II Siber Savaş ve Kritik Altyapı·Analiz·Amerika

Saldırgan kapıyı kırmıyor, tedarikçinin anahtarıyla giriyor

Üç gün içinde üç ayrı olay aynı kapıyı gösterdi: bir yedekleme uygulamasının kimliği 173 kiracıyı açtı, bir uzaktan destek aracı yedi hafta istismar edildi, Japonya'da sızıntılar ödeme ve bulut yan katmanından geldi. Savunmanın kör noktası kullanıcı değil, ona güvenilen yazılım.

Siber ve Kritik Altyapı Masası · 18 Ekim 2026 · 7 dk okuma · 6 kaynak

Önemi

Gürültü: sızan kayıt sayısı rekor kırıyor. Sinyal: saldırgan kullanıcı parolasıyla değil, kurumların daha önce geniş yetki verdiği tedarikçi uygulamasının kimliğiyle giriyor. ConnectWise vakasında 15 Ekim'deki 2 saat 21 dakikalık pencerede 173 kiracıya çok aşamalı doğrulamaya hiç uğramadan girildi. Kısıt parola güvenliği değil, izin envanteri: kimin hangi uygulamaya ne yetki verdiğini kurumların çoğu bilmiyor.

Etkiler

Huntress 17 Ekim itibarıyla ConnectWise Cloud Backup'ın çalıntı kimliğiyle 173 Microsoft 365 kiracısında yetkisiz giriş doğruladı; en az birinde yetki Genel Yönetici'ye yükseltildi.
BeyondTrust'ın uzaktan destek aracındaki açık 29 Ağustos'tan beri istismar ediliyordu; Mandiant saldırıyı Çin devletince desteklenen bir casusluk grubuna bağladı ve 16 Ekim'de doğrulandı.
Yamato 16 Ekim'de ödeme hizmetinden 5,31 milyon kaydın çıkarıldığını, Nikkei bir geliştirme bulutundan 1,83 milyon kaydın ele geçirildiğini açıkladı.

Gürültü

Sızıntılar rekor kırıyor, sorun kayıt sayısında.

Sinyal

Saldırgan tedarikçi uygulamasının kimliğiyle çok aşamalı doğrulamayı tamamen atlıyor.

Sinyal ve Gürültü ›

Saldırgan kapıyı kırmıyor, tedarikçinin anahtarıyla giriyor haritası

Gürültü kayıt sayısı, sinyal güven zinciri

Gürültü: sızıntılar rekor kırıyor. Japonya'da 16 Ekim'de Yamato 5,31 milyon, Nikkei 1,83 milyon kayıt açıkladı; manşet bunu bir sayı yarışı olarak okuyor. Sayı büyüdükçe tepki parolaları sıkılaştırmaya, çalışanı oltalamaya karşı eğitmeye yöneliyor.

Sinyal başka yerde. Son 72 saatte açıklanan üç büyük vakada da saldırgan kurumun ön kapısından girmedi. Kurumun güvendiği bir tedarikçinin yazılımını, onun anahtarını ya da ona bağlı bir hizmet katmanını kullandı. Bu yol, son on yılda kullanıcı hesabının etrafına örülen çok aşamalı doğrulama duvarının dışında kalıyor.

Anahtar kullanıcıda değil uygulamada

The Hacker News'in 17 Ekim haberine göre ConnectWise Cloud Backup'a ait kimlik bilgisi ele geçirildi ve 15 Ekim'de 06.13 ile 08.34 UTC arasında müşteri kiracılarında oturum açıldı. Kiracı, bir kurumun Microsoft 365 içindeki kendi ortamı. Uygulama müşterilerin e-postasını, dosyalarını, Teams yazışmalarını ve dizinini yedeklediği için bu verilerin hepsine okuma ve yazma izni taşıyordu.

Kimlik uygulamaya ait olduğu için saldırgan bu izinleri olduğu gibi devraldı; ne kullanıcı ne cihaz ne de doğrulama istemi devreye girdi. Saldırgan kiracıları birkaç saniye arayla sırayla dolaştı. En az bir kiracıda ConnectWise'ın başka bir uygulaması kendini Genel Yönetici yaptı ve iki güvenilir uygulamaya yeni gizli anahtar yazdı. Todyl'e göre uygulama kapatılsa bile verilmiş erişim anahtarları 90 dakika daha geçerli kalıyor. SpecterOps'un aynı günkü notu 162 kiracıdan söz ediyor; sayı gün içinde 173'e çıktı.

Aynı kapı üç farklı biçimde

The Record'un 16 Ekim haberine göre BeyondTrust'ın uzaktan destek cihazlarındaki yetki yükseltme açığı en az 29 Ağustos'tan beri kullanılıyordu ve şirket 27 Eylül'de uyarıldı. Mandiant saldırganı Armory Castle olarak adlandırıyor ve Çin devletince desteklenen, uzun vadeli bilgi toplayan bir casusluk grubu sayıyor. Hedefler hukuk büroları, yazılım hizmeti sağlayıcıları, dış kaynak şirketleri ve kamu. Uzaktan destek aracı da yedekleme uygulaması gibi, BT ekibinin her makineye ulaşmak için kurduğu güvenilir bir köprü.

Japonya'da aynı kalıp yan katmanda görünüyor. Kyodo'ya göre Yamato'nun sızıntısı ana kargo sisteminden değil, teslimattan sonra ödeme hizmetinden geldi ve 28 Eylül'de fark edildi. Jiji'ye göre Nikkei'nin 1,83 milyon kaydı sistem geliştirmede kullanılan bir bulut hizmetinden çıktı. İki vakada da veri, ana sistemin güvenlik standardının dışında kalan bağlı bir ortamda duruyordu.

Kısıt neden şimdi sıkılaştı

The Register'ın 17 Ekim derlemesine göre Dragos, endüstriyel kuruluşlara yönelik fidye yazılımı olaylarını 2026'nın ilk çeyreğinde 1.020, ikinci çeyreğinde 1.140 olarak saydı. Aynı habere göre operasyonel teknoloji ağlarının %10'undan azı yeterli izleme altında. Armis'in ekim raporu da kuruluşların %73'ünün fidye saldırılarında kullanılmış bina otomasyon sistemleri taşıdığını söylüyor.

Bu rakamlar tek bir yapısal kısıta işaret ediyor. Kurumlar kullanıcı hesaplarını sıkılaştırdıkça saldırgan, yetkisi geniş ama gözetimi zayıf olan yazılım kimliklerine yöneliyor. Yedekleme, uzaktan destek ve bina otomasyonu üç farklı sektörde aynı rolü oynuyor: her şeye erişen, ama kimsenin her gün izlemediği hesap.

Sırada ne var

İlk gösterge, ConnectWise'ın kimlik bilgilerini yenilediğini duyurması ve Huntress'in kiracı sayısını kapatması. İkincisi, Microsoft'un servis sorumlularına eklenen anahtarlar için yeni bir uyarı ya da varsayılan kısıt getirip getirmediği. Üçüncüsü, Japonya'da ekim sonuna kadar gelecek yeni sızıntı açıklamalarının yine yan katmandan mı geldiği.

Okumamız şu: en olası yol, bu üç vakanın üçüncü taraf uygulama izinlerine yönelik bir denetim dalgası başlatması ve sigorta ile tedarik sözleşmelerinde yeni şartlara dönüşmesi. Bu tezi çürütecek gelişme, ConnectWise vakasının kullanıcı parolası ya da çalışan hatasıyla açıklanması olur; o zaman kısıt uygulama kimliği değil, klasik hesap güvenliği demektir.

Olasılıklar

Senaryolar

Senaryo	Olasılık	Tetikleyici	Piyasa etkisi
H1İzin denetimi dalgası	%50	ConnectWise kimlik bilgilerini yeniler, etkilenen kiracı sayısı birkaç yüz düzeyinde kalır, kurumlar üçüncü taraf uygulama izinlerini daraltır.	Olay veri sızıntısına dönüşmeden kapanır ama izin envanteri bir uyum başlığına dönüşür.
H2Arka kapılar ortaya çıkar	%30	Yeni gizli anahtar yazılan kiracı sayısı artar, BeyondTrust açığı geniş çapta istismar edilir, veri sızıntısı duyuruları gelir.	Olay tek tedarikçiden çıkıp hukuk, yazılım ve kamu kurumlarına yayılan bir casusluk ve veri ihlali dalgasına döner.
H3Sınırlı olay	%20	ConnectWise veri çekilmediğini doğrular, BeyondTrust yaması hızla uygulanır, Japonya'da yeni büyük sızıntı açıklanmaz.	Olaylar ayrı ayrı kapanır, yapısal bir değişiklik tetiklenmez.

Modül A

Kısıt Matrisi

YAPISAL ORT. 4,0 · OPERASYONEL ORT. 2,7Yapısal kısıtlar baskın: sonuç, aktörlerin tercihlerinden çok bu sınırlarla belirlenir.

Yapısal kısıtlarkalıcı · iradeden bağımsız

Uygulama kimliği doğrulamanın dışında
5/5
Kimlik bilgisi uygulamaya ait olduğu için 173 kiracıda çok aşamalı doğrulama devreye girmedi; saldırgan Directory.ReadWrite.All gibi daha önce verilmiş izinleri devraldı.
Uzaktan destek aracının ayrıcalığı · Çin
4/5
BeyondTrust açığı 29 Ağustos'tan 16 Ekim'deki doğrulamaya kadar yaklaşık 7 hafta kullanıldı; araç her uç noktaya erişen bir köprü.
Yan katmanda tutulan veri · Japonya
4/5
Yamato'nun ödeme hizmetinde 1 Ekim 2018'den beri biriken yaklaşık 8 yıllık veri ve Nikkei'nin geliştirme bulutundaki 1,83 milyon kayıt ana sistemin dışındaydı.
Verilmiş anahtarların ömrü
3/5
Todyl'e göre uygulama kapatılsa bile verilmiş erişim anahtarları 90 dakikaya kadar geçerli kalıyor; müdahale penceresi saldırgan lehine.

Operasyonel sürtünmegeçici · zamanla çözülür

Kimlik bilgisinin kaynağı belirsiz haftalar
3/5
ConnectWise kimlik bilgisinin nasıl çalındığını açıklamadı; kurumlar başka tedarikçi uygulamalarında aynı riski ölçemiyor.
Operasyonel teknolojide izleme açığı aylar
3/5
Dragos'a göre operasyonel teknoloji ağlarının %10'undan azı yeterli izleme altında; 2025 müdahalelerinin %30'u alarmla değil, personelin fark etmesiyle başladı.
Kiracı sayısı hâlâ değişiyor günler
2/5
Huntress'in sayısı 16 Ekim'de 162, 17 Ekim'de 173 kiracıydı; olayın kapsamı henüz kapanmadı.

Modül B

Sinyal ve Gürültü

SİNYAL %60 · GÜRÜLTÜ %40

GÜRÜLTÜ
Sızıntılar rekor kırıyor, sorun kayıt sayısında.
Yamato 5,31 milyon, Nikkei 1,83 milyon kayıt açıkladı; ama iki vakada da veri ana sistemden değil, ödeme ve geliştirme bulutu gibi bağlı katmanlardan çıktı.
nippon.com (Jiji) — More Japanese Firms Disclose Details of Data Breaches
SİNYAL
Saldırgan tedarikçi uygulamasının kimliğiyle çok aşamalı doğrulamayı tamamen atlıyor.
15 Ekim'de 06.13–08.34 UTC arasında tek bir uygulama kimliğiyle 173 kiracıya girildi; bir kiracıda yetki Genel Yönetici'ye yükseltildi.
The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
SİNYAL
Devlet destekli casusluk da aynı güvenilir köprüyü kullanıyor.
BeyondTrust'ın uzaktan destek aracındaki açık 29 Ağustos'tan beri istismar edildi; Mandiant grubu Çin devletince desteklenen Armory Castle olarak tanımladı.
The Record — Suspected Chinese espionage attackers abusing BeyondTrust IT support zero-day
GÜRÜLTÜ
Fransız market saldırısı bir devletin işi.
Eski ABD İç Güvenlik yetkilisi Matt Hayden saldırıların devlet işi değil fırsatçı olduğunu düşünüyor; saldırgan kimliği hâlâ açıklanmadı.
The Register — Cybercrims go beyond stealing data to attack physical building systems
SİNYAL
Endüstriyel fidye olayları çeyrekten çeyreğe artıyor.
Dragos 2026'nın ilk çeyreğinde 1.020, ikinci çeyreğinde 1.140 olay saydı; operasyonel teknoloji ağlarının %10'undan azı yeterince izleniyor.
The Register — Cybercrims go beyond stealing data to attack physical building systems

Modül C

Varlık Sınıfı ve Pozisyonlama Çıkarımları

Varlık sınıfı	Maruziyet	Aktarım kanalı	H1	H2	Beklenen	Kanaat	Vade	İzlenecek
Hisse	Kimlik ve erişim yönetimi yazılımları	Uygulama izinleri ve servis kimlikleri için denetim talebi artar	+	++	+1,10	●●●	3–12 ay	Microsoft'un uygulama izinleri için yeni varsayılan kısıt duyurusu
Hisse	Yönetilen hizmet ve BT destek yazılımı sağlayıcıları	Hizmet kesintisi, müşteri kaybı ve dava riski	−	−−	−1,10	●●●	0–3 ay	ConnectWise ve BeyondTrust vakalarında doğrulanan veri sızıntısı duyuruları
Navlun ve sigorta	Siber sigorta primleri	Üçüncü taraf uygulama riskinin poliçe şartlarına yazılması	+	++	+1,10	●●●	3–12 ay	Sigortacıların üçüncü taraf uygulama ve tedarikçi denetimi maddeleri
Oynaklık	Genel hisse oynaklığı	Tedarikçi kaynaklı olay kamu ve finans sektörüne yayılırsa risk primi açılır	0	+	+0,30	●●●	0–3 ay	Oynaklık endeksinin 25 eşiği

İkinci tur etkiler

Peki sonra ne olur?

Başlangıç

Bir yedekleme uygulamasının çalıntı kimliği 15 Ekim'de 173 Microsoft 365 kiracısını çok aşamalı doğrulamaya uğramadan açtı; ConnectWise uygulamayı kapattı.

1
Yönetilen hizmet ve bulut operasyonugünler içinde
Yönetilen hizmet sağlayıcıları üçüncü taraf uygulamaları toplu olarak kapatıp 13 Ekim sonrası eklenen anahtarları denetler; müşterilerde yedekleme ve yönetim hizmetleri geçici olarak durur.
İzlenecek: ConnectWise'ın uygulama erişimini yeniden açma tarihi ve kimlik yenileme duyurusu
2
Siber sigorta ve platform kurallarıaylar içinde
Platform sağlayıcıları ve sigortacılar uygulama izinlerini yeni bir risk kalemi olarak ele alır; geniş dizin yazma izni taşıyan uygulamalar için ek şart ve denetim istenir.
İzlenecek: Microsoft'un uygulama izinleri için yeni varsayılan kısıt duyurusu ve siber poliçelerde üçüncü taraf uygulama maddeleri
3
Tedarikçi yoğunlaşmasıaylar içinde
Küçük kurumlar için tedarikçi denetiminin maliyeti artar, yönetilen hizmet pazarı daha az sayıda büyük sağlayıcıda toplanır. Türkiye'de bulut yedeklemeyi dış sağlayıcıyla yürüten KOBİ'ler de aynı izin modelini taşıdığı için aynı uyum yüküyle karşılaşır.
İzlenecek: Yönetilen hizmet sektöründe ekim–aralık birleşme duyuruları ve sağlayıcıların fiyat değişiklikleri

Zinciri kıran

ConnectWise vakası klasik bir kullanıcı hesabı ihlaliyle açıklanırsa ya da veri çekilmediği kesinleşirse zincir ilk adımda kalır. Microsoft'un uygulama kimlikleri için bağlamsal erişim kısıtını varsayılan yapması ikinci adımı sigortacılara bırakmadan çözer.

Tetikleyiciler

İzlenecek eşikler

Gösterge	Eşik	Bugün	Anlamı
VIX oynaklık endeksi	> 25	16,46	Oynaklık endeksinin 25'i aşması, tedarikçi kaynaklı siber olayların sektörel bir uyum maliyetinden çıkıp genel risk iştahını etkileyen bir olaya dönüştüğünü gösterir.

Kaynaklar

Kaynak ve doğrulama kuralları: metodoloji · Hata bildirimi: iletişim

İlgili raporlar

IVMakro ve Borç·Analiz·Amerika

Borcun ortalama faizi piyasaya yetişiyor, açığı artık faiz büyütüyor

ABD'nin 2026 mali yılı 1,992 trilyon $ açıkla kapandı ve açıktaki büyümenin üçte ikisi faizden geldi. Borcun ortalama faizi %3,53, 10 yıllık getiri %5,09; aradaki fark kapandıkça fatura merkez bankası kararından bağımsız büyüyor.

Makro ve Borç Piyasaları Masası · 18 Ekim 2026 · 9 dk

IVMakro ve Borç·Analiz·Amerika

Ekimde merkez bankaları bekliyor, aralığı enerjinin kalıcılığı belirleyecek

Fed, ECB, İngiltere ve Kanada merkez bankaları aynı enerji şokuna farklı hızda tepki veriyor. 28–29 Ekim toplantılarında bekleme fiyatlanıyor; asıl karar, enerjinin hizmet fiyatlarına geçip geçmediğini gösterecek kasım verilerinde.

Makro ve Borç Piyasaları Masası · 17 Ekim 2026 · 9 dk

IVMakro ve Borç·Derin analiz·Amerika

Enflasyon ısındı ama tahvil yükseldi, Fed'i kredi piyasası bağlıyor

ABD'de üretici enflasyonu 15 Ekim'de %6,3'e çıktı; aynı gün 10 yıllık getiri 10 baz puan düştü. Yapay zekâ borcundaki gerilim, Fed'in faiz kararını enflasyondan daha sıkı bağlamaya başladı.

Makro ve Borç Piyasaları Masası · 16 Ekim 2026 · 12 dk