iPhone’unuz gerçekten ne kadar güvenli?

iPhone‘unuz sandığınız kadar güvenli olmayabilir; gelin, karşı karşıya olduğunuz güvenlik tehditlerine birlikte göz atalım.

Birçok insanın “bu bir iPhone, dolayısıyla güvendeyim” diye düşünme ihtimali yüksek. Apple’ın aygıt ve uygulama ekosistemi üzerindeki kontrolü tarihsel olarak gerçekten de sıkıdır ve duvarlarla çevrili bahçe yaklaşımı bilgisayar korsanlarının zayıf noktalar bulması için daha az fırsat sağlar. Ayrıca güçlü şifreleme ve konteynerizasyon gibi, veri sızıntısını önlemeye ve kötü amaçlı yazılımların yayılmasını sınırlamaya yardımcı olan çeşitli yerleşik güvenlik özellikleri de var. Ayrıca parola tabanlı girişler ve çeşitli varsayılan gizlilik ayarları da yardımcı oluyor. 

iOS ekosisteminin en büyük güvenlik avantajlarından biri, uygulamaların genellikle resmî Apple App Store’dan temin edilmesi ve listelenmek üzere onaylanmak için çeşitli sıkı testlerden geçmesi gerektiği gerçeğidir. Bu da kötü niyetli, riskli ve güvensiz uygulama riskini büyük ölçüde azaltıyor. Ancak bu durum riskleri tamamen ortadan kaldırmıyor. Ayrıca her türlü günlük dolandırıcılık ve diğer tehditler sadece Android değil, iOS kullanıcılarını da bombardımana tutuyor. Bazıları diğerlerinden daha yaygındır ancak hepsi dikkat gerektirir.  

AB’nin Dijital Piyasalar Yasası (DMA) olarak bilinen tekelcilik karşıtı yasası göz önüne alındığında Apple’ın buna izin vermesi gerekiyor: 

• Apple’ın WebKit motorunun sunmadığı yeni saldırı fırsatları sunabilecek üçüncü taraf tarayıcı motorları (kontrol edin). 

• Üçüncü taraf cihaz üreticileri ve uygulama geliştiricileri, eşler arası Wi-Fi bağlantısı ve cihaz eşleştirme gibi çeşitli iOS bağlantı özelliklerine erişmek için. Teknoloji devi bunun, kişisel mesajlar, Wi-Fi ağı ayrıntıları veya tek seferlik kodlar içeren bildirimler gibi hassas kullanıcı verilerini bu geliştiricilere göndermek zorunda kalabileceği anlamına geldiğini savunuyor. Bu bilgilerin teorik olarak kullanıcıları izlemek için kullanılabileceği uyarısında bulunuyor. 

iPhone tehditleri başka nerelerde gizleniyor 

Yukarıda belirtilenler “yalnızca” AB vatandaşlarını etkiliyor olsa da dünya genelindeki iOS kullanıcıları için başka ve muhtemelen daha acil endişeler de bulunmaktadır. Bunlar şunları içerir: 

Jailbreak yapılmış cihazlar 

Apple’ın “yetkisiz değişiklikler” olarak adlandırdığı değişikliklere izin vermek için aygıtınızın kilidini kasıtlı olarak açarsanız Yazılım Lisans Sözleşmenizi ihlal edebilir ve Güvenli Önyükleme ve Veri Yürütme Engelleme gibi bazı yerleşik güvenlik özelliklerini devre dışı bırakabilirsiniz. Ayrıca aygıtınızın artık otomatik güncellemeleri alamayacağı anlamına da gelecektir. Ve App Store dışından uygulama indirebildiğiniz için kötü niyetli ve/veya hatalı yazılımlara maruz kalacaksınız demektir.  

Kötü amaçlı iPhone uygulamaları 

Apple uygulamaları inceleme konusunda iyi bir iş çıkarsa da bunu her zaman %100 doğru yapmıyor. Son zamanlarda App Store’da tespit edilen kötü amaçlı uygulamalar şunlardır: 

• Parola yöneticisi LastPass‘in kimlik bilgilerini toplamak için tasarlanmış sahte bir sürümü, 

Fake Antivirus found on Apple’s App Store charges €134,99 per 3 months for removing non existing viruses.
Delivered via scareware ads, results in subscription scam.
More about the research: https://t.co/oqL80J3BNR https://t.co/IfwBD1KAdd

— Lukas Stefanko (@LukasStefanko) August 5, 2021

Web sitesi tabanlı uygulama indirmeleri 

Ayrıca iOS uygulamalarını doğrudan desteklenen tarayıcılara sahip web sitelerinden indirirken de dikkatli olmanız gerekir. ESET’in en son Tehdit Raporu’nda ayrıntılı olarak açıklandığı gibi, Web Uygulamaları (PWA’lar), kullanıcıların açık izinler vermesini gerektirmeden doğrudan yüklemeye izin verir, yani indirmeler radarın altından geçebilir. ESET, bu tekniğin bankacılık kötü amaçlı yazılımlarını yasal mobil bankacılık uygulamaları olarak gizlemek için kullanıldığını keşfetti.  

Kimlik avı/sosyal mühendislik 

E-posta, metin (veya iMessage) hatta ses yoluyla kimlik avı saldırıları yaygın bir olaydır. Bu kişiler meşru markaları taklit ederek kimlik bilgilerinizi vermeniz veya kötü amaçlı bağlantılara tıklamanız/ekleri açmanız için sizi kandırarak kötü amaçlı yazılım indirmelerini tetikler. Apple ID’ler, iCloud hesabınızda depolanan tüm verilere erişim sağlayabildikleri ve/veya saldırganların iTunes/App Store’dan alışveriş yapmalarını mümkün kılabildikleri için en değerli giriş bilgileri arasındadır. Şunlara dikkat edin: 

• Cihazınızda bir güvenlik sorunu olduğunu iddia eden sahte pop-up’lar 

• Apple Destek veya ortak kuruluşları taklit eden dolandırıcılık telefonları ve FaceTime aramaları  

• Eşantiyonlar ve ödül çekilişleri sunan sahte promosyonlar 

• Kimlik avı bağlantıları içeren takvim daveti spam’i 

Son derece sofistike bir kampanyada, tehdit aktörleri sosyal mühendislik tekniklerini kullanarak kullanıcıları bir mobil cihaz yönetimi (MDM) profili indirmeleri için kandırdı ve kurbanların cihazları üzerinde kontrol sahibi olmalarını sağladı. Bununla birlikte, yüz biyometrik verilerini toplamak ve bankacılık girişlerini atlamak için kullanmak üzere tasarlanmış GoldPickaxe kötü amaçlı yazılımını dağıttılar. 

Halka açık Wi-Fi riskleri 

iPhone’unuzu halka açık bir Wi-Fi erişim noktasına bağlarsanız dikkatli olun. Bu, web trafiğini izlemek ve bankacılık parolaları gibi girdiğiniz hassas bilgileri çalmak için tasarlanmış, tehdit aktörleri tarafından kurulmuş sahte bir erişim noktası olabilir. Etkin nokta yasal olsa bile birçoğu aktarım sırasında verileri şifrelemez, bu da doğru araçlara sahip bilgisayar korsanlarının ziyaret ettiğiniz web sitelerini ve girdiğiniz kimlik bilgilerini görüntüleyebileceği anlamına gelir.  

İşte burada VPN işe yarar ve cihazınız ile internet arasında şifreli bir tünel oluşturur. 

iPhone güvenlik açığı istismarları 

Apple, kodunun güvenlik açıklarından arınmış olmasını sağlamak için çok zaman ve çaba harcasa da hatalar bazen üretime sızabiliyor. Bu hatalar ortaya çıktığında kullanıcılar cihazlarını zamanında güncellemediyse bilgisayar korsanları, örneğin mesajlarda tıklandığında bir istismarı tetikleyen kötü amaçlı bağlantılar göndererek saldırabilir.  

• Geçtiğimiz yıl Apple, tehdit aktörlerinin Siri sesli komutları aracılığıyla kilitli bir cihazdan bilgi çalmasına izin verebilecek bir güvenlik açığını yamamak zorunda kalmıştı 

• Bazen tehdit aktörleri ve ticari şirketlerin kendileri istismar etmek için yeni (sıfırıncı gün) güvenlik açıklarını araştırırlar. Nadiren ve yüksek hedefli olsa da bunlardan yararlanan saldırılar genellikle kurbanın cihazlarını gizlice dinlemek ve casus yazılım yüklemek için kullanılır. 

iPhone tehditlerine karşı güvende kalma 

Bu, iOS kullanıcıları için her köşede gizlenen kötü amaçlı yazılımlar varmış gibi görünebilir. Bu bir noktaya kadar doğru olabilir ancak tehditlere maruz kalmanızı en aza indirecek pek çok şey de var. İşte ana taktiklerden birkaçı: 

• iOS’unuzu ve tüm uygulamalarınızı güncel tutun. Bu, tehdit aktörlerinin hedeflerine ulaşmak için eski sürümlerdeki herhangi bir güvenlik açığından yararlanmaları için fırsat penceresini azaltacaktır. 

• Tüm hesaplar için her zaman güçlü, benzersiz parolalar kullanın; örneğin iOS için ESET’in parola yöneticisini kullanın ve sunuluyorsa çok faktörlü kimlik doğrulamayı açın. Bu, basit bir Face ID taraması gerektireceğinden iPhone’larda kolaydır. Bu sayede kötü niyetli kişiler parolalarınızı ele geçirse bile uygulamalarınıza yüzünüz olmadan erişemeyeceklerdir. 

• Aygıtınıza erişmek için güçlü bir parolayla desteklenen Face ID veya Touch ID’yi etkinleştirin. Bu, kaybolma veya çalınma durumunda iPhone’unuzu güvende tutacaktır. 

• Yukarıda listelenen nedenlerden dolayı cihazınızı jailbreak yapmayın. Büyük olasılıkla iPhone’unuzu daha az güvenli hâle getirecektir. 

• Kimlik avı konusunda bilinçli olun. Bu, istenmeyen aramaları, metinleri, e-postaları ve sosyal medya mesajlarını son derece dikkatli bir şekilde ele almak anlamına gelir. Bağlantılara tıklamayın veya ekleri açmayın. Bunu gerçekten yapmanız gerekiyorsa mesajın yasal olup olmadığını göndericiden ayrıca kontrol edin (yani, mesajda listelenen ayrıntılara yanıt vererek değil). Aşağıdakiler de dahil olmak üzere sosyal mühendislik belirtilerini arayın: 

• Dil bilgisi ve yazım hataları 

• Harekete geçmek için aciliyet 

• Özel teklifler, çekilişler ve gerçek olamayacak kadar iyi fırsatlar 

• Sözde göndericiyle eşleşmeyen gönderici etki alanları 

• Halka açık Wi-Fi’dan kaçının. Kullanmanız gerekiyorsa bunu bir VPN ile yapmaya çalışın. En azından, halka açık Wi-Fi’dayken herhangi bir değerli hesaba giriş yapmayın veya hassas bilgiler girmeyin. 

• Kötü amaçlı veya riskli bir şey indirme riskini en aza indirmek için herhangi bir indirme işleminde App Store’a bağlı kalmaya çalışın. 

• Casus yazılımların (genellikle baskıcı hükümetler ve rejimler tarafından gazeteciler, aktivistler ve muhalifler üzerinde kullanılır) hedefi olabileceğinizi düşünüyorsanız Kilitleme Modunu etkinleştirin. 

• Kötü amaçlı yazılım bulaştığını gösteren işaretlere dikkat edin; bunlar arasında şunlar yer alabilir: 

• İstenmeyen reklam açılır pencereleri 

• Sık cihaz/uygulama çökmeleri 

• Ana ekranda görünen yeni uygulamalar 

Apple’ın iPhone ‘u piyasadaki en güvenli cihazlar arasında yer alıyor. Ancak tüm tehditler için sihirli bir değnek değiller. Tetikte olun. Ve güvende kalın. 

iPhone’unuzun ESET’in iOS güvenlik kontrol listesine ne kadar güvende olduğunu öğrenmek için sayfamıza göz atın.