Bir yakınınız arıyor. “Hayırdır, para mı lazım? WhatsApp’tan IBAN göndermişsin.”
Sohbeti açıp bakıyorsunuz. Sizde öyle bir mesaj yok. Onun ekranında ise gönderen sizsiniz.
Yirmi yılı aşkın süredir bilgi güvenliğiyle uğraşıyorum. Coruna vakasını okurken en çok bu iki ekran arasındaki fark üzerinde durdum. İtalyan adli bilişim şirketi Forenser’ın incelediği vakalarda telefon sahipleri, kendi adlarına para istendiğini ekranda göremiyordu. WhatsApp’ın “Bağlı Cihazlar” listesine baktıklarında da yabancı bir cihaz görünmüyordu.
WhatsApp Web’i bilgisayarda ilk açtığınızda ekrana bir QR kodu gelir. Telefonunuzla o kodu okutursunuz ve artık aynı hesaptan bilgisayarda da yazışabilirsiniz. Coruna, iPhone’u ele geçirdikten sonra bu eşleştirmeyi sizin haberiniz olmadan yapıyor. Saldırgan, kendi bilgisayarından sizin adınıza mesaj gönderebiliyor.
Coruna daha sonra saldırganın tarayıcısını “Bağlı Cihazlar” listesinden gizliyor. Onun gönderdiği mesajları da sizin sohbet ekranınızdan kaldırıyor. Yakınınız mesajı görüyor, siz göremiyorsunuz.
Forenser’ın incelediği saldırı Safari’de başlıyor. Zararlı kod önce tarayıcıdaki, ardından iOS’taki açıklardan yararlanıp telefonda en yüksek yetkiyi elde ediyor. Biz buna “root yetkisi” diyoruz. Saldırgan bu yetkiyle WhatsApp’ın çalışmasına müdahale edebiliyor.
Üstelik karşınıza şüpheli bir bağlantı çıkması da gerekmeyebilir. iVerify, zararlı kodun bir reklam üzerinden yüklenebildiğini gösterdi. Tarayıcı o reklamı yüklerken saldırı başlayabiliyor.
“Peki uçtan uca şifreleme ne işe yarıyor?” diye sorabilirsiniz. Mesaj yoldayken şifreli. Telefonunuza ulaştığında WhatsApp, okuyabilmeniz için şifresini çözüyor. Coruna o sırada zaten telefonun içinde çalışıyor. Mesajı, sizin okuyabildiğiniz hâliyle alıyor. Forenser, yazışmaların yanı sıra kişi bilgilerinin de saldırganın sunucusuna aktarılabildiğini belirledi.
Google’ın tehdit istihbaratı ekibi mart ayında Coruna’yı açıkladığında beş ayrı saldırı zinciri ve bunlarda kullanılan 23 istismar kodu tespit etmişti. Araç önce bir gözetim yazılımı şirketinin müşterisinin operasyonlarında, ardından Ukraynalı kullanıcıları hedef alan bir casusluk grubunun saldırılarında görüldü. 2025’in sonuna doğru da Çin merkezli bir grubun sahte finans ve kripto sitelerinde ortaya çıktı.
iVerify’ın kurucu ortaklarından Rocky Cole, Coruna’yı 2017’de WannaCry fidye yazılımının yayılmasında kullanılan EternalBlue’ya benzetiyor. Bana da yerinde geliyor. Bir gözetim operasyonunda kullanılan yazılım, el değiştirince bir ailenin WhatsApp yazışmasına kadar girebiliyor.
Google’ın raporuna göre Coruna, iOS 13.0 ile 17.2.1 arasındaki sürümleri hedefliyordu. Apple, daha yeni bir iOS sürümüne geçemeyen bazı iPhone’lar için de güvenlik düzeltmesi yayımladı. Bu telefonlara düzeltmeler iOS 15.8.7 ve 16.7.15 güncellemeleriyle geldi.
Ayarlar’dan Genel’e, oradan Yazılım Güncelleme’ye girin. Telefonunuza sunulan en son sürümü yükleyin, WhatsApp’ı da güncel tutun. Güncellemeyi hemen yapamıyorsanız ve telefonunuz destekliyorsa Kilit Modu’nu değerlendirin. Google’ın incelediği Coruna, bu mod açıkken saldırıyı durduruyordu.
Hesabınızdan habersiz mesaj gönderildiğini öğrendiyseniz yakınlarınızı hemen uyarın. Para gönderildiyse bankaya haber verin, mesajları ve dekontu saklayıp polise başvurun.
Güncelleme açığı kapatır. Saldırganın daha önce açtığı oturumu kapatmak ve telefona yerleşen yazılımı temizlemek ayrı işler. Forenser, fabrika ayarlarına dönmeyi, ardından iOS’u güncelleyip WhatsApp’ı yeniden kurmayı öneriyor. Adli inceleme gerekebilecekse sıfırlamadan önce bir uzmana danışın. Telefonda incelemeye yarayacak kayıtlar olabilir.
Bir yakınınız WhatsApp’tan para istediğinde, mesajı ne kadar onun üslubuna benzetirseniz benzetin, rehberinizdeki numaradan arayıp sorun. Şirkette bir ödeme talimatı geldiğinde de aynı şey geçerli. Mesajda “acele” yazıyorsa o aramaya özellikle vakit ayırın.
Bu yazıyı okurken aklınıza annenizin ya da babanızın yıllardır kullandığı iPhone geldiyse, bir dahaki görüşmenizde güncelleme ekranına birlikte bakın.
