Bir saldırganın sizinle ilgili bilgi toplamak için karanlık ağa (dark web) inmesine, gizli veritabanlarına sızmasına gerek yok. Sosyal medya profiliniz, LinkedIn geçmişiniz, forumlardaki eski yorumlarınız, hatta bir fotoğrafın içine gömülü konum verisi — hepsi zaten herkese açık. Bu dağınık ama halka açık bilgileri bir araya getirip anlamlı bir profile dönüştürme sanatına Açık Kaynak İstihbaratı, kısaca OSINT (Open Source Intelligence) deniyor.
OSINT Aslında Ne Demek?
OSINT, gizli veya sızdırılmış verilerle değil, tamamen yasal ve herkese açık kaynaklarla çalışır: haber siteleri, sosyal medya, forumlar, kamu kayıtları, akademik yayınlar, hatta arşivlenmiş eski web sayfaları. Kavram aslında askeri istihbarattan geliyor — devletler, düşman ülkelerin gazete ve yayınlarından bilgi toplayarak strateji geliştiriyordu. Ama internetin ve sosyal medyanın patlamasıyla, OSINT artık sadece istihbarat kurumlarının değil, gazetecilerin, siber güvenlik uzmanlarının ve maalesef kötü niyetli saldırganların da rutin bir aracı hâline geldi.
Neden Bu Kadar Etkili?
İşin çarpıcı yanı şu: yapılan tahminlere göre, toplam istihbaratın büyük bir bölümü zaten açık kaynaklardan elde ediliyor — gizli operasyonlara hiç gerek kalmadan. Bunun nedeni basit: insanlar internette fark etmeden çok fazla iz bırakıyor. Bir LinkedIn profili işvereninizi, bir Instagram gönderisi tatile çıktığınız tarihi (ve evinizin o an boş olduğunu), bir forum yorumu kullandığınız kullanıcı adı alışkanlığınızı ele veriyor. Tek başına hiçbiri tehlikeli görünmez; ama bir araya getirildiğinde, şaşırtıcı derecede detaylı bir profil ortaya çıkabiliyor.
Saldırganlar OSINT’i Nasıl Kullanıyor?
OSINT, siber saldırıların hazırlık aşamasında kritik bir rol oynuyor. Bir saldırgan, hedefine oltalama (phishing) e-postası göndermeden önce, o kişinin nerede çalıştığını, kimlerle iletişimde olduğunu, hangi konulara ilgi duyduğunu öğrenmek için sosyal medyasını inceliyor. Bu bilgiler, Sosyal Mühendislik yazımızda anlattığımız o ikna taktiklerinin ham malzemesi hâline geliyor — “sistemi değil insanı hedef alan” bir saldırı, ancak o insan hakkında yeterli bilgi toplandığında gerçekten ikna edici olabiliyor.
Bir başka örnek: bir çalışanın halka açık profilinde belirttiği şirket, unvan ve iş arkadaşları, bir saldırganın kendini “İK departmanından biri” ya da “yönetici asistanı” gibi tanıtarak kimlik avı e-postası göndermesine zemin hazırlayabiliyor. SMS ve Sesli Dolandırıcılık yazımızda bahsettiğimiz vishing (sesli dolandırıcılık) saldırılarının da pek çoğu, hedefle ilgili önceden OSINT yoluyla toplanmış bilgilerle “inandırıcı” hâle getiriliyor.
Yaygın OSINT Kaynakları
Saldırganların (ve güvenlik araştırmacılarının) en sık başvurduğu açık kaynaklar arasında şunlar var: sosyal medya profilleri ve gönderi geçmişi, iş ilanı ve LinkedIn sayfaları (bir şirketin hangi teknolojileri kullandığını bile ele verebiliyor), fotoğrafların EXIF verisi (çekim konumu ve tarihi), arşivlenmiş eski web sayfaları (bir şirketin daha önce sildiği bir yönetici ismi ya da adres bilgisi), ve internete açık cihaz/servis tarayıcıları.
Kendi “Dijital Ayak İzinizi” Nasıl Kontrol Edersiniz?
Bu tehditten tamamen kaçınmak mümkün değil — internette var olmak, bir miktar iz bırakmayı gerektiriyor. Ama riski azaltmanın birkaç pratik yolu var:
Kendinizi düzenli olarak arayın. Adınızı, kullanıcı adlarınızı ve e-posta adresinizi periyodik olarak aratarak, hangi bilgilerinizin herkese açık olduğunu görün.
Gizlilik ayarlarınızı sıkılaştırın. Sosyal medya hesaplarınızda paylaşımlarınızı kimlerin görebileceğini kontrol edin; profilinizin tamamen herkese açık olması gerekmiyor.
Fotoğraf paylaşırken konum verisine dikkat edin. Pek çok akıllı telefon, fotoğraflara otomatik olarak konum bilgisi ekliyor; bu veri, Kimlik Hırsızlığı yazımızda bahsettiğimiz türden bir profil oluşturma sürecinde farkında olmadan kullanılabiliyor.
“Güvenlik sorularına” verdiğiniz cevapları herkese açık paylaşmayın. Doğum yeriniz, ilk evcil hayvanınızın adı gibi bilgiler, çoğu hesap kurtarma sürecinde hâlâ kullanılıyor — bunları sosyal medyada anlattığınız bir anı paylaşımında ifşa etmemeye dikkat edin.
OSINT Sadece Kötüye mi Kullanılıyor?
Hayır — aynı teknikler savunma amaçlı da güçlü bir araç. Güvenlik ekipleri, kendi şirketlerinin dijital ayak izini OSINT yöntemleriyle tarayarak, bir saldırganın göreceği zafiyetleri saldırıdan önce tespit edebiliyor. Araştırmacı gazeteciler, haber doğrulama ve olay analizi için OSINT’i yoğun biçimde kullanıyor. Yani mesele aracın kendisi değil, kimin, hangi amaçla kullandığı.
Sonuç
OSINT, dijital güvenliğin belki de en az “teknik” ama en etkili katmanlarından biri — çünkü hiçbir şifreyi kırmadan, hiçbir sisteme sızmadan, sadece zaten orada duran bilgileri bir araya getirmekle ilgili. Bir dahaki sefere sosyal medyada bir şey paylaşırken, “bu bilgi tek başına zararsız görünüyor ama başka hangi bilgilerle birleşebilir?” sorusunu bir an düşünmek, iyi bir dijital güvenlik alışkanlığı.
Sıkça Sorulan Sorular
OSINT (Açık Kaynak İstihbaratı) nedir?
Herkese açık kaynaklardan (sosyal medya, web siteleri, kamuya açık kayıtlar) bilgi toplayıp analiz ederek istihbarat üretme sürecidir. Yasa dışı erişim gerektirmez.
OSINT yasal mıdır?
Yalnızca herkese açık bilgileri topladığı için genellikle yasaldır. Ancak toplanan bilginin taciz veya dolandırıcılık gibi amaçlarla kullanılması yasa dışı olabilir.
OSINT ile toplanan bilgiden nasıl korunulur?
Sosyal medya gizlilik ayarlarını sıkılaştırmak, paylaşımlarda kişisel detayları sınırlamak ve dijital ayak izini küçük tutmak, sizinle ilgili açık kaynak bilgisini azaltır.