Avrupa'da okullara giden asılsız bomba ihbarı e-postaları: Hudson Rock, bağlantılı iki üniversite hesabını infostealer verisinde buldu

11 Kasım'da Avrupa'nın birçok ülkesinde okullara bomba ihbarı içeren e-postalar gönderildi. Security Affairs'in ANSA'ya ve İtalya Eğitim Bakanlığı'na dayanarak aktardığına göre yalnızca İtalya'da yaklaşık 6.000 okul bu e-postayı aldı; bazıları tahliye edildi, bazıları polisle görüştükten sonra derse devam etti. İtalya Başbakanı Giorgia Meloni aramalarda bomba bulunmadığını, e-postaların korku ve kaos yayma girişimi olduğunu söyledi.

Aynı ihbarlar İtalya dışında da görüldü. Kuzey İrlanda polisi 300'den fazla okulun aynı mesajı aldığını bildirdi, İskoçya polisi incelediği vakaları asılsız ihbar olarak sınıflandırdı. İrlanda'da okullara ve haber merkezlerine farklı e-posta adreslerinden tehdit gittiği aktarıldı. Bu nedenle tüm mesajların tek bir kişi ya da gruptan geldiğini varsaymak için bir dayanak yok.

Hudson Rock ne buldu?

Tehdit istihbaratı şirketi Hudson Rock, ihbarlarla ilişkilendirilen iki üniversite e-posta adresinin kendi çalıntı kimlik bilgisi verisinde yer aldığını açıkladı. Adreslerden biri Mısır'daki, diğeri Tayvan'daki bir üniversiteye ait.

• Mısır'daki adres, 1 Ekim 2021 tarihli bir Vidar infostealer kaydında görünüyor. Kayıt, Chrome çalıştıran bir Windows 7 makinesinden alınmış; içinde 112 kayıtlı kimlik bilgisi var, 20'si üniversite adresini kullanıyor ve ikisi Microsoft oturum açma sayfalarına ait.
• Tayvan'daki adres, Şubat 2025'te Have I Been Pwned'e eklenen derlenmiş infostealer verisi AlienTXTBASE içinde çıktı. Habere göre üniversite, bir mezun hesabının büyük hacimde e-posta gönderdiğini fark edip hesabı askıya aldı.

Bulgu neyi göstermiyor?

Şirket yalnızca kimlik bilgilerinin açığa çıktığını söylüyor; e-postaları bu hesapların gönderdiğini iddia etmiyor, bir kişiyi, grubu ya da devleti de işaret etmiyor. Beş yılı aşkın eskilikteki bir kayıt, açığa çıkmayı kanıtlıyor; kesintisiz erişimi, değişmemiş bir parolayı ya da temizlenmemiş bir enfeksiyonu göstermiyor. Dosyalarda token hırsızlığına dair bir iz de yok.

Hangi hesabın ya da oturumun e-postaları gönderdiğini belirlemek için tam e-posta başlıkları, sağlayıcının mesaj logları ve oturum açma kayıtları gerekiyor. Hesabın meşru sahibi tehditlerin yazarı olarak görülmemeli.

Neden önemli?

Infostealer, cihazda ne varsa kopyalar: kayıtlı parolalar, oturum çerezleri, token'lar, sistem bilgisi. Çalınan bir parola yıllar sonra da bir hesabı açabilir; çalınan oturum token'ı MFA'yı atlayabilir. Hudson Rock'ın vurguladığı nokta şu: sıradan bir üniversite kullanıcısına ait hesap, okullara ulaşmanın, aileleri korkutmanın ve acil durum kaynaklarını tüketmenin aracı olabiliyor. Credential ifşası yalnızca dolandırıcılık ve veri hırsızlığı sorunu değil.