Hindistan CERT-In uyardı: "CRAFTY FALCON" yapay zekâ araçlarıyla fintech'lerin ödeme API'lerini hedef alıyor, saldırılar hafta sonuna kaydırılıyor
Hindistan'ın ulusal siber olay müdahale ekibi CERT-In, yapay zekâ destekli saldırı araçları kullanan CRAFTY FALCON adlı aktörün dijital kredi, ödeme ve kripto platformlarına yönelik saldırılarının sürdüğünü ve daha önce önlem alan kurumların yeniden hedef alındığını duyurdu.
Hindistan'ın ulusal siber olay müdahale ekibi CERT-In, finans sektörünü hedef alan ve "yapay zekâ destekli" olarak tanımladığı bir threat actor hakkındaki uyarısını güncelledi. Kurumun CRAFTY FALCON adını verdiği aktör, ilk olarak 9 Ekim'de yayımlanan CIAD-2026-0046 numaralı uyarıyla duyurulmuştu. 4 Kasım'da yayımlanan CIAD-2026-0058 güncellemesine göre saldırılar "aktif ve tırmanıyor"; CERT-In kampanyanın derhal ve süregelen bir tehdit olarak ele alınmasını istiyor.
Uyarının en dikkat çekici yanı, daha önce kısıtlı dağıtımlı uyarıları alıp düzeltme yapan bazı kurumların yeniden saldırıya uğraması. CERT-In'e göre aktör, eksik kalan düzeltmeleri fırsata çeviriyor.
Kimler hedefte?
Habere göre saldırılar banka dışı finans şirketlerini (NBFC), dijital kredi platformlarını, fintech'leri, ödeme kuruluşlarını ve aracılarını, cüzdan operatörlerini ve kripto para borsalarını kapsıyor. Kripto tarafında cüzdan anahtarlarının çalınıp cüzdanların boşaltıldığı belirtiliyor. Uyarı genel olarak bankaları da muhatap alsa da saldırı bildiren kurumlar fintech tipi işletmeler. CERT-In, etkilenen kurumların tam listesini ya da toplam kaybı açıklamadı; aktörün kim olduğu ve nereden çalıştığı da belirtilmedi.
Nasıl çalışıyor?
CERT-In'in aktardığı yöntemler şöyle özetlenebilir:
- Zamanlama: Saldırılar tatil günlerine, hafta sonlarına ve izlemenin zayıf olduğu saatlere denk getiriliyor; amaç tespiti ve müdahaleyi geciktirmek.
- İlk erişim: İnternete açık test ve geliştirme ortamları aranıyor; buralardaki ortak kimlik bilgileri, token'lar veya ağ yolları üzerinden canlı (production) sistemlere geçiliyor. Yeni duyurulan açıklar hızla istismar ediliyor.
- Uygulamayı yeniden yazma: Erişim sağlandıktan sonra kurumun kendi uygulamaları, yetkisiz API çağrıları yapacak şekilde değiştiriliyor. Güvenilen uygulamadan gelen trafik çoğu zaman alarm üretmiyor.
- Hızlı varyantlar: Kısa aralıklarla işlevsel olarak aynı ama farklı görünen çok sayıda kod varyantı üretiliyor; CERT-In bunu yapay zekâ ile üretilen kodla uyumlu buluyor.
- Test ödemesi: The Register'a göre önce çok küçük tutarlı test ödemeleriyle erişim doğrulanıyor, ardından ödeme ve ödeme dağıtım API'leri üzerinden büyük tutarlar aktarılıyor.
Uyarıda adı geçen araçlar arasında ARTEX, PentAGI, Cairn ve CyberStrikeAI bulunuyor. CERT-In bunları saldırı zincirinin tamamını yürütebilen ve payload'ları hedefin tepkisine göre uyarlayan yapay zekâ tabanlı offensive security araçları olarak tanımlıyor.
Ne yapılmalı?
- Test ve geliştirme ortamlarını internetten ayırın; bu ortamlarla canlı sistemler arasında ortak parola, token veya ağ yolu bırakmayın.
- Ödeme ve ödeme dağıtım API'lerinde olağandışı çağrıları, özellikle çok küçük tutarlı ardışık test işlemlerini gerçek zamanlı izleyin ve alarm üretin.
- Hafta sonu ve tatil dönemlerinde 7/24 izleme sürdürün; CERT-In bu dönemlerde ek personel ve daha düşük alarm eşikleri öneriyor.
- Önceki bir olaydan sonra yapılan düzeltmelerin eksiksiz olduğunu doğrulayın: tüm kimlik bilgilerini yenileyin, değiştirilmiş uygulama kodunu bilinen iyi sürümle karşılaştırın.
- Bulut kaynaklarına erişimi kısıtlayın, olay günlüklerini (logging) güçlendirin ve şüpheli ihlalleri gecikmeden ilgili otoritelere bildirin.
