Etik hacker ile dark web dolandırıcısı

Arama motoruna hacker kiralamak yazan biri, aynı sonuç listesinde birbirine çok benzeyen iki farklı teklifle karşılaşır. Birincisi, yazılı izinle sisteminize girilip girilemeyeceğini test eden bir uzmandan gelir. İkincisi, erişim, çalınmış veri veya hazır dolandırıcılık satan bir aracıdan. İkisinin de sitesi düzgündür ve ikisi de tam gizlilik vaat eder; fark, karşı tarafta sözleşmesi olan bir mühendisin mi yoksa başkasının şifrelerini devreden birinin mi oturduğudur.

Bu fark teorik değil. Hangi tarafı seçtiğiniz, elinize düzeltilecek hataların listelendiği bir raporun mu geçeceğini yoksa peşinatı kaybedip bir sonraki ödeme talebini mi duyacağınızı belirler. En kötü senaryoda ceza hukuku da devreye girer: başkasının hesabına izinsiz erişim siparişi, iş yapılmamış olsa bile suçtur.

Aynı kelimeyle iki farklı teklif

Piyasa, yalnızca kelime dağarcığını paylaşan iki bölümden oluşur. Yasal tarafta sızma testi uzmanları ve güvenlik araştırmacıları çalışır: sözleşme imzalar, fatura keser, sertifika ve yayımlanmış iş geçmişi sunar. Suç tarafında ise ele geçirilmiş ağlara erişim satan mağazalar, sızdırılmış veri tabanı pazarları ve zararlı yazılımı abonelikle satan ekipler bulunur.

İkinci kesim çoktan gün ışığına çıktı. Teklifine denk gelmek için Tor tarayıcısı kurmanız gerekmez, sıradan bir arama yeterlidir. Logosu, fiyat listesi ve müşteri yorumları olan bir site, aslında yalnızca ödeme almak için açılmış bir posta kutusu olabilir.

Etik serbest çalışan gerçekte ne yapar

İşin her zaman bir belgeyle çizilmiş sınırları vardır. Tipik kapsam şöyle görünür:

Web uygulaması testi — giriş formları, yetkilendirme, arayüz bağlantıları ve OWASP listesindeki yaygın hatalar.
İç ağ testi — cihaz haritası, açık servisler, yetki yükseltme ve yanal hareket denemeleri.
Sosyal mühendislik — insan kaynaklarıyla mutabık kalınan, yalnızca belirlenen çalışan grubuna uygulanan oltalama ve telefon senaryoları.
Zafiyet değerlendirmesi — güncellenmemiş yazılımlar, hatalı yapılandırmalar ve bilinen CVE kayıtları.
Bug bounty programlarında çalışma — program kuralları içinde ve bulgunun sorumlu biçimde bildirilmesi.

Bu işlerin her biri, sistem sahibinin onayıyla başlar. İmza yoksa kusursuz yürütülen bir test bile hukuka aykırıdır ve ciddi bir uzman, müşteri ne kadar ısrar ederse etsin bunu kabul etmez. Bir uyuşmazlıkta kimin ne yapmaya hakkı olduğunu gösteren belge tam olarak budur.

Dark web'de ne satılıyor

Suç kataloğu sıkıcı biçimde tekrara dayanır:

Erişim aracılığı — ele geçirilmiş kurumsal ağa hazır giriş; fiyat sektöre, büyüklüğe ve yetki düzeyine göre belirlenir.
Sızdırılmış veri tabanları — toplu satılan milyonlarca kullanıcı adı ve şifre çifti.
Abonelikle zararlı yazılım — şifreleyiciler, veri çalan araçlar ve destek ile güncelleme sunulan uzaktan yönetim yazılımları.
Kart ve banka hesabı bilgileri — parayı çıkarmak için kullanılan sözde paravan hesap ağıyla birlikte.
Sipariş üzerine aşırı yükleme saldırıları — siteyi veya bir ağ servisini devre dışı bırakan hizmetler.
Sosyal medya hesabı ele geçirme — neredeyse her zaman dolandırıcılıkla biten ya da kendi başına suç olan bir teklif.

Bu kalemlerin hiçbiri sistem sahibine sunulan bir hizmet değildir. Hepsi, hakkı olmayan yere girmek isteyen biri için üretilmiş maldır.

Hacker tutma dolandırıcılıkları nasıl işler

Kimlik taklidi. Site kendisini seçkin uzmanlardan oluşan bir ekip olarak tanıtır; sertifikalar sahtedir, yorumlar uydurmadır. Peşinat kripto parayla veya havale ile gider, ardından iletişim kesilir ve alan adı başka bir adrese taşınır.

Sahte emanet hesabı. Dolandırıcı, parayı işin sonuna kadar tutacak güvenilir bir aracı önerir. Aracı kendisidir. Para yattıktan sonra ikisi de susar.

Taksitli teslimat. Müşteriye tek bir sahte ekran görüntüsü gönderilir ve sonraki aşama için ek ödeme gerektiği söylenir. Döngü, kişi pes edene kadar sürer.

Ters şantaj. Yasa dışı bir sipariş için parayı aldıktan sonra dolandırıcı, daha fazla ödeme gelmezse polise başvuracağını söyler. Müşteri hem mağdur hem de suç siparişi vermeye çalışmış kişidir.

Yedi uyarı işareti

Ödeme öncesinde sözleşme ve kapsam belgesi olmaması.
Sizin kendi şifrelerinizi ve erişim kodlarınızı istemesi; sızma testi uzmanının hesabınıza ihtiyacı yoktur.
Teklif ve referans sunulmadan ödeme talep edilmesi.
Sahibi olmadığınız hesaplara girme sözü verilmesi.
Yalnızca anonim iletişim: şirket adı, adres ve mesleki profil yok.
Yalnızca kripto para ile ödeme, fatura ve belge olmadan.
İki saatte biter sözü ve hiçbir makul uzmanın vermeyeceği sonuç garantisi.

Bu maddelerden biri bile görüşmeyi bitirmek için yeterlidir.

Karşı tarafı nasıl doğrularsınız

Amacı netleştirin. Neyin, neden test edileceğini yazın. Netlik, rastgele muhatapları kendiliğinden eler.
Yazılı teklif isteyin. Yöntem, takvim, teslim edilecekler, sorumluluk sınırı ve fiyat. Bu bir iki gün sürer, beş dakika değil.
Kimliği kontrol edin. Vergi levhası ve ticaret sicil kaydını MERSİS üzerinden, sertifikaları ise düzenleyen kurumun dizininden doğrulayın.
İki müşteriyi arayın. Doğrulanamayan referans, referans değildir.
Belgeleri iş başlamadan imzalayın. Kapsam, gizlilik ve olay anındaki iletişim yolu.

Sözleşme, KVKK ve Türk hukuku

Türkiye pratiğinde sızma testi genellikle teknik ekli bir eser sözleşmesiyle düzenlenir. Ekte alan adları ve IP adresleri, izin verilen ve yasak yöntemler, çalışma penceresi, iki taraftaki iletişim kişileri, testi durdurma prosedürü ve kapsam dışına çıkmanın cezai şartı yer almalıdır. Gizlilik taahhüdü ve sorumluluk sınırı güvensizlik değil, standarttır; ayrıca e-fatura ve KEP ile tebligat, sonradan doğacak uyuşmazlıkta işinizi kolaylaştırır.

İkinci katman kişisel verilerdir. Test neredeyse her zaman müşteri kayıtlarına, loglara ve yazışmalara dokunur. Yüklenici bu verileri sizin adınıza işliyorsa, 6698 sayılı KVKK kapsamında veri işleyen sıfatıyla hareket eder ve iki taraf arasında veri işleme sözleşmesi gerekir: işlenen veri kategorileri, saklama süresi, yurt dışına aktarım yasağı ve ihlal bildirimi yükümlülüğü yazılı olmalıdır. Kurul kararlarına göre veri ihlali, öğrenildiği tarihten itibaren 72 saat içinde bildirilir; bu süre, yüklenicinin size zamanında haber vermesine bağlıdır. Rapor teslim edildikten sonra alınan kopyaların silinmesi de sözleşmede yer almalıdır.

Üçüncü katman ceza hukukudur. Türk Ceza Kanunu'nun 243. maddesi bilişim sistemine hukuka aykırı erişimi, 244. maddesi sistemi engellemeyi veya verileri yok etmeyi düzenler. Sahibi olmadığınız bir hesabı test ettirme siparişi, yüklenici hiçbir şey yapmamış olsa bile sizi de kapsar ve hiçbir sözleşme bunu ortadan kaldırmaz.

Maliyet ne kadar

Türkiye piyasasında fiyatlar kapsama göre geniş bir aralıkta dağılır. Orta ölçekli bir web uygulaması testi genellikle 150 000 ile 600 000 TL arasında, senaryo sayısına göre değişir. Küçük bir firmanın ağ değerlendirmesi 80 000 TL civarından başlar, bir günlük oltalama senaryosu ise bunun küçük bir bölümüdür. Tam denetim 15 000 TL sloganı bir fırsat değil, satıcının işin hacmini bilmediğinin ya da teslim etmeyi düşünmediğinin işaretidir.

Profesyonel, sonucu da garanti etmez. Açığın kesin bulunacağı bir tarih yoktur, çünkü sonuç sistemin durumuna bağlıdır.

Kısaca özet

Etik hacker yazılı izinle ve birlikte çizilen kapsam sınırları içinde çalışır.
Dark web erişim, veri ve dolandırıcılık satar; bu teklifin bir kısmı artık sıradan arama sonuçlarında görünüyor.
En basit sınav: sözleşme, kimlik, fatura, rapor. Biri eksikse görüşme biter.
Başkasının hesabına giriş siparişi, hiçbir şey olmamış olsa bile suçtur.

Yayına almadan önce test edilmesi gereken bir sisteminiz mi var, yoksa KVKK ve siber güvenlik yükümlülükleri açısından belgelerinizi mi düzenlemek istiyorsunuz? Ekibe yazın — kısa bir görüşmenin ardından hangi kapsamın anlamlı olduğunu, neyin vaat edilemeyeceğini ve raporun nasıl görüneceğini açıkça söyleriz.

Sık sorulan sorular

Dark web'den hizmet almak Türkiye'de yasal mı?

Hayır. Bir sisteme, hesaba veya veriye hukuka aykırı erişim siparişi, hizmet yerine getirilmese bile suçtur. Hem yüklenici hem siparişi veren sorumlu olur.

Kendi sistemimi sözleşme olmadan test edebilir miyim?

Sistem tamamen size aitse ve başkalarının verilerini içermiyorsa test etme hakkınız vardır. Sistem bulutta çalışıyorsa, başkalarıyla paylaşılıyorsa veya birden fazla ortağı olan bir şirkete aitse iç testler için bile yazılı izin gerekir.

Raporda neler bulunmalı?

Kapsam ve tarihler, kanıtlarıyla birlikte bulgular, CVSS ölçeğinde önem derecesi ve düzeltme sırası: önce hızlı yamalar, sonra yapısal değişiklikler. Kapsamı anlatmayan bir rapor uyuşmazlıkta işe yaramaz.

Testin kendisini bir kuruma bildirmem gerekir mi?

Test yapılacağını bildirme yükümlülüğü yoktur. Ancak kişisel veri ihlali doğarsa, veri sorumlusu olarak KVKK kapsamında bildirim yapmak zorundasınız ve test bu yükümlülüğü kaldırmaz.

Dolandırıldığımı fark edersem ne yapmalıyım?

Yazışmaları, ödeme belgelerini ve site adreslerini toplayıp savcılığa veya karakola suç duyurusunda bulunun. Bankanıza ve ödeme aracısına da bilgi verin. Parayı geri alma ihtimali düşüktür, ancak başvuru yeni taleplerin önünü keser.

Serbest etik hacker ile dark web dolandırıcısı arasındaki fark