Bir akşam evinizde otururken Steam tarafından gönderilen mailleri fark ediyorsunuz. Merakla mailleri kontrol ediyorsunuz ve bilginiz dahilinde olmayan bir işlem ile karşılaşıyorsunuz: Envanterinizdeki eşyalar satılmış, Steam cüzdanınızdaki bakiyeniz ile hiç oynamadığınız oyunların kartları satın alınmış. Peki ama ne oldu? Bu işlemler nasıl kendi kendine gerçekleşti? Hacklendiniz mi? İki adımlı doğrulamanız (Steam Guard) neden çalışmadı? Steam bunları nasıl engelleyemedi?
Bu senaryo son zamanlarda birçok Steam kullanıcısı için gerçek olmaya başladı. Neden ve nasıl olduğunu sizler için araştırdık ve kaleme aldık. Bu haberin yazılmasına yardımcı olan sevgili Techolay Sosyal kullanıcıları: Essex, Growss, Ricardo Quaresma ve diğer tüm sosyal kullanıcılarına teşekkürler.
Hırsızlık Nasıl Gerçekleştiriliyor?
Öncelikle yukarıda bahsettiğimiz senaryodaki gibi bir olayı, başınıza gelene kadar fark edemiyorsunuz. Bu yüzden “sessiz bir tehdit” olarak bu riskten bahsedebiliriz. Hackerlar siz farkına dahi varmadan hesabınıza erişebiliyor ve bunu yaparken hiçbir güvenlik duvarına takılmıyorlar. Hesabınıza eriştikleri noktada eğer var ise Steam oyunlarından kazandığınız koleksiyon kartlarını, oyun içi eşyalarınızı ya da cüzdan bakiyenizi hedef alıyorlar. Olası senaryoları örnekler üzerinden şu şekilde gösterebiliriz:
1) Cüzdan Bakiyesinin Boşaltılması
Diyelim ki Steam cüzdanınızda 20$’lık bir bakiye bulunuyor. Hesabınıza erişen hackerlar bu bakiyeyi kendi hesaplarına devredebilmek için Steam’in pazar bölümünü kullanıyorlar. Hackerlar önce çok değersiz bir oyun içi eşya buluyorlar. Bu eşyaların genelde fiyatları 0.03$ veya daha altı bir değerde oluyor. Bilgisayar korsanları da sıklıkla Dota 2’nin oyun içi eşyalarından bu işlemleri gerçekleştiriyorlar.
Hackerlar buldukları bu değersiz sayılabilecek oyun içi eşyaları, hedef kişinin cüzdan bakiyesindeki rakama göre özelleştiriyorlar ve ardından parçalı alımlar yapıyorlar. Bu kişilerin neden parçalı alım yaptıklarının cevabı ise çok basit: Steam’in iki adımlı doğrulama sistemi olan Steam Guard’a yakalanmamak için. Çünkü belirli bir limitin üzerindeki listeleme ve satın alımlar için Steam, hesap sahibinden bir doğrulama talep ediyor. Bunu bilen hackerlar ve hırsızlar ise fiyatları özelleştirilmiş bir şekilde manuel olarak belirliyorlar. Örneğin: 4.87$ gibi.
Cüzdanınızdaki bakiye bitene kadar bu işlem döngüsel bir şekilde tekrarlanıyor. Steam bunu engelleyemediği gibi, bu işlemlerin geri ödemesini de size sağlamıyor. Sebebi ise Steam’in pazar bölümündeki alıcı ve satıcıları korumak için koyduğu bir kural.
2) Kolekesiyon Kartlarının Satılması
Eğer cüzdanınızda bir bakiye yoksa, hackerlar için bu da sorun değil. Bilgisayar korsanları Steam hesabınızda var olan koleksiyon kartlarını satışa çıkartmaya başlıyorlar. Mevcut piyasa değeri 0.50$ olan bir kartı, hızlı bir şekilde bakiyeye çevirebilmek için 0.40$ gibi fiyatlardan listeliyorlar ve kendilerine bir cüzdan bakiyesi yaratıyorlar. Bu kişiler yaratılan cüzdan bakiyesinin fiyatına bakılmaksızın, kendi listeledikleri oyun içi eşyalardan birisine özel bir fiyat belirliyorlar ve yaratılan cüzdan bakiyesini kendi hesaplarına geçiriyorlar. Yine bu yöntemde de tercih edilen oyun içi eşyalar sıklıkla Dota 2’den oluyor.
3) Oyun İçi Eşyaların Satılması ve Çalınması
Hackerlar koleksiyon kartlarının çalınmasında yaptıkları işlemin aynısını burada tekrar ediyorlar; kendilerine bakiye yaratıyorlar ya da elinizdeki mevcut oyun içi eşya değerliyse özel bir satın alım emri ile kendi hesaplarına bu oyun içi eşyaları devrediyorlar. Hırsızlar pazardan satış yapmak istemezlerse de çaldıkları Steam hesaplarından kendi hesaplarına takas aracılığıyla bu devir işlemini gerçekleştiriyorlar.
Nasıl Hesaplarımıza Erişebiliyorlar?
Hackerlar geleneksel virüs sistemlerinden uzaklaşıp yeni bir yönteme geçtiler: “Çerez Hırsızlığı” ya da İngilizce ismiyle “Cookie Hijacking”. Bu siber saldırı yöntemi, dijital hesapları son yıllarda en çok tehdit eden tehditlerden birisi. Geleneksel şifre kırma ve kimlik avı saldırılarının ötesine geçen bu yöntem, kullanıcıların tarayıcılarındaki oturum bilgilerini (çerez sistemini) çalıyor. Çaldıkları bu çerezleri, çok basit bir editör yardımıyla düzenledikten sonra bir tarayıcı yardımıyla hesaplarınıza saniyesinde erişebiliyorlar. Öyle ki, şifrenizi tuşlamalarına bile gerek kalmadan bu işlemi gerçekleştiriyorlar. Steam Guard gibi iki adımı doğrulama sistemlerini bu sayede çok rahat bir şekilde bypass edebiliyorlar.
Steam Guard Neden Yetersiz Kalıyor?
Steam Guard, genellikle hesaba giriş yapılırken ek bir doğrulama kodu ister. Ancak çerez hırsızlığı, bu aşamayı tamamen devre dışı bırakır. Saldırgan, sizin oturum açtığınız cihazdan alınmış çerezleri kendi tarayıcısına eklediğinde, Steam onu zaten giriş yapmış bir kullanıcı olarak görür. Yani, ne şifre sorulur ne de Steam Guard kodu istenir.
Bu yöntem, saldırganlara şifrenizi bilmeden ve herhangi bir doğrulama kodu girmeden hesabınızı ele geçirme imkânı sunar. Steam, hesap sahibinin başka bir cihazdan giriş yaptığını anlayamadığı için herhangi bir güvenlik bildirimi bile göndermeyebilir. Steam’in burada göz ardı ettiği ciddi mantık ve siber güvenlik açıkları bulunuyor. Örnek vermek gerekirse şirket, Steam hesabına sadece Türkiye lokasyonundan erişmiş bir kullanıcının, bir anda Hong Kong’dan bağlanmasını engellemiyor. Oyun şirketi, bunu engellemediği gibi Hong Kong lokasyon bilgili bilgisayarın bir anda alım ve satım işlemleri gerçekleştirmesini de bir güvenlik ihlali olarak değerlendirmiyor.
Son Yıllardaki Siber Saldırılar Katlanarak Arttı
Steam’in destek verilerine ve internetteki forum sitelerinde açılan başlıklara göre, hesap hırsızlıklarına ilişkin şikâyetlerin son beş yılda katlanarak arttığı ortaya çıkıyor. Kullanıcılar sürekli internette: “Steam hesabımdaki kartlar satıldı, bu nasıl oldu? Steam hesabımdaki ögeler benden izinsiz satıldı? Steam Guard neden çalışmadı?” gibi sorular soruyor ve konuyu kendilerince anlamlandırmaya çalışıyorlar.
Steam’in bu artan saldırıları ne kadar ciddiye aldığı ise bilinmiyor. Şirketin kullanıcılarına verdikleri tavsiyeler ise “Lütfen şifrenizi değiştirin, satın alımlar için ise iade maalesef gerçekleştiremiyoruz” şeklinde oluyor. Steam’in bu konuda gözden geçirmesi gereken bazı politikaları olduğu ise apaçık ortada.
Çözüm ve Önlemler
Saldırganlar her geçen gün daha sofistike yöntemler geliştirirken yalnızca kullanıcıların değil, şirketlerin de önlem alması gerekiyor. Steam ve diğer dijital platformların çerez hırsızlığına karşı daha güçlü güvenlik mekanizmaları geliştirmesi şart. Bu yazıda sadece bu olayları Steam üzerinden aktarmış olsak bile, birçok site ve uygulamada bu hırsızlık yöntemi ciddi şekilde artış gösteriyor.
Steam ve Diğer Firmalar İçin Gelişmiş Güvenlik Önlemleri
- Çerezlerin Kriptolanması
- Tarayıcıların, oturum çerezlerini cihazın donanımına bağlı olarak şifrelemesi gerekiyor.
- Google, Apple ve Mozilla gibi büyük tarayıcı geliştiricilerinin, çerezlerin sadece orijinal cihazda ve oturum sahibine özgü olacak şekilde şifrelenmesini sağlaması gerekiyor.
- Örneğin, bir saldırgan çerezi kopyalasa bile şifrelenmiş olduğu için başka bir cihazda kullanamamalı
- Token Tabanlı Oturum Yönetimi
- Geleneksel çerez tabanlı oturum yönetimi yerine JSON Web Token (JWT) gibi token bazlı sistemler tercih edilmeli.
- Steam gibi platformlar, cihaz eşleştirme mekanizması kullanarak her oturum için farklı bir token üretmeli ve bu token belirli aralıklarla yenilenmeli.
- Böylece saldırgan çerezi ele geçirse bile, token süreli olduğu için birkaç dakika içinde geçersiz hâle gelir.
- Cihaz Bazlı Yetkilendirme
- Her yeni oturum, cihaz ve IP adresi bazlı olarak doğrulanmalı.
- Eğer oturum başka bir cihazdan taşınmaya çalışılırsa, kullanıcıya anında uyarı gönderilmeli ve hesap geçici olarak kilitlenmeli.
Kullanıcılar için Alınabilecek Önlemler
Kullanıcılar, çerez hırsızlığına karşı aşağıdaki adımları uygulayarak hesaplarını koruyabilir:
- Steam ve benzer platformlardan alışveriş yaparken sanal kart kullanın ve her alışveriş sonrasında kart bilgilerinizi silin.
- Şüpheli sitelere erişmeyin ve o sitelerdeki formları doldurmayın.
- Kimlik avı saldırılarına karşı dikkatli olun ve e-postalar ya da sosyal medya üzerinden gelen şüpheli linklere tıklamayın.
- Herkese açık Wi-Fi ağlarına bağlanırken dikkatli olun ve bilmediğiniz, güvenilirliği şüpheli olan Wi-Fi ağlarına erişim sağlamayın.
Sonuç
Firmalar ve Kullanıcılar Birlikte Hareket Etmeli!
Çerez hırsızlığı, geleneksel şifre çalma yöntemlerinden çok daha tehlikeli ve tespit edilmesi zor bir siber saldırı biçimi. Steam gibi büyük platformların bu saldırılara karşı yeni yöntemler ve yeni politikalar geliştirmesi bekleniyor. Şirketin, güvenlik konusundaki bu ciddi tehdidi derinlemesine araştırarak kullanıcıların olası mağduriyetine karşı önlem alması gerekiyor.
Bu sadece kullanıcıların sorumluluğunda olmamalı. Firmalar, kriptolu çerezler, token tabanlı oturum sistemleri ve gelişmiş cihaz doğrulama yöntemleri gibi daha güçlü güvenlik önlemleri alarak kullanıcılarını koruma altına alabilir.
Kaynaklar:
techolay.net/sosyal techolay.net/sosyal/rehber wikipedia.org esecurityplanet.com
