Beyaz Saray ağında 28 proxy servisi: 236 bağlantı tespit edildi

Layer3 Intel tam olarak ne gördü?

Araştırmacılar Beyaz Saray'ı aramıyordu. Dünyadaki residential proxy etkinliğini haritalayan yeni bir platformu test ederken, Başkanlık İcra Ofisi'ne kayıtlı otonom sistem olan AS2650'den gelen trafiğe rastladılar.

5 Ekim ile 3 Kasım 2026 arasında Layer3 Intel, Beyaz Saray ağından kaynaklanan 236 residential proxy trafiği kaydetti. Trafik 28 ayrı proxy sağlayıcısına dağılıyor; altı IP adresi ise 30 günün 26'sında tekrar tekrar göründü.

Ekip bu adresleri, residential proxy çıkışlarını izleyen Spur ve Synthient'in herkese açık veritabanlarıyla karşılaştırdı. İki kaynak da adresleri proxy uç noktası olarak işaretledi.

Sade bir dille: bir proxy servisine birkaç dolar ödeyen biri, internet isteklerini Beyaz Saray ağındaki bir cihaz üzerinden geçirebiliyordu. Araştırmacıların ifadesi sert: "Bu, herkese açık erişim demek."

Akşam saatlerindeki düzen misafir Wi-Fi ağından çok bir kişiyi işaret ediyor

Bağlantıların yaklaşık yarısı Doğu saatiyle 17.00 ile gece yarısı arasında gerçekleşti; sabahın erken saatlerinde neredeyse hiç etkinlik yok.

Bu ritim önemli. Herkese açık bir misafir ağında etkinlik daha istikrarlı ve geniş bir zaman aralığına yayılırdı. Layer3 Intel bunun yerine, akşam saatlerinde düzenli olarak Beyaz Saray ağına bağlanan ve residential proxy SDK'sı bulaşmış belirli bir cihazdan şüpheleniyor. Bu SDK'lar, uygulamalara gizlice eklenerek cihazı sessizce bir proxy düğümüne çeviren yazılım paketleri.

Araştırmacılar bilmedikleri konularda dikkatliydi. Veriler cihazları değil ağ çıkışlarını gösteriyor; bu yüzden kaynağın kişisel bir telefon mu, misafir ağı mı yoksa tamamen başka bir şey mi olduğunu söyleyemiyorlar.

Siber güvenlik camiasının tepkisi daha az temkinliydi. Reddit'te bir başlıkta BT uzmanları, hem kamu hem özel sektörde üst düzey yöneticilerin kolaylık uğruna iki faktörlü doğrulamayı atladığını ve cihazlarını açık bıraktığını anlattı. Bir yorumcu, Beyaz Saray'daki birinin "muhtemelen telefonuna şüpheli bir ücretsiz uygulama kurduğunu" tahmin etti.

Hassas bir ağda proxy neden gerçek bir sorun?

Residential proxy'ler doğası gereği kötü niyetli değil; reklam doğrulama, fiyat izleme ve konum testleri için kullanılıyor. Tehlike, barındırılmak üzere tasarlanmamış bir ağın içinde çalışmaya başladığında ortaya çıkıyor.

Layer3 Intel, güvenliği zayıf proxy SDK'larının iç ağ erişimini açığa çıkarabileceğini ve yanal hareketi (lateral movement) mümkün kılabileceğini belirtiyor. Araştırmacıların ifadesiyle: "Geçmişteki botnet'ler böyle yayıldı. Bu ağdaki bir SDK'da da benzer bir açık varsa, proxy erişimi satın alan herkes iç sistemlere ulaşmak için bunu kullanabilir."

Ciddiye alınması gereken senaryo bu. Bir proxy çıkışı bir şeydir; Başkanlık İcra Ofisi'nin iç ağına uzanan bir proxy çıkışı bambaşka bir şey. Araştırmacılar açığın kanıtlanana kadar varsayım olduğunu vurguluyor, ama maruziyet herkese açık ve satın alması çok ucuz.

Rapor proxy etkinliğini çok daha tuhaf yerlerde de buldu: Saint Helena, Ascension ve Tristan da Cunha'da 413 IP adresi ve Starlink ile yerel operatör Sure Saint Helena üzerinden 32.000'den fazla gözlem; ayrıca Antarktika, Falkland Adaları, Chagos Adaları ve Svalbard. Residential proxy ağları neredeyse her yere ulaşıyor.

Türkiye'de durum ne?

Beyaz Saray henüz bulgular hakkında açıklama yapmadı; satın alınacak ya da güncellenecek bir ürün de yok. Türkiye'deki okuyucular için asıl ders kendi cihazlarındaki uygulamalarda: sıra dışı ağ izinleri isteyen ücretsiz uygulamalar, bir telefonu veya dizüstü bilgisayarı sahibinin haberi olmadan proxy düğümüne çevirebiliyor. Türkiye'de de mobil uygulama mağazalarında bu tür izinlerle karşılaşmak mümkün; kurulum sırasında istenen ağ ve erişilebilirlik izinlerini gözden geçirmekte fayda var.

Kurumsal veya kamu ağı yönetiyorsanız Layer3 Intel raporu iki pratik adımı hatırlatıyor: güvenlik duvarında bilinen residential proxy aralıklarını engellemek ve onaylı uygulamaların içinde hangi SDK'ların geldiğini denetlemek. Türkiye'deki kurumlar için de geçerli bir kontrol listesi bu. Aynı ders yakın zamanda DreamHost veri ihlalinde ve Harvard'da 851 bin hesabın sızdığı olayda da karşımıza çıkmıştı: asıl zayıf halka çoğu zaman altyapı değil, fark edilmeden içeri sızan küçük bir bileşen oluyor.

Layer3 Intel'in raporu bir anlık görüntü, kesin bir hüküm değil. Son derece hassas bir ağda bulaşmış bir cihazla tutarlı bir örüntü çiziyor ve residential proxy erişiminin ne kadar ucuz ve herkese açık hale geldiğini gösteriyor. Beyaz Saray'dan açıklama gelene kadar izlenecek ayrıntı, tekrar eden altı IP adresi.