AB Veri İhlalinde Trivy Saldırısı: 350 GB Bilgi Karanlık Ağda

Avrupa Birliği’nin dijital altyapısını hedef alan ciddi bir veri ihlali, kurumsal güvenliğin karmaşık yüzünü bir kez daha gözler önüne serdi. Avrupa Birliği Bilgisayar Acil Müdahale Ekibi (CERT-EU), Europa.eu platformundan çalınan 350 GB’lık verinin kaynağını, popüler açık kaynaklı güvenlik tarayıcısı Trivy’ye yönelik bir tedarik zinciri saldırısı

Europa.eu İhlalinin Perde Arkası: Hedefteki Açık Kaynak Araç

Geçtiğimiz hafta kamuoyuna yansıyan Europa.eu platformu veri ihlalinin kökeni, detaylı bir analiz sonucunda ortaya çıktı. CERT-EU tarafından yapılan incelemeler, 24 Mart’ta AWS bulut altyapısı üzerinde barındırılan Europa.eu web merkezinden gerçekleştirilen hırsızlığın, Aqua Security’nin açık kaynaklı güvenlik açığı tarayıcısı Trivy’ye yapılan tedarik zinciri saldırısıyla doğrudan ilişkili olduğunu gösterdi. Saldırıda, sıkıştırılmış halde 91.7 GB, toplamda ise 350 GB boyutunda veri ele geçirildi. Ele geçirilen bilgiler arasında kullanıcıların kişisel adları, e-posta adresleri ve çeşitli mesaj içerikleri bulunuyor.

Bu saldırı, Trivy’nin güvenliğinin ihlal edilmesiyle mümkün oldu. Saldırganlar, ele geçirdikleri bir AWS API anahtarını kullanarak Avrupa Komisyonu’nun çeşitli web verilerine erişim sağladı. Bu erişim, Avrupa Komisyonu’nun 42 dahili müşterisi ve hizmeti kullanan en az 29 diğer AB kuruluşuyla ilgili bilgileri kapsıyordu. CERT-EU, tehdit aktörünün, tespit edilmekten kaçınmak amacıyla mevcut bir kullanıcıya yeni bir erişim anahtarı eklediğini ve ardından keşif faaliyetleri yürüttüğünü belirtiyor. Kurum, saldırganların Komisyon’a ait diğer AWS hesaplarına yanal olarak geçiş yaptıklarına dair herhangi bir kanıta rastlamadığını da ekledi.

Trivy Güvenlik Zinciri Nasıl Kırıldı?

Trivy üzerindeki bu kritik güvenlik zafiyeti, aslında şubat ayına dayanıyor. TeamPCP adlı saldırı grubu, Trivy’nin GitHub Actions ortamındaki bir yanlış yapılandırmayı (şu anda CVE-2026-33634 olarak tanımlanan bir zafiyet) istismar etti. Bu sayede, ayrıcalıklı bir erişim belirteci kullanarak sisteme ilk giriş noktalarını oluşturdular. Aqua Security, bu durumu fark ettiğinde kimlik bilgilerini yenileme yoluna gitti. Ancak yenileme süreci sırasında bazı kimlik bilgilerinin geçerliliğini koruması, saldırganlara yeni döndürülen kimlik bilgilerini de çalma fırsatı verdi.

Saldırganlar, güvenilir Trivy sürüm etiketlerini manipüle ederek, aracı kullanan sürekli entegrasyon/sürekli dağıtım (CI/CD) işlem hatlarının otomatik olarak kendilerinin yerleştirdiği kimlik bilgisi çalan kötü amaçlı yazılımı indirmesini sağladı. Palo Alto Networks’teki güvenlik araştırmacılarına göre, bu yöntemle TeamPCP; AWS, GCP, Azure bulut kimlik bilgileri, Kubernetes belirteçleri, Docker kayıt defteri kimlik bilgileri, veritabanı parolaları, TLS özel anahtarları, SSH anahtarları ve hatta kripto para cüzdanı dosyaları gibi çeşitli değerli bilgilere ulaşmayı başardı. Özetle, bulut güvenlik açıklarını ve yanlış yapılandırmalarını tespit etmek için tasarlanmış bir araç, kendi içinde devasa bir güvenlik zafiyetine dönüştürüldü.

Avrupa Komisyonu ve Onlarca Kurumda Genişleyen Etki

Çalınan verilerin sadece Europa.eu kullanıcılarını değil, aynı zamanda Avrupa Komisyonu’nun dahili işleyişini de ciddi şekilde etkilediği ortaya çıktı. CERT-EU’nun raporuna göre, ihlalden 42 dahili Avrupa Komisyonu müşterisi ve hizmeti kullanan en az 29 diğer Birlik kuruluşu etkilendi. Bu durum, bir açık kaynak aracındaki zafiyetin, birleşik bir kıtanın idari ve operasyonel omurgasına kadar nasıl sızabileceğini gözler önüne seriyor. Ele geçirilen kişisel adlar, e-posta adresleri ve mesaj içerikleri, gelecekte kimlik avı saldırıları ve diğer kötü niyetli faaliyetler için potansiyel bir zemin oluşturuyor.

TeamPCP grubunun sorumlu olduğu bu saldırının ardından çalınan veriler, 28 Mart’ta ShinyHunters fidye yazılımı grubuna sızdırıldı ve onlar tarafından karanlık ağda yayımlandı. Bu durum, ihlalin pratik sonuçlarını daha da ağırlaştırıyor. Verilerin kamuya açık hale gelmesiyle birlikte, etkilenen kişi ve kuruluşlar için potansiyel şantaj ve hedefli saldırı riskleri önemli ölçüde arttı. Uzmanlar, Trivy ihlalinin en az 1.000 SaaS ortamını etkilediğini tahmin ediyor, bu da olayın yalnızca Avrupa Birliği ile sınırlı kalmayıp geniş bir ekosistemi tehdit ettiğini gösteriyor.

Tedarik Zinciri Saldırılarına Karşı Kritik Savunma Adımları

CERT-EU, Trivy ihlalinden etkilenen veya benzer risklerle karşılaşabilecek kuruluşlar için acil eylem planları yayımladı. İlk olarak, ilgili kuruluşların Trivy güvenlik tarayıcısını bilinen güvenli bir sürüme derhal güncellemeleri gerekiyor. Bu, eski ve açığa sahip sürümlerin potansiyel risklerini ortadan kaldırmanın temel adımıdır. Ayrıca, saldırganların erişmiş olabileceği düşünülen tüm AWS ve diğer bulut kimlik bilgilerinin acilen döndürülmesi, yani değiştirilmesi hayati önem taşıyor. Eski anahtarların iptali ve yenilerinin oluşturulması, mevcut yetkisiz erişimleri kesmek için kritik bir adımdır.

Kurumların, CI/CD işlem hatlarında kullanılan Trivy sürümlerini detaylı bir şekilde denetlemesi de öneriliyor. Bu denetimler, kötü amaçlı yazılımın bulaşmış olabileceği tüm noktaları tespit etmeye yardımcı olacaktır. En önemlisi, GitHub Actions’ın esnek etiketler yerine değişmez SHA-1 hash’lerine bağlanması tavsiye ediliyor. Bu, CI/CD süreçlerinin yalnızca doğrulanmış ve değişmez kod sürümlerini kullanmasını sağlayarak tedarik zinciri manipülasyonlarına karşı daha güçlü bir savunma mekanizması oluşturur. Son olarak, kuruluşların olağandışı Cloudflare tünelleme etkinliği veya veri sızdırmayı işaret edebilecek trafik artışları gibi saldırı göstergelerini (IoC’ler) düzenli olarak kontrol etmeleri gerekmektedir.

Tedarik Zinciri Saldırıları ve Fidye Yazılımının Evrimi

2025 yılının sonlarında ortaya çıkan TeamPCP’nin kökenleri ve daha derin motivasyonları henüz tam olarak anlaşılamadı. Çalınan verileri sızdırma eylemleri, grubun kendisini bir tür ilk erişim aracısı (Initial Access Broker) olarak konumlandırdığını düşündürüyor. Bu modelde, ele geçirilen veriler ve ağ erişimi en yüksek teklifi verene satılıyor. Ancak, çalınan verilerin büyük bir fidye yazılımı grubuna devredilmesi, önümüzdeki haftalarda etkilenen kuruluşların yeni bir şantaj dalgasıyla karşı karşıya kalabileceğine işaret ediyor.

Bu durum, fidye ödeme oranlarının düşmesiyle fidye yazılımlarının baskı altında olduğu bir dönemde önemli bir gerileme anlamına geliyor. Trivy’nin güvenliğinin ihlal edilmesi, modern siber güvenlik tehditlerinin karmaşıklığını ve tedarik zinciri zafiyetlerinin potansiyel yıkıcı gücünü bir kez daha vurguluyor. Tahmini olarak en az 1.000 SaaS ortamını etkileyen bu olay, son zamanların en ciddi tedarik zinciri saldırılarından biri haline gelmiş durumda. Önümüzdeki haftalarda ve aylarda, bu ihlalden etkilenen kurban sayısının artması beklenirken, şirketlerin geliştirme ve dağıtım süreçlerindeki güvenlik kontrollerini yeniden gözden geçirmeleri kaçınılmaz bir zorunluluk olarak öne çıkıyor.