Güvenli sandığınız tuzak çıkabilir: Araçlardaki yeni tehlike! Sakın bu işaretleri göz ardı etmeyin

Haberlerimizi Google’da Takip Edin

Google’da tercih edilen
kaynak olarak ekleyin

Otomobiller artık yalnızca ulaşım aracı değil, internete, mobil uygulamalara ve bulut sistemlerine bağlı birer dijital platform hâline gelirken, siber saldırganların hedefi de genişliyor. Kaspersky’nin tespit ettiği yeni saldırı kampanyası, Android tabanlı araç içi multimedya sistemlerinin doğrudan zararlı yazılımlarla hedef alınabildiğini ortaya koydu.
Üstelik saldırının, kullanıcıların herhangi bir şüpheli dosya indirmesine gerek kalmadan, sistemin kendi yazılım güncelleme mekanizması üzerinden gerçekleştirilebilmesi dikkat çekti.
SÜREÇ NASIL İLERLEDİ?

Saldırıda, araç multimedya sistemlerinde kullanılan meşru bir güncelleme uygulamasının iletişim kanalı kötüye kullanılarak zararlı yazılımlar cihaza yükleniyor. Çok aşamalı şekilde ilerleyen saldırı zincirinde, reklam sahtekârlığından veri toplamaya ve ek zararlı modüller indirmeye kadar farklı faaliyetler gerçekleştirilebiliyor.
Daha da dikkat çekici olan ise saldırganların sürücünün bir e-postaya tıklamasına, şüpheli bir uygulama yüklemesine veya herhangi bir hata yapmasına ihtiyaç duymaması.
Peki, bir otomobilin multimedya sistemi siber saldırıya uğradığında bunu sürücü nasıl anlayabilir? Detaylar oldukça düşündürücü...

“Burada otomobiller ilk kez hackleniyor demek doğru olmaz. Otomobillerin Bluetooth, Wi-Fi, anahtarsız giriş, telematik sistemleri, mobil uygulamaları ve multimedya ünitelerindeki açıkları yıllardır görüyoruz” diyen Bilişim Uzmanı Osman Demircan, “Yeni ve önemli olan, siber suçluların artık otomobili başlı başına bir dijital hedef olarak görmeye başlamış olması” dedi. Demircan, şu bilgilerin altını çizdi:

-- Siber güvenlik araştırmacıları, bunu doğrudan araç multimedya ünitelerine özel hazırlanmış bir bulaşma zinciriyle gerçek ortamda dağıtılan bir saldırı olarak belgelediler. Bu yüzden bunu ilk zararlı yazılım vakası olarak değerlendiriyorlar ve gerçekten de çok korkutucu. Eskiden otomobile saldırmak denildiğinde çoğunlukla araca fiziksel olarak yaklaşmak, OBD portuna cihaz bağlamak, Bluetooth menzilinde bulunmak veya USB üzerinden bir zararlı yazılım yüklemek akla geliyordu.

-- Bugün ise otomobil; buluta, üreticinin sunucularına, mobil uygulamaya, API’lere, SIM karta, Wi-Fi’ye ve OTA güncelleme sistemlerine bağlı hareket eden bir bilgisayar ağı hâline gelmiş durumda. Dolayısıyla saldırganların araca yakın olması bile gerekmeyebiliyor. Upstream Security’nin 2026 raporunda, 2025’te kamuya açıklanmış 494 otomotiv ve akıllı mobilite siber olayı inceleniyor. Olayların yüzde 92’sinin uzaktan gerçekleştirildiği, bunların yüzde 86’sında araçlara veya sistemlere fiziksel yakınlık gerekmediği ve olayların yüzde 67’sinde telematik/bulut sistemlerinin saldırı vektörleri arasında bulunduğu belirtiliyor.

“Son olayda saldırı zinciri bunun çok iyi bir örneği” diyen uzman isim, “Araçtaki 'TWCore' isimli meşru sistem uygulaması, normalde üreticinin sunucusundan hangi uygulamanın kurulacağı veya güncelleneceği bilgisini alıyor. Saldırganlar bu dağıtım kanalını kötüye kullanarak önce JarService adlı yükleyiciyi, ardından birkaç aşamalı başka zararlı modülleri sisteme sokuyor. Yani sürücünün bir e-postaya tıklaması, korsan APK yüklemesi, hatta herhangi bir hata yapması bile gerekmiyor. Sadece güncelleme yapması ya da güncellemenin otomatik olarak yapılması yeterli” dedi.

Bu soruma Osman Demircan, “Multimedya ekranının hiçbir neden yokken yavaşlaması, sık sık yeniden başlaması, beklenmedik reklamların çıkması, araçtaki SIM kartın veya hotspot bağlantısının normalden çok daha fazla internet tüketmesi, daha önce olmayan uygulama veya servislerin belirmesi, sistemin aşırı ısınması, park hâlindeyken olağan dışı veri trafiği oluşması veya multimedya ayarlarının kendiliğinden değişmesi, bir siber saldırıya işaret edebilecek belirtiler arasında değerlendirilebilir” cevabını verdi ve diğer önemli işaretlere de dikkat çekti:

“Özellikle kontrolsüz ve aşırı veri tüketiminin siber saldırının en belirleyici özelliklerinden biri olduğunu söyleyebilirim. Sizin aracınızın internet bağlantısı, siz farkında olmadan başka kişilerin internet trafiğini geçirmek için kullanılıyor olabilir. Ancak kullanıcılara ‘Şunlara bakarsanız kesin anlarsınız’ demek çok mümkün değil. İyi tasarlanmış bir malware (zararlı yazılım), özellikle görünmemek için çalışır. Bu nedenle otomobil üreticisinin veya multimedya üreticisinin uzaktan güvenliği izlemesi, log analizi ve bütünlük kontrolü yapması ve servis seviyesinde malware tespiti gerçekleştirebilmesi çok daha önemli. Bu tespit, üretici seviyesinde gerçekleştirilmeli.”

Sonradan takılan, markası belirsiz Android multimedya sistemlerinde bu konunun daha önemli bir hâle geldiğinin altını çizen Osman Demircan, “Çünkü Android kullanıyor olması tek başına güvensiz olduğu anlamına gelmese de asıl sorun, üreticinin Android’i nasıl yönettiği, güncellemelerin nereden geldiği ve bir güvenlik açığı ortaya çıktığında ürünün desteklenip desteklenmediği” dedi.

Tüketicinin mümkünse bazı soruları sorması gerektiğinin söyleyen Demircan, “Ürün kaç yıl güvenlik güncellemesi alacak? Güncellemeler üreticinin kendi altyapısından mı geliyor? Yazılım ve firmware paketleri dijital olarak imzalanıyor ve cihaz tarafından doğrulanıyor mu? Secure Boot benzeri bir mekanizma var mı? Sistem, bilinmeyen APK’ların kurulmasına izin veriyor mu? Multimedya sistemi ile aracın kritik kontrol sistemleri birbirinden izole edilmiş mi? Güvenlik açığı bulunduğunda üreticinin açık bir bildirim ve güncelleme politikası var mı? Bu soruların cevapları çok önemli” ifadeleri kullandı.

“Sıfır araçlarda ayrıca üreticinin 'UN Regulation No. 155' ve 'No. 156' çerçevesindeki siber güvenlik ve yazılım güncelleme yönetimi yaklaşımı mutlaka sorgulanmalı” uyarısında bulunan Osman Demircan, “R155, araç siber güvenliği ve üreticinin Siber Güvenlik Yönetim Sistemi’ne; R156 ise yazılım güncellemeleri ve Yazılım Güncelleme Yönetim Sistemi'ne ilişkin uluslararası düzenlemeler. Android Auto ile Android tabanlı multimedya sistemi kesinlikle aynı şey değil. Android Auto, ağırlıklı olarak telefondaki bazı fonksiyonların otomobil ekranına yansıtılması. Burada yaşanan vakada ise kendi Android işletim sistemiyle çalışan sistemlerden söz ediliyor. Ucuz bir multimedya cihazının riski bazen donanım kalitesinden değil, üreticisinin iki yıl sonra ortadan kaybolması ve cihazın bir daha güvenlik güncellemesi alamamasından kaynaklanabilir” şeklinde konuştu.

Bu saldırıda zararlı yazılım, normal bir yazılım güncellemesi üzerinden araca ulaşabiliyor. Güncelleme yapmak güvenlik için önemliyken, ‘güncelleme yaparken bile saldırıya uğrama’ ihtimali ortaya çıkıyor. Kullanıcı güvenli bir güncelleme ile şüpheli bir güncellemeyi nasıl ayırt edebilir?

“İşte bu olayın en rahatsız edici taraflarından biri bu” diyen Osman Demircan, şu önemli bilgileri paylaştı:

-- Normalde vatandaşlara sisteminizi güncel tutun diyoruz. Fakat burada saldırganlar tam tersine güvenilir güncelleme mekanizmasını dağıtım aracı olarak kullanmışlar. TWCore normalde üreticinin sunucusundan güncelleme talimatları alan meşru bir uygulama. Güvenlik araştırmacılarının bulgularına göre saldırganlar bu kanalı kullanarak zararlı yazılım göndermiş. Dolayısıyla bazı tedarik zinciri saldırılarında kullanıcı güvenli güncelleme ile zararlı güncellemeyi gözle ayırt edemez.

-- Ekranda üreticinin logosu bulunabilir, güncelleme normal menüden gelebilir ve kullanıcı hiçbir hata yapmamış olabilir. Bu nedenle sorumluluğun önemli bölümü üreticide. Firmware’in kriptografik olarak imzalanması, cihazın imzayı yüklemeden önce doğrulaması, Secure Boot, yetkisiz veya eski sürüme dönüşü engelleyen mekanizmalar, güncelleme sunucularının korunması ve güncelleme altyapısının sürekli izlenmesi gerekiyor. Zaten UN R156’nın temel mantığı da yazılım güncellemelerinin yönetilebilir ve güvenli bir süreç hâline getirilmesinin sağlanması.

-- Kullanıcının yapabileceği ise daha sınırlı ama yine de önemli. Güncellemeyi yalnızca aracın resmî OTA sistemi, üreticinin resmî uygulaması/web sitesi veya yetkili servis üzerinden almak, mesajlaşma uygulamalarından, forumdan, e-postadan veya rastgele internet sitesinden gelen APK/firmware dosyalarını yüklememek, bilinmeyen kaynaklardan yüklemeye izin ver talep eden güncellemelere karşı özellikle şüpheci olmaları gerekiyor.

Burada risklerin kademeli olarak değerlendirmesi gerektiğini belirten Osman Demircan, “Öncelikle bu vakada siber güvenlik araştırmacılarının doğruladığı veri toplama özellikleri arasında cihaz modeli, ekran çözünürlüğü, bağlı Wi-Fi ağının SSID'si ve MAC adresi gibi bilgiler bulunuyor. Ayrıca zararlı yazılımın ek modüller indirebilmesi ve cihazı bir proxy ağı içerisinde kullanabilmesi de söz konusu” dedi ve şöyle devam etti:

-- Wi-Fi ağının adını bilmek, Wi-Fi şifresini bilmek anlamına kesinlikle gelmez. MAC adresine sahip olmak da banka hesabına erişim sağlamaz. Fakat saldırganın otomobilde kalıcı olarak kod çalıştırabiliyor olması, daha büyük bir potansiyel risk yaratıyor. Çünkü multimedya sistemine telefon bağladığımızda, sisteme, modele ve verdiğimiz izinlere bağlı olarak rehber, arama geçmişi, bazı mesaj/iletişim bilgileri, mikrofon ve Bluetooth üzerinden başka veriler aktarılabiliyor. Zararlı yazılım ileride bunlara erişebilen ilave bir modül indirirse mahremiyet riski çok daha büyüyebilir.

-- Ev ağı açısından da küçük bir risk bulunuyor. Diyelim ki aracımız evin önünde duruyor ve aracın multimedya sistemi ev Wi-Fi'sine bağlanıyor. Ele geçirilmiş cihaz artık saldırganın kontrol ettiği bir cihaz olarak aynı yerel ağın içerisinde bulunabilir. Bu, teorik olarak ağdaki başka cihazları araştırmak veya güvenlik açığı olan cihazları hedeflemek için bir başlangıç noktası oluşturabilir. Ancak otomobil hacklendiyse evdeki bilgisayar da otomatik olarak hacklenmiştir diyemeyiz. Bunun için ayrıca ev ağındaki başka bir cihazdaki zafiyetin sömürülmesi gerekir.