arkadaşlar 2026'da hala aynı klasik saldırılarla hackleniyoruz
agalar, kötü bir hafta geçirdik. threatsday bulletin’in son raporuna göz attım da, 2026 yılındayız ama hala aynı eski saçmalıklarla hacklenmeye devam ediyoruz. en kolay saldırı yöntemi hala şunlar: sahte paketler, fake uygulamalar, unutulmuş dns kayıtları, dolandırıcı reklamlar ve discord kanallarına dökülen çalıntı loginler. artık normal karşılanıyor bunlar.
spoiler: bu saldırı zincirleri artık sofistike bile değil. telegram hesabı olan ve çok fazla boş zamanı olan yorgun bir adam gibi hissettiriyor. en kötü yanı bu tür şeylerin ne kadar sık yaşanması.
neler oluyor peki
bu hafta öne çıkan konular şunlar:
microsoft edge’de düz metin şifre sorunu edge tarayıcısında şifrelerin düz metin olarak saklanabildiği bir durum var. yani şifre yöneticisinin şifrelediğini sandığınız şeyler aslında okunabilir formatta duruyor olabilir. klasik microsoft hareketi.
ics sistemlerinde sıfır-gün açıklar endüstriyel kontrol sistemlerinde (ics) yeni sıfır-gün açıklar keşfedilmiş. bunlar yamadan önce sömürülmüş olanlar, yani acil yamalamanız gereken türden şeyler. kritik altyapı yöneticileri dikkat.
25+ yeni güvenlik olayı bu hafta 25’ten fazla yeni güvenlik olayı raporlanmış. çoğu bildiğimiz klasikler:
- sahte npm/pypi paketleri
- phishing kampanyaları
- credential stuffing saldırıları
- malvertising (kötü amaçlı reklamlar)
- dns hijacking
saldırı vektörleri (hep aynı filmler)
1. sahte paketler
npm, pypi gibi paket depolarına yüklenen sahte paketler. typosquatting denen olay, yani popüler paketin ismini bir harf yanlış yazıp kendi kötü paketinizi yüklüyorsunuz.
2. fake uygulamalar
özellikle mobil uygulama mağazalarında sahte uygulamalar. gerçek uygulamanın kopyası gibi görünüyor ama içinde malware var.
3. unutulmuş dns kayıtları
eski, kullanılmayan dns kayıtları. subdomain takeover denen şey, yani unuttuğunuz bir subdomain’i başkası ele geçiriyor.
4. çalıntı loginler discord’da
credential dump’ları artık discord kanallarında paylaşılıyor. telegram’dan sonra discord da hacker’ların yeni buluşma noktası olmuş.
ne yapmalısınız
arkadaşlar şunları yapın:
paket yönetimi
# npm audit çalıştırın
npm audit
# pip check yapın
pip check
# lock file'larınızı güncel tutun
npm ci # package-lock.json'dan yükler
tarayıcı güvenliği
- edge kullanıyorsanız şifre yöneticisini kontrol edin
- mümkünse bitwarden, 1password gibi üçüncü parti şifre yöneticisi kullanın
- tarayıcıya şifre kaydetmeyin
dns temizliği
# dns kayıtlarınızı listeleyin
dig yourdomain.com ANY
# kullanılmayan subdomain'leri temizleyin
# dns panel'inizden eski kayıtları silin
credential monitoring
- haveibeenpwned.com’dan mail adreslerinizi kontrol edin
- 2fa’yı her yerde aktif edin
- passwordless authentication’a geçmeyi düşünün (passkey vs)
ics sistemleri (önemli)
# ics sistemlerinizi ağdan izole edin
# firewall kurallarını sıkılaştırın
# sadece gerekli portları açın
# log monitoring yapın
tail -f /var/log/scada.log
# vendor yamalarını takip edin
genel öneriler
dikkat: şunları mutlaka yapın:
- paket bağımlılıklarını kilitleyin: lock file kullanın, her seferinde latest çekmeyin
- dns audit yapın: kullanmadığınız kayıtları silin
- 2fa her yerde: özellikle kritik sistemlerde
- log monitoring: anormal aktiviteyi hemen görün
- güvenlik awareness: ekibinize eğitim verin, phishing’e karşı uyanık olsunlar
- yedek alın: ransomware için en iyi savunma yedek
ekstra tavsiyeler
- supply chain security: kullandığınız paketleri iyice araştırın
- least privilege: gereksiz yetki vermeyin
- network segmentation: kritik sistemleri izole edin
- incident response planı: saldırı olduğunda ne yapacağınızı bilin
sonuç
arkadaşlar 2026 yılındayız ama saldırganlar hala 2016’daki yöntemleri kullanıyor ve işe yarıyor. çünkü temel güvenlik önlemlerini almıyoruz. unutulan dns kayıtları, güncellenmemiş paketler, zayıf şifreler… bunlar hala en büyük problemler.
edit: bu hafta özellikle ics sıfır-gün açıklara dikkat edin. kritik altyapı yöneticileri acil yamalamalı.
edit 2: discord’da credential dump paylaşımı artmış. ekibinize söyleyin, discord’da şüpheli linklere tıklamasınlar.
kaynaklar
hadi bakalım, işe koyulun. önce test ortamında deneyin, sonra production’a geçin. yedek almadan hiçbir şey yapmayın, sonra ağlarsınız.
Bu içerik yapay zeka tarafından oluşturulmuştur.