Devlet Destekli Siber Saldırıların Evrimi ve Değişen Savunma Stratejileri AR

Devlet Destekli Siber Saldırıların Evrimi ve Değişen Savunma Stratejileri

Siber alanın artık devletler için resmî bir güç enstrümanı haline geldiği görülüyor. Bu enstrüman bir süredir siber güç noktasında devletlere büyük kazanımlar sağlayarak, hem savunma hem de saldırı stratejilerinde etkili bir silaha dönüşüyor.

Siber güç, askeri caydırıcılığın yanında, “gri bölge”de varlığını sürdüren ve günlük hayatı etkileyen bir boyuta daha imkan sağlıyor. Bu boyut, yalnızca bilgi çalmaya odaklı değil; enerji, su, ulaşım, sağlık ve iletişim gibi temel hizmetlerin aksamasını mümkün kılacak “ön-konuşlanma (pre-positioning) ve hazırlık faaliyetlerinin yer aldığı kritik bir alan halini alıyor.

Siber aktörler çoğu zaman sessizce hareket ediyor ve hedef ağlarda yer tutarak operasyon için doğru anı bekliyor. Bu operasyonlarda çoğu zaman vekil gruplar ve hacktivizm adı altında faaliyet yürüten tehdit aktörleri, devletlerin sorumluluktan kurtulabilmesi için sıklıkla “kullanışlı aparatlar” olarak görev alıyorlar.

Bu aktörler, yapay zeka (YZ) destekli siber saldırıları, kimlik avı ve oltalama saldırılarını ve dezenformasyon gibi bilgi operasyonlarını (IO) hem yaygınlaştırıyor hem de daha etkili biçime dönüştürüyor. Ayrıca, gelinen noktada, küresel alanda siber suç ekonomisiyle devletin nihai hedeflerinin iç içe geçmesi de bu tabloyu daha karmaşık hale getiriyor.

Siber tehditlerin dönüşümü

Siber tehditler dönüşüm geçirdikçe, devlet kurumlarına ve çeşitli özel sektör kuruluşlarına yönelik siber operasyonların çeşitliliği de artmakta. Bu durum büyük tehlike ve riskleri de beraberinde getirmekte.

Hem devlet kurumları hem de küçük, orta veya büyük ölçekli şirketler açısından risk, artık giderek “gizli bilginin / verinin sızması”yla sınırlı olmuyor. Gelinen noktada ciddi hizmet kesintileri, itibar kaybı, hukuki ve finansal sorunlar gibi risklerin kimi zaman tamamı etkili olabiliyor.

Diğer yandan, herhangi bir sistemdeki veya ağdaki küçük bir yapılandırma hatası, yönetici ayrıcalıklarına sahip olan bir hesabın ele geçirilmesi ya da tedarik ağındaki zafiyetler, zincirleme etki meydana getirerek büyük ölçekli kayıplara neden olabilmektedir. Bu durumda sadece hedef olan şirket ya da kurum değil, ilişkili olduğu veya hizmet verdiği diğer kurum ve şirketler de ciddi kayıplar yaşayabilmektedir.

Özellikle son dönemlerde tedarik zincirlerine yönelik siber saldırılarda (supply chain attacks) gördüğümüz kesintiler oldukça dikkat çekicidir. 2021’de Solarwinds, 2024’te Crowdstrike ve yakın zamanda yaşanan Salesforce’a yönelik siber olaylar, bahse konu tedarik zinciri saldırılarının oluşturduğu etkiyi göstermesi açısından önemlidir.

Devlet destekli aktörlerin artık giderek tedarik zinciri saldırısı gibi yöntemlere odaklandığını söyleyebiliriz. Çünkü bu saldırılarla tehdit aktörleri çok daha geniş ölçekli etki oluşturuyorlar. Motivasyonları doğrultusunda, bu saldırılardan elde ettikleri getiri de benzer şekilde büyük miktarda olabiliyor.

Bu motivasyonları temel olarak birkaç başlığa ayırmak mümkün; casusluk amaçlı siber saldırılar, hasar verme / manipülasyon amaçlı siber saldırılar, siyasi gerilimlerde misilleme ve baskı amaçlı siber saldırılar ve finansal gelir elde etme amaçlı siber saldırılar, bunlardan en önemlileridir.

Devlet destekli siber operasyonların evrimi

Özellikle devlet destekli siber operasyonların gittikçe çeşitlendiği ve etkisini artırdığı bir dönemdeyiz. Bu konuda son iki yılda yayımlanan bazı analizler ve değerlendirmeler, devlet destekli siber tehdit aktörlerinin kritik altyapıların iletişim, enerji, su ve ulaştırma gibi sektörlere giderek daha fazla yöneldiği, bu nedenle operasyonların yalnızca veri sızıntısı değil doğrudan hizmetlerin kesilmesi ve durma noktasına gelmesiyle sonuçlanabildiğine işaret ediyor. 

Bu anlamda, devlet destekli siber operasyonların temelde üç farklı türde olduğunu ifade edebiliriz;

1. Siber casusluk

Bu tür operasyonlarda amaç yalnızca belge ve teknoloji çalmak değildir; asıl hedef, ağlarda mümkün olduğunca uzun süre fark edilmeden kalmak, kritik sistemlerin en uç noktalarına kadar ilerlemek ve kriz anında kullanılabilecek bir “avantaj” elde etmektir. Dolayısıyla saldırganlar çoğu zaman işletim sistemlerindeki veya donanımlardaki güvenlik açıklarını istismar ederek, çeşitli tekniklerle siber güvenlik alarmlarını tetiklemeden hareket etmeyi amaçlarlar.

Bu örnekte, son zamanlarda en çok konuşulan örneklerinden biri, farklı kuruluşlarda aynı anda ve “düşük gürültüyle” ilerleyen, özellikle haberleşme, enerji ve ulaşım gibi temel hizmetlerle bağlantılı ağları hedef aldığı bildirilen Çin devleti destekli “Volt Typhoon” grubunun yürüttüğü siber operasyondur.

Aylarca tespit edilmeden ağlarda kalabilen Volt Typhoon, ABD için ciddi manada kayıplara neden olan siber saldırılar gerçekleştirmişti. Öyle ki bu saldırıların etkisi halen sürmekte. ABD’de CISA, NSA, FBI gibi kurumlar hala bu operasyonun ve takip eden operasyonların niteliğini ve etkisini derinlemesine analiz etmektedir.  

Son bir yılın büyük tehdit raporları, siber casusluk faaliyetlerinin hacim olarak da büyüdüğüne, özellikle Çin bağlantılı grupların casusluk odaklı faaliyetlerinde belirgin bir artış gözlendiğine, finansal hizmetlerden medyaya ve sanayiye kadar geniş bir yelpazede hedeflerinin genişlediğine dikkat çekiyor.

Devlet destekli siber casusluk saldırılarında, özel şirketler üzerinden faaliyetler konusu da kritik önemdedir. Bu konuda önde gelen ülkelerden biri olan İsrail, eski istihbarat memurları ya da ordu mensuplarının kurduğu siber teknoloji veya casus yazılım şirketleriyle, dünya çapında örtülü siber casusluk faaliyeti yürütüyor.

Şirketlerin üretip çeşitli devletlerdeki kolluk kuvvetlerine sattığı casus yazılımlar, siber güvenlik ürünleri ve çeşitli cihazlar, sadece o kolluk kuvvetlerine değil, İsrail devletine de istihbarat anlamında katkı sunuyor. Son zamanlarda ortaya çıkan ifşalar bunu net olarak gösteriyor.

2. Yıkıcı ve etki odaklı operasyonlar

Bu tür siber operasyonlarda siber aktörler, doğrudan sonuç almak ve hedef üzerinde baskı kurmak isterler. Bu nedenle kimi zaman kamu hizmetlerini yavaşlatan ya da durduran saldırılarla gündelik hayatın aksamasına, kimi zaman da seçim gibi kritik zamanlarda bilgi sızdırma, koordineli dezenformasyon ve hizmeti aksatma amaçlı faaliyetlerle kurumlara zarar vermeye sebep olurlar.

Bu gibi faaliyetler de çoğu kez vekil (proxy) siber aktörler ya da “hacktivist” mantığıyla hareket eden grupların arkasına saklanarak “faili belirsizleştirme” taktikleriyle yürütülür. Yani devletler, siber saldırılarla hedef alacağı ülkeye ya da kuruluşa yönelik saldırılarını bu yöntemle maskelemiş olur.

Dünyada pek çok ülkedeki seçim süreçlerinde karşılaşılan siber saldırılar kısa vadede sistemlere zarar verme amacından ziyade “güven erozyonuna neden olma” niyetini gözler önüne serdi. Siber saldırılarla toplumu manipüle eden dezenformasyon gibi bilgi operasyonlarının yanında, saldırıya uğrayan ülkenin sistemlerinde büyük zafiyetler olduğuna dair bir algı oluşturma hedefi de vardır.

Bununla birlikte, kritik altyapıları tamamen felç etme, finansal kuruluşları ve sivil altyapıları işlemez hale getirme, nükleer tesisler ve askeri üsler gibi hedeflere büyük hasarlar verme gibi siber saldırılar da önemli hedeflerdendir. Siber çatışmaların siber savaşlara evrildiği durumlarda bu tür saldırıların daha yoğun olacağı beklentisi söz konusudur.

3. Gelir üretimi ve yaptırımları aşma

Bazı devlet bağlantılı siber aktörler için siber operasyonlar doğrudan bir gelir kapısı olmaktadır. Özellikle kripto para ekosistemine yönelik geniş ölçekli hırsızlıklar ve sahte işe alım gibi sosyal mühendislik taktikleriyle yürütülen siber saldırılarda kayıplar tek bir olayda dahi milyar dolar seviyesine ulaşabiliyor.

Bu durum siber suç faaliyetlerinin jeopolitikle nasıl iç içe geçtiğini somut biçimde ortaya koyuyor. ABD ve Avrupa tarafından sıklıkla yaptırımlara maruz kalan Kuzey Kore destekli siber tehdit aktörlerinin faaliyetleri buna örnektir.

2025 yılının Şubat ayında gerçekleşen ve bugüne kadarki en büyük dijital hırsızlık olarak anılan Bybit vakasında, yaklaşık 1.5 milyar dolar değerindeki varlığın çalındığı açıklanmıştı. Soruşturmayı yürüten birimler bu olayı Kuzey Kore bağlantılı Lazarus APT grubuyla ilişkilendirmiş ve bu operasyonda “TraderTraitor” diye bilinen tekniklerin kullanıldığı duyurulmuştu.

Kuzey Kore’nin geçmişten beri bu gibi kripto para hırsızlığı operasyonları yürüttüğü ve kendisine yönelik yaptırımları bu yöntemle aştığı, hatta bu operasyonlardan elde edilen kripto paraları nükleer programını fonlamak için kullandığı biliniyor. Hem Bybit vakası hem de diğer operasyonlar, kurumların ve şirketlerin yalnızca kendi hesap güvenliğine değil, birlikte çalıştıkları kuruluşların, borsaların ve hizmet sağlayıcılarının operasyonel güvenliğine de dikkat etmelerini zorunlu kılıyor.

Burada anlatılan ilk iki siber saldırı türü, pratikte çoğu zaman birbirini besliyor. Örneğin, siber casusluk sürecinde toplanan veriler daha sonra yapılacak bir yıkıcı operasyona imkan sağlayabiliyor. Çinli Salt Typhoon APT grubunun son yıllarda ABD’ye yaptıkları bunu net biçimde gösteriyor.

Geçtiğimiz yıldan itibaren ABD’li ilgili kurumların yürüttüğü soruşturmalara göre, Salt Typhoon ve diğer ilişkili siber tehdit aktörleri, ABD ile gelecekte olası siber savaşlar birkaç adım önde olabilmek için ülkedeki iletişim altyapılarına sızdı. Hatta ülkenin önde gelen telekom operatörleri olan AT&T ve Verizon gibi şirketlere de sızılarak Başkan Trump dahil pek çok üst düzey isim ve siyasetçinin iletişimleri tehlikeye atılmıştı. (Salt Typhoon’un bu eylemleri, kullanım ömrü dolmuş (EoL) ya da güvenlik güncellemesi yapılmayan yönlendirici ve benzeri ağ cihazlarına sızarak yürüttüğünü vurgulamış olalım.)

İşte bu örnek, siber casusluk saldırılarıyla aylarca hatta yıllarca fark edilmeden “içeride” kalan siber aktörlerin gelecek büyük bir darbeyle ülkenin altyapılarını çökertebileceğini göstermektedir. 

Yeni mücadele konsepti

Devlet destekli siber tehdit aktörleri, bir kurum ya da kuruluşun ağlarına, veri sızdırmadan ziyade üretim ve kritik sistemlerine geçerek sabotaj amacıyla siber operasyonlar düzenlemesi mümkündür. Bu gibi saldırılar tüm altyapının çökmesine ve ciddi kayıpların oluşmasına ortam hazırlar.

Bu nedenle kurum ve kuruluşlar yalnızca “saldırıyı engellemek” değil; “olayı erken fark etmek, hasarı sınırlamak ve hızla toparlanmak” adına inşa edilen stratejiler üzerine odaklanmalı. Bu noktada, kurum ve kuruluşların yönetişim tarafında da bir dönüşüme ihtiyaç duyuluyor.

Geleneksel güvenlik önlemlerinin artık hiçbir anlam ifade etmediğini belirtmek gerekir. Özellikle üretken yapay zeka (GenAI) sistemlerinin yayınlaşmasıyla bu geleneksel önlemlerin etkisi çok sınırlı kalmaktadır. Bu yüzden, kurum ve kuruluşlarda kimlerin hangi varlıklara, ne zaman ve nasıl eriştiğinin kesin olarak belirlendiği bir erişim modeli, tedarik zinciri için açık ve uygulanabilir güvenlik şartları, düzenli tatbikatlar ve “net” iletişim planları gerekmektedir.

Kurumsal yapılar içinde en hassas alanlardan birinin tedarik zinciri olduğunu söylemek mümkündür. Çünkü her kurum, kuruluş veya şirket, farklı tedarikçilerden sağlanan yazılım, donanım ve hizmetlere bağımlıdır ve bu bağımlılıkların hangi güvenlik şartlarını nasıl sağladığını, nasıl izlendiğini, beklenmedik bir kesintide nasıl devreden çıkarılacağını ya da nasıl yedekleneceğini planlamak, teknik bir ayrıntıdan çok bir yönetişim meselesidir.

Son olarak, insan faktörü en güçlü savunmaya sahip olduğu zannedilen sistemlerin ve ağların bile zayıf noktası olabilir. Son yıllardaki çoğu siber saldırıların operasyon süreçlerinin ilk aşamalarında (initial access) görüldüğü kadarıyla, tehdit aktörleri sürekli olarak personeli / yöneticiyi hedef alıyor.

Kimlik avı kampanyaları başta olmak üzere, çeşitli sosyal mühendislik saldırılarıyla aldatılan personel veya yöneticiler giderek büyük kayıplara neden oluyorlar. Literatürde “içeriden tehdit” (insider threat) olarak da tanımlanan bu siber operasyonları devlet destekli siber aktörler de sıklıkla kullanıyor. Çünkü, bu saldırı türünde başarı oranının oldukça yüksek olduğu biliniyor.

Bütün bu tehditlerle mücadele adına, devletler güvenlik stratejilerini revize etmek zorunda kalıyor. Özellikle devlet destekli siber aktörlerin yürüttüğü gelişmiş seviyedeki siber saldırılara karşı koymak için pek çok kurumsal ve yapısal düzenlemeler söz konusu. Bununla birlikte bazı devletlerde askeri seviyede stratejik adımların atıldığını da görüyoruz. Bu adımlar arasında, ABD Siber Komutanlığı’nda (USCYBERCOM) birkaç yıl önce başlatılan Hunt Forward Operasyonları konsepti, öne çıkan örneklerdendir.

“Hunt Forward Operations” örneği

ABD’nin, çoğunlukla Rusya ya da Çin menşeli gelişmiş siber aktörlerinin (APT grupları) siber saldırına karşı “ön alıcı” operasyonlar düzenlemek adına ortaya koyduğu “Hunt Forward Operations (HFO)” tam teşekküllü olarak 2020 yılı itibarıyla uygulanmaya başlamıştır. USCYBERCOM bünyesinde saldırgan siber operasyonlar yürütme yetkisine sahip olan “Ulusal Siber Görev Gücü” (CNMF) adlı birim, HFO’ları yürüten tek organizasyondur.  

HFO özet olarak, ABD’nin müttefik olduğu ülkelerin ağlarında, onların ekipleriyle birlikte yürüttüğü savunma amaçlı tehdit avı operasyonlarına verilen isimdir. Komutanlığın web sitesine göre temel amaç, siber saldırganların izlerini (TTP/IOC) erkenden bulmak, ülke içinde ve dışında savunmayı güçlendirmek ve bulguları uluslararası toplulukla paylaşmaktır.

Yani siber komutanlıktaki CNMF ekipleri, ev sahibi ülkenin davetiyle ortak ağlarda kötü amaçlı etkinlik ve zafiyet avlar, bulguları ev sahibi ülkeye aktarır, uygun olan verileri (IOC, malware örnekleri) genel paylaşıma açarlar. Bu stratejinin, ABD’nin “anavatan savunması”na da erken uyarı sağladığına inanılır. ABD bu stratejiyi ilk olarak Estonya’da (2020), sonra Litvanya’da (2022) ve ilerleyen dönemlerde de Arnavutluk’ta (2023) uygulamıştır.

ABD’nin belirli siber operasyonlarında, bu konseptle birlikte USCYBERCOM’un daha önceki yıllarda hayata geçirdiği “Persistent Engagement” (Sürekli Angajman) stratejisi de devreye alınıyor. USCYBERCOM’un 2018 yılında “Command Vision” ile doktrine ettiği ve rakipleri / düşmanları sürekli ve proaktif biçimde rekabet alanında karşılayan bu strateji de esas olarak kesintisiz bir siber operasyon sürecini işaret ediyor.

ABD burada özetle şunu vurguluyor; “rakipler silahlı çatışma eşiğinin altında sürekli faaliyet yürütüyor, o hâlde biz de sürekli devriye yapar, inisiyatifi elde tutar, rakibin kampanyalarını erken aşamada bozarız.” Bu stratejinin, defend forward (ileri savunma) ve continuous engagement (aralıksız karşı koyma) yaklaşımlarının bir ürünü olduğu ifade ediliyor.

Sonuç

Siber tehditlerin ve özellikle devlet destekli grupların giderek çok daha etkili saldırılar gerçekleştirdiğini, bu tehditlere ve gruplara karşı daha etkili ve “önleyici” taktikler geliştirmek gerektiğini bugünlerde açıkça görüyoruz. Bu noktada, ABD’nin HFO ve sürekli angajman stratejisinin, gelinen noktada ne kadar önemli olduğuna dikkat çekmekte yarar var.

Bu strateji ve konseptler, reaktiften proaktife geçişe işaret eder. Artık, yıllardır sürdürülen ve geleneksel savunma yöntemleriden biri olan “bekle-gör” politikası yerine, “sürekli av”, “sürekli temas”, “sürekli izleme” gibi strateji ve konseptlere ihtiyaç var. 

Proaktif siber savunma, sıfırıncı gün açıklarının düzeltilmesi veya ağ ve cihazlarda bulunan güvenlik sorunlarının çözülmesinin ötesinde bir strateji ve anlayışı gerektirir. Uzmanlar, “varlık ve yaşam döngüsü yönetimi” politikasıyla, kurum ve kuruluşların, ağlarındaki her cihazı bilmeleri ve kullanım ömrü sona erdiğinde o cihazı/donanımı devre dışı bırakıp yenisiyle değiştirmek için bir plana sahip olmaları gerektiğini söylüyor.

Küresel gelişmeler, uzun süreli kalıcılığı hedefleyen devlet destekli siber aktörlerle mücadele etmek için önleyici eylemlere odaklanan bir stratejiyle hareket etmek gerektiğini açık bir şekilde ortaya koyuyor. Bugüne kadar yaşanan siber olaylar, bu tehditlerin yaygınlaştığını, tedarik zincirinin her halkasının gerçek bir saldırı yüzeyi oluşturduğunu ve etkili siber operasyonların hasar ve kayıplarla birlikte aynı zamanda psikolojik etkiyi de hedeflediğini bize gösteriyor.

Kaynakça

1. National Security Agency; Cybersecurity and Infrastructure Security Agency; Federal Bureau of Investigation; & partners. (2023, May 24). People’s Republic of China state-sponsored cyber actor living off the land to evade detection. https://media.defense.gov/2023/May/24/2003229517/-1/-1/0/CSA_PRC_State_Sponsored_Cyber_Living_off_the_Land_v1.1.PDF
2. Cybersecurity and Infrastructure Security Agency. (2023, November 28). Exploitation of Unitronics PLCs used in water and wastewater systems. https://www.cisa.gov/news-events/alerts/2023/11/28/exploitation-unitronics-plcs-used-water-and-wastewater-systems
3. Cybersecurity and Infrastructure Security Agency; Federal Bureau of Investigation; & National Security Agency. (2024, December 18). IRGC-affiliated cyber actors exploit PLCs in multiple sectors (AA23-335A). https://www.cisa.gov/sites/default/files/2024-12/aa23-335a-irgc-affiliated-cyber-actors-exploit-plcs-in-multiple-sectors.pdf
4. Federal Bureau of Investigation. (2025, February 26). North Korea responsible for $1.5 billion Bybit hack [Public Service Announcement]. https://www.ic3.gov/psa/2025/psa250226
5. Reuters, “Romania was target of “aggressive hybrid Russian attacks” during elections, security council says”. Reuters. https://www.reuters.com/world/europe/romania-was-target-aggressive-hybrid-russian-attacks-during-elections-security-2024-12-04/
6. Associated Press. (2025, February 27). FBI accuses North Korean-backed hackers of stealing $1.5 billion in crypto from Dubai-based firm. AP News. https://apnews.com/article/7c8335c1397261554138090c2c38f457
7. CrowdStrike, Inc. (2025). 2025 Global Threat Report. https://go.crowdstrike.com/rs/281-OBQ-266/images/CrowdStrikeGlobalThreatReport2025.pdf
8. Mandiant (Google Cloud). (2024). M-Trends 2024. https://services.google.com/fh/files/misc/m-trends-2024.pdf
9. Center for Strategic and International Studies. (n.d.). Significant cyber incidents. (Retrieved October 23, 2025) https://www.csis.org/programs/strategic-technologies-program/significant-cyber-incidents
10. Office of the Director of National Intelligence. (2025, March 18). Annual Threat Assessment of the U.S. Intelligence Community. https://www.dni.gov/files/ODNI/documents/assessments/ATA-2025-Unclassified-Report.pdf
11. European Union Agency for Cybersecurity (ENISA). (2024, September 19). ENISA threat landscape 2024. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2024
12. Fortinet. (2025, May 1). 2025 Global Threat Landscape Report. https://www.fortinet.com/content/dam/fortinet/assets/threat-reports/threat-landscape-report-2025.pdf
13. United States Cyber Command. (n.d.). Hunt forward [News page]. (Retrieved October 23, 2025) https://www.cybercom.mil/Media/News/Tag/182880/hunt-forward/