Adli tıpta ve acil toksikoloji servislerinde hekimlerin sıkça karşılaştığı ibretlik bir "suçu dışsallaştırma" psikolojisi vardır.

Bir vatandaş sokak arasında, güneşin altında kırk derece sıcakta sabahtan akşama kadar beklemiş şüpheli bir tavuk döneri yer. Gece saat üçte midesi kramplarla kıvranmaya başlar; şiddetli kusma, kanlı ishal ve yüksek ateşle ambulansla acil servise kaldırılır. Vaka apaçık bir Salmonella veya Clostridium perfringens kaynaklı ağır bir gıda zehirlenmesidir.

Fakat sedyede yatan hasta hekime ve hemşirelere öfkeyle bağırır: "Doktor hanım bu hastanenin musluk suları zehirli! Ben servise girerken lavabodan bir yudum su içtim, beni o su zehirledi! Sizi Sağlık Bakanlığı'na şikayet edeceğim, hijyeniniz sıfır!"

Kendi eliyle yuttuğu o bozuk tavuğu, ödediği yirmi liralık ucuz döneri beyni tamamen inkâr eder. Çünkü kendi hatasını, kendi ihmalkarlığını kabul etmek insan egosuna ağır gelir; suçu kurumsal bir otoriteye, hastanenin musluğuna yıkmak psikolojik olarak çok daha konforludur.

Web hosting sektöründe, siber güvenlik operasyonlarında ve teknik destek masalarında her Allah'ın günü yaşanan en yorucu, en pişkin kriz tam olarak bu zehirlenme refleksiyle patlak verir: Kendi Sitesine Korsan Temalar Yükleyip Şifresini "123456" Yapan Müşterinin, Site Hacklenince Hosting Firmasına "Sunucunuz Güvenli Değil!" Diye Saldırması.

Sabah Gelen Sürpriz: Kuru Kafa ve Rusça İlanlar

Pazartesi sabahı şirket sahibi işe gelir. Web sitesine girmek ister: www.sirketiniz.com. Fakat ekrana şirketinin o şık ana sayfası gelmez.

Ekranda simsiyah bir arka plan, ortada kırmızı gözlü bir kuru kafa animasyonu, arkada çalan garip bir müzik ve altında şu yazı parıldar: "HACKED BY xX_DARK_SHADOW_Xx - YOUR SECURITY IS AN ILLUSION!"

Ya da daha kötüsü: Sitenin ana sayfası görünürde normaldir; fakat Google aramalarında şirketin adı aratıldığında başlığın altında şu yazılar çıkmaktadır: "En ucuz kaçak bahis sitesi! Sahte saatler! Online casino giriş..." Sitenin içine yüz binlerce gizli Japonca ve Rusça spam sayfası enjekte edilmiştir.

Şirket patronunun gözü döner. Yüzü kıpkırmızı olur. Hemen hosting firmasının müşteri paneline girer ve klavyeyi kırarcasına, büyük harflerle o tarihi destek biletini yazar:

Konu: SUNUCUNUZ HACKLENDİ REZALET BİR FİRMASINIZ!
Mesaj: "Kardeşim siz nasıl bir veri merkezisiniz?! Sitenizin güvenliği sıfır! Sunucunuz delinmiş, hackerlar sunucunuza girip benim sitemi patlatmış! Güvenlik duvarınız yok mu sizin?! Bütün prestijimiz yerle bir oldu! Eğer sunucunuzu derhal güvenli hale getirip sitemi temizlemezseniz sizi savcılığa vereceğim, KVKK'ya şikayet edeceğim!"

Olay Yeri İncelemesi: Kendi Eliyle Bırakılan Anahtar

Destek masasındaki kıdemli sistem yöneticisi bu biletleri ezbere bilir. Hiç tartışmaya girmez. Hemen sunucunun SSH konsoluna bağlanır ve web sunucusunun erişim loglarını (access_log ve audit_log) incelemeye başlar.

Ortaya çıkan adli bilişim (forensics) tablosu her zaman aynı sefaleti gözler önüne serer:

1. Delil: Şifre Seviyesi

Müşterinin WordPress yönetici hesabına (wp-admin) bakılır:

Kullanıcı Adı: admin
Şifre: 123456 veya sirket2023! Saldırganlar özel bir hack tekniği kullanmamıştır; basit bir kaba kuvvet (brute-force) botuyla on saniyede kapıdan içeri girmiştir.

2. Delil: Korsan Eklentinin Arka Kapısı

Müşteri iki ay önce internetten popüler bir e-ticaret eklentisinin "ücretsiz / crackli" (nulled) versiyonunu bir Rus forumundan indirip siteye yüklemiştir. Loglara bakılır: Saldırgan, o eklentinin içine önceden gizlenmiş olan o minicik kod satırına bir HTTP POST isteği atmıştır: POST /wp-content/plugins/revslider/temp/shell.php HTTP/1.1 200 OK

Saldırgan o açık sayesinde sunucuya bir PHP Web Shell (WSO / c99 / Alfa Shell) yüklemiştir! Yani hacker sunucunun güvenlik duvarını aşmamıştır; müşterinin kendi eliyle yüklediği arka kapıdan elini kolunu sallayarak içeri girmiş, koltuğa oturmuş ve dosyaları düzenlemiştir.

3. Delil: "chmod 777" Çaresizliği

Müşteri bir ay önce bir görsel yükleyemeyince internetteki bir forumda okuduğu tavsiyeye uyarak tüm klasörlerin izinlerini değiştirmiştir: chmod -R 777 public_html Yani dünyadaki herkese "Gel benim dosyalarımı oku, yaz, sil, değiştir" izni vermiştir!

Apartman Dairesi Analojisi: Kapıyı Açık Bırakıp Bekçiyi Suçlamak

Sistem mühendisi bilet üzerinden log kayıtlarını, saldırının IP adresini ve yüklenen zararlı PHP dosyalarının ekran görüntülerini müşteriye tane tane anlatır: "Beyefendi, sunucumuzda hiçbir güvenlik ihlali yoktur. Saldırgan sitenize kurduğunuz korsan temanın içindeki arka kapıdan ve zayıf yönetici şifrenizden girmiştir..."

Fakat müşterinin cevabı değişmez: "Bana teknik masal anlatmayın! Ben yazılımcı mıyım? Madem öyle eklenti bozuktu, sizin sunucunuz niye o eklentiyi içeri aldı? Güvenlik duvarınız niye engellemedi?!"

Bu mantık neye benzer biliyor musunuz? Lüks bir sitede güvenlikli bir apartman dairesi kiralarsınız. Sitenin nizamiyesinde güvenlik görevlileri vardır, kameralar çalışmaktadır, ana bina kapısı kilitlidir. Fakat siz kendi dairenizin çelik kapısını ardına kadar açık bırakırsınız, anahtarı da kapının önündeki paspasın altına koyarsınız! Gece hırsız gelir, elini kolunu sallayarak evinize girer, televizyonunuzu ve kasanızı çalar. Sabah uyanınca sokağa fırlayıp nizamiyedeki güvenlik görevlisine saldırırsınız: "Sen nasıl güvenliksin? Benim evimi soydular, hırsızı niye yakalamadın?!"

Güvenlik görevlisi binayı korur; fakat sizin kendi evinizin kapısını açık bırakma hakkınıza ve aptallığınıza müdahale edemez!

Paylaşımlı Hostingde Güvenliğin Sınırları

Bir web sitesi sahibi olan herkesin anlaması gereken temel mimari gerçekler şunlardır:

Sunucu Güvenliği vs. Uygulama Güvenliği: Hosting firması sunucunun işletim sistemini (Linux çekirdeğini, cPanel'i, web sunucusunu, ağ filtrelerini) korur. Fakat sizin sitenizin içine kurduğunuz PHP kodlarının, temaların ve eklentilerin güvenliği tamamen sizin sorumluluğunuzdadır.
Korsan (Nulled) Yazılım Bir Truva Atıdır: Bedava peynir sadece fare kapanında olur. 60 dolarlık temayı bedavaya indirdiğiniz o forumdaki hacker, o temanın içine babasının hayrına arka kapı koymamıştır. O tema bir gün sitenizi zombi botnete çevirecektir.
Güçlü Şifre ve İki Faktörlü Doğrulama (2FA): WordPress admin paneline mutlaka 2FA (çift faktörlü doğrulama) kurun. Şifrelerinizi en az 16 karakterli karmaşık kombinasyonlardan seçin.
WAF ve Güvenlik Eklentileri: Sitenizin önüne Cloudflare WAF koyun veya sunucu düzeyinde ModSecurity kurallarını kapatmayın; şüpheli istekleri daha sunucuya ulaşmadan havada engelleyin.

Tıpta bozuk tavuk yiyip zehirlenen hasta suçu hastane musluğuna atamaz.

Web dünyasında da şifresini "123456" yapıp korsan temalarla sitesini deldiren müşteri suçu hosting firmasına kesemez.

Kendi kapınızı kilitleyin, yazılımınızı güncel tutun ve bedava korsan çöplerden uzak durun. Çünkü siz kapıyı açık bıraktığınızda, dünyadaki hiçbir güvenlik duvarı sizi kendi dikkatsizliğinizden koruyamaz.

Web Shell

"Sitem Hacklendi": Kapıyı Açık Bırakıp Mahalleyi Suçlama Refleksi