Çin Destekli Casusluk Grubu TA419, Yapay Zeka Uzmanlarını Phishing Tuzaklarıyla Hedef Alıyor

Siber güvenlik ekosistemi, yapay zeka politikalarını ve stratejik teknolojileri hedef alan sofistike devlet destekli siber casusluk faaliyetleriyle sarsılmaya devam ediyor. Tehdit istihbarat kuruluşlarının raporlarına göre, Pekin yönetimiyle bağlantılı olduğu bilinen ve TA419 olarak izlenen bir siber casusluk grubu, ABD'deki önde gelen düşünce kuruluşlarını, üniversiteleri ve hukuk firmalarını, yapay zeka politikaları üzerinde çalışan uzmanları ve karar vericileri hedef alan kapsamlı kimlik avı (phishing) kampanyaları yürütüyor. Özellikle Temmuz ayında yoğunlaşan bu operasyonlarda, saldırganların yapay zeka ekosisteminin tanınmış simalarını taklit etmesi, oltalama saldırılarında yapay zeka odaklı sosyal mühendisliğin ulaştığı tehlikeli boyutu gözler önüne seriyor.

Yüksek Profilli İsimlerin Taklit Edilmesi ve Sahte Komiteler

TA419 grubu, saldırılarının inandırıcılığını artırmak için doğrudan yapay zeka politikalarına yön veren üst düzey isimlerin kimliklerini sahte e-posta adresleri ve alan adları üzerinden kopyaladı. Tehdit istihbarat raporlarına göre grup, aralarında Anthropic şirketinde görev yapan kıdemli bir çalışanın ve eski Beyaz Saray yetkililerinin de bulunduğu pek çok figürün kimliğine büründü. Başlangıçta Şubat ayında, Amerikan askeri yetkililerinin Anthropic'e Claude modelinin güvenlik kısıtlamalarını kaldırması için baskı yaptığı dönemde, kıdemli bir Anthropic çalışanını taklit eden casuslar, bir düşünce kuruluşundaki yapay zeka politika analistine "Claude'un Askeri Entegrasyonuna İlişkin Geri Bildirim Talebi" konu başlıklı bir e-posta gönderdi.

Kampanyanın Temmuz 2026 dalgasında ise hedef yelpazesi daha da genişletildi. 8 Temmuz'dan itibaren TA419, Beyaz Saray Bilim ve Teknoloji Politikası Ofisi (OSTP) liderlik ekibinin eski baş müdür yardımcısı Lynne Edwards Parker ve tanınmış ekonomist ile dış politika uzmanı Heidi Crebo-Rediker gibi isimleri taklit eden oltalama e-postaları gönderdi. Bu e-postalarda kurbanlara sahte bir "Yapay Zeka Politika Danışma Komitesi"ne katılım daveti veya Senato Dış İlişkiler Komitesi'nin yapay zeka ihracat kontrolleri ve tedarik zincirleri hakkındaki raporuna katkı sunma teklifi götürüldü.

Gelişmiş Kimlik Avı Zinciri ve Browser-in-the-Browser Taktikleri

Saldırıların teknik altyapısı, geleneksel oltalama yöntemlerinin çok ötesine geçen sofistike bir mimari barındırıyor. Hedefteki uzmanlar e-postalara yanıt verdiğinde, Beijing bağlantılı grup kurbanlara kısaltılmış URL'ler ile yaklaşıyor. Bu bağlantılar başlangıçta saldırganlar tarafından kontrol edilen ve ilk aşama alan adı olarak kullanılan driftshare[.]co adresine yönlendirme yapıyor.

Kurbanlar bu sayfaya ulaştığında, arka planda sahte bir OneDrive yükleme ekranı maskesi altında gizlenen bir Cloudflare Turnstile doğrulamasından geçiyor. Sürecin sonunda ise kurbanlar, Browser-in-the-Browser (BitB) tekniğini kullanan bir saldırgan ortadaki (AitM - Attacker-in-the-Middle) kimlik avı sayfasına yönlendiriliyor. Açık kaynaklı Frameless BitB tabanlı bu altyapı, Microsoft 365 ve Entra ID oturumlarını hedef alıyor. Evilginx phishlet'leri aracılığıyla kullanıcı adları, şifreler ve kritik Microsoft 365 oturum çerezleri (session cookies) anlık olarak ele geçiriliyor.

Saldırganlar backend sunucu IP adreslerini gizlemek için yoğun olarak Cloudflare içerik dağıtım ağından (CDN) yararlanırken; kimlik avı domain'lerinin temalarını genellikle dosya paylaşım servisleri ve bulut depolama sağlayıcıları etrafında şekillendiriyorlar. msfile[.]online, onecloudfilesync[.]com ve globalfileshareplatform[.]com gibi alan adları bu stratejinin birer parçası olarak öne çıkıyor. Ayrıca grup, Japon-Tayvan Değişim Derneği, The Heritage Foundation ve Japonya Savunma Bakanı Shinjirō Koizumi'nin resmi web sitesi gibi kurumların alan adlarına benzer taklit (typosquatting) domain'ler de kaydederek operasyonlarının meşruiyet algısını artırmaya çalıştı.

Küresel Tedarik Zinciri ve Yapay Zeka Güvenliğine Etkileri

Yapay zeka modellerinin askeri entegrasyonu, ihracat kontrolleri ve küresel çip tedarik zincirlerinin jeopolitik birer çekişme alanına dönüştüğü bu dönemde, siber casusluk faaliyetlerinin teknoloji politikası uzmanlarını hedef alması endişeleri artırıyor. OpenAI'ın Çin merkezli Moonshot AI tarafından gerçekleştirilen veri sızdırma ve damıtma (distillation) saldırılarını raporlamasından hemen sonra ortaya çıkan bu Proofpoint bulguları, ABD'li yapay zeka devleri ile Çinli aktörler arasındaki istihbarat ve veri güvenliği mücadelesinin en üst seviyeye ulaştığını gösteriyor.

Uzmanlar, TA419 ve benzeri Çin destekli grupların kritik teknolojiler üzerinde çalışan politika yapıcıları ve araştırma kurumlarını mercek altına almaya devam edeceğini öngörüyor. Bu tür hedefli oltalama kampanyalarına karşı geleneksel e-posta filtrelerinin yetersiz kalabildiğini belirten siber güvenlik otoriteleri, kurumların ve bireylerin phishing'e dayanıklı, kök odaklı kimlik doğrulama mekanizmalarına —özellikle passkey (geçiş anahtarı) teknolojilerine— acilen geçiş yapması gerektiğini vurguluyor. Yapay zeka ekosisteminin kalbinde yer alan stratejik akılların korunması, önümüzdeki dönemin en kritik siber güvenlik önceliği olmaya devam edecek.