ABD, seçilmiş özel şirketlerin devlet gözetiminde yabancı suç örgütlerine karşı ofansif siber operasyon yürütmesinin önünü açıyor.
Siber güvenlik dünyasında yıllardır tartışılan bir soru var:
Bir şirket saldırıya uğradığında sadece kendisini savunmakla mı yetinmeli, yoksa saldırganın peşine düşüp onun sistemlerini de etkisiz hale getirebilmeli mi?
Bu tartışma bugüne kadar büyük ölçüde teorikti.
Artık değil.
ABD yönetimi, siber suçlarla mücadelede oldukça sıra dışı bir adım atarak belirli özel şirketlerin devlet gözetiminde yabancı suç örgütlerine karşı ofansif siber operasyonlar gerçekleştirebilmesinin önünü açıyor.
Başka bir ifadeyle:
Siber güvenlik şirketleri artık yalnızca saldırıyı tespit eden ve engelleyen tarafta olmayabilir.
Belirli koşullar altında saldırganın altyapısına müdahale eden taraf da olabilecekler.
Ve bu karar, siber güvenlik dünyasında uzun süredir tartışılan “hack-back” kavramını yeniden gündemin merkezine taşıyor.
Bugün bir ransomware grubu şirketin sistemlerine girdiğinde savunma ekibinin yapabilecekleri genel olarak belli.
Saldırıyı tespit etmek.
Saldırganın erişimini kesmek.
Zararlı yazılımı temizlemek.
Etkilenen sistemleri izole etmek.
Adli analiz gerçekleştirmek.
Verilerin dışarı çıkarılıp çıkarılmadığını araştırmak.
Sistemleri yeniden güvenli hale getirmek.
Ancak saldırganın dünyanın başka bir noktasındaki sunucusuna gidip müdahale etmek?
İşte burada çizgi değişiyor.
Savunma sona eriyor ve ofansif siber operasyon başlıyor.
ABD'nin yeni yaklaşımı tam olarak bu sınırı yeniden tanımlıyor.
13 Ağustos 2026'da duyurulan düzenleme kapsamında ABD Adalet Bakanlığı (DOJ) ve İç Güvenlik Bakanlığı (DHS), seçilmiş özel şirketlerin ulusötesi suç örgütlerine karşı siber operasyonlara katılabileceği yeni bir program oluşturacak.
Ancak burada önemli bir ayrıntı var:
Her siber güvenlik şirketi istediği hedefe saldırabilecek değil.
Programa katılacak şirketlerin teknik yeterliliklerinin değerlendirilmesi ve personellerinin güvenlik incelemesinden geçirilmesi öngörülüyor.
Dahası, gerçekleştirilecek operasyonların da devlet tarafından değerlendirilmesi gerekiyor.
Yani model:
“Saldırıya uğradım, IP adresini buldum, şimdi ben de onu hackliyorum.”
şeklinde işlemeyecek.
Operasyonların DOJ ve DHS tarafından incelenmesi ve yazılı olarak onaylanması gerekiyor.
Bu nedenle ortaya çıkan yapı klasik anlamdaki kontrolsüz bir “hack-back” modelinden ziyade:
Devlet gözetimindeki özel sektör destekli ofansif siber operasyon modeli olarak değerlendirilebilir.
Programın en dikkat çekici tarafı burada başlıyor.
Onay verilen özel şirketlerin yabancı suç örgütlerine karşı siber gözetleme gerçekleştirmesine izin verilebilecek.
Ancak yetki bununla sınırlı değil.
Belirli durumlarda suç örgütlerinin kullandığı dijital altyapının faaliyetlerini bozmayı veya devre dışı bırakmayı amaçlayan operasyonlar da gerçekleştirilebilecek.
Bir ransomware grubunu düşünelim.
Grubun;
komuta-kontrol sunucuları,
zararlı yazılım altyapısı,
operasyon sunucuları,
veri sızdırma altyapısı
ve saldırılarında kullandığı diğer dijital kaynakları bulunabilir.
Geleneksel savunma yaklaşımı bu altyapıdan gelen saldırıları engellemeye odaklanır.
Yeni yaklaşım ise çok daha agresif bir soruyu gündeme getiriyor:
Bu altyapıyı neden doğrudan etkisiz hale getirmiyoruz?
ABD'nin attığı adım tam olarak bu düşünceyi kurumsallaştırmaya çalışıyor.
Programa katılmanın önemli koşullarından biri de finansal sorumluluk.
Programa dahil olacak şirketlerin en az 1 milyon dolarlık teminat veya escrow bulundurması öngörülüyor.
Eğer şirket programın kurallarını ihlal ederse bu teminatı kaybedebilecek.
Bunun nedeni oldukça anlaşılır.
Çünkü burada gerçekleştirilen işlem sıradan bir sızma testi değil.
Yanlış hedef seçilmesi durumunda başka bir şirkete, masum bir sisteme veya yabancı bir ülkenin altyapısına zarar verilmesi mümkün.
Dolayısıyla operasyonların sonuçları yalnızca teknik olmayabilir.
Hukuki ve hatta diplomatik sonuçlar ortaya çıkabilir.
Yeni yaklaşım şirketlere sınırsız saldırı yetkisi vermiyor.
Program kapsamında gerçekleştirilecek operasyonların insanların ölümüne veya ciddi biçimde yaralanmasına neden olamayacağı belirtiliyor.
Aynı şekilde gerçekleştirilen faaliyetlerin uluslararası hukuk açısından silahlı saldırı veya güç kullanımı seviyesine ulaşmaması gerekiyor.
Bir başka kritik konu ise ABD vatandaşları ve ABD'deki sistemler.
Bir operasyon sırasında yanlışlıkla ABD'deki bir kişi veya bilgi sistemi hedef alınırsa şirketin faaliyeti durdurması ve hükümeti bilgilendirmesi gerekiyor.
Bu ayrıntılar aslında yeni modelin ne kadar hassas olduğunu gösteriyor.
Çünkü siber dünyada hedefler fiziksel dünyadaki kadar net sınırlarla ayrılmıyor.
Burada programın en büyük sorunlarından biri ortaya çıkıyor.
Bir siber suç örgütünün altyapısının tek bir ülkede bulunduğunu düşünmek çoğu zaman gerçekçi değil.
Saldırgan Rusya'da olabilir.
Komuta-kontrol sunucusu başka bir ülkede olabilir.
VPN başka ülkeden çalışabilir.
Ele geçirilmiş bir sunucu Avrupa'da bulunabilir.
Proxy altyapısı başka bir ülkede olabilir.
Saldırının bir bölümü ise tamamen masum bir şirketin ele geçirilmiş sisteminden geçiyor olabilir.
Bu nedenle saldırganın peşinden giderken:
“Saldırganın sistemine saldırıyoruz.”
demek teknik olarak her zaman kolay değil.
Yanlış sisteme müdahale edilmesi durumunda tamamen ilgisiz bir şirket zarar görebilir.
Daha kötüsü, başka bir ülkenin altyapısına müdahale edilmiş olabilir.
İşte uzmanların en büyük çekincelerinden biri tam olarak bu.
İşleri daha da karmaşık hale getiren başka bir problem var.
Siber dünyada devlet destekli tehdit aktörü ile bağımsız siber suç örgütü arasındaki çizgi her zaman net değil.
Bazı hacker grupları görünüşte bağımsız hareket ediyor.
Ancak belirli dönemlerde devlet kurumlarıyla iş birliği yapabiliyor veya onların çıkarlarına uygun operasyonlar gerçekleştirebiliyor.
Yeni programın yabancı devletlerin kurumsal bir parçası olan veya tamamen yabancı bir hükümet tarafından yönetilen grupları kapsamaması öngörülüyor.
Kağıt üzerinde mantıklı.
Fakat gerçek dünyada attribution yani saldırganın kimliğinin kesin olarak belirlenmesi, siber güvenliğin en zor problemlerinden biri.
Bir şirket bir ransomware grubunun altyapısına müdahale ettiğini düşünürken gerçekte yabancı bir devletin operasyonuna dokunursa ne olacak?
İşte teknik bir operasyonun diplomatik krize dönüşebileceği nokta burası.
Bu tartışmanın ilginç bir tarihsel benzetmesi de var.
Geçmişte devletler savaş dönemlerinde bazı özel gemilere düşman gemilerine saldırma yetkisi verebiliyordu.
Bunlara İngilizcede privateer deniyordu.
Devlet doğrudan saldırıyı gerçekleştirmiyordu.
Ancak özel aktöre belirli sınırlar içerisinde saldırı yetkisi veriyordu.
Bugün bazı uzmanların ABD'nin yeni yaklaşımını “cyber privateering” olarak tanımlamasının nedeni de bu.
Savaş gemisinin yerini bilgisayar aldı.
Denizlerin yerini internet aldı.
Korsan gemilerinin yerini ransomware grupları aldı.
Ve devlet destekli özel aktör kavramı yüzlerce yıl sonra dijital dünyada yeniden tartışılıyor.
ABD'nin böyle radikal bir modeli gündeme getirmesinin önemli nedenlerinden biri siber suç ekonomisinin ulaştığı boyut.
Ransomware grupları artık küçük hacker ekipleri değil.
Bazıları profesyonel şirketler gibi çalışıyor.
Yazılım geliştiricileri var.
Operasyon ekipleri var.
Affiliate modelleri var.
Ödeme altyapıları var.
Müşteri hizmetlerine benzeyen destek sistemleri bile bulunabiliyor.
Üstelik yapay zekânın saldırı operasyonlarına dahil olması tehditlerin ölçeğini daha da büyütebilir.
Keşif süreçleri otomatikleşiyor.
Phishing içerikleri hızla üretilebiliyor.
Zafiyet araştırmaları hızlanıyor.
Saldırı operasyonları ölçeklenebiliyor.
Dolayısıyla devletler açısından soru giderek değişiyor:
Sürekli saldırıları engellemek mi daha etkili, yoksa saldırganın operasyon kapasitesini ortadan kaldırmak mı?
ABD'nin yeni yaklaşımı ikinci seçeneğe daha fazla ağırlık verildiğini gösteriyor.
Bu sorunun kolay bir cevabı yok.
Savunanların argümanı güçlü:
Siber suçlular yıllardır görece düşük riskle faaliyet gösteriyor.
Altyapıları kapatıldığında yenisini kuruyorlar.
Sunucuları engellendiğinde başka sunucuya geçiyorlar.
Bir domain kapandığında yenisini açıyorlar.
Bu nedenle yalnızca savunmada kalmanın saldırganların maliyetini yeterince artırmadığı düşünülüyor.
Ofansif operasyonlar başarılı olursa saldırganların;
altyapıları bozulabilir,
operasyon maliyetleri yükseltilebilir,
verileri veya araçları kullanılmaz hale getirilebilir,
faaliyetleri izlenebilir
ve saldırı kapasiteleri azaltılabilir.
Fakat karşı argüman da en az bunun kadar güçlü.
Saldırgan misilleme yaparsa ne olacak?
Yanlış hedef vurulursa?
Masum sistemler zarar görürse?
Operasyon başka bir devletin istihbarat faaliyetiyle çakışırsa?
Bir özel şirket farkında olmadan uluslararası krize neden olursa?
Bu nedenle “hack-back” siber güvenliğin en tartışmalı konularından biri olmaya devam ediyor.
Yetkinin verilmesi başka, şirketlerin bu riski almak istemesi başka bir konu.
Ofansif siber operasyon gerçekleştiren şirket yalnızca teknik risk almıyor.
Hukuki risk alıyor.
İtibar riski alıyor.
Operasyonel risk alıyor.
Potansiyel misilleme riski alıyor.
Üstelik operasyonların gizli niteliği nedeniyle yaptığı işi ticari pazarlama amacıyla kullanabilmesi de oldukça sınırlı olabilir.
Dolayısıyla önümüzdeki dönemde en çok merak edilecek konulardan biri programa kaç şirketin katılacağı olacak.
Bu kararın belki de en önemli sonucu burada.
Siber güvenlik dünyası uzun yıllardır iki ayrı alana bölündü:
Savunma ve saldırı.
Özel şirketler ağırlıklı olarak savunma tarafında kaldı.
SOC ekipleri saldırıları izledi.
SIEM sistemleri olayları analiz etti.
EDR ve XDR çözümleri saldırıları tespit etti.
Threat Intelligence ekipleri tehdit aktörlerini takip etti.
Incident Response ekipleri saldırı sonrası müdahaleyi gerçekleştirdi.
Ofansif operasyonlar ise büyük ölçüde devletlerin istihbarat ve askeri birimlerinin alanıydı.
ABD'nin yeni yaklaşımı bu sınırı değiştirebilir.
Özel sektör ilk kez çok daha sistematik biçimde devlet destekli ofansif siber operasyonların parçası haline gelebilir.
ABD'nin attığı bu adımı yalnızca yeni bir siber güvenlik programı olarak değerlendirmek eksik kalabilir.
Asıl değişim daha büyük.
Devletler uzun yıllardır siber saldırılara karşı savunma kapasitesini artırmaya çalışıyor.
Ancak ransomware, finansal dolandırıcılık, veri hırsızlığı ve organize siber suç faaliyetlerinin büyümesi yeni bir yaklaşımı gündeme getiriyor:
Saldırıyı yalnızca durdurmak değil, saldırganın operasyon kapasitesini de bozmak.
Bu yaklaşım başarılı olursa başka ülkelerin de benzer modeller geliştirmesi şaşırtıcı olmayacaktır.
Ancak bunun kontrolsüz biçimde yaygınlaşması interneti çok daha karmaşık bir çatışma alanına da dönüştürebilir.
Devlet kurumları.
Siber suç örgütleri.
İstihbarat servisleri.
Özel siber güvenlik şirketleri.
Savunma sanayii şirketleri.
AI destekli saldırı sistemleri.
Hepsinin aynı dijital alanda aktif operasyon yürüttüğü bir dünyada attribution, yetkilendirme, sorumluluk ve uluslararası hukuk bugünkünden çok daha kritik hale gelecektir.
Yıllardır şirketlere verilen temel tavsiye oldukça basitti:
Şimdi bu listeye yeni ve oldukça tartışmalı bir seçenek ekleniyor:
Saldırganın operasyonunu boz.
ABD'nin başlattığı modelin başarılı olup olmayacağını söylemek için henüz erken.
DHS ve DOJ'un programın operasyonel prosedürlerini oluşturması için 60 günlük süre bulunuyor.
Fakat bir şey şimdiden açık:
Siber güvenlikte savunma ile saldırı arasındaki geleneksel sınırlar yeniden çiziliyor.
Ve önümüzdeki yıllarda en büyük tartışmalardan biri şu olabilir:
Bir siber saldırıyı durdurmanın en iyi yolu, saldırganın kapınıza gelmesini beklemek mi; yoksa onun dijital kapısını önce çalmak mı?
SecureSys olarak küresel siber güvenlik politikalarını, yeni saldırı yöntemlerini ve değişen tehdit ortamını yakından takip ediyor; kurumların siber dayanıklılıklarını sızma testleri, Red Team, SOC, SIEM, EDR/XDR, NDR, tehdit istihbaratı ve olay müdahale hizmetleriyle güçlendirmelerine destek oluyoruz.
Siber güvenlik artık yalnızca duvarları güçlendirmek değil; karşıdaki tehdidi görmek, anlamak ve saldırı gerçekleşmeden önce hazırlıklı olmaktır.
Haftalık olarak güncel tehditler, vaka analizleri ve teknik içerikler e-posta kutunuza gelsin.
Spam göndermiyoruz. İstediğiniz zaman abonelikten çıkabilirsiniz.
KVKK, canlı maç yayınını ticari ileti onayına bağlayan platforma 250 bin TL ceza verdi. Açık rıza ekranlarında kurumların kontrol etmesi gerekenler.
Bir holdingi vurmak için yüzlerce sunucuyu hacklemek gerekmez. Doğru hesaba erişen saldırganın ilk 60 dakikada neler yapabileceğini adım adım izliyoruz.
Tayvan'daki kamu kurumlarına yönelik saldırıda sekize kadar otonom yapay zekâ ajanı görev aldı. Siber saldırıların yürütülme biçimi değişiyor.