak daha karmaşık ve iç içe girmiş bir tehdit ortamı bizleri bekliyor.