Çek NUKIB, Signal hesaplarının kırılan bir şifreleme değil QR kod avcılığı yoluyla ele geçirildiğini doğruladı

13 Ekim 2026'da Çek Cumhuriyeti Ulusal Siber ve Bilgi Güvenliği Ajansı (NUKIB), Rusya bağlantılı aktörlerin Avrupa genelinde Signal kullanıcılarına yönelik hedefli phishing kampanyaları yürüttüğünü ve ilgili olayların artık Çek Cumhuriyeti içinde de kayda geçtiğini doğrulayan resmi bir tehdit değerlendirmesi yayımladı. NUKIB, Hollanda, Almanya, Amerika Birleşik Devletleri ve Ukrayna'nın ardından aynı operasyonu kamuya açık biçimde doğrulayan beşinci Batılı ajans. Bir dev.to analizinde aktarıldığı üzere, FBI Mart 2026'da yetkisiz erişimin dünya genelinde binlerce Signal hesabına ulaştığını söyledi ve Der Spiegel, Alman hükümet kaynaklarına dayanarak Almanya'nın siyasi çevrelerinde kabaca 300 ele geçirilmiş hesap olduğunu bildirdi. NUKIB, gerçek etkinin, tekniğin resmen belgelendiği beş ülkeden neredeyse kesinlikle daha büyük olduğu konusunda uyarıyor.

Her ajansın hemfikir olduğu bulgu şu: Signal'ın uçtan uca şifrelemesi kırılmadı ve Signal Protocol çözülemedi. Saldırganlar kriptografiyi tamamen dolanarak, uygulamanın her kopyasında yer alan bir özellik üzerinden ilerliyor.

QR kod hilesi nasıl çalışıyor

Bir kullanıcı bir dizüstü bilgisayarı Signal hesabına bağladığında, telefon bir QR kodu gösterir. O kodu tarayan her şey hesapla eşleşir ve mesajları gerçek zamanlı olarak alır. Saldırganlar meşru kodun yerine kendi kodlarını koyar.

Google'ın Threat Intelligence Group'u tekniği 2025 başında belgeledi. UNC5792 olarak izlenen bir gruba atfedilen bir varyant, gerçek gibi görünen sahte Signal grup daveti sayfaları barındırıyor; sayfadaki QR kod bir davet değil, saldırgan altyapısına işaret eden bir cihaz eşleştirme adresi kodluyor. UNC4221 olarak izlenen ikinci bir varyant, Ukrayna silahlı kuvvetlerinin kullandığı bir topçu güdüm uygulaması olan Kropyva'yı taklit eden bir phishing kiti içine kötü niyetli QR kodlar yerleştirdi. Diğer kümeler daha basit yollar izledi: Turla, ele geçirilmiş Windows makinelerinden Signal mesajlarını çıkarmak için PowerShell scriptleri kullandı ve Belarus bağlantılı bir grup, Signal'ın masaüstü veritabanı dosyalarını kopyalamak için Robocopy yardımcı programını kullandı. Yerel olarak çözülmüş veritabanı ele geçirildiğinde, şifreleme artık önem taşımıyor.

NUKIB ayrıca daha basit ikinci bir vektör daha tanımlıyor: bir bağlantı veya QR kod içeren, meşru Signal bildirimlerini, destek uyarılarını veya grup davetlerini taklit eden mesajlar. Signal'ın gerçek destek ekibi kullanıcılara asla uygulama içinde ulaşmaz ve asla PIN veya kayıt bilgisi istemez; dolayısıyla bunu yapan her mesaj sahtedir.

Yapısal bir ayrıntı tespiti zorlaştırıyor. Google'ın araştırmacılarına göre, bu şekilde kurulan ele geçirmeler uzun süre fark edilmeyebiliyor; bunun nedenlerinden biri, Signal'ın cihaz eşleştirme olaylarının merkezi bir sunucu tarafı kaydını bilinçli olarak tutmaması, çünkü bunları kaydetmek bir metadata izi oluştururdu. Gizliliği koruyan bu tasarım kararı, sessiz bir eşleştirme için güvenilir bir denetim izi bulunmamasının da nedeni.

Kolluk kuvvetleri de aynı açıklığı kullanıyor

Teknik yalnızca istihbarat operasyonlarına özgü değil. 30 Eylül 2026'da Privacy Guides, Netzpolitik'nin elde ettiği belgeler üzerine, Alman gümrük memurlarının şüphelilerin hesaplarına bir cihaz eşleştirerek, hiçbir şifrelemeyi kırmadan mesajlarını okuduğunu bildirdi. Testler 2023 sonunda başladı ve Ağustos 2025'ten beri bu yaklaşım, ajanların kullanımına açık resmi ve kalıcı bir strateji. Etkilenen messenger'lar arasında WhatsApp, Telegram, Threema ve Signal yer alıyor.

Uygulamalar zorluk açısından farklılaşıyor. Telegram mevcut cihazlara bir giriş kodu gönderir ve bu kod phishing ile ele geçirilebilir. WhatsApp, eşleştirmenin uygulama içinden başlatılmasını şart koşar, ancak bir kurban yine de bir kod girmeye yönlendirilebilir. Signal eşleştirmeye yalnızca bir QR kod üzerinden izin verir ve bir saldırgan yine de böyle bir kodu doğrudan tedbirsiz bir kullanıcıya gönderebilir. dev.to yazısı, bunu, Hollanda askeri istihbarat direktörünün uçtan uca şifreli uygulamaların bile devletin gizli bilgileri için uygun olmadığı yönündeki kamuya açık görüşüyle ilişkilendiriyor.

Neler kontrol edilmeli, ne işe yaramaz

NUKIB tavsiyesindeki en eyleme dönük öneri aynı zamanda en basiti: Ayarlar'ı, ardından Linked Devices'ı açın ve tanımadığınız her şeyi kaldırın. Düzenli kontroller, sessiz eşleştirmelerin kalıcı olabilmesi nedeniyle tam da bu yüzden önemli.

dev.to analizinin vurguladığı bir düzeltme: Signal'ın Registration Lock özelliği bu saldırıya karşı koruma sağlamıyor. Registration Lock, birinin numaranızı PIN'iniz olmadan yeni bir telefonda yeniden kaydetmesini engeller. QR kod kampanyası hiçbir şeyi yeniden kaydetmiyor; zaten kayıtlı olan bir hesaba yeni bir cihaz eşleştiriyor. Registration Lock'u açmak hâlâ değerli, ama farklı bir tehdide çözüm getiriyor.

Neden önemli

Güvenlik tartışmalarının genellikle odaklandığı protokol düzeyindeki niteliklerin hiçbiri — ratchet tasarımı, post-quantum anahtar değişimi veya kod denetimleri — bu kampanyada tek bir hesabı bile kurtaramadı. Hesaplar, protokol ile kullanıcısı arasındaki sınırda kaybedildi: bir insan için gruba katılmak, bir makine için cihaz eşleştirme anlamına gelen bir QR kodu, kimsenin fark etmediği bir eşleştirme, kimsenin açmadığı bir cihaz listesi.

Messenger geliştiricileri için dev.to yazarı, eşleştirmenin hesaba tam erişim vermek olarak ele alınması gerektiğini savunuyor. Bu, sade bir dille yazılmış eşleştirme ekranları, yeni bir cihaz katıldığında yüksek sesli ve kalıcı bildirimler, telefonda cihaz türünü ve neler yapabileceğini gösteren bir onay adımı ve ayarların arasına gömülmemiş, birinci sınıf bir ekran olarak sunulan bağlı cihazlar listesi anlamına geliyor. Herhangi bir şifreli messenger kullanıcısı için ders daha kısa: bağlı cihazlarınızı düzenli olarak denetleyin, çünkü kayıt akışı başarısız olurken şifreleme ayakta kaldı.