Siber güvenlik uzmanı Dahvid Schloss, geçtiğimiz günlerde gerçekleştirdiği bir sızma testi sırasında sıra dışı bir parola vakasıyla karşılaştı. Schloss, altı ay önce büyük bir siber saldırıya uğrayan bir üretim tesisinin ağ güvenliğini test ederken, sistem yöneticisinin hacker’lara meydan okumak amacıyla kullandığı “heyhackergof***yourself” ifadesini içeren bir parola belirlediğini keşfetti. Windows 7 kullanan eski bir sunucu üzerinden ağa erişim sağlayan Schloss, bu beklenmedik parola seçimiyle sistemin aslında ne kadar savunmasız kaldığını gözler önüne serdi. Olay, güvenlik önlemlerinin sadece karmaşık parolalara değil, aynı zamanda güncel sistemlerin kullanımına dayanması gerektiğini bir kez daha hatırlattı.
- Siber güvenlik uzmanı Dahvid Schloss, test aşamasında Windows 7 kullanan güncel olmayan bir sunucu üzerinden ağa sızmayı başardı.
- Sistem yöneticisinin “l337” karakterleri kullanarak oluşturduğu küfürlü parola, saldırganlara karşı duyulan öfkenin bir dışavurumu olarak kullanıldı.
- Eski işletim sistemlerinin ağa dahil edilmesi, kurumun tüm güvenlik duvarlarının etkisiz hale gelmesine neden oldu.
Eski İşletim Sistemleri Güvenlik Açığı Oluşturuyor
Sızma testi sürecinde Schloss, fabrikadaki pek çok cihazın Windows 10 yerine eski ve desteklenmeyen Windows 7 işletim sistemini çalıştırdığını tespit etti. Birçok şirket, özel yazılımlarının bozulmasından korktuğu için bu eski sistemleri kullanmaya devam ediyor. Ancak, ağa bağlı olan bu savunmasız cihazlar, siber saldırganlar için adeta bir giriş kapısı işlevi görüyor. Schloss, EternalBlue gibi bilinen güvenlik açıklarını kullanarak sistemin derinliklerine inmeyi başardı.
Sızma testi sırasında LSASS verilerini dump eden uzman, ağ yöneticisinin giriş bilgilerine ulaştı. Parolayı ilk gördüğünde bunun bir tuzak olduğunu düşünen Schloss, bir hafta boyunca bu bilgiyi kullanmaktan çekindi. Ancak yapılan görüşmelerde, bu ifadenin bizzat IT departmanı yöneticisi tarafından belirlenen gerçek bir şifre olduğu anlaşıldı.
Parola Seçimi Güvenlik Stratejisini Kurtarmıyor
Şirket çalışanlarının, daha önce yaşadıkları veri ihlalinin yarattığı psikolojik baskıyla bu tür bir tepki geliştirdikleri görülüyor. Hacker’lara gözdağı vermek ve duygusal bir mesaj göndermek amacıyla seçilen bu parola, teknik açıdan güçlü karakterler barındırsa da sistemdeki temel yapısal hataları gizlemeye yetmiyor. Schloss, ağdaki diğer şifrelerin de benzer şekilde saldırganlara yönelik hakaretler içerdiğini belirtti.
Yaşanan bu durum, siber güvenlikte “güvenlikten güvenlik geçmez” prensibini hatırlatıyor. İster küfürlü ister çok karmaşık olsun, sistem güncel tutulmadığı sürece parolaların tek başına yeterli bir savunma hattı oluşturmadığı açıktır. Schloss, yönetimin yaşadığı hayal kırıklığının bir sonucu olarak bu yolu seçtiğini ancak bu durumun kurumu daha büyük risklerle karşı karşıya bıraktığını ifade etti.
Sizce bir kurumun siber saldırılara karşı duygusal tepkiler vermesi güvenlik stratejilerini nasıl etkiliyor? Sistem yöneticilerinin bu tür sıra dışı önlemler alması hakkında ne düşünüyorsunuz? Yorumlarınızı aşağıda paylaşarak tartışmaya katılabilirsiniz.
