ABD hükümeti, Rusya’nın Ukrayna’yı işgal etmesinin ertesi günü bazı Amerikan şirketlerini Moskova’nın Rus siber güvenlik şirketi Kaspersky tarafından tasarlanan yazılımı manipüle ederek zarar vermek için manipüle edebileceği konusunda özel olarak uyarmaya başladı.
Gizli brifingler, Washington’un su, telekomünikasyon ve enerji gibi kritik altyapı sağlayıcılarını olası Rus saldırılarına hazırlamaya yönelik daha geniş stratejisinin bir parçası.
Başkan Joe Biden geçen hafta Rusya’ya 24 Şubat’ta Ukrayna’ya yönelik saldırısı nedeniyle uygulanan yaptırımların siber kesintiler de dahil olmak üzere bir tepkiye yol açabileceğini söyledi, ancak Beyaz Saray ayrıntılı bilgi vermedi.
Üst düzey ABD’li yetkili Kaspersky’nin yazılımı hakkında “Ukrayna ihtilafıyla risk hesaplaması değişti” dedi. “Arttı.”
Siber güvenlik endüstrisinin en popüler anti-virüs yazılımı üreticilerinden biri olan Kaspersky’nin merkezi Moskova’dadır ve eski bir Rus istihbarat subayı Eugene Kaspersky tarafından kurulmuştur.
Bir Kaspersky sözcüsü yaptığı açıklamada, Kaspersky yazılımının sözde riskleri hakkındaki brifinglerin, “şirkete bu tür endişelere doğrudan yanıt verme fırsatı vermeden” Kaspersky’nin itibarına “daha fazla zarar vereceğini” ve bunun “uygun veya adil olmadığını” söyledi.
Üst düzey ABD’li yetkili, Kaspersky’nin Rusya merkezli personelinin, Rus kolluk kuvvetleri veya istihbarat teşkilatları tarafından müşterilerinin bilgisayarlarına uzaktan erişim sağlamaya veya buna yardım etmeye zorlanabileceğini söyledi.
ABD’de bir ofisi bulunan Kaspersky, web sitesinde Microsoft, Intel ve IBM ile olan ortaklıkları listeliyor. Microsoft yorum yapmaktan kaçındı. Intel ve IBM, yorum taleplerine yanıt vermedi.
25 Mart’ta Federal İletişim Komisyonu, Kaspersky’yi ABD ulusal güvenliğine tehdit olarak kabul edilen iletişim ekipmanı ve hizmet sağlayıcıları listesine ekledi.
Washington, Kaspersky’nin Kremlin’den etkilenebileceğini ilk kez söylemiyor.
Trump yönetimi, Kaspersky’yi hükümet sistemlerinden yasaklamak için aylar harcadı ve çok sayıda şirketi 2017 ve 2018’de yazılımı kullanmamaları konusunda uyardı.
ABD güvenlik kurumları, Trump yasağını çevreleyen bir dizi benzer siber güvenlik brifingi düzenledi. Konuya aşina olan bir kişi, dört yıl önceki bu toplantıların içeriğinin yeni brifinglerle karşılaştırılabilir olduğunu söyledi.
Kaspersky, yıllar boyunca, Rus istihbaratıyla herhangi bir gizli ortaklığı veya görevi kötüye kullanmadığını sürekli olarak yalanladı.
Güvenlik brifinglerine belirli bir olayın mı yoksa yeni bir istihbarat parçasının mı yol açtığı belli değil. Üst düzey yetkili, gizli bilgiler hakkında yorum yapmayı reddetti.
Şimdiye kadar hiçbir ABD veya müttefik istihbarat teşkilatı Kaspersky yazılımında bir arka kapı olduğuna dair doğrudan, halka açık bir kanıt sunmadı.
Trump kararının ardından Kaspersky, ortakların kötü amaçlı etkinlikleri kontrol etmek için kodunu gözden geçirebileceklerini söylediği bir dizi şeffaflık merkezi açtı. O sırada bir şirket blog yazısı, amacın ABD suçlamalarından sonra müşterilerle güven inşa etmek olduğunu açıkladı.
Ancak ABD’li yetkili, şeffaflık merkezlerinin “bir incir yaprağı bile” olmadığını çünkü ABD hükümetinin endişelerini gidermediklerini söyledi.
“Moskova yazılım mühendisleri [software] güncellemeler, risk burada geliyor” dediler. “Güncelleyiciler aracılığıyla kötü niyetli komutlar gönderebilirler ve bu Rusya’dan gelir.”
Siber güvenlik uzmanları, anti-virüs yazılımının kurulu olduğu bilgisayarlarda normalde nasıl çalıştığından dolayı, kötü amaçlı yazılımları keşfetmek için derin bir kontrol seviyesi gerektirdiğini söylüyor. Bu, anti-virüs yazılımını, casusluk yapmak için doğası gereği avantajlı bir kanal haline getirir.
Ayrıca Kaspersky’nin ürünleri de bazen beyaz etiketli satış anlaşmaları kapsamında satılmaktadır. Bu, yazılımın bilgi teknolojisi müteahhitleri tarafından ticari anlaşmalarda paketlenebileceği ve yeniden adlandırılabileceği anlamına gelir, bu da kökenlerinin hemen belirlenmesini zorlaştırır.
Salı günü İngiltere’nin siber güvenlik merkezi, Kaspersky’den ismen bahsetmemekle birlikte, Ukrayna veya kritik altyapı ile ilgili hizmetler sağlayan kuruluşların tedarik zincirlerinde Rus bilgisayar teknolojisini kullanma riskini yeniden düşünmeleri gerektiğini söyledi.
Ulusal Siber Güvenlik Merkezi bir blog yazısında, “Rus devletinin, İngiltere’nin çıkarlarına zarar vermek için Rus ticari ürün ve hizmetlerini boyun eğdirme niyetinde olduğuna dair hiçbir kanıtımız yok, ancak kanıtın yokluğu, yokluğun kanıtı değil” dedi.
© Thomson Reuters 2022