Dijital Casusluğa Giriş

Bilgisayar suçunun kapsamı (Infocrime)

Bilgisayar suçunun kapsamını ölçmek oldukça zor. Raporlara göre bilgisayar suçlarının bize verdiği zarar yılda 500 milyon dolar ile 10 milyar dolar arasında. Computer Security Institute (CSI) ve FBI`ın bilgisayar suçları departmanı tarafından yapılan 5000 firma, federal enstitü ve üniversitenin katıldığı ankete göre son 12 ay içerisinde söz konusu kuruluşların yarısı güvenlik sistemlerinin aşıldığını belirtmiş. Bu saldırılar çalışanların yetkisiz erişiminden bilinmeyen saldırganların sistemlere girişlerine kadar farklılıklar gösterebiliyor. Bu çalışma sonuçlarına göre:

Problem büyüyor.
En büyük problem içerden yapılan saldırılar.
Tanımlanan bilgisayar suçları 1996`da 100 milyon doların üzerinde.

Ek olarak WarRoom Research Inc.`in yaptığı ankette 236 cevap güvenlik problemlerinin bilgisayarlar ile ilgili olduğu idi.

%6.8 her türde saldırıyı rapor etti
%30.2 sadece anonim ise rapor etti
%21.7 eğer herkes rapor ettiyse etti
%37.4 eğer kanun gerektiriyorsa rapor etti
%3.9 diğer sebepler için (kendini korumak dahil) rapor etti

Geçtiğimiz bir tarihte Amerikan Adalet Bakanlığının hazırladığı bir sunuma göre saldırılan sistemlerin bazıları aşağıdaki gibi:

U.S. Marshals system - Alaska
U.S. District Court system - Seattle
NASA - Houston
Ordu sistemleri - Körfez savaşı
Organ nakli hastahanesi - İtalya
Enerji firmaları
911 sistemleri

Ek olarak NSA (National Security Agency) 1996`da Savunma Bakanlığı sistemlerine 250 saldırı olduğunu rapor etti. Bu bilgisayar saldırılarının sonuçları hasar verici olarak adlandırıldı.

Houston üniversitesinden Barbara D. Ritchey`in araştırması başka bir görüşü yansıtıyor. Bilgisayar suçları yıllık 1 milyar dolar zarara yol açıyor ve bu bilgisayar suçluları, çalışanlar, rakipler ve 'cracker'larıda içerecek şekilde farklılık gösteriyor. San Fransisco Computer Security Institute Fortune 500 firmalarından 242 ayrı firmanın Internet güvenliği konusunda endişesi olduğunu ve 1995`de sadece %12`sinin (toplamda 50 milyon dolar zarara yol açan) bilgisayar saldırılarını rapor ettiğini ortaya çıkardı. Dolar bazında değerlendirecek olursak her bir saldırı firmaya 450 bin dolar zarara yol açıyor.

1996`da Information Week dergisi Ernst and Young ile birlikte 3. yıllık anketini gerçekleştirdi. Anket 1290 katılımcı ile gerçekleştirildi ve yarısı geçen iki yıl içinde bilgi güvenliği ile ilgili para kaybına uğradıklarını belirtti. %20`si kayıplarının (herbiri için) 1milyon doların üzerinde olduğunu belirtti. Bu ankete göre her 4 amerikan şirketinden birisinin kayıpları 1 milyar ile 15 milyar dolar arasında değişen, bilgisayar suçu kurbanı olduğu görüldü.

1990`dan 1995`e dünyadaki bilgisayar sayısı 10 kat arttı. 10 milyondan 100 milyona. 1990`da bilgisayarların %15`i ağa bağlı iken 1995`de %50`si, 50 milyona yakın bilgisayar, birbirine bağlı idi.

Ticari sırların çalınması günümüzde iş dünyasını tehdit eden en büyük tehlikelerden biri. 1999 yılında CSI/FBI tarafından yayınlanan 'Bilgisayar suçları ve güvenliği çalışması'na göre 1997 ile 1999 yılları arasında mali zararda en büyük payı 12 tipteki bilgisayar suçu ve bilginin kötüye kullanımı, çalınması olduğunu ortaya çıkardı. Araştırmaya göre 64 firmadan 42 milyon doların üzerinde değere sahip ticari sır çalınmıştı. 1998`de rapor edilen kayıplar 500 dolar ile 500,000 dolar arasında idi. Dışardan iceriye yapılan saldırılar 1997`de %18 iken 1998`de %21`e yükseldi.

National Police Agency of Japan 1997`nin ilk 6 ayında hacking ile ilgili 946 rapor almış. Bu 1996`nin ilk 6 ayına oranla %25 artışı gösteriyor. Australian Computer Emergency Response Team 1996`dan 1997`ye hacker saldırılarında %220 artış olduğunu belirtiyor.

Bilgisayarları ağlarla birbirine bağlamak teknolojiyi de doğru orantılı olarak gelişmesine yol açtı. Bu kültürel değişikliklerle daha yüksek güvenliğe olan ihtiyaç da arttı. Eskiden bir bilgisayar suçlusu sistemlere tek bir noktadan saldırı yapabiliyordu ve bu da sistem yöneticilerine bir siteyi koruma avantajını sunuyordu. Günümüzün istemci/sunucu ortamında ağ yöneticileri çok farklı bir savaşın içindeler. Ağlarındaki her erişim noktasından saldırılara açıklar. Internet çok sayıda sistemin birbirine bağlanmasını sağlayarak kendine özgü problemleri de beraberinde getirdi.

Suç Sahası

Diğer bir tipte suç da elektronik para transferleri veya zimmete geçirme ile ilgilidir. Bilgisayar Sahtekarlığı ve Kötüye Kullanımı Kanunu (Computer Fraud and Abuse Act) ile mahkum edilen ilk kişi Internet`e solucanı (worm) sunan Cornell mezunu Robert T. Morris Jr. idi. Bu solucanlar bilgisayar ortamında serbestçe geziniyor ve virüslere benzer şekilde programlara saldırıyordu. Bunu bazıları vandalizm (yıkıcılık) olarak görüyor. Solucan çoğalarak 6200 bilgisayarı etkilemişti. Morris 3 yıl gözetim altında kalmaya, 10 bin dolar para cezasına, 40 saat toplum hizmetine ve gözetim giderleri için ayda 91 dolar ödemeye mahkum edilmişti.

Bilgisayarlar suç eylemlerinde 3 farklı rol oynayabilir. Birincisi, bilgisayarlar bir saldırının 'hedefi' olabilir. Örneğin, bir hacker bilgisayardan bilgi çalmaya çalışabilir veya bilgisayara ya da bilgisayar ağına zarar vermeye çalışabilir. Bu tip davranışlara örnek olarak web sitelerinin değiştirilmesi ve bilgisayarlara virüs bulaştırılması sayılabilir.

İkinci olarak, bilgisayarlar geleneksel bir saldırının gerçekleştirilmesinde, örneğin çocuk pornografisunun yaratılması ve transfer edilmesinde, bir araç olarak kullanılabilirler. COMSEC Solutions bilgisayarın kullanabileceği suçlar listesini aşağıdaki gibi sıralıyor:

Uyuşturucu ticareti
Kanunsuz 'telemarketing'
Sahtekarlık, özellikle sahte faturalar
Entellektüel mülk hırsızlığı
'Gerçek yüz' veya ID hırsızlığı ve yanlış temsil
Casusluk, endüstriyel ve ulusal
Konvansiyonel terörizm ve suç
Elektronik izleme
Çocuk pornografigrafisi
Tarih sahtekarlıkları
Çete suçları, özellikle silah ihlalleri
Organize suç
Silahlı soygun simulasyonu
Kopyalama suçları
DoS (servis kullanımı engelleme) saldırıları
Şantaj
Web sitesi değiştirme (otomatik)

Üçüncü olarak, bilgisayarlar saldırı için 'incidental' (tesadüfi) olabilir fakat bu kanun güçleri için önemlidir. Örneğin, çoğu uyuşturucu kaçakçısı kayıtlarını bilgisayarlarda depoluyorlar ki bu da kağıt üzerindeki kayıtlara oranla forensic ve kanıt işlemlerinde zorluk çıkarıyor.

Ek olarak tek bir bilgisayar 3 şekilde de kullanılabilir. Örneğin, bir hacker bilgisayarını kullanarak Internet servis sağlayıcısına ('hedef') yetkisiz olarak erişebilir ve bu erişimi kullanarak ISS`nın disk sürücüsünde bulunan ('incidental') özel bir yazılımı kanunsuz olarak dağıtmada ('araç') kullanabilir.

Bilgisayar suçu konusunda endişelenmesi gereken firmalar sadece Internet Servis Sağlayıcılar ve büyük finans kuruluşları değil. Hackerlar bireyleri direk olarak veya ISS`ı üzerinden kişisel ve finans bilgilerinin bütünlüğüne ve gizliliğine saldırarak etkileyebilir. Bir keresinde Alman bir hacker Miami`deki bir Internet servis sağlayıcısının sistemine girerek tüm kullanıcılarının kredi kartı bilgilerini çalmıştı. Hacker daha sonra ISS para ödemezse sistemi yokedeceğini ve kredi kartlarını dağıtacağını söyleyerek tehdit etmişti. Alman otoriteleri hacker`ı paraları toplamaya çalışırken yakaladı. Eğer sessiz kalsaydı bu kredi kartı numaralarını kullanarak binlerce kullanıcıya zarar verebilirdi.