Çalışanlarınız iş bilgisayarlarında iş arıyor ya da yeni yazılımlar deniyorsa, kripto tarihinin en büyük hırsızlığının izlediği yol tam olarak budur. Binance 3 Kasım 2026'da ön bulgularını yayımladı: 29 Ekim'de yaklaşık 6,34 milyar doları etkileyen saldırı, bir mühendisle yapılan iki sahte iş görüşmesiyle başladı ve mühendisin iş dizüstü bilgisayarına indirdiği bir kodlama testiyle sonuçlandı. Şirketiniz için pratik ders: iş cihazlarında dış işe alımcılardan gelen dosya yok, onaylı listenin dışında yazılım yok ve görevin gerektirdiğinden geniş yetki yok. 31 Ekim'de şirketinizin parasını onayınız olmadan kimin hareket ettirebileceğini yazmıştık; bu yazı saldırganın içeri girdiği kapı hakkında.
Adım adım ne oldu?
Binance'in ön soruşturmaya ilişkin açıklamasına göre saldırı dört aşamadan geçti:
- Haziran 2026: Cüzdan ekibinden bir mühendis, yapay zeka destekli bir kodlama aracı ararken kötü amaçlı yazılım içeren değiştirilmiş bir Homebrew yükleyicisi indirdi. Güvenlik ekibi bunu tespit etti, cihazı değiştirdi ve kimlik bilgilerini yeniledi; ancak onun ve ekip arkadaşlarının bilgileri çoktan sızmıştı.
- Eylül 2026: Kendini proje direktörü olarak tanıtan biri, bir iş platformu üzerinden ikinci bir mühendise ulaştı ve iki görüşme yaptı: sözde bir insan kaynakları temsilcisiyle görüntülü bir görüşme, ardından hayali bir şirketin CEO'su olduğunu söyleyen biriyle bir görüşme. İkinci görüşmede ondan iş bilgisayarına bir kodlama ödevi indirmesi istendi; kötü amaçlı kod kurulum sırasında çalıştı ve uç nokta araçları onu yakalamadı.
- 20 Ekim 2026: Saldırgan, ele geçirilen bilgisayarı ve Binance'in dahili bir yapay zeka aracını kullanarak iki mühendisin daha bilgisayarlarının kontrolünü aldı.
- 29 Ekim 2026: UTC 17:15 ile 19:56 arasında saldırgan, birinci mühendisten çalınan kimlik bilgileriyle üçüncü mühendisin bilgisayarına erişti, bir konteyner dağıttı ve kötü amaçlı bir betik çalıştırdı; sıcak cüzdanlardan transferler 20:05 ile 20:09 arasında gerçekleşti.
Binance, yaklaşık 2,85 milyar doların dondurulduğunu veya durdurulduğunu, 31 Ekim itibarıyla etkilenen varlıkların %98'ini yerine koyduğunu ve 2026 boyunca Kuzey Kore bağlantılı olduğundan şüphelenilen 57 tehdit vakasını tespit edip engellediğini söylüyor. Yani platform onlarca girişimi püskürttü, sonra birine yenik düştü.
Sahte görüşme neden işe yaradı?
Çünkü bir oltalama e-postasına hiç benzemiyor. Çalışan bilinmeyen bir göndericiden gelen şüpheli bir bağlantıya tıklamadı; gerçek görünen bir işe alım sürecine girdi: tanınmış bir platform, görüntülü bir görüşme, güven kazanmak için kişisel hesabından içerik paylaşan bir insan kaynakları temsilcisi ve ardından bir CEO. Bir projeyi indirip çalıştırmak yazılımcı testlerinin olağan bir parçası olduğu için istek dikkat çekmedi.
Bu taktik yeni değil. TechCrunch, CrowdStrike'ın bir raporunun geçen yıl ABD teknoloji şirketlerindeki sızmaların yaklaşık yarısını uzaktan çalışan BT personeli veya işe alımcı kılığına giren Kuzey Korelilere bağladığını hatırlatıyor. Hedef yalnızca kripto borsaları değil, sistemlere veya paraya erişimi olan herkes.
İkinci açık: arama sonuçlarından indirilen bir program
Hikaye görüşmeyle başlamadı. Üç ay önce başka bir mühendis, bir yapay zeka aracı ararken değiştirilmiş bir yazılım kurmuştu. Bu birçok şirkette her gün olur: bir çalışan yeni bir aracı duyar, arar, ilk sonuca tıklar ve yönetici haklarıyla kurar. Daha önemli ders şu: Binance cihazı değiştirdi ve parolaları yeniledi, ancak ekip hakkında zaten sızmış olan bilgiler saldırganın elinde kaldı ve aylar sonra kullanıldı.
Bu hafta çalışanlarınızın cihazları için 6 kural
- İş cihazlarında dış işe alım dosyası yok: Üçüncü bir tarafın gönderdiği her test, proje veya dosya, şirket sistemlerine erişimi olmayan ayrı bir makinede açılır. Bu, TechTarget'ın aktardığı uzmanların tavsiyesiyle aynıdır: görüşme kodunu üretime yakın her makineden uzak tutun.
- Yalnızca onaylı listedeki yazılımlar: Çalışanlardan yerel yönetici haklarını alın ve kurulumları BT sorumlunuz üzerinden, üreticinin resmi sitesinden yaptırın; arama sonuçlarındaki bir reklamdan değil.
- En az yetki: Para hareket ettirebilen veya hassas sistemleri değiştirebilen kişi bunu özel bir hesap ve cihazdan yapar; gezindiği ve araç denediği makineden değil.
- Dahili yapay zeka araçlarına dar yetkiler: Binance'te dahili bir yapay zeka aracı cihazlar arasındaki köprü oldu. Çalışan cihazlarına veya sistemlerinize ulaşan her araç dar yetkilere ve yaptığı her şeyin kaydına ihtiyaç duyar.
- Tespit, olayın sonu değildir: Bir cihaz ele geçirilirse yalnızca değiştirmekle yetinmeyin. İçindekilerin sızdığını varsayın, ona ve ekibine bağlı tüm parolaları, anahtarları ve belirteçleri yenileyin, iş arkadaşlarının hesaplarını izleyin.
- Ekibinizi iş teklifi oltalamasına karşı eğitin: Dosya indirmeyi veya kod çalıştırmayı isteyen cazip bir teklif bir uyarı işaretidir ve iş cihazından iş aramak tüm şirketi riske atar. Uzaktan işe alım yapıyorsanız, herhangi bir erişim vermeden önce adayın kimliğini doğrulayın.
Temel Siber Güvenlik Kontrolleri ne diyor?
Suudi Ulusal Siber Güvenlik Otoritesi'nin (NCA) Temel Siber Güvenlik Kontrolleri ECC-2:2024, devlet kurumları ile kritik ulusal altyapıya sahip olan, onu işleten veya barındıran kuruluşlar için zorunludur ve NCA diğer tüm kuruluşlara bunlardan yararlanmalarını güçlü şekilde tavsiye eder. Bunlardan üçü bu olayı doğrudan kapsar:
- Kontrol 1-10-3: Farkındalık programı e-posta ve oltalamanın güvenli yönetimini, internette gezinmeyi ve sosyal medya kullanımını kapsar.
- Kontrol 2-2-3-3: Bilmesi ve kullanması gereken ilkesi, en az yetki ilkesi ve görevler ayrılığı ilkesine dayalı yetkilendirme.
- Kontrol 2-3-3-1: İş istasyonlarının ve sunucuların virüslere, şüpheli programlara ve kötü amaçlı yazılımlara karşı modern teknolojilerle korunması.
Origami'nin bakışı
Suudi şirketlerinde Binance'i düşüren kalıbın aynısını görüyoruz: çalışanın iş, gezinme, fırsat arama ve her yeni aracı denemek için kullandığı tek bir cihaz, daha kolay olduğu için tam yönetici haklarıyla. Çalışan dosyayı kendisi çalıştıracaksa saldırganın karmaşık bir istismara ihtiyacı yoktur.
Çözüm, çalışanların öğrenmesini veya yapay zeka araçlarını denemesini yasaklamak değil, bunları paraya ve verilere ulaşamayan bir ortamda denemelerini sağlamaktır. Müşterilerimiz için sistem kurarken günlük hesapları ayrıcalıklı hesaplardan baştan ayırıyor ve onlara yapılan her erişimi kaydediyoruz.
Sonuç
6,34 milyar dolarlık bir ihlal bir sunucu açığıyla değil, bir iş görüşmesi ve aramadan indirilen bir uygulamayla başladı. Bu hafta BT sorumlunuzla bir saat ayırın: çalışanlardan yerel yönetici haklarını alın, onaylı yazılım listesini yazın, hassas erişimi olan cihazları ayırın ve ekibinize işe alımcıdan gelen hiçbir dosyanın iş cihazında açılmayacağını söyleyin. Sistemlerinizdeki yetkilerin gözden geçirilmesini istiyorsanız bizimle iletişime geçin veya hizmetlerimize göz atın.
Kaynaklar
- Binance — Security incident investigation update, 3 Kasım 2026: haziran, eylül, 20 Ekim ve 29 Ekim zaman çizelgesi, iki görüşme, dondurulan ve yerine konan tutarlar ve 57 tehdit vakası.
- Ulusal Siber Güvenlik Otoritesi (NCA) — Essential Cybersecurity Controls ECC-2:2024: kapsam ve 1-10-3, 2-2-3-3 ve 2-3-3-1 kontrolleri.
- TechCrunch — Researchers warned of North Korean hacking tactics years before record $6.3B Binance heist, 3 Kasım 2026: CrowdStrike rakamı ve önceki uyarılar.
- TechTarget — Binance details recruiter impersonation behind $6.3B wallet breach, 3 Kasım 2026: yazılımcı cihazlarına ilişkin uzman tavsiyeleri.
- Nextgov/FCW — Binance says fake job interview helped North Korean hackers steal $6.3 billion, Kasım 2026: FBI'ın saldırıyı Kuzey Kore'ye bağlaması.
Sık sorulan sorular
Şirketimiz kripto ile ilgilenmiyor. Binance saldırısı bizi ilgilendirir mi?
Evet, çünkü saldırı kriptoya özgü bir şeyi değil, erişim yetkisi olan bir çalışanı hedef aldı. Sahte bir iş görüşmesi ve arama sonuçlarından bulunan değiştirilmiş bir yazılım, banka portalına, muhasebe sistemine veya müşteri verilerine erişen bir çalışanı olan her şirketi ele geçirebilir.
Çalışanlarım bir iş teklifinin sahte olduğunu nasıl anlar?
En açık işaret, kendi cihazlarında bir dosya veya proje indirip çalıştırmalarının istenmesidir; özellikle hakkında güvenilir bilgi bulunamayan bir şirketle yapılan kısa görüşmelerden sonra. Teklif gerçek görünse bile kural değişmez: işe alım uzmanından gelen hiçbir dosya iş cihazında açılmaz.
Bu tür bir saldırıyı durdurmak için antivirüs yeterli mi?
Hayır. Binance vakasında kötü amaçlı kod çalıştı ve uç nokta araçları onu yakalamadı. Koruma yazılımı yalnızca bir katmandır; buna ek olarak çalışanlardan yerel yönetici haklarının alınması, onaylı bir yazılım listesi ve hassas erişimi olan cihazların gezinme cihazlarından ayrılması gerekir.
NCA Temel Siber Güvenlik Kontrolleri özel şirketim için zorunlu mu?
Devlet kurumları ile kritik ulusal altyapıya sahip olan, onu işleten veya barındıran kuruluşlar için zorunludur. Diğer şirketlere Ulusal Siber Güvenlik Otoritesi bunları kullanmalarını güçlü şekilde tavsiye eder; farkındalık, erişim ve cihaz koruma kontrolleri hazır bir kontrol listesi sunar.
