Introduction

For many years, the field of cybersecurity has approached cyberattacks primarily from a technical perspective.

Vulnerabilities were sought within software, attacks were analyzed through network traffic, and defense mechanisms were designed largely to protect systems. Firewalls became more sophisticated, antivirus solutions were widely deployed, authentication mechanisms were strengthened, and organizations invested heavily in building more resilient infrastructures.

Despite these efforts, cyberattacks have not only persisted but have also become increasingly sophisticated and impactful with each passing year.

This evolution has revealed a fundamental reality: an organization’s most valuable asset is not merely its data. Equally important are the people who interpret that data, make decisions based on it, and ultimately determine the organization’s response.

Modern ransomware provides one of the clearest examples of this phenomenon.

At first glance, the apparent target of a ransomware attack is the organization’s data. Files are encrypted, access to critical systems is denied, and payment is demanded in exchange for the decryption key.

However, when the psychological dimension of such attacks is examined, a very different picture emerges.

Two organizations exposed to the same ransomware attack may respond in entirely different ways. One may choose to pay the ransom, while the other refuses. Some recover and resume operations within days, whereas others remain unable to function for weeks. Even when the technical conditions are nearly identical, the decisions made are fundamentally different.

The difference does not lie in the encryption algorithm itself. The decisive factor is the psychological pressure imposed on people. Fear of prolonged downtime, concerns over losing customer trust, financial losses, reputational damage, and the uncertainty surrounding the incident ultimately determine the true impact of the attack.

In other words, ransomware does not merely encrypt data, it also places human decision-making under pressure.

This leads to a fundamental question.

Must an attacker actually encrypt files to create the same psychological effect?

Put differently, if an attacker can directly influence the target’s decisions, is technical encryption still necessary?

This question has become increasingly relevant in light of the remarkable advances in generative artificial intelligence over the past few years.

The rapid advancement of large language models (LLMs), voice cloning technologies, deepfakes, and synthetic digital identities has provided threat actors with an unprecedented set of capabilities, enabling them to target not only computer systems but also human cognition and behavior.

Today, an individual’s writing style can be convincingly replicated, their voice can be synthesized with near-perfect realism, and entirely fictitious personas can be transformed into credible digital identities.

In such an environment, the focus of cyberattacks naturally shifts from technical systems to the cognitive processes of human beings.

The concept of Cognitive Ransomware presented in this article is proposed as a conceptual framework for understanding and explaining this transformation. It describes a new class of cyber threats in which the primary objective is not to encrypt data, but to manipulate, coerce, and ultimately seize control of human decision-making processes.

It should be emphasized that Cognitive Ransomware, as discussed in this article, does not represent a formally recognized category of malware. Instead, it is proposed as a conceptual framework for understanding how AI-enabled manipulation techniques may evolve into a new class of cyber threats in the future.

In conventional ransomware attacks, the attacker denies the victim access to their data. In the Cognitive Ransomwareparadigm, however, the primary target is the human cognitive process.

The objective is to narrow an individual’s range of perceived choices by exploiting fear, trust, perceived authority, time pressure, or social relationships.

As a result, although the victim may appear technically free to choose, they are psychologically guided toward making only the decision desired by the attacker.

This perspective highlights that cybersecurity is no longer solely about protecting information systems. Even the most advanced firewall cannot analyze an executive’s fears, and no intrusion detection system can recognize when an employee’s trust is being systematically exploited.

As technical defenses continue to improve, the transformation of human behavior into a primary attack surface demands a fundamental redefinition of cybersecurity itself.

At this point, it is reasonable to pose a critical question: Which is easier to compromise a system, or to alter the decisions of the person who operates it?

If the latter becomes less costly, faster, and more difficult to detect, the hostages of future ransomware attacks will no longer be files or data, but human judgment itself.

It is precisely at this point that the true encryption will no longer occur within computers, it will take place in the human mind.

Why Human Decision-Making Has Become the New Attack Surface

Cyberattacks are often assumed to require sophisticated malware, zero-day vulnerabilities, or highly advanced exploitation tools to succeed.

However, numerous incidents in recent years have demonstrated that the most decisive factor in the success of a cyberattack is not technology, it is the human being. The reason is straightforward. Computers operate according to predefined rules, whereas humans make decisions based on their perceptions, experiences, emotions, and the circumstances in which they find themselves.

This distinction elevates humans from being merely users of information systems to becoming the most critical link in the attack chain.

As discussed earlier, technical systems generally behave in predictable ways because they follow deterministic rules. Human behavior, by contrast, can vary significantly, even when individuals are confronted with the same situation.

A decision made under intense stress is often very different from one made in a calm and controlled environment. Likewise, factors such as time pressure, perceived authority, fear, trust, and social pressure can lead individuals to make decisions they would not ordinarily make under normal circumstances.

This is precisely why cybercriminals have invested heavily in social engineering techniques for decades.

While bypassing a firewall requires technical expertise, deceiving a human being often requires nothing more than understanding how that person thinks. Consequently, successful cyberattacks exploit not only vulnerabilities in technical systems but also weaknesses in human decision-making.

The human brain is required to make thousands of decisions every day. Because it is impossible to analyze each decision in depth, it relies on mental shortcuts known in cognitive psychology as heuristics.

These cognitive mechanisms make everyday decision-making more efficient, but they also create vulnerabilities that can be exploited through manipulation.

An official-looking logo can instantly create a sense of trust. Instructions that appear to come from a senior executive may be executed without question. A task presented as urgent can cause routine verification procedures to be bypassed. Likewise, information perceived to be accepted by the majority is often adopted with little critical evaluation.

None of these outcomes result from technical vulnerabilities. Rather, they arise from predictable characteristics of human cognition characteristics that have become increasingly valuable targets for cyber adversaries.

All of these behaviors stem from the natural functioning of the human brain and should not, in themselves, be regarded as security weaknesses.

Precisely for this reason, modern cyberattacks increasingly focus not on bypassing technical security controls, but on exploiting these inherent decision-making mechanisms to their advantage.

In most cases, the attacker’s objective is not to compromise the victim’s computer. Rather, it is to induce the victim to voluntarily perform a specific action.

Clicking on a malicious link, approving a fraudulent payment request, disclosing sensitive credentials, or temporarily disabling security controls may appear to be technically simple actions. Yet these seemingly ordinary decisions often represent the critical point at which a cyberattack succeeds.

This phenomenon becomes even more pronounced in organizational environments. Employees who process hundreds of emails each day, move continuously between meetings, and simultaneously manage multiple operational decisions naturally operate under significant cognitive load.

In an environment where attention is constantly fragmented, it is impractical to verify every instruction in detail. This is precisely the working dynamic that threat actors seek to exploit. Security vulnerabilities, therefore, exist not only in software but also within organizational processes and human behavior.

Another characteristic that distinguishes humans from technical systems is their ability to establish relationships based on trust.

Trust is an indispensable element of organizational life. Organizations thrive through collaboration, managers delegate authority to their teams, and employees routinely act on the assumption that their colleagues, supervisors, and business partners are operating in good faith.

This assumption is what makes modern organizations function effectively, yet it also creates opportunities for malicious exploitation. By targeting trust rather than technical systems, an attacker can often achieve the same objective at a fraction of the cost and with far greater efficiency.

In many cases, compromising a trusted relationship is significantly easier than compromising a well-protected information system.

For this reason, today’s attack surface extends far beyond servers, endpoints, mobile devices, and cloud infrastructures. The people who make decisions have become security assets just as critical as the systems themselves.

This is particularly evident in critical infrastructure, financial institutions, energy facilities, healthcare organizations, and industrial control systems, where a single erroneous decision can have consequences far more severe than a technical vulnerability.

An approval granted at the wrong moment, an instruction accepted without verification, or sensitive information shared with someone mistakenly perceived as trustworthy can result in losses amounting to millions of dollars or even consequences that directly affect physical safety.

At this point, the key issue is not to characterize humans as the weakest link in the security chain. Such a perspective is incomplete. Humans can also represent its strongest line of defense. However, this requires recognizing that people are not merely operators of information systems but are themselves a critical attack surface that must be actively protected.

This recognition forms the conceptual foundation of Cognitive Ransomware.

If the attacker’s objective is to influence human decision-making, the attack has already moved beyond the boundaries of traditional social engineering. The goal is no longer simply to persuade a victim to perform a single action, but to systematically narrow the individual’s perceived choices until a particular decision becomes virtually inevitable.

The technological force that makes this transformation possible is, above all, Artificial Intelligence (AI).

For the first time, Artificial Intelligence provides threat actors with the capability to analyze millions of individuals simultaneously, craft highly personalized attack scenarios for each target, and automate cognitive manipulation at an unprecedented scale.

How Artificial Intelligence Is Transforming the Scale and Nature of Cyberattacks

Throughout the history of cybersecurity, advances in technology have consistently reshaped the methods used by cyber adversaries. The widespread adoption of the Internet gave rise to network-based attacks, the proliferation of mobile devices introduced mobile malware, and the evolution of cloud computing created an entirely new class of threats targeting cloud infrastructures.

Today, a similar transformation is being driven by Artificial Intelligence (AI).

Unlike previous technological shifts, however, AI is not merely introducing another attack tool. It is fundamentally redefining how cyberattacks are planned, prepared, and executed.

In the past, a successful social engineering campaign relied heavily on human effort. Attackers had to research their targets, understand the structure of the organization, develop a convincing pretext capable of establishing trust, and wait for the right opportunity. This process often took weeks or even months, and the same preparation had to be repeated for every new target. As a result, the scale of such operations was constrained by the attacker’s available human resources.

Generative AI is fundamentally changing this equation.

With the emergence of large language models (LLMs), natural language processing (NLP) systems, and autonomous AI agents, many tasks that previously required extensive manual effort can now be performed automatically.

Information about a target can now be gathered from open sources, analyzed, and used to identify the most effective communication style and generate highly tailored attack scenarios, all within a fraction of the time previously required.

As a result, the attacker’s greatest advantage is no longer technical expertise alone, but the ability to collect, interpret, and operationalize vast amounts of information.

The foundation of this transformation lies in Open-Source Intelligence (OSINT).

Today, individuals and organizations unknowingly leave behind vast amounts of digital footprints. Social media activity, professional networking platforms, corporate websites, conference presentations, press releases, job postings, and publicly available documents can collectively provide a remarkably detailed profile of a target.

Artificial Intelligence does not merely collect this information; it also analyzes the relationships among disparate data points, transforming them into coherent and actionable intelligence.

For example, by examining an organization’s publicly available information, AI can identify which teams collaborate closely, who holds the greatest influence in decision-making processes, which executives maintain the highest public visibility, and what communication style is commonly adopted within the organization.

Similarly, at the individual level, AI-driven analysis can reveal a person’s professional interests, work habits, preferred terminology, and communication style.

None of this information is inherently harmful. However, when aggregated, correlated, and analyzed effectively, it enables the creation of highly convincing and context-specific attack scenarios.

One of the most significant capabilities introduced by Artificial Intelligence is its unprecedented capacity for personalization.

In the past, phishing campaigns typically relied on sending the same message to thousands of recipients. Today, however, AI makes it possible to generate unique content for every individual target.

Even two employees within the same organization may receive messages that differ entirely in language, technical terminology, tone, and attack scenario. This is possible because Artificial Intelligence can analyze and model each individual as a distinct behavioral profile.

This level of personalization is not limited to written communication.

Recent advances in voice synthesis and AI-generated imagery have fundamentally challenged the reliability of digital communications.

Using only a few minutes of recorded speech, it is now possible to replicate an individual’s voice, speaking style, and vocal inflections with remarkable accuracy. Likewise, advanced image and video generation systems can produce highly realistic videos that are increasingly difficult to distinguish from authentic recordings. As a result, technologies that were once considered reliable means of visual or auditory verification can no longer be assumed to be trustworthy.

More importantly, these technologies do not operate in isolation. Within a single attack campaign, Open-Source Intelligence (OSINT), Large Language Models (LLMs), voice cloning, AI-generated imagery, and automated content generation systems can be seamlessly integrated.

Rather than simply sending a fraudulent email, an attacker can orchestrate a sophisticated, multi-layered manipulation campaign tailored specifically to an individual target.

This transformation has also dramatically expanded the scale of cyberattacks. In the past, complex social engineering operations were typically reserved for high-value individuals or specific organizations because of the considerable human effort they required. With Artificial Intelligence, however, the same techniques can now be deployed efficiently across vastly larger target populations.

In other words, highly personalized attacks are no longer economically viable only against senior executives, they have become scalable and cost-effective even when directed at ordinary employees.

Another significant advantage provided by Artificial Intelligence is persistence.

In traditional cyberattacks, communication between the attacker and the target was typically brief and transactional. AI-powered systems, by contrast, can sustain coherent and context-aware interactions for weeks or even months, retain memory of previous conversations, and continuously refine their scenarios as new information becomes available.

This capability makes attacks that rely on establishing trust significantly more effective.

The transformation taking place, however, extends far beyond making cyberattacks more convincing.

The most profound change, however, is that cyberattacks are becoming dynamic rather than static. Artificial Intelligence can analyze every response from the target and adapt its next move accordingly.

Instead of following a fixed attack script, AI-driven systems can continuously refine their strategy based on the target’s behavior, making the manipulation process increasingly adaptive, personalized, and effective over time.

If the target becomes suspicious, the communication style can be adjusted, alternative communication channels can be employed, or additional elements of verification can be introduced. Consequently, the attack ceases to be a one-time attempt and instead evolves into a continuously adaptive process that responds to the target’s behavior in real time.

It is at this point that Cognitive Ransomware begins to diverge from traditional social engineering.

The objective is no longer merely to establish trust or persuade the target to perform a single action. Rather, the goal is to gradually shape the target’s decision-making process, systematically narrow the range of perceived alternatives, and ultimately lead the individual to regard a predetermined decision as a natural and self-directed choice.

Artificial Intelligence serves as the primary enabler of this transformation, accelerating, scaling, and continuously optimizing every stage of the manipulation process.

Conclusion

A review of the history of cybersecurity reveals a consistent pattern: attackers have always targeted the weakest point in the defense.

Early cyberattacks primarily exploited technical vulnerabilities. Over time, however, their focus expanded to financial systems, enterprise networks, and critical infrastructure. As defensive technologies evolved, attackers adapted their methods, recognizing that overcoming technical barriers was not always the most efficient path to success.

In many cases, influencing the decisions of the people operating a system proved easier than compromising the system itself.

Today, Generative AI, Large Language Models (LLMs), voice cloning technologies, and synthetic digital identities are taking this evolution to an entirely new level. The success of cyberattacks no longer depends solely on software vulnerabilities or the sophistication of malicious code. Intelligence gathering, target profiling, trust-building, and persuasion can now be automated to a remarkable degree, making human-centric attacks both more scalable and significantly more convincing.

The concept of Cognitive Ransomware presented in this article should not be interpreted as a newly identified category of malware within the current cybersecurity literature. Rather, it is proposed as a conceptual framework for understanding the emerging class of AI-enabled threats that seek to manipulate human cognition rather than compromise information systems directly.

The central argument advanced in this article is that future cyberattacks may rely less on technical encryption and increasingly on cognitive manipulation.

In other words, the objective may shift from rendering data inaccessible to influencing an individual’s decision-making process and psychologically constraining the range of perceived choices.

It is important to emphasize that not every social engineering attack or AI-enabled fraud should be classified as Cognitive Ransomware.

Nevertheless, current trends indicate that cyberattacks are becoming increasingly personalized, leveraging trusted relationships and placing human behavior at the center of their operational strategy.

From this perspective, Cognitive Ransomware provides a valuable conceptual lens through which emerging threats can be examined before they become widespread.

This evolution also calls for a fundamental reassessment of organizational cybersecurity strategies.

Building resilient infrastructures, maintaining secure and up-to-date systems, and protecting networks will remain indispensable. However, these technical safeguards alone will no longer be sufficient.

Equally critical are employees’ critical thinking skills, verification habits, levels of digital awareness, and the resilience of organizational decision-making processes. Together, these human-centric capabilities are becoming integral components of modern cybersecurity.

Ultimately, the defining characteristic of future cyberattacks may be that they target not only information systems, but also the people who make decisions on behalf of those systems.

For decades, cybersecurity has been primarily understood as the discipline of protecting data. Today, however, that definition is expanding.

What must be protected is no longer information alone, but also the human capacity to interpret that information, evaluate it critically, and make informed decisions based upon it.

Consequently, the cybersecurity strategies of the coming years will need to integrate traditional technical controls with cognitive resilience as complementary pillars of defense.

The greatest cyber threat of the future may not be malware that encrypts our computers. Instead, it may be systems capable of influencing our decisions without encrypting a single file.

And if one day we believe we are making decisions freely, while every available option has already been invisibly shaped on our behalf, then what has been held hostage will not be our data, but our freedom to decide.

Important Note:

The term “Cognitive Ransomware”, as presented in this article, does not refer to an officially recognized attack category or malware classification within the current cybersecurity literature. Rather, it is a conceptual framework proposed by the author to describe a plausible future threat model, drawing upon recent advances in Generative AI, Agentic AI, social engineering, cognitive psychology, and decision-making manipulation.

Accordingly, the analyses and conclusions presented throughout this article should be understood as a forward-looking analytical perspective grounded in current technological trends, established research, and emerging threat patterns, rather than as a description of an existing or formally recognized class of cyberattacks.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional, CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner.

References

1. Anthropic. (2024). Claude 3 model card.

   https://www.anthropic.com

2. Cialdini, R. B. (2021). Influence: The psychology of persuasion (Rev. ed.). Harper Business.

3. Kahneman, D. (2011). Thinking, fast and slow. Farrar, Straus and Giroux.

4. National Institute of Standards and Technology. (2024). Artificial Intelligence Risk Management Framework (AI RMF 1.0) (NIST AI 100-1). U.S. Department of Commerce. https://www.nist.gov/itl/ai-risk-management-framework

5. OpenAI. (2025). GPT-4.1 system card.

   https://openai.com

6. OWASP Foundation. (2023). OWASP Top 10 for Large Language Model Applications.

   https://owasp.org

7. Verizon. (2026). 2026 Data Breach Investigations Report (DBIR).https://www.verizon.com/business/resources/reports/dbir/

PODCAST Linki

Giriş

Siber güvenlik dünyası uzun yıllar boyunca saldırıları teknik bir bakış açısıyla değerlendirdi.

Güvenlik açıkları yazılımlarda arandı, saldırılar ağ trafiği üzerinden analiz edildi ve savunma mekanizmaları büyük ölçüde sistemleri korumaya odaklandı. Güvenlik duvarları geliştirildi, antivirüs yazılımları yaygınlaştı, kimlik doğrulama yöntemleri güçlendirildi ve kurumlar daha dayanıklı altyapılar kurmaya başladı.

Buna rağmen saldırılar yalnızca devam etmekle kalmadı, her geçen yıl daha karmaşık ve daha etkili hale geldi.

Bu durum önemli bir gerçeği ortaya çıkardı; Bir kurumun en değerli varlığı yalnızca verileri değildir. Aynı zamanda bu verileri yöneten, yorumlayan ve onlar üzerinden karar alan insanlardır.

Modern fidye yazılımları bunun en çarpıcı örneklerinden biridir.

İlk bakışta saldırının hedefi dosyalardır. Veriler şifrelenir, sistemlere erişim engellenir ve çözüm anahtarı karşılığında ödeme talep edilir.

Ancak olayın psikolojik boyutuna bakıldığında farklı bir tablo ortaya çıkar.

Aynı saldırıya maruz kalan iki kurumdan biri fidyeyi öderken diğeri ödememektedir. Bazıları birkaç gün içinde faaliyetlerine dönerken bazıları haftalarca operasyonlarını sürdüremez. Teknik koşullar benzer olsa bile verilen kararlar farklıdır.

Bu farklılığın nedeni kullanılan şifreleme algoritması değildir. Asıl belirleyici unsur, saldırının insanlar üzerinde oluşturduğu baskıdır. Zaman kaybetme korkusu, müşteri güvenini yitirme endişesi, finansal kayıp, itibar riski ve belirsizlik hissi, teknik saldırının gerçek etkisini belirleyen unsurlardır.

Başka bir ifadeyle, fidye yazılımı yalnızca verileri değil, insanların karar verme sürecini de baskı altına almaktadır.

Buradan hareketle yeni bir soru ortaya çıkmaktadır.

Bir saldırgan aynı psikolojik baskıyı oluşturabilmek için gerçekten dosyaları şifrelemek zorunda mıdır?

Başka bir ifadeyle, hedefin kararlarını doğrudan etkileyebiliyorsa teknik şifrelemeye ihtiyaç kalır mı?

Bu soru, üretken yapay zekanın son yıllarda gösterdiği gelişimle birlikte her zamankinden daha anlamlı hale gelmiştir.

Büyük dil modelleri, ses klonlama sistemleri, deepfake teknolojileri ve sentetik dijital kimlikler, saldırganların yalnızca bilgisayarları değil, insan davranışlarını da hedef alabilecek yeni araçlara sahip olmasını sağlamaktadır.

Bugün bir kişinin yazışma tarzı taklit edilebilmekte, sesi gerçeğinden ayırt edilemeyecek kadar başarılı biçimde üretilebilmekte ve hiç var olmamış insanlar güvenilir dijital kimliklere dönüştürülebilmektedir.

Böyle bir ortamda saldırının odağı doğal olarak teknik sistemlerden insanın bilişsel süreçlerine kaymaktadır.

Bu makalede ele alınan Cognitive Ransomware kavramı, tam olarak bu dönüşümü açıklamak amacıyla önerilen kavramsal bir çerçevedir.

Burada söz edilen kavram, bugün resmi olarak tanımlanmış yeni bir zararlı yazılım ailesini ifade etmemektedir. Bunun yerine, yapay zeka destekli manipülasyon tekniklerinin gelecekte alabileceği yönü anlamaya yardımcı olacak bir düşünce modeli sunmaktadır.

Klasik ransomware saldırılarında saldırgan, kurbanın verilerine erişimini engeller. Cognitive Ransomware yaklaşımında ise hedef, insanın bilişsel süreçleridir.

Amaç; korku, güven, otorite algısı, zaman baskısı veya sosyal ilişkiler üzerinden bireyin karar seçeneklerini daraltmaktır.

Böylece kurban teknik olarak özgür görünse bile, psikolojik olarak yalnızca saldırganın istediği seçeneği uygulamaya yönlendirilir.

Bu yaklaşım, siber güvenliğin yalnızca bilgi işlem sistemlerini korumaktan ibaret olmadığını göstermektedir. Nitekim en gelişmiş güvenlik duvarı bile bir yöneticinin korkularını analiz edemez, hiçbir saldırı tespit sistemi bir çalışanın güven duygusunun istismar edildiğini anlayamaz.

Teknik savunmalar güçlenirken insan davranışlarının saldırı yüzeyine dönüşmesi, güvenlik anlayışının da yeniden tanımlanmasını zorunlu hale getirmektedir.

Bu noktada analiz edilmesi gereken konu için şu ifadeleri kullanmak ve sorgulamaları yapmak yanlış olmayacaktır; Bir sistemi ele geçirmek mi daha kolaydır, yoksa o sistemi yöneten insanın kararlarını değiştirmek mi?

Şayet ikinci seçenek daha düşük maliyetli, daha hızlı ve daha görünmez hale gelirse, geleceğin fidye saldırılarında rehin alınan şey dosyalar değil, insanların muhakeme yeteneği olacaktır.

Tam da bu noktada gerçek şifreleme, bilgisayarlarda değil, insan zihninde gerçekleşecektir.

İnsanın Karar Verme Süreçleri Neden Yeni Saldırı Yüzeyidir?

Bir siber saldırının başarılı olması için mutlaka karmaşık zararlı yazılımlara, sıfırıncı gün açıklarına veya gelişmiş saldırı araçlarına ihtiyaç duyulduğu düşünülür.

,Oysa son yıllarda yaşanan birçok olay, saldırıların başarısını belirleyen en önemli unsurun teknoloji değil, insan olduğunu göstermektedir. Bunun nedeni oldukça basittir. Bilgisayarlar kurallara göre çalışır, insanoğlu ise algıları, deneyimleri, duyguları ve içinde bulundukları koşullar doğrultusunda karar verir.

Bu fark, insanı yalnızca sistemlerin kullanıcısı olmaktan çıkarıp saldırı zincirinin en kritik halkası haline getirmektedir.

Nitekim yukarıda ifade etmeye çalıştığım gibi teknik sistemler belirli kurallar çerçevesinde öngörülebilir davranışlar sergilerken, insan davranışı aynı durum karşısında bile değişkenlik gösterebilir.

Yoğun stres altında verilen bir karar ile sakin bir ortamda verilen karar çoğu zaman aynı değildir. Benzer şekilde zaman baskısı, otorite algısı, korku, güven duygusu veya sosyal baskı gibi faktörler, bireyin normal koşullarda almayacağı kararları almasına neden olabilir.

Siber suçluların uzun yıllardır sosyal mühendislik yöntemlerine yatırım yapmasının temel nedeni de budur.

Bir güvenlik duvarını aşmak için teknik uzmanlık gerekirken, bir insanı yanıltmak çoğu zaman onun nasıl düşündüğünü anlamayı gerektirir. Bu nedenle başarılı saldırılar yalnızca sistemlerdeki açıkları değil, insanların karar verme alışkanlıklarını da hedef alır.

İnsan beyni her gün binlerce karar vermek zorundadır. Bu kararların tamamını ayrıntılı analiz ederek vermek mümkün olmadığı için beyin, bilişsel psikolojide heuristics olarak adlandırılan zihinsel kestirme yolları kullanır.

Bu mekanizmalar günlük yaşamı kolaylaştırır, ancak aynı zamanda manipülasyona açık zayıflıklar da oluşturur.

Resmî görünen bir logo güven hissi yaratabilir. Üst düzey bir yöneticiden geldiği düşünülen bir talimat sorgulanmadan uygulanabilir. Acil olduğu belirtilen bir işlem, normalde yapılacak kontrollerin atlanmasına neden olabilir. Kalabalıkların doğru kabul ettiği bir bilgi daha kolay benimsenebilir.

Bütün bunlar, insan beyninin doğal çalışma biçiminden kaynaklanır ve tek başına bir güvenlik zaafı olarak değerlendirilmemelidir.

Tam da bu nedenle modern siber saldırılar, teknik güvenlik kontrollerini aşmaktan çok, bu doğal karar mekanizmalarını kendi lehine kullanmaya çalışmaktadır.

Saldırganın amacı çoğu zaman kurbanın bilgisayarını ele geçirmek değildir. Kurbanın belirli bir davranışı kendi isteğiyle gerçekleştirmesini sağlamaktır. Zararlı bir bağlantıya tıklamak, sahte bir ödeme talimatını onaylamak, kimlik bilgilerini paylaşmak ya da güvenlik prosedürlerini geçici olarak devre dışı bırakmak gibi eylemler, teknik açıdan basit görünse de çoğu saldırının başarı noktasıdır.

Kurumsal ortamlarda bu durum daha da belirgin hale gelir. Gün içinde yüzlerce e-posta alan, sürekli toplantılar arasında çalışan ve aynı anda birçok operasyonel kararı yönetmek zorunda kalan çalışanlar, doğal olarak bilişsel yük altında görev yapmaktadır.

Dikkatin sürekli bölündüğü bu ortamda her talimatı ayrıntılı biçimde doğrulamak pratik değildir. İşte saldırganlar da tam olarak bu çalışma düzenini avantaja çevirmektedir. Nitekim güvenlik açıkları yalnızca yazılımlarda değil, iş süreçlerinde ve insan davranışlarında da ortaya çıkmaktadır.

İnsanı diğer sistemlerden ayıran bir başka özellik ise güven ilişkisi kurabilmesidir.

Güven, iş hayatının vazgeçilmez unsurlarından biridir. Kurumlar ekip çalışması sayesinde üretken olur, yöneticiler çalışanlarına yetki devreder, çalışanlar ise birlikte çalıştıkları kişilerin iyi niyetli olduğuna dair varsayımlarla hareket eder.

Bu varsayım iş yaşamını mümkün kılar, ancak aynı zamanda kötü niyetli kişiler tarafından istismar edilebilir. Bir saldırgan teknik sistemleri kandırmak yerine önce güven ilişkisini hedef aldığında, çoğu zaman çok daha düşük maliyetle aynı sonuca ulaşabilir.

Bu nedenle günümüzde saldırı yüzeyi yalnızca sunucular, istemciler, mobil cihazlar veya bulut altyapılarıyla sınırlı değildir. Karar veren insanlar da en az bu sistemler kadar kritik bir güvenlik unsurudur.

Özellikle kritik altyapılar, finans kuruluşları, enerji tesisleri, sağlık kurumları ve endüstriyel kontrol sistemleri düşünüldüğünde, tek bir yanlış kararın teknik bir güvenlik açığından çok daha büyük sonuçlar doğurabileceği açıktır.

Yanlış zamanda verilen bir onay, doğrulanmadan kabul edilen bir talimat veya güvenilir sanılan bir kişiyle paylaşılan bilgi, milyonlarca dolarlık zarara ya da fiziksel güvenliği etkileyen sonuçlara yol açabilir.

Bu noktada önemli olan, insanın güvenlik zincirinin "en zayıf halkası" olduğunu söylemek değildir. Böyle bir yaklaşım eksik kalır. İnsan aynı zamanda güvenlik zincirinin en güçlü savunma mekanizması da olabilir. Ancak bunun için önce insanın yalnızca sistemleri kullanan bir aktör değil, doğrudan korunması gereken bir saldırı yüzeyi olduğunun kabul edilmesi gerekir.

Bu kabul, Cognitive Ransomware kavramının temelini oluşturmaktadır.

Şayet saldırganın amacı insanın kararlarını yönlendirmekse, bu süreç artık klasik sosyal mühendisliğin ötesine geçmektedir. Nitekim hedef yalnızca bir eylem yaptırmak değil, bireyin seçeneklerini daraltarak belirli bir kararı kaçınılmaz hale getirmektir.

Bu dönüşümü mümkün kılan en önemli unsur ise hiç şüphesiz AI yani Yapay Zekadır.

Yapay zeka, saldırganlara ilk kez milyonlarca kişiyi aynı anda analiz etme, her hedef için farklı bir senaryo oluşturma ve manipülasyonu büyük ölçüde otomatikleştirme imkanı sunmaktadır.

Yapay Zeka Saldırıların Ölçeğini ve Niteliğini Nasıl Değiştiriyor?

Siber güvenlik tarihinde kullanılan araçlar değiştikçe saldırı yöntemleri de değişmiştir. İnternetin yaygınlaşması ağ tabanlı saldırıları, mobil cihazların hayatın merkezine yerleşmesi mobil zararlı yazılımları, bulut bilişimin gelişmesi ise bulut altyapılarını hedef alan yeni tehditleri ortaya çıkarmıştır.

Bugün ise benzer bir dönüşüm yapay zeka ile yaşanmaktadır.

Ancak önceki teknolojik değişimlerden farklı olarak yapay zeka yalnızca yeni bir saldırı aracı sunmamakta, saldırıların planlanma, hazırlanma ve yürütülme biçimini kökten değiştirmektedir.

Geçmişte başarılı bir sosyal mühendislik operasyonu önemli ölçüde insan emeğine dayanıyordu. Saldırganın hedefini araştırması, kurumun yapısını öğrenmesi, güven oluşturacak bir senaryo hazırlaması ve doğru zamanı beklemesi gerekiyordu. Bu süreç haftalar, hatta aylar sürebiliyor; her yeni hedef için aynı çalışmaların yeniden yapılmasını gerektiriyordu. Dolayısıyla saldırıların ölçeği, saldırganın sahip olduğu insan kaynağıyla sınırlıydı.

Üretken yapay zeka bu dengeyi değiştirmektedir.

Büyük dil modelleri, doğal dil işleme sistemleri ve otonom yapay zeka ajanları sayesinde daha önce manuel olarak yürütülen birçok süreç artık otomatik hale getirilebilmektedir.

Bir hedef hakkında açık kaynaklardan bilgi toplanması, bu bilgilerin analiz edilmesi, hedefe uygun iletişim dili belirlenmesi ve farklı senaryoların oluşturulması artık çok daha kısa sürede gerçekleştirilebilmektedir.

Böylece saldırganın en önemli avantajı teknik bilgi değil, büyük miktarda veriyi anlamlandırabilme kapasitesi haline gelmektedir.

Bu dönüşümün temelini açık kaynak istihbaratı (OSINT) oluşturmaktadır.

Günümüzde bireyler ve kurumlar, farkında olmadan dijital ortamda büyük miktarda iz bırakmaktadır. Sosyal medya paylaşımları, profesyonel ağlar, şirket internet siteleri, konferans konuşmaları, basın açıklamaları, işe alım ilanları ve kamuya açık belgeler bir araya getirildiğinde, hedef hakkında oldukça ayrıntılı bir profil oluşturulabilmektedir.

Yapay zeka bu bilgileri yalnızca toplamakla kalmaz, aralarındaki ilişkileri de analiz ederek anlamlı bir bütün haline getirir.

Örneğin bir kurumun çalışan profili incelendiğinde hangi ekiplerin birlikte çalıştığı, karar süreçlerinde kimlerin etkili olduğu, hangi yöneticilerin kamuoyunda daha görünür olduğu ve kurum içinde hangi iletişim dilinin benimsendiği çıkarılabilir.

Aynı şekilde bireysel düzeyde yapılan analizler, kişinin mesleki ilgi alanlarını, çalışma alışkanlıklarını, kullandığı terminolojiyi ve iletişim tarzını ortaya koyabilir.

Bu bilgiler tek başına zararlı değildir, ancak doğru şekilde bir araya getirildiğinde son derece ikna edici senaryoların oluşturulmasına imkan sağlar.

Yapay zekanın en dikkat çekici katkılarından biri de kişiselleştirme kapasitesidir.

Geçmişte binlerce kişiye aynı içerikte oltalama e-postaları gönderilirken, bugün her hedef için farklı içerikler üretilebilmektedir.

Aynı kurumda çalışan iki kişiye gönderilen mesajların dili, kullanılan teknik ifadeler, hitap biçimi ve senaryo birbirinden tamamen farklı olabilir. Bunun nedeni, yapay zekanın her bireyi ayrı bir profil olarak değerlendirebilmesidir.

Bu kişiselleştirme yalnızca yazılı içeriklerle sınırlı değildir.

Son yıllarda ses sentezi ve görüntü üretim teknolojilerindeki gelişmeler, dijital iletişimin güvenilirliğini de sorgulanır hale getirmiştir.

Birkaç dakikalık ses kaydı kullanılarak bir kişinin ses tonu, konuşma biçimi ve vurguları yüksek doğrulukla taklit edilebilmektedir. Benzer şekilde gelişmiş görüntü üretim sistemleri, gerçek kişilerle ayırt edilmesi oldukça güç videolar oluşturabilmektedir. Bu teknolojiler, görsel veya işitsel doğrulamaya duyulan güveni önemli ölçüde azaltmaktadır.

Daha da önemlisi, bu teknolojiler birbirinden bağımsız kullanılmamaktadır. Aynı operasyon içerisinde açık kaynak istihbaratı, büyük dil modelleri, ses klonlama, görüntü üretimi ve otomatik içerik oluşturma sistemleri birlikte çalışabilmektedir.

Böylece saldırgan yalnızca sahte bir e-posta göndermek yerine, hedefe özel hazırlanmış çok katmanlı bir manipülasyon süreci oluşturabilmektedir.

Bu dönüşüm, saldırıların ölçeğini de önemli ölçüde değiştirmektedir. Geçmişte karmaşık sosyal mühendislik operasyonları belirli kişi veya kurumlara yönelik yürütülürken, yapay zeka sayesinde aynı yöntemlerin çok daha geniş hedef kitlelerine uygulanması mümkün hale gelmektedir.

Bir başka ifadeyle, kişiye özel saldırılar artık yalnızca üst düzey yöneticiler için değil, sıradan çalışanlar için de ekonomik olarak uygulanabilir hale gelmektedir.

Yapay zekanın sunduğu bir diğer avantaj ise sürekliliktir.

Geleneksel saldırılarda saldırgan ile hedef arasındaki iletişim çoğunlukla kısa süreliydi. Oysa yapay zeka destekli sistemler haftalar hatta aylar boyunca tutarlı iletişim kurabilir, önceki konuşmaları hatırlayabilir ve yeni bilgileri kullanarak senaryolarını güncelleyebilir.

Bu durum özellikle güven ilişkisi kurulmasına dayanan saldırıları çok daha etkili hale getirmektedir.

Bu noktada ortaya çıkan değişim, yalnızca saldırıların daha inandırıcı hale gelmesi değildir.

Asıl değişim, saldırının dinamik bir yapıya kavuşmasıdır. Yapay zeka, hedefin verdiği her tepkiyi analiz ederek bir sonraki adımı buna göre belirleyebilir.

Şayet hedef şüphe duyuyorsa iletişim dili değiştirilebilir, farklı kanallar kullanılabilir veya yeni doğrulama unsurları eklenebilir. Böylece saldırı tek seferlik bir girişim olmaktan çıkar, hedefin davranışına göre sürekli uyum sağlayan bir sürece dönüşür.

Bu noktada Cognitive Ransomware, klasik sosyal mühendislikten ayrılmaya başlar.

Nitekim burada amaç yalnızca güven oluşturmak ya da tek bir eylemi gerçekleştirmek değildir. Amaç, hedefin düşünce sürecini aşama aşama yönlendirmek, alternatiflerini daraltmak ve sonunda belirli bir kararı doğal bir seçim gibi görmesini sağlamaktır.

Yapay zeka, bu sürecin her aşamasını hızlandıran ve ölçeklendiren temel unsur olarak öne çıkmaktadır.

Sonuç

Siber güvenlik tarihi incelendiğinde, saldırıların sürekli olarak savunmanın en zayıf noktasına yöneldiği görülmektedir.

İlk dönemlerde teknik açıklardan yararlanan saldırılar zamanla finansal sistemleri, kurumsal ağları ve kritik altyapıları hedef aldı. Savunma teknolojileri geliştikçe saldırganlar da yöntemlerini değiştirdi ve teknik engelleri aşmanın her zaman en verimli yol olmadığını fark etti.

Çoğu durumda, bir sistemi kırmaktan daha kolay olan şey, o sistemi yöneten insanın kararlarını etkilemekti.

Bugün üretken yapay zeka, büyük dil modelleri, ses klonlama teknolojileri ve sentetik dijital kimlikler bu dönüşümü yeni bir boyuta taşımaktadır. Artık saldırıların başarısı yalnızca yazılım açıklarına veya zararlı kodların karmaşıklığına bağlı değildir. Bilgi toplama, hedef analizi, güven oluşturma ve ikna süreçleri büyük ölçüde otomatikleştirilebilmekte, bu da insan odaklı saldırıları hem daha ölçeklenebilir hem de daha inandırıcı hale getirmektedir.

Bu makalede ele aldığım Cognitive Ransomware, mevcut literatürde tanımlanmış yeni bir zararlı yazılım türü olarak değil, geleceğin tehditlerini anlamaya yardımcı olabilecek kavramsal bir model olarak değerlendirilmelidir.

Bu makalemdeki yaklaşımın temel iddiası, gelecekte bazı saldırıların teknik şifreleme yerine bilişsel manipülasyona dayanabileceğidir.

Başka bir ifadeyle amaç, verileri erişilemez hale getirmekten çok, bireyin karar verme sürecini yönlendirmek ve seçeneklerini psikolojik olarak daraltmak olabilir.

Hiç şüphesiz bugün yaşanan her sosyal mühendislik saldırısını veya her yapay zeka destekli dolandırıcılığı Cognitive Ransomware olarak tanımlamak doğru değildir.

Ancak mevcut eğilimler, saldırıların giderek daha fazla kişiselleştiğini, güven ilişkilerinden yararlandığını ve insan davranışlarını merkeze aldığını göstermektedir.

Bu nedenle kavram, gelecekte karşılaşabileceğimiz tehditleri bugünden tartışabilmek için yararlı bir düşünce çerçevesi sunmaktadır.

Bu durum, kurumların güvenlik anlayışını da yeniden değerlendirmesini gerektirmektedir.

Güçlü altyapılar kurmak, sistemleri güncel tutmak ve ağları korumak her zamankinden daha önemli olmaya devam edecektir.

Ancak bunlara ek olarak, çalışanların eleştirel düşünme becerileri, doğrulama alışkanlıkları, dijital farkındalık düzeyleri ve kurumsal karar mekanizmalarının dayanıklılığı da güvenliğin ayrılmaz bir parçası haline gelmektedir.

Nitekim geleceğin saldırıları yalnızca sistemlere değil, sistemler adına karar veren insanlara yönelme eğilimindedir.

Siber güvenlik uzun yıllar boyunca verileri koruma disiplini olarak tanımlandı. Günümüzde ise bu tanım giderek genişlemektedir.

Korunması gereken yalnızca bilgi değil, o bilgiyi yorumlayan, değerlendiren ve ona göre hareket eden insanın muhakeme yeteneğidir.

Bu nedenle önümüzdeki yıllarda güvenlik stratejileri teknik kontroller ile bilişsel dayanıklılığı birlikte ele almak zorunda kalacaktır.

Geleceğin en büyük siber tehdidi, bilgisayarlarımızı kilitleyen zararlı yazılımlar olmayacaktır. Tehdit, hiçbir dosyayı şifrelemeden bize yanlış kararlar aldırabilen sistemler olacaktır.

Ve şayet bir gün özgürce seçim yaptığımızı düşünürken aslında bütün seçenekler görünmez biçimde bizim adımıza belirlenmişse, o gün rehin alınan şey verilerimiz değil, karar verme özgürlüğümüz olacaktır !

Önemli Bilgi: Bu makalede tanımladığım “Cognitive Ransomware“ kavramı, mevcut literatürde yer alan resmî bir saldırı sınıflandırmasını ifade etmemektedir. Kavram, üretken yapay zeka (Generative AI), otonom yapay zeka ajanları (Agentic AI), sosyal mühendislik, bilişsel psikoloji ve karar verme manipülasyonu alanlarındaki güncel gelişimlerden hareketle geleceğe yönelik olası bir tehdit modelini açıklamak amacıyla tarafımca önerilen kavramsal bir çerçevedir.

Öte yandan makalede yer alan tüm değerlendirmelerim, mevcut teknolojik eğilimler ve literatürde tanımlanan tehditler temel alınarak geleceğe yönelik analitik bir perspektif sunma amaçlıdır.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional, CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner.

Kaynakça:

1. Kahneman, D. (2011).
Thinking, Fast and Slow.
New York: Farrar, Straus and Giroux.
İnsan karar verme süreçleri, bilişsel önyargılar (cognitive biases), sezgisel düşünme (heuristics) ve karar mekanizmaları için temel kaynak olarak kullanılmıştır.

2. Cialdini, R. B. (2021).
Influence: The Psychology of Persuasion (Revised Edition).
Harper Business.
Güven oluşturma, otorite, sosyal kanıt, kıtlık ve ikna psikolojisi üzerine çalışmalar kaynak olarak kullanılmıştır.

3. OWASP Foundation. (2023).
OWASP Top 10 for Large Language Model Applications.
LLM tabanlı güvenlik riskleri, prompt injection, model manipülasyonu ve yapay zeka güvenliği açısından güncel ve teknik bir kaynak olarak kullanılmıştır.

4. National Institute of Standards and Technology (NIST). (2024).
Artificial Intelligence Risk Management Framework (AI RMF 1.0).
NIST.
Yapay zeka sistemlerinin riskleri, güvenilirliği ve yönetişimi konusunda otoriter bir referans olarak kullanılmıştır.

5. OpenAI. (2025).
GPT-4.1 System Card (veya makaleyi yayımladığın tarihte en güncel System Card).
Üretken Yapay Zeka’nın (Generative AI) yetenekleri, sınırları ve olası riskleri için teknik dayanak sağlamak üzere kullanılmıştır.

6. Anthropic. (2024).
The Claude 3 Model Card.
Agentic AI, gelişmiş muhakeme, uzun süreli görev yürütme ve otonom davranış yetenekleri üzerine güncel bilgiler içermektedir, bu nedenle bir referans olarak kullanılmıştır.

7. Verizon. (2026).
2026 Data Breach Investigations Report (DBIR).
İnsan faktörü, sosyal mühendislik ve kimlik bilgilerinin kötüye kullanılmasıyla ilgili güncel istatistikler sunmaktadır. Bu rapor, makalemde “insan yeni saldırı yüzeyidir” argümanını desteklemek adına kullanılmıştır.

PODCAST Linki

Dünya Ticaretinin En Kritik Altyapısı Neden Siber Saldırıların Yeni Hedefi?

Yüzyıllar boyunca denizler devletlerin ekonomik gücünü, ticaret yollarını ve askeri üstünlüğünü belirleyen en önemli stratejik alanlardan biri oldu. Bugün de bu gerçek değişmiş değil !

Küresel ticaret hacminin yaklaşık %80’i deniz yoluyla taşınırken, limanlar, konteyner terminalleri, tanker filoları ve açık deniz enerji platformları dünya ekonomisinin görünmeyen omurgasını oluşturmaktadır.

Ancak son yirmi yılda denizcilik sektörü yalnızca mekanik ve fiziksel sistemlerden oluşan bir yapı olmaktan çıkmıştır.

Modern gemiler artık yüzlerce sensör, uydu haberleşme sistemleri, bulut tabanlı filo yönetimi, otomatik rota planlama yazılımları ve Operasyonel Teknoloji (OT) altyapılarıyla çalışan hareketli veri merkezlerine dönüşmüştür.

Bu dijital dönüşüm operasyonel verimliliği artırırken, beraberinde çok daha büyük bir riski de ortaya çıkardı ki buna bugün ‘Maritime Cyber Security’ adı veriyoruz.

Hepimizin bildiği üzere artık bir siber saldırının amacı yalnızca şirket verilerini ele geçirmek değildir.

Günümüzde bir saldırgan, geminin rotasını değiştirebilir, elektronik seyir haritalarını manipüle edebilir, liman vinçlerini durdurabilir, geminin dengesini, trimini ve yapısal yük dağılımını kontrol eden balast sistemlerini etkileyebilir veya küresel tedarik zincirini günlerce felç edebilir.

Maritime Cyber Security Nedir?

Uluslararası Denizcilik Örgütü (IMO-International Maritime Organization), Maritime Cyber Risk’i; Gemi ve liman operasyonlarının güvenliğini, emniyetini veya sürekliliğini etkileyebilecek bilgi ve operasyonel sistemlere yönelik tehditlerin oluşturduğu risk olarak tanımlamaktadır.

Bu nedenle siber risk yönetimi, yalnızca IT sistemlerini değil, operasyonel teknolojileri de kapsayan bütüncül bir yaklaşım gerektirir.

Bu kapsamda Maritime Cyber Security; Gemiler, limanlar, açık deniz platformları, lojistik şirketleri, uydu haberleşme altyapıları, denizcilik OT sistemleri gibi tüm dijital ekosistemin korunmasını amaçlayan disiplin olarak tanımlanabilir.

Modern Gemiler Artık Birer “OT” Ekosistemidir

Birçok kişi gemileri hala mekanik sistemlerden oluşan yapılar olarak düşünmektedir. Oysa günümüzde büyük bir konteyner gemisinde onlarca kritik OT sistemi bulunmaktadır.

Bunlardan bazılarını şu şekilde sıralayabiliriz:

• Electronic Chart Display and Information System (ECDIS)

• Automatic Identification System (AIS)

• GPS (Global Positioning System) / GNSS (Global Navigation Satellite System)

• Radar

• Dynamic Positioning (DP)

• GMDSS (Global Maritime Distress and Safety System)

• Engine Control System

• Ballast Water Management

• Cargo Management System

• Integrated Bridge System

• Power Management System

Bu sistemlerin büyük bölümü doğrudan geminin güvenli seyrini etkilediğinden, klasik bilgi güvenliği olaylarının ötesinde fiziksel sonuçlar doğurabilecek saldırı senaryoları ortaya çıkmaktadır.

Neden Denizcilik Sektörü Hedefte?

Denizcilik sektörü, dijital dönüşümün hız kazanmasıyla birlikte siber saldırganlar açısından en cazip kritik altyapı alanlarından biri haline gelmiştir.

Geçmişte gemiler büyük ölçüde mekanik ve izole sistemlerle çalışırken, günümüzde modern ticaret gemileri, limanlar ve lojistik merkezleri; Bilgi teknolojileri (IT), operasyonel teknolojiler (OT), bulut servisleri, uydu haberleşmesi ve nesnelerin interneti (IoT) çözümlerinin iç içe geçtiği karmaşık dijital ekosistemler olarak faaliyet göstermektedir.

Bu dönüşüm operasyonel verimliliği, yakıt optimizasyonunu ve filo yönetimini önemli ölçüde geliştirirken, aynı zamanda saldırı yüzeyini de benzeri görülmemiş ölçüde genişletmiştir.

Denizcilik sektörünün saldırganlar için öncelikli hedef olmasının en önemli nedenlerinden biri, küresel ekonomide üstlendiği kritik roldür. Dünya ticaretinin yaklaşık yüzde 80’i hacim bazında deniz yoluyla gerçekleştirilmektedir.

Bir konteyner terminalinin, büyük bir limanın veya uluslararası taşımacılık yapan bir filonun birkaç gün boyunca hizmet verememesi, yalnızca ilgili şirket için değil, küresel tedarik zinciri boyunca üreticiler, ihracatçılar, ithalatçılar ve tüketiciler için de ciddi ekonomik kayıplara neden olabilir.

Bu nedenle saldırganlar, yüksek finansal baskı oluşturabilecek sektörleri özellikle tercih etmekte ve fidye yazılımı (ransomware) gibi saldırılarla operasyonları durdurarak hızlı ödeme almayı hedeflemektedir.

Bir diğer önemli faktör ise denizcilik sektöründe halen yaygın olarak kullanılan eski nesil (legacy) operasyonel teknoloji sistemleridir.

Birçok gemi 20 ila 30 yıl boyunca hizmet vermekte olup, üzerindeki otomasyon sistemleri, PLC (Programmable Logic Controller)'ler, navigasyon cihazları ve makine kontrol altyapıları uzun yıllar boyunca değiştirilmeden kullanılmaktadır.

Bu sistemlerin önemli bir kısmı tasarlandıkları dönemde internet bağlantısı veya siber saldırılar dikkate alınarak geliştirilmediğinden, günümüz tehdit ortamına karşı yeterli güvenlik mekanizmalarına sahip değildirler.

Öte yandan bu sistemlerin değiştirilmesi veya güncellenmesi, geminin operasyon dışı kalmasına neden olabileceği için güvenlik yamalarının uygulanması çoğu zaman ertelenmektedir.

Modern gemilerin sürekli bağlantı ihtiyacı da önemli bir risk oluşturmaktadır. Günümüzde gemiler yalnızca limandayken değil, okyanusun ortasında seyir halindeyken dahi uydu haberleşme sistemleri aracılığıyla şirket merkezleriyle sürekli veri alışverişi yapmaktadır.

Rota planları, makine performans verileri, yakıt tüketimi, yük bilgileri, bakım kayıtları ve mürettebat iletişimi gibi kritik bilgiler gerçek zamanlı olarak kıyıdaki operasyon merkezlerine aktarılmaktadır.

Bu durum operasyonel verimlilik açısından büyük avantaj sağlarken, aynı zamanda saldırganlar için uzaktan erişim sağlayabilecek yeni giriş noktaları ve saldırı yüzeyleri oluşturmaktadır.

Denizcilik ekosisteminin çok sayıda üçüncü taraf tedarikçiye bağımlı olması da saldırı riskini artırmaktadır.

Gemi üreticileri, otomasyon firmaları, navigasyon yazılımı geliştiricileri, uzaktan bakım sağlayıcıları, uydu haberleşme şirketleri ve liman otomasyon hizmeti sunan birçok farklı kuruluş aynı dijital ekosistemin parçasıdır.

Bu tedarikçilerden yalnızca birinin güvenliğinin ihlal edilmesi, saldırganların doğrudan hedef kuruluşa ulaşmasını sağlayabilecek bir tedarik zinciri saldırısına dönüşebilir.

Son yıllarda birçok sektörde görülen yazılım güncellemesi veya uzaktan bakım altyapısı üzerinden gerçekleştirilen saldırılar, denizcilik sektöründe de benzer risklerin bulunduğunu göstermektedir.

Bunun yanısıra gemilerde Bilgi teknolojileri (IT) ile Operasyonel teknolojiler (OT) arasındaki sınırlar giderek ortadan kalkmaktadır.

Eskiden birbirinden fiziksel olarak ayrılmış sistemler bugün bakım kolaylığı, uzaktan izleme, optimizasyon, konfigürasyon ve veri analitiği amacıyla aynı ağ üzerinde veya birbirine bağlı şekilde çalışabilmektedir.

Örneğin makine kontrol sistemlerinden alınan veriler filo yönetim yazılımlarına, bulut platformlarına veya yapay zeka tabanlı bakım uygulamalarına aktarılmaktadır.

Bu entegrasyon operasyonel fayda sağlasa da, kurumsal BT ağında başlayan bir saldırının uygun güvenlik kontrolleri bulunmadığı takdirde geminin kritik OT sistemlerine kadar ilerleyebilme riskini de beraberinde getirmektedir.

Öte yandan, insan faktörü de denizcilik sektöründeki en önemli zafiyetlerden biri olmaya devam etmektedir.

Mürettebat üyeleri sık sık değişebilmekte, farklı ülkelerden gelen personel farklı siber güvenlik kültürlerine sahip olabilmekte ve gemiler aylar boyunca denizde kaldıkları için düzenli güvenlik eğitimlerine erişim her zaman mümkün olmayabilmektedir.

Kimlik avı saldırıları, taşınabilir USB cihazlarının kontrolsüz kullanımı, zayıf parola politikaları ve uzaktan bakım sırasında uygulanan geçici erişim izinleri, saldırganların en sık kullandığı yöntemler arasında yer almaktadır.

Son olarak, denizcilik sektörünün yalnızca ekonomik değil, aynı zamanda jeopolitik ve stratejik bir öneme sahip olması da onu devlet destekli tehdit aktörleri için cazip hale getirmektedir.

Enerji taşımacılığı yapan tankerler, LNG terminalleri, askeri lojistik limanları, denizaltı haberleşme kabloları ve stratejik boğazlardan geçen ticaret yolları, ulusal güvenlik açısından kritik altyapılar olarak değerlendirilmektedir.

Bu nedenle denizcilik sektörüne yönelik siber saldırılar yalnızca finansal kazanç amacıyla değil, istihbarat toplama, sabotaj, ekonomik baskı oluşturma veya hibrit savaş stratejilerinin bir parçası olarak da gerçekleştirilebilmektedir.

Uluslararası denizcilik kuruluşları da bu risklere dikkat çekmektedir.

BIMCO (Baltic and International Maritime Council), gemilerde bilgi teknolojileri ile operasyonel teknolojilerin giderek daha fazla bütünleştiğini, gemi-kıyı arasındaki sürekli veri alışverişinin bağlantılı sistem sayısını artırdığını ve buna bağlı olarak saldırı yüzeyinin önemli ölçüde genişlediğini vurgulamaktadır.

Benzer şekilde Uluslararası Denizcilik Örgütü (IMO-International Maritime Organization) da siber risk yönetiminin artık gemi emniyeti ve güvenliğinin ayrılmaz bir unsuru olduğunu kabul ederek, şirketlerin siber riskleri emniyet yönetim sistemlerinin (Safety Management System - SMS) bir parçası olarak ele almasını tavsiye etmektedir.

Bu gelişmeler, denizcilik sektöründe siber güvenliğin artık yalnızca BT departmanlarının sorumluluğu değil; Operasyon, mühendislik, emniyet ve üst yönetimin birlikte ele alması gereken stratejik bir konu haline geldiğini açıkça göstermektedir.

En Büyük Tehditler

GPS Spoofing

GPS Spoofing, saldırganın gerçek GPS (Global Positioning System) uydu sinyallerini taklit eden sahte sinyaller üretmesi ve geminin navigasyon sistemlerini bu sahte sinyalleri gerçekmiş gibi kabul etmeye yönlendirmesi yöntemidir. GPS alıcısı, en güçlü ve en tutarlı sinyali doğru kabul ettiğinden, yeterince güçlü bir sahte sinyal gerçek uydu sinyalinin önüne geçebilir.

Bunun sonucunda gemi, bulunduğu gerçek konum yerine saldırganın belirlediği sahte koordinatlarda olduğunu hesaplamaya başlar.

Bu tür bir saldırı, geminin elektronik seyir haritalarında ECDIS (Electronic Chart Display and Information System) yanlış konumda görünmesine, AIS (Automatic Identification System) üzerinden hatalı konum bilgisi yayınlamasına ve otopilot sisteminin yanlış rota takip etmesine neden olabilir.

Özellikle dar boğazlar, yoğun trafik bölgeleri veya liman yaklaşmaları sırasında GPS spoofing; Çarpışma, karaya oturma (grounding), yanlış manevra ve operasyonel gecikme risklerini önemli ölçüde artırabilir.

GPS spoofing saldırıları yalnızca ticari gemiler için değil; askeri gemiler, açık deniz platformları ve otonom deniz araçları açısından da ciddi bir tehdit oluşturmaktadır.

Son yıllarda Karadeniz, Doğu Akdeniz ve Basra Körfezi gibi bölgelerde raporlanan çok sayıda GPS spoofing olayı, bu yöntemin artık teorik bir risk olmaktan çıkıp gerçek operasyonları etkileyebilen bir tehdit haline geldiğini göstermektedir.

Bu nedenle modern denizcilikte GPS verileri tek başına mutlak doğru kabul edilmemekte; Radar, AIS, Ataletsel navigasyon sistemleri (INS), görsel seyir yöntemleri ve farklı GNSS (Global Navigation Satellite System) takımyıldızlarından elde edilen bilgilerle doğrulanarak güvenli seyir sağlanmaya çalışılmaktadır.

AIS Manipülasyonu

AIS (Automatic Identification System), gemilerin kimlik, konum, hız, rota ve diğer seyir bilgilerinin çevredeki gemiler ve kıyı istasyonlarıyla otomatik olarak paylaşılmasını sağlayan kritik bir denizcilik haberleşme sistemidir.

Çarpışmaların önlenmesi, trafik yönetimi, arama-kurtarma faaliyetleri ve deniz güvenliği açısından büyük önem taşır.

AIS manipülasyonu, saldırganların veya kötü niyetli aktörlerin bu sistem üzerinden yayımlanan bilgileri kasıtlı olarak değiştirmesi, yanıltıcı veriler üretmesi veya yayınları gizlemesi anlamına gelir. Bu amaçla AIS mesajları sahte olarak üretilebilir, mevcut veriler değiştirilebilir veya sistem tamamen devre dışı bırakılabilir.

Böyle bir manipülasyon sonucunda hayalet gemiler (ghost ships) oluşturulabilir; gerçekte bulunmayan gemiler AIS ekranlarında görünerek deniz trafiği yanıltılabilir. Aynı şekilde bir geminin MMSI (Maritime Mobile Service Identity) numarası, IMO (International Maritime Organization) numarası, adı veya çağrı işareti değiştirilerek farklı bir gemi gibi görünmesi sağlanabilir. Bunun yanında geminin gerçek rotası ve konumu gizlenebilir veya sahte koordinatlar yayınlanarak elektronik seyir sistemlerinde yanlış bir trafik resmi oluşturulabilir.

AIS manipülasyonu yalnızca navigasyon güvenliğini tehdit etmekle kalmaz. Yaptırımlardan kaçınma, yasa dışı petrol taşımacılığı, kaçakçılık, sigorta dolandırıcılığı, yasa dışı balıkçılık ve askeri veya istihbarat amaçlı faaliyetlerde de kullanılabilmektedir.

Özellikle son yıllarda “Shadow Fleet (Gölge Filo)” olarak adlandırılan bazı tankerlerin AIS yayınlarını kapatmaları, farklı kimlikler kullanmaları veya konum bilgilerini değiştirmeleri, bu yöntemin gerçek operasyonlarda nasıl kullanıldığını göstermektedir.

Bu nedenle günümüzde denizcilik otoriteleri ve liman işletmeleri, AIS verilerini tek başına güvenilir kabul etmemekte, radar sistemleri, uydu görüntüleri, Sentetik Açıklıklı Radar (SAR), optik uydular ve yapay zeka destekli davranış analizleri ile çapraz doğrulama yaparak şüpheli gemi hareketlerini tespit etmeye çalışmaktadır.

Ransomware

Fidye yazılımları (Ransomware), günümüzde denizcilik sektörünü hedef alan en yaygın ve en yıkıcı siber tehditlerden biri haline gelmiştir. Bu saldırılar çoğu zaman kimlik avı (phishing) e-postaları, güvenliği zayıf uzaktan erişim servisleri, tedarik zinciri zafiyetleri veya ele geçirilmiş kullanıcı hesapları üzerinden şirket ağlarına sızarak başlar.

Saldırganlar, ağ içerisinde yatay hareket (lateral movement) gerçekleştirerek kritik sunuculara, dosya sistemlerine ve operasyonel uygulamalara erişim sağlamaya çalışır. Son aşamada ise veriler şifrelenir ve çoğu zaman hassas bilgiler çalınarak fidye talebinde bulunulur (çifte şantaj - double extortion).

Denizcilik sektöründe fidye yazılımlarının etkisi, yalnızca kurumsal bilgi sistemleriyle sınırlı değildir. Liman operasyonlarının büyük bölümü Terminal Operating System (TOS), konteyner yönetim yazılımları, rıhtım planlama sistemleri, gümrük entegrasyonları ve lojistik platformları üzerinden dijital olarak yürütülmektedir.

Bu sistemlerin devre dışı kalması, fiziksel ekipmanlar çalışabilir durumda olsa bile operasyonların önemli ölçüde yavaşlamasına veya tamamen durmasına neden olabilir.

Bir fidye yazılımı saldırısının liman ve denizcilik operasyonları üzerindeki olası etkilerini analiz ettiğimizde ortaya çıkan potansiyel zafiyetleri ve tehditleri şu şekilde sıralayabiliriz.

• Konteyner yükleme ve boşaltma operasyonlarının durması,

• Terminal Operating System (TOS) ve liman planlama yazılımlarının kullanılamaz hale gelmesi,

• Gemi yanaşma ve ayrılma planlarının aksaması,

• Gümrük işlemleri ve dijital evrak yönetim süreçlerinin kesintiye uğraması,

• Depolama, envanter ve yük takip sistemlerinin çalışmaması,

• Kamyon, demiryolu ve lojistik bağlantılarında gecikmeler yaşanması,

• Tedarik zincirinde zincirleme operasyonel aksaklıklar ve ciddi ekonomik kayıpların oluşması.

Denizcilik sektörü açısından fidye yazılımı saldırılarının en önemli özelliği, tek bir şirketi değil, birbirine bağlı tüm lojistik ekosistemini etkileyebilmesidir. Bir limanın veya büyük bir denizcilik şirketinin faaliyetlerinin durması; ithalatçılar, ihracatçılar, taşıyıcılar, lojistik firmaları ve üretim tesisleri üzerinde domino etkisi yaratabilir.

OT Saldırıları

Maritime Cyber Security açısından en kritik tehditlerden biri, gemilerin operasyonel süreçlerini yöneten Operasyonel Teknoloji (Operational Technology - OT) sistemlerine yönelik siber saldırılardır.

Kurumsal BT sistemlerinden farklı olarak OT sistemleri doğrudan fiziksel ekipmanları kontrol eder. Bu nedenle OT ortamında meydana gelen bir siber olay yalnızca veri kaybına değil, geminin güvenli işletilmesini, mürettebatın emniyetini ve çevresel güvenliği etkileyebilecek fiziksel sonuçlara yol açabilir.

Modern ticaret gemilerinde ana makine kontrol sistemleri, güç üretim ve dağıtım sistemleri, balast suyu yönetimi, yük yönetimi (Cargo Management System), yakıt transferi, sintine pompaları, HVAC, yangın algılama ve söndürme sistemleri ile çeşitli otomasyon süreçleri PLC’ler (Programmable Logic Controllers), SCADA sistemleri, dağıtık kontrol sistemleri (DCS) ve HMI arayüzleri tarafından yönetilmektedir.

Bu sistemlerin büyük bölümü, operasyonel verimliliği artırmak amacıyla şirket merkezleriyle, uzaktan bakım altyapılarıyla ve diğer bilgi sistemleriyle bağlantılı çalışmaktadır. Ancak bu entegrasyon, saldırı yüzeyini de önemli ölçüde genişletmektedir.

Bir saldırganın OT ağına erişim sağlaması durumunda, yalnızca dijital sistemleri değil fiziksel süreçleri de manipüle etmesi mümkündür.

Örneğin motor kontrol sistemlerinin çalışma parametreleri değiştirilebilir, jeneratörlerin senkronizasyonu bozulabilir, balast tanklarındaki su seviyeleri yanlış yönetilebilir veya yük transfer süreçleri kesintiye uğratılabilir.

Güç yönetim sistemlerine yönelik bir saldırı gemide elektrik kesintisine neden olabilirken, balast sistemlerinin manipüle edilmesi geminin dengesini ve stabilitesini olumsuz etkileyebilir. Benzer şekilde yük yönetim sistemlerinin hedef alınması, özellikle petrol tankerleri, LNG taşıyıcıları ve kimyasal tankerlerde ciddi operasyonel ve çevresel riskler doğurabilir.

OT sistemlerine yönelik saldırıların en önemli özelliği, etkilerinin yalnızca siber ortamla sınırlı kalmamasıdır. Başarılı bir saldırı, geminin manevra kabiliyetini azaltabilir, limana yanaşmasını engelleyebilir, yük operasyonlarını durdurabilir, çevresel kirliliğe neden olabilir ve en önemlisi insan hayatını tehlikeye atabilir.

Bu nedenle OT güvenliği, Maritime Cyber Security’nin yalnızca bir alt başlığı değil, en kritik bileşenlerinden biri olarak kabul edilmektedir.

Denizcilik sektöründe OT sistemlerinin korunması, ağ segmentasyonu, güvenli uzaktan erişim, varlık envanteri, güvenlik izleme, düzenli zafiyet değerlendirmeleri, PLC programlarının bütünlük kontrolü ve IEC 62443 gibi endüstriyel siber güvenlik standartlarına uygun güvenlik kontrollerinin uygulanmasını gerektirir.

Günümüzde denizcilik sektöründeki en önemli güvenlik anlayışı, IT ve OT güvenliğinin birbirinden bağımsız değil, bütünleşik bir siber dayanıklılık yaklaşımıyla yönetilmesi gerektiğidir.

Vaka Analizi (2025–2026 Dönemi)

Son dönemde yayımlanan sektör analizleri, raporlanan denizcilik siber olaylarının önemli ölçüde arttığını ve özellikle DDoS, fidye yazılımı, GPS spoofing, GNSS karıştırma ve AIS manipülasyonu gibi tehditlerin öne çıktığını göstermektedir.

Ancak bu tür istatistiklerin büyük bölümü özel sektör tehdit istihbaratı raporlarına dayandığından, kaynak ve metodolojileri dikkatle değerlendirilmelidir.

Long Beach Limanı GNSS Anomalisi (2026): Navigasyon Sistemlerine Olan Bağımlılık

2026 yılının Ocak ayında ABD’nin Kaliforniya eyaletindeki Long Beach Limanı’na yaklaşan yedi ticari gemide aynı zaman diliminde olağan dışı GNSS (Global Navigation Satellite System) anomalileri tespit edildi.

Olay sırasında gemilerin elektronik seyir sistemlerinde ciddi konum tutarsızlıkları oluşurken, AIS (Automatic Identification System) kayıtlarında bazı gemilerin gerçek konumlarından kilometrelerce uzakta göründüğü belirlendi. Bazı sistemler ise gemilerin kısa süreliğine 100 knot’ın üzerinde hızla seyir yaptığı izlenimini oluşturdu. Gerçekte ise gemiler normal hızlarında ve rotalarında ilerlemeye devam ediyordu.

İlginç olan nokta, benzer GNSS düzensizliklerinin yalnızca gemilerde değil, aynı bölgede faaliyet gösteren NOAA (National Oceanic and Atmospheric Administration) gözlem istasyonlarında ve bazı hava araçlarının navigasyon sistemlerinde de kaydedilmiş olmasıydı. Bu durum olayın tek bir gemiye özgü olmadığını, daha geniş bir coğrafi alanı etkileyen bir sinyal bozulması yaşandığını ortaya koydu.

Yetkili kurumlar tarafından yapılan değerlendirmelerde olayın en olası nedenlerinden birinin bölgede gerçekleştirilen planlı GPS testleri veya GNSS sinyal girişimleri olabileceği ifade edildi. Herhangi bir kötü niyetli siber saldırı kesin olarak doğrulanmamış olsa da, olay modern denizcilik operasyonlarının uydu tabanlı konumlama sistemlerine ne derece bağımlı olduğunu açık biçimde gösterdi.

Bu vaka, yalnızca GPS spoofing veya GNSS jamming gibi tehditlerin teorik riskler olmadığını, tek bir sinyal bozulmasının dahi elektronik haritalama sistemleri (ECDIS), otomatik tanımlama sistemi (AIS), rota planlama ve çarpışma önleme süreçlerini doğrudan etkileyebileceğini ortaya koymuştur.

Özellikle gelecekte yaygınlaşması beklenen otonom gemiler açısından GNSS (Global Navigation Satellite System) güvenliği, denizcilik sektörünün en kritik siber güvenlik konularından biri olmaya devam edecektir.

Shadow Fleet ve AIS Manipülasyonu (2025–2026): Dijital Kimliklerin Gizlendiği Denizler

Rusya’ya yönelik uluslararası yaptırımların ardından “Shadow Fleet” veya “Gölge Filo” olarak adlandırılan yüzlerce tanker, küresel denizcilik güvenliği açısından önemli bir tartışma konusu haline gelmiştir.

Bu gemiler genellikle yaptırımları aşmak, gerçek sahipliklerini gizlemek veya yasaklı yük taşımacılığı yapmak amacıyla farklı yöntemler kullanmaktadır.

2025 ve 2026 yıllarında Tayvan başta olmak üzere çeşitli ülkelerin yürüttüğü soruşturmalar, bazı gölge filo gemilerinin AIS (Automatic Identification System) sistemlerini bilinçli olarak manipüle ettiğini ortaya koydu.

Yapılan analizlerde aynı geminin farklı zamanlarda birden fazla Maritime Mobile Service Identity (MMSI) kullandığı, farklı IMO (International Maritime Organization) numaralarıyla yayın yaptığı veya AIS yayınlarını tamamen kapattığı belirlendi.

Bazı durumlarda ise gemiler oldukları yerden yüzlerce deniz mili uzakta görünerek dijital izlerini kasıtlı olarak değiştirdi.

Bu teknikler klasik anlamda bir zararlı yazılım saldırısı olmasa da, denizcilikte kullanılan en kritik güvenlik sistemlerinden biri olan AIS’in kötüye kullanılmasının operasyonel ve güvenlik açısından ne kadar ciddi sonuçlar doğurabileceğini göstermektedir.

Sahte AIS verileri yalnızca yaptırımların delinmesine değil, kaçak petrol taşımacılığına, yasa dışı yük transferlerine, sigorta dolandırıcılığına ve deniz güvenliği risklerine de zemin hazırlamaktadır.

Bu nedenle günümüzde birçok ülke, AIS verilerini uydu görüntüleri, radar sistemleri, sentetik açıklıklı radar (SAR) ve yapay zeka destekli davranış analizleriyle birlikte değerlendirerek şüpheli gemileri tespit etmeye çalışmaktadır.

Adriatic Port Authority Ransomware Saldırısı (2026): Kritik Liman Altyapıları Hedefte

2026 yılında Avrupa’nın Adriyatik bölgesindeki önemli liman otoritelerinden biri, Anubis fidye yazılımı grubu tarafından gerçekleştirilen bir saldırının hedefi oldu. Saldırı sonucunda limanın kurumsal bilgi sistemleri ile bazı operasyonel yönetim uygulamaları ciddi şekilde etkilendi.

Liman operasyonlarını destekleyen lojistik planlama sistemleri, belge yönetimi uygulamaları ve yük hareketlerini takip eden dijital platformlarda kesintiler yaşandı. Konteyner hareketlerinin planlanmasında gecikmeler meydana gelirken, bazı operasyonların manuel süreçlerle yürütülmesi gerekti. Bunun sonucunda yük kabulü, sevkiyat planlaması ve evrak işlemleri yavaşladı; liman hizmetlerinde zincirleme gecikmeler oluştu.

Her ne kadar limandaki fiziksel ekipmanların tamamının doğrudan etkilendiğine dair resmi bir doğrulama bulunmasa da, bu olay limanların yalnızca vinçlerden ve konteyner sahalarından ibaret olmadığını, dijital altyapıların operasyonların ayrılmaz bir parçası haline geldiğini açıkça göstermektedir.

Günümüzde bir limanın bilgi sistemlerinin devre dışı kalması, fiziksel ekipmanlar çalışmaya devam etse bile operasyonların büyük ölçüde yavaşlamasına neden olabilmektedir.

Bu saldırı, kritik liman altyapılarının fidye yazılımı grupları için yüksek ekonomik değere sahip hedefler arasında yer aldığını bir kez daha ortaya koymuştur.

Shipping Association of New York & New Jersey (2026): Liman Ekosistemine Yönelik Veri Odaklı Saldırılar

Haziran 2026’da Qilin fidye yazılımı grubu, Amerika Birleşik Devletleri’nin en yoğun ticaret merkezlerinden biri olan New York ve New Jersey Limanı’nın faaliyetlerini destekleyen Shipping Association of New York & New Jersey’i hedef aldığını duyurdu.

Saldırgan grup, kuruma ait çeşitli belgeleri ele geçirdiğini iddia ederek bunların bir bölümünü karanlık ağ üzerindeki veri sızıntısı platformlarında yayımladı. Olay sonrasında kurum kapsamlı bir inceleme başlatırken, olayın liman operasyonları üzerindeki gerçek etkisini belirlemek amacıyla dijital adli analiz çalışmaları yürütüldü.

Bu olayın en dikkat çekici yönü, saldırının doğrudan gemi navigasyon sistemlerini veya liman otomasyonunu hedef almamasıdır. Bunun yerine liman ekosisteminin idari ve operasyonel koordinasyonunu sağlayan bir kuruluş hedef alınmıştır.

Modern denizcilik operasyonlarında gemiler, terminal işletmecileri, liman otoriteleri, acenteler, lojistik firmaları ve gümrük sistemleri sürekli veri paylaşımı içerisinde çalışmaktadır. Bu yapılardan herhangi birinin siber saldırıya uğraması, doğrudan fiziksel sistemler etkilenmese bile tüm operasyonel sürecin aksamasına neden olabilmektedir.

Bu vaka, denizcilik sektöründe siber güvenliğin yalnızca gemilerin veya liman otomasyon sistemlerinin korunmasından ibaret olmadığını; tedarik zincirinde yer alan tüm paydaşların ortak bir siber dayanıklılık anlayışıyla hareket etmesi gerektiğini göstermektedir.

Bu dört vakanın ortak mesajı

Bu olaylar farklı teknik yöntemler içerse de ortak bir gerçeği ortaya koymaktadır: Denizcilik sektöründeki siber risk artık yalnızca “bilgisayar korsanlarının şirket ağlarına girmesi” meselesi değildir.

GNSS ve AIS gibi navigasyon sistemlerinden liman bilgi sistemlerine, OT altyapılarından lojistik koordinasyon platformlarına kadar geniş bir saldırı yüzeyi oluşmuştur.

Bu nedenle Maritime Cyber Security; IT, OT, uydu haberleşmesi, tedarik zinciri güvenliği ve tehdit istihbaratını birlikte ele alan çok katmanlı bir güvenlik yaklaşımı gerektirmektedir.

Özellikle yapay zeka destekli saldırı tekniklerinin ve otonom denizcilik teknolojilerinin yaygınlaşmasıyla birlikte, bu alanın önümüzdeki yıllarda kritik altyapı güvenliğinin en önemli çalışma başlıklarından biri olmaya devam edeceği öngörülmektedir.

Sonuç

Denizcilik sektörü, küresel ticaretin en önemli taşıyıcısı olmasının yanında, giderek daha fazla dijital sistemlere, uydu haberleşmesine ve operasyonel teknolojilere bağımlı hale gelmektedir.

Bu dönüşüm; verimlilik, hız ve otomasyon sağlarken, gemilerden limanlara, navigasyon sistemlerinden lojistik platformlarına kadar geniş bir siber saldırı yüzeyi oluşturmaktadır.

GPS/GNSS bozma ve aldatma girişimleri, AIS manipülasyonu, fidye yazılımları ve OT sistemlerine yönelik saldırılar, siber olayların artık yalnızca veri kaybıyla sınırlı olmadığını, seyir emniyetini, insan hayatını, çevresel güvenliği ve küresel tedarik zincirini doğrudan etkileyebileceğini göstermektedir.

Bu nedenle Maritime Cyber Security, yalnızca BT ekiplerinin sorumluluğunda olan teknik bir konu olarak görülmemelidir.

IT ve OT güvenliği, insan faktörü, tedarik zinciri, uzaktan erişim, tehdit istihbaratı ve iş sürekliliği birlikte ele alınmalıdır.

Denizcilik sektörünün gelecekteki güvenliği, saldırıları tamamen önlemekten çok, tehditleri erken tespit edebilen, etkilerini sınırlandırabilen ve operasyonlarını hızla sürdürebilen siber dayanıklı yapılar oluşturmasına bağlı olacaktır.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional, CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner.

Kaynakça

1. International Maritime Organization (IMO). (2021). Guidelines on Maritime Cyber Risk Management (MSC-FAL.1/Circ.3). London: IMO.

2. International Maritime Organization (IMO). (2017). Resolution MSC.428(98): Maritime Cyber Risk Management in Safety Management Systems. London: IMO.

3. BIMCO, CLIA, ICS, INTERCARGO, INTERTANKO & OCIMF. (2024). The Guidelines on Cyber Security Onboard Ships (Version 5). Copenhagen: BIMCO.

4. Cybersecurity and Infrastructure Security Agency (CISA). Maritime Transportation System Cybersecurity Resources.

5. The Record by Recorded Future. (2026). Coverage of Qilin Ransomware and Shipping Association of New York & New Jersey Incident.

6. United States Coast Guard Navigation Center. (2026). GNSS Interference and Navigation Safety Advisories.

Why Has the World’s Most Critical Trade Infrastructure Become the New Target of Cyber Attacks?

For centuries, the world’s oceans have been among the most strategic domains, shaping nations’ economic power, trade routes, and military superiority. That reality has not changed today.

With approximately 80% of global trade transported by sea, ports, container terminals, tanker fleets, and offshore energy platforms form the invisible backbone of the global economy.

Over the past two decades, however, the maritime industry has evolved far beyond a sector driven solely by mechanical and physical systems.

Modern vessels have become floating data centers, equipped with hundreds of sensors, satellite communication systems, cloud-based fleet management platforms, automated voyage planning software, and sophisticated Operational Technology (OT) infrastructures.

While this digital transformation has significantly improved operational efficiency, it has also introduced an entirely new category of risk one that is now recognized as Maritime Cyber Security.

As we all know, the objective of a cyber attack is no longer limited to stealing corporate data.

Today, a threat actor can alter a vessel’s course, manipulate Electronic Chart Display and Information System (ECDIS) data, disrupt port crane operations, compromise ballast systems that control a vessel’s stability, trim, and structural load distribution, or even paralyze the global supply chain for days.

In other words, modern cyber attacks no longer target only information systems they have the potential to directly impact physical operations, maritime safety, environmental protection, and the continuity of international trade.

What Is Maritime Cyber Security?

The International Maritime Organization (IMO) defines Maritime Cyber Risk as the risk arising from threats to information and operational technology systems that could compromise the safety, security, or operational continuity of ships and port facilities.

For this reason, effective cyber risk management requires a holistic approach that extends beyond traditional IT systems to include Operational Technology (OT) environments that support critical maritime operations.

Within this context, Maritime Cyber Security can be defined as the discipline dedicated to protecting the entire digital maritime ecosystem—including ships, ports, offshore energy platforms, logistics operators, satellite communication infrastructures, and maritime Operational Technology (OT) systems—from cyber threats while ensuring the resilience, safety, and continuity of maritime operations.

Modern Vessels Are Now Complex Operational Technology (OT) Ecosystems

Many people still think of ships as being composed primarily of mechanical systems. In reality, today’s large commercial vessels operate as highly integrated Operational Technology (OT) environments, containing dozens of mission-critical digital control systems.

Some of the most important systems include:

• Electronic Chart Display and Information System (ECDIS)

• Automatic Identification System (AIS)

• Global Positioning System (GPS) / Global Navigation Satellite System (GNSS)

• Radar

• Dynamic Positioning (DP)

• Global Maritime Distress and Safety System (GMDSS)

• Engine Control System

• Ballast Water Management System

• Cargo Management System

• Integrated Bridge System (IBS)

• Power Management System (PMS)

Because many of these systems directly influence a vessel’s navigation, stability, propulsion, and overall operational safety, cyber attacks against them can have consequences that extend far beyond traditional information security incidents. In the maritime domain, a successful cyber attack may lead not only to data compromise but also to physical damage, operational disruption, environmental incidents, and risks to human life.

Why Is the Maritime Industry a Prime Target?

As the maritime sector continues to embrace digital transformation, it has become one of the most attractive targets for cyber attackers seeking to disrupt critical infrastructure.

In the past, ships operated largely as isolated mechanical environments. Today, however, modern commercial vessels, ports, and logistics hubs function as highly interconnected digital ecosystems where Information Technology (IT), Operational Technology (OT), cloud computing, satellite communications, and Internet of Things (IoT) technologies converge.

While this transformation has significantly improved operational efficiency, fuel optimization, predictive maintenance, and fleet management, it has also expanded the cyber attack surface to an unprecedented scale.

One of the primary reasons the maritime industry has become a high-value target is its indispensable role in the global economy. Approximately 80% of global trade by volume is transported by sea, making maritime transportation the backbone of international commerce.

As a result, even a short disruption can have far-reaching consequences. If a major container terminal, international port, or global shipping fleet becomes unable to operate for just a few days, the impact extends well beyond the affected organization. Manufacturers, exporters, importers, logistics providers, retailers, and ultimately consumers can all experience significant economic losses as disruptions cascade throughout the global supply chain.

For cybercriminals and nation-state actors alike, the maritime sector offers a uniquely attractive target: a successful attack has the potential to create operational disruption, financial damage, geopolitical pressure, and widespread supply chain instability on a global scale.

For this reason, cyber attackers deliberately target industries where operational disruption can generate significant financial pressure. By deploying ransomware, they aim to halt critical operations and force organizations to make rapid ransom payments in order to restore business continuity.

Another major factor is the widespread use of legacy Operational Technology (OT) systems throughout the maritime industry.

Many commercial vessels remain in service for 20 to 30 years, with their automation systems, Programmable Logic Controllers (PLCs), navigation equipment, and engine control infrastructures operating for decades without significant modernization.

A substantial number of these systems were designed long before internet connectivity and modern cyber threats became a reality. Consequently, they were not built with cybersecurity in mind and often lack the security controls necessary to withstand today’s evolving threat landscape.

At the same time, replacing or upgrading these systems is rarely straightforward. Modernization often requires a vessel to be taken out of service, resulting in operational downtime and considerable financial cost. As a result, software updates and security patches are frequently postponed, leaving critical systems exposed to known vulnerabilities for extended periods.

The constant connectivity of modern vessels also represents a significant cybersecurity challenge. Today, ships exchange data with their headquarters not only while in port but also when operating in the middle of the ocean through satellite communication systems.

Critical information including voyage plans, engine performance data, fuel consumption, cargo information, maintenance records, and crew communications is transmitted in real time to shore-based operations centers.

While this level of connectivity delivers substantial improvements in operational efficiency, fleet management, and predictive maintenance, it also creates additional entry points and expands the attack surface available to cyber adversaries seeking remote access to critical systems.

The maritime ecosystem’s heavy reliance on third-party suppliers further increases cyber risk.

Shipbuilders, automation vendors, navigation software developers, remote maintenance providers, satellite communication companies, and port automation service providers all play essential roles within the same interconnected digital ecosystem.

As a result, the compromise of just one supplier can become the starting point of a supply chain attack, enabling threat actors to gain indirect access to shipping companies, ports, or other critical maritime organizations through trusted business relationships.

Recent cyber incidents across multiple industries have demonstrated that software update mechanisms and remote maintenance infrastructures can themselves become attack vectors. The maritime sector faces similar risks, particularly as organizations increasingly rely on trusted vendors to maintain and support critical systems remotely.

At the same time, the traditional boundary between Information Technology (IT) and Operational Technology (OT)onboard vessels is rapidly disappearing.

Systems that were once physically isolated are now frequently interconnected to support remote monitoring, maintenance, optimization, configuration management, and advanced data analytics.

For example, data collected from engine control systems may be transmitted to fleet management platforms, cloud-based applications, or AI-driven predictive maintenance solutions.

Although this integration delivers significant operational benefits, it also introduces new cybersecurity challenges. Without robust network segmentation and appropriate security controls, an attack that initially compromises the corporate IT environment could potentially propagate into the vessel’s mission-critical OT systems, where the consequences extend beyond data loss to include operational disruption and physical safety risks.

Beyond technological vulnerabilities, the human factor remains one of the maritime industry’s most significant cybersecurity challenges. Even the most advanced security technologies can be undermined by phishing attacks, social engineering, compromised credentials, or human error, making cybersecurity awareness and continuous training essential components of an effective maritime cyber resilience strategy.

Crew rotation also presents a significant cybersecurity challenge. Seafarers frequently change assignments, crew members often come from different countries with varying levels of cybersecurity awareness, and vessels may remain at sea for months, making regular security training and awareness programs difficult to deliver consistently.

As a result, phishing attacks, the uncontrolled use of removable USB devices, weak password practices, and temporary remote access permissions granted to third-party maintenance providers remain among the most common techniques exploited by cyber adversaries.

Finally, the maritime sector’s importance extends far beyond its economic value. It also plays a vital geopolitical and strategic role, making it an attractive target for nation-state and state-sponsored threat actors.

Oil tankers, LNG terminals, military logistics ports, submarine communication cables, and major international shipping routes passing through strategic maritime chokepoints are widely recognized as critical national infrastructure.

Consequently, cyber attacks against the maritime sector are not conducted solely for financial gain. They may also be intended to support intelligence collection, sabotage, economic coercion, geopolitical influence, or broader hybrid warfare strategies.

Recognizing these evolving threats, international maritime organizations have repeatedly emphasized that cybersecurity is no longer merely an IT concern it has become a fundamental component of maritime safety, operational resilience, and global supply chain security.

BIMCO (Baltic and International Maritime Council) emphasizes that the increasing convergence of Information Technology (IT) and Operational Technology (OT) onboard vessels, together with the continuous exchange of data between ships and shore-based facilities, has significantly expanded the number of interconnected systems and, consequently, the overall cyber attack surface.

Similarly, the International Maritime Organization (IMO) recognizes cyber risk management as an integral component of maritime safety and security. Accordingly, the IMO recommends that shipping companies incorporate cyber risk management into their Safety Management System (SMS) to ensure that cybersecurity is embedded within their overall operational safety framework.

These developments clearly demonstrate that cybersecurity in the maritime industry is no longer solely the responsibility of IT departments. Instead, it has evolved into a strategic business priority that requires close collaboration among operations, engineering, safety, cybersecurity, and executive leadership to protect vessels, ports, and the broader maritime ecosystem against increasingly sophisticated cyber threats.

Major Cyber Threats

GPS Spoofing

GPS spoofing is a cyber attack in which an attacker transmits counterfeit Global Positioning System (GPS) signals that imitate legitimate satellite transmissions, causing a vessel’s navigation systems to accept the fake signals as authentic. Since GPS receivers typically rely on the strongest and most consistent signal available, a sufficiently powerful spoofed signal can override the genuine satellite signal.

As a result, the vessel calculates its position based on false coordinates determined by the attacker rather than its actual location.

Such an attack can cause the vessel to appear at an incorrect position on the Electronic Chart Display and Information System (ECDIS), broadcast inaccurate location data through the Automatic Identification System (AIS), and lead the autopilot to follow an incorrect course.

The consequences can be particularly severe in confined waterways, congested shipping lanes, or during port approaches, where GPS spoofing may significantly increase the risk of collisions, groundings, navigational errors, and operational delays.

Unlike conventional cyber attacks that primarily target data confidentiality, GPS spoofing directly threatens navigational safety and may result in physical damage, environmental incidents, cargo losses, and risks to human life.

GPS spoofing poses a serious threat not only to commercial shipping but also to naval vessels, offshore energy platforms, and autonomous maritime systems.

The growing number of GPS spoofing incidents reported in regions such as the Black Sea, the Eastern Mediterranean, and the Persian Gulf demonstrates that this technique is no longer merely a theoretical concern. It has evolved into a real-world operational threat capable of disrupting navigation and maritime operations.

For this reason, modern maritime navigation no longer relies exclusively on GPS as a single source of truth. Instead, navigational data is validated through multiple independent sources, including radar, the Automatic Identification System (AIS), Inertial Navigation Systems (INS), visual navigation techniques, and alternative Global Navigation Satellite System (GNSS) constellations. This multi-layered approach enhances navigational resilience and helps ensure the safe operation of vessels even when satellite navigation signals are compromised.

AIS Manipulation

The Automatic Identification System (AIS) is a critical maritime communication system that enables vessels to automatically exchange information such as identity, position, speed, course, and navigational status with nearby ships and shore-based stations.

AIS plays a vital role in collision avoidance, vessel traffic management, search and rescue (SAR) operations, and overall maritime safety.

AIS manipulation refers to the deliberate alteration, falsification, or suppression of AIS transmissions by malicious actors. This may involve generating counterfeit AIS messages, modifying legitimate vessel data, or disabling AIS transmissions altogether.

Such manipulation can have serious operational consequences. Attackers may create ghost ships—non-existent vessels that appear on AIS displays and mislead maritime traffic. They may also alter a vessel’s Maritime Mobile Service Identity (MMSI), International Maritime Organization (IMO) number, vessel name, or call sign, causing it to impersonate another ship. Likewise, a vessel’s actual position and voyage can be concealed by broadcasting false coordinates, creating a deceptive maritime traffic picture within electronic navigation systems.

AIS manipulation extends far beyond navigational safety concerns. It has been associated with sanctions evasion, illicit oil transportation, smuggling, insurance fraud, illegal fishing, and military or intelligence operations.

In recent years, the activities of certain tanker fleets commonly referred to as the “Shadow Fleet” have demonstrated how AIS manipulation can be exploited in real-world operations. Some vessels have intentionally disabled AIS transmissions, assumed false identities, or broadcast misleading location data in an effort to conceal their activities and circumvent international monitoring.

As a result, maritime authorities and port operators no longer regard AIS data as a standalone trusted source. Instead, AIS information is routinely cross-validated using radar systems, satellite imagery, Synthetic Aperture Radar (SAR), optical satellite observations, and AI-powered behavioral analytics to detect anomalous vessel movements and identify potentially deceptive maritime activities.

Ransomware

Ransomware has become one of the most widespread and destructive cyber threats facing the maritime industry. These attacks typically begin with phishing emails, insecure remote access services, supply chain compromises, or compromised user credentials that provide attackers with an initial foothold inside a corporate network.

Once inside, threat actors perform lateral movement to gain access to critical servers, file systems, and operational applications. In the final stage of the attack, data is encrypted and, in many cases, sensitive information is exfiltrated before the attackers demand payment—a tactic commonly known as double extortion.

In the maritime sector, the impact of ransomware extends far beyond traditional corporate IT systems. Modern port operations rely heavily on Terminal Operating Systems (TOS), container management platforms, berth planning applications, customs integration systems, and digital logistics platforms to coordinate daily activities.

Consequently, even if cranes, vehicles, and other physical equipment remain fully operational, the loss of these digital systems can significantly slow down or completely halt port operations.

The potential consequences of a ransomware attack on ports and maritime operations include:

• Suspension of container loading and unloading operations.

• Loss of availability of the Terminal Operating System (TOS) and port planning applications.

• Disruption of vessel berthing and departure schedules.

• Interruption of customs processing and digital documentation workflows.

• Failure of warehousing, inventory management, and cargo tracking systems.

• Delays affecting trucking, rail transportation, and multimodal logistics operations.

• Cascading supply chain disruptions resulting in significant financial and operational losses.

One of the most critical characteristics of ransomware attacks in the maritime sector is that their impact rarely remains confined to a single organization. Because ports, shipping companies, logistics providers, customs authorities, freight forwarders, and manufacturers operate within a highly interconnected ecosystem, the disruption of a major port or shipping operator can trigger a domino effect across the global supply chain, affecting importers, exporters, carriers, logistics companies, manufacturing facilities, and ultimately consumers worldwide.

Operational Technology (OT) Attacks

One of the most critical threats in Maritime Cyber Security is cyber attacks targeting Operational Technology (OT)systems that control a vessel’s essential operational processes.

Unlike traditional Information Technology (IT) systems, OT systems directly control physical equipment and industrial processes. Consequently, a cyber incident affecting an OT environment can result not only in data loss but also in physical consequences that may compromise vessel operations, crew safety, and environmental protection.

On modern commercial vessels, critical functions such as main engine control, power generation and distribution, ballast water management, Cargo Management Systems (CMS), fuel transfer, bilge pumping, HVAC, fire detection and suppression systems, and numerous automation processes are managed by Programmable Logic Controllers (PLCs), Supervisory Control and Data Acquisition (SCADA) systems, Distributed Control Systems (DCS), and Human-Machine Interface (HMI) platforms.

To improve operational efficiency, many of these systems are now connected to shore-based headquarters, remote maintenance infrastructures, and enterprise information systems. While this integration delivers significant operational benefits, it also considerably expands the cyber attack surface.

If an attacker gains access to a vessel’s OT network, the consequences can extend far beyond digital systems. Physical processes themselves may be manipulated.

For example, attackers could modify engine operating parameters, disrupt generator synchronization, alter ballast tank water levels, interfere with cargo transfer operations, or manipulate other mission-critical control systems.

A cyber attack against the Power Management System (PMS) could trigger a vessel-wide blackout, while manipulation of ballast management systems could compromise the vessel’s stability and seaworthiness. Likewise, attacks targeting cargo management systems may create severe operational, safety, and environmental risks—particularly aboard oil tankers, LNG carriers, and chemical tankers transporting hazardous cargo.

The defining characteristic of OT cyber attacks is that their consequences are not confined to cyberspace. A successful compromise may reduce a vessel’s maneuverability, prevent safe port entry or departure, interrupt cargo operations, cause environmental pollution, damage critical equipment, and, most importantly, place human lives at risk.

For this reason, OT security is not merely a subsection of Maritime Cyber Security—it is widely recognized as one of its most critical pillars.

Protecting maritime OT environments requires a comprehensive, defense-in-depth strategy that includes network segmentation, secure remote access, asset inventory and visibility, continuous security monitoring, regular vulnerability assessments, PLC program integrity verification, and the implementation of security controls aligned with internationally recognized industrial cybersecurity standards such as IEC 62443.

Today, one of the fundamental principles of maritime cybersecurity is that IT and OT security can no longer be managed independently. Instead, organizations must adopt an integrated cyber resilience approach that protects both information systems and operational technologies as a unified security ecosystem.

Case Study (2025–2026)

Recent industry reports indicate a significant increase in publicly reported maritime cyber incidents, with Distributed Denial-of-Service (DDoS) attacks, ransomware, GPS spoofing, GNSS jamming, and AIS manipulation emerging as some of the most prominent threats.

However, it is important to note that much of the available statistical data originates from private-sector cyber threat intelligence reports. As such, the scope, methodology, and data sources behind these analyses should always be evaluated carefully before drawing broad conclusions.

Port of Long Beach GNSS Anomaly (2026): A Reminder of Maritime Dependence on Satellite Navigation

In January 2026, seven commercial vessels approaching the Port of Long Beach, California, experienced unusual Global Navigation Satellite System (GNSS) anomalies during the same time period.

During the incident, the vessels’ electronic navigation systems displayed significant positioning inconsistencies. Automatic Identification System (AIS) records indicated that some ships appeared several kilometers away from their actual locations, while certain navigation systems briefly suggested that the vessels were traveling at speeds exceeding 100 knots. In reality, all vessels continued navigating normally along their intended routes and at their actual speeds.

What made the incident particularly noteworthy was that similar GNSS irregularities were observed not only aboard the affected vessels but also at nearby National Oceanic and Atmospheric Administration (NOAA) monitoring stations and within the navigation systems of certain aircraft operating in the area. This strongly suggested that the anomaly was not limited to a single vessel but affected a much broader geographical region.

Following the event, authorities indicated that one of the most likely explanations was planned GPS testing or GNSS signal interference conducted in the region. Although no malicious cyber attack was conclusively confirmed, the incident clearly demonstrated the maritime industry’s heavy reliance on satellite-based positioning technologies.

This case illustrates that threats such as GPS spoofing and GNSS jamming are no longer merely theoretical concerns. Even a temporary disruption of satellite navigation signals can directly affect Electronic Chart Display and Information Systems (ECDIS), Automatic Identification Systems (AIS), voyage planning, and collision avoidance processes.

As the maritime industry moves toward increasingly autonomous and digitally connected vessels, ensuring the resilience and integrity of GNSS-based navigation will remain one of the most critical cybersecurity priorities for the future of global shipping.

Shadow Fleet and AIS Manipulation (2025–2026): Concealing Digital Identities at Sea

Following the international sanctions imposed on Russia, hundreds of tankers collectively referred to as the “Shadow Fleet” have become a major concern for the global maritime community and maritime security authorities.

These vessels are widely believed to employ a variety of techniques to circumvent sanctions, obscure their true ownership, and facilitate the transportation of sanctioned cargo.

During 2025 and 2026, investigations conducted by several countries—including Taiwan—revealed that certain shadow fleet vessels had deliberately manipulated their Automatic Identification System (AIS) transmissions.

Investigators identified cases in which the same vessel transmitted under multiple Maritime Mobile Service Identity (MMSI) numbers, broadcast different International Maritime Organization (IMO) identification numbers, or deliberately disabled AIS transmissions altogether.

In some instances, vessels appeared hundreds of nautical miles away from their actual locations, intentionally altering their digital footprints to evade detection and monitoring.

Although these activities do not necessarily involve conventional malware or direct cyber intrusions, they clearly demonstrate how one of the maritime industry’s most critical safety and tracking systems can be deliberately abused, creating significant operational, regulatory, and security challenges.

Manipulated AIS data not only facilitates sanctions evasion but may also support illegal oil transportation, unauthorized ship-to-ship cargo transfers, insurance fraud, illicit maritime trade, and broader maritime security risks.

As a result, maritime authorities increasingly avoid relying solely on AIS information. Instead, they combine AIS data with satellite imagery, radar surveillance, Synthetic Aperture Radar (SAR) observations, and AI-powered behavioral analytics to identify suspicious vessel activities, detect deceptive navigation patterns, and improve maritime domain awareness.

Adriatic Port Authority Ransomware Attack (2026): Critical Port Infrastructure Under Threat

In 2026, one of the major port authorities in the Adriatic region of Europe became the target of a ransomware attack attributed to the Anubis ransomware group. The incident significantly disrupted the port’s corporate information systems and several operational management applications.

Logistics planning systems, document management platforms, and digital applications used to monitor cargo movements experienced substantial service interruptions. Delays were reported in container planning and scheduling, while some port activities had to be carried out manually. As a result, cargo acceptance, shipment planning, and documentation processes slowed considerably, creating cascading delays across port operations.

Although there has been no official confirmation that all physical port equipment was directly affected, the incident clearly demonstrated that modern ports are far more than collections of cranes and container yards. Their digital infrastructure has become an essential component of daily operations.

Today, the unavailability of critical information systems can significantly impair port operations, even when physical equipment remains fully functional. Without access to logistics platforms, planning systems, and digital workflows, operational efficiency can rapidly deteriorate, leading to congestion, shipment delays, and broader supply chain disruption.

This incident serves as another reminder that critical port infrastructure has become a high-value target for ransomware groups. By disrupting the digital systems that coordinate maritime logistics, attackers can generate substantial economic impact and exert considerable pressure on organizations to restore operations as quickly as possible.

Shipping Association of New York & New Jersey (2026): Data-Centric Attacks on the Port Ecosystem

In June 2026, the Qilin ransomware group claimed responsibility for an attack against the Shipping Association of New York & New Jersey (SANYNJ), an organization that supports operations within one of the busiest maritime trade hubs in the United States.

The threat actors alleged that they had exfiltrated a variety of organizational documents and subsequently published portions of the stolen data on dark web leak sites. Following the incident, the organization launched a comprehensive investigation and initiated digital forensic analyses to determine the scope of the compromise and assess its actual impact on port-related operations.

One of the most significant aspects of this incident is that the attackers did not directly target vessel navigation systems or port automation infrastructure. Instead, they focused on an organization responsible for the administrative coordination and operational support of the broader port ecosystem.

Modern maritime operations depend on the continuous exchange of information among shipping companies, terminal operators, port authorities, shipping agents, logistics providers, and customs organizations. Consequently, a cyber attack against any one of these interconnected stakeholders can disrupt operational workflows, even when no physical systems have been directly compromised.

This case highlights an important reality: Maritime cybersecurity extends far beyond protecting ships and port automation systems. It requires a comprehensive cyber resilience strategy that encompasses every organization participating in the maritime supply chain. Effective security depends on collective resilience, information sharing, and coordinated risk management across the entire maritime ecosystem.

The Common Message Behind These Four Cases

Although these incidents involved different attack techniques and operational scenarios, they all point to the same fundamental reality: cyber risk in the maritime sector is no longer simply about hackers breaching corporate networks.

Today’s maritime threat landscape encompasses a vastly expanded attack surface, ranging from GNSS and AIS navigation systems to port information systems, Operational Technology (OT) environments, and logistics coordination platforms that support global supply chains.

Consequently, Maritime Cyber Security requires a multi-layered and integrated security strategy that brings together Information Technology (IT), Operational Technology (OT), satellite communications, supply chain security, cyber threat intelligence, and continuous operational resilience.

As AI-enabled cyber attacks become increasingly sophisticated and autonomous maritime technologies continue to evolve, maritime cybersecurity is expected to remain one of the most critical focus areas for protecting global critical infrastructure. Organizations that adopt proactive cyber resilience strategies today will be significantly better positioned to safeguard maritime operations, ensure navigational safety, and maintain the uninterrupted flow of international trade in the years ahead.

Conclusion

The maritime industry is not only the backbone of global trade but is also becoming increasingly dependent on digital technologies, satellite communications, and Operational Technology (OT) systems.

While this digital transformation delivers greater efficiency, automation, and operational performance, it also creates an extensive cyber attack surface spanning vessels, ports, navigation systems, logistics platforms, and the broader maritime supply chain.

Threats such as GPS/GNSS jamming and spoofing, AIS manipulation, ransomware, and attacks against OT environments demonstrate that modern cyber incidents are no longer limited to data breaches or information theft. They have the potential to compromise navigational safety, endanger human life, damage the environment, disrupt critical infrastructure, and interrupt the global flow of commerce.

For this reason, Maritime Cyber Security should not be viewed solely as a technical responsibility assigned to IT departments.

An effective cybersecurity strategy must integrate IT and OT security, human factors, supply chain risk management, secure remote access, cyber threat intelligence, and business continuity into a unified cyber resilience framework.

Ultimately, the future of maritime security will not be determined by an organization’s ability to prevent every cyber attack. Rather, it will depend on its capacity to anticipate emerging threats, detect malicious activity at an early stage, minimize operational impact, and rapidly recover while maintaining safe and uninterrupted maritime operations.

In an increasingly connected maritime world, cyber resilience has become as essential to safe navigation as seaworthiness itself.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional, CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner.

References

1. International Maritime Organization (IMO). (2021). Guidelines on Maritime Cyber Risk Management (MSC-FAL.1/Circ.3). London: IMO.

2. International Maritime Organization (IMO). (2017). Resolution MSC.428(98): Maritime Cyber Risk Management in Safety Management Systems. London: IMO.

3. BIMCO, CLIA, ICS, INTERCARGO, INTERTANKO & OCIMF. (2024). The Guidelines on Cyber Security Onboard Ships (Version 5). Copenhagen: BIMCO.

4. Cybersecurity and Infrastructure Security Agency (CISA). Maritime Transportation System Cybersecurity Resources.

5. The Record by Recorded Future. (2026). Coverage of Qilin Ransomware and Shipping Association of New York & New Jersey Incident.

6. United States Coast Guard Navigation Center. (2026). GNSS Interference and Navigation Safety Advisories.

PODCAST Linki

Giriş

Uluslararası güvenlik mimarisini şekillendiren kurumlar arasında bazıları kamuoyunun gözleri önünde faaliyet gösterirken, bazıları ise görünmez olmalarına rağmen küresel dengeler üzerinde çok daha büyük etkiye sahiptir.

Five Eyes (FVEY), yani bir başka ifade ile ‘Beş Göz’ topluluğu, işte bu ikinci gruba giren yapılardan biridir.

Yaklaşık seksen yıldır varlığını sürdüren bu istihbarat ittifakı, yalnızca beş ülkenin bilgi paylaşım mekanizması değil; modern sinyal istihbaratının (SIGINT), elektronik gözetleme faaliyetlerinin, siber tehdit istihbaratının ve son yıllarda yapay zeka destekli analiz yeteneklerinin merkezinde bulunan küresel bir güvenlik ekosistemidir.

Günümüzde birçok kişi Five Eyes’ı yalnızca ABD, Birleşik Krallık, Kanada, Avustralya ve Yeni Zelanda’nın oluşturduğu bir istihbarat paylaşım ağı olarak tanımlamaktadır.

Ancak bu tanım, ittifakın gerçek kapsamını açıklamak için oldukça yetersizdir. Nitekim Five Eyes, milyonlarca kilometrelik denizaltı fiber optik kablolarından dünya yörüngesindeki haberleşme uydularına, küresel internet omurgasından gelişmiş siber tehdit analiz platformlarına kadar uzanan çok katmanlı ve sürekli gelişen bir istihbarat sistemidir.

Bu yapının kökenleri ise Soğuk Savaş yıllarından da önceye, II. Dünya Savaşı’nın en kritik dönemlerine kadar uzanmaktadır.

Bugün yapay zeka destekli tehdit analizleri yapan ve devlet destekli siber operasyonlara ilişkin ortak uyarılar yayımlayan Five Eyes, ilk kurulduğunda yalnızca Alman askeri haberleşmelerini dinleyebilmek amacıyla oluşturulmuş gizli bir iş birliğiydi.

Aradan geçen seksen yıl içerisinde teknoloji değişmiş, tehditler dönüşmüş, savaş alanları dijitalleşmiş ve istihbarat anlayışı kökten evrilmiştir.

Ancak Five Eyes, her dönemde kendisini yeniden uyarlayarak küresel güvenlik mimarisinin en etkili aktörlerinden biri olmayı başarmıştır.

Five Eyes’ın hikayesi yalnızca beş ülkenin ortaklığı değildir. Aynı zamanda modern istihbaratın evrimini, sinyal istihbaratından siber güvenliğe, büyük veri analizinden yapay zeka destekli karar mekanizmalarına uzanan dönüşümünü anlatan önemli bir tarihsel süreçtir.

Modern SIGINT’in Doğuşu

Modern sinyal istihbaratının temelleri, II. Dünya Savaşı sırasında atılmıştır.

Savaşın ilk yıllarında Almanya’nın askeri birlikleri, donanması ve hava kuvvetleri haberleşmelerini Enigma adı verilen elektromekanik şifreleme makinesi ile koruyordu.

Alman komutanlığı, Enigma’nın matematiksel olarak çözülemeyecek kadar karmaşık olduğuna inanıyordu.

Her gün değişen anahtarlar, farklı rotor kombinasyonları ve milyonlarca olası şifreleme düzeni nedeniyle sistem pratik olarak kırılamaz kabul ediliyordu.

Ancak savaşın kaderini değiştirecek gelişme, İngiltere’deki Bletchley Park’ta yaşandı. Matematikçiler, dilbilimciler, satranç ustaları, mühendisler ve kriptanalistler burada dünyanın ilk büyük ölçekli kripto analiz merkezlerinden birini kurdular.

Bu ekibin en tanınmış isimlerinden biri Alan Turing’di. Turing ve çalışma arkadaşları yalnızca Enigma şifrelerini çözmekle kalmadılar, aynı zamanda otomatik şifre çözüm makineleri geliştirerek modern bilgisayar biliminin de temelini attılar.

Enigma’nın çözülmesiyle elde edilen istihbarata “Ultra Intelligence” adı verildi.

Ultra sayesinde Müttefik Devletler, Alman denizaltılarının Atlantik Okyanusu’ndaki hareketlerini önceden tespit edebiliyor, askeri birliklerin sevkiyat planlarını öğrenebiliyor ve birçok stratejik operasyonu daha başlamadan engelleyebiliyordu.

Tarihçiler, savaşın Avrupa cephesinde iki ila dört yıl arasında daha erken sona ermesinde Ultra istihbaratının belirleyici rol oynadığı konusunda büyük ölçüde hemfikirdir.

Bu süreç, modern SIGINT’in yalnızca teknik bir disiplin değil, savaşın sonucunu değiştirebilecek stratejik bir güç olduğunu göstermiştir.

SIGINT Nedir?

SIGINT (Signals Intelligence), elektronik haberleşmelerden ve elektromanyetik sinyallerden elde edilen istihbaratın genel adıdır. Modern istihbarat disiplinleri içerisinde en teknolojik alanlardan biri olan SIGINT, insanların söylediklerinden çok cihazların ürettiği sinyalleri analiz etmeye odaklanır.

SIGINT kendi içerisinde çeşitli alt disiplinlere ayrılır.

COMINT (Communications Intelligence), telefon görüşmeleri, telsiz konuşmaları, internet trafiği ve diğer haberleşme içeriklerinin analizini kapsar.

ELINT (Electronic Intelligence), radar sistemleri, hava savunma ağları ve elektronik yayımlar gibi haberleşme dışındaki elektromanyetik sinyalleri inceler.

FISINT (Foreign Instrumentation Signals Intelligence), füze testleri, uzay sistemleri ve telemetri verilerinden elde edilen yabancı teknik sinyalleri değerlendirir.

MASINT (Measurement and Signature Intelligence) ise nükleer, kimyasal, biyolojik veya fiziksel ölçümlere dayalı özgün teknik izleri analiz eder.

SIGINT, HUMINT’ten, yani insan odaklı istihbarattan farklı olarak insan kaynaklarına bağımlı değildir.

OSINT gibi açık kaynaklara dayanmaz ve IMINT (Imagery Intelligence) ya da GEOINT (Geospatial Intelligence) gibi yalnızca görüntü verilerine odaklanmaz.

Bunun yerine, dijital dünyanın görünmeyen iletişim katmanını analiz ederek devletlerin niyetleri, askeri hazırlıkları, operasyonel planları ve teknik kabiliyetleri hakkında bilgi üretir.

Soğuk Savaş boyunca Sovyet radar sistemlerinin frekanslarının belirlenmesinden günümüzde devlet destekli siber saldırı gruplarının komuta-kontrol trafiğinin analiz edilmesine kadar uzanan geniş bir faaliyet alanı, SIGINT’in kapsamına girmektedir.

BRUSA ve UKUSA Anlaşmaları: Five Eyes’ın Doğuşu

1943 yılında Amerika Birleşik Devletleri ile Birleşik Krallık arasında imzalanan BRUSA Agreement, savaş dönemindeki sinyal istihbaratı paylaşımını resmi hale getiren ilk kapsamlı anlaşmaydı. (BRUSA, Britain–United States of America ifadesinin kısaltmasıdır).

Bu iş birliği sayesinde iki ülke yalnızca elde ettikleri verileri paylaşmıyor, aynı zamanda kripto analiz yöntemlerini, teknik personellerini ve dinleme altyapılarını da ortak kullanıyordu.

Savaş sona erdiğinde ortak tehdit ortadan kalkmış gibi görünse de çok geçmeden yeni bir jeopolitik dönem başladı. Sovyetler Birliği ile Batı dünyası arasındaki ideolojik rekabet, Soğuk Savaş’ı doğurdu.

Bu yeni güvenlik ortamı, geçici savaş ortaklığının kalıcı bir istihbarat ittifakına dönüşmesini zorunlu kıldı.

1946 yılında imzalanan UKUSA Agreement, Five Eyes’ın gerçek kuruluş belgesi olarak kabul edilmektedir. (UKUSA Kelime anlamıyla "Birleşik Krallık–Amerika Birleşik Devletleri Anlaşması" demektir).

Bu anlaşma, Amerika Birleşik Devletleri ile Birleşik Krallık arasında sinyal istihbaratının sistematik biçimde paylaşılmasını öngörüyordu. Daha sonraki yıllarda Kanada, Avustralya ve Yeni Zelanda’nın katılımıyla bugünkü Five Eyes yapısı oluştu.

Anlaşmanın temel amacı yalnızca bilgi paylaşımı değildi.

Dünya coğrafyası beş ülke arasında bölgelere ayrılıyor, her ülke belirli haberleşme ağlarını takip ediyor ve elde edilen bilgiler ortak veri havuzunda birleştiriliyordu. Böylece tek bir ülkenin erişemeyeceği küresel kapsama alanı oluşturulmuş oluyordu.

Five Eyes Kimlerden Oluşur?

Five Eyes, Amerika Birleşik Devletleri, Birleşik Krallık, Kanada, Avustralya ve Yeni Zelanda’dan oluşmaktadır. Bu ülkeler ortak tarih, dil, hukuk sistemi ve askeri iş birliği gibi unsurlar nedeniyle “Anglosphere” olarak adlandırılan güvenlik topluluğunun çekirdeğini oluşturmaktadır.

Amerika Birleşik Devletleri, özellikle NSA-National Security Agency kurumunun sahip olduğu teknik kapasite sayesinde ittifakın en büyük veri işleme ve analiz merkezidir.

Birleşik Krallık’taki GCHQ-Government Communications Headquarters kurumu ise özellikle Avrupa, Orta Doğu ve Afrika’daki haberleşme ağlarının izlenmesinde kritik rol oynar.

Kanada’nın CSE-Communications Security Establishment kurumu Arktik bölgesi ve Kuzey Atlantik’teki faaliyetlere odaklanırken, Avustralya’nın ASD-Australian Signals Directorate kurumu aracılığıyla Hint-Pasifik bölgesindeki elektronik istihbaratın önemli bölümünü yürütmektedir.

Yeni Zelanda’nın GCSB-Government Communications Security Bureau kurumu ise Güney Pasifik’teki haberleşme ağlarının izlenmesinde uzmanlaşmıştır.

Bu iş bölümü sayesinde Five Eyes, dünyanın neredeyse tamamını kapsayan küresel bir dinleme ve analiz ağı oluşturmuştur.

Soğuk Savaş’tan Dijital Çağa Evrim

Soğuk Savaş yıllarında Five Eyes’ın temel görevi Sovyetler Birliği’nin askeri haberleşmesini izlemekti. Radar yayınları, denizaltı iletişimleri, diplomatik mesajlar ve stratejik füze testleri sürekli takip ediliyordu. Bu dönemde geliştirilen birçok elektronik dinleme teknolojisi, günümüz siber gözetleme sistemlerinin temelini oluşturdu.

1980’li yıllarda uydu haberleşmelerinin yaygınlaşmasıyla birlikte dinleme altyapısı da uzaya taşındı. Ardından internetin küresel ölçekte yaygınlaşması, istihbarat anlayışını kökten değiştirdi. Artık yalnızca radyo sinyalleri değil, e-posta trafiği, internet omurgaları, fiber optik kablolar ve veri merkezleri de istihbaratın hedefi haline gelmişti.

Bu dönüşüm, Five Eyes’ın yalnızca askeri istihbarat örgütü olmaktan çıkarak küresel dijital ekosistemin en önemli analiz platformlarından biri haline gelmesini sağladı.

ECHELON’dan Siber Tehdit İstihbaratına

1990’lı yıllarda kamuoyunun dikkatini çeken, Electronic Communications Harvesting and Extraction açılımı ile tanımlanan ECHELON sistemi, Five Eyes’ın küresel elektronik dinleme kapasitesini gözler önüne serdi.

Uydu haberleşmeleri, telefon görüşmeleri, fakslar ve çeşitli veri iletim sistemlerinin belirli anahtar kelimeler üzerinden filtrelenebildiği iddiaları, kitlesel gözetim tartışmalarını da beraberinde getirdi.

2000’li yıllarda ise tehdit ortamı yeniden değişti. Artık klasik askeri rakiplerin yanında devlet destekli siber casusluk grupları, fidye yazılımı operasyonları ve kritik altyapılara yönelik gelişmiş saldırılar öne çıkıyordu.

Five Eyes da bu değişime uyum sağlayarak siber tehdit istihbaratına ağırlık verdi.

Zararlı yazılımlar analiz edilmeye, saldırı altyapıları izlenmeye ve ortak teknik uyarılar yayımlanmaya başlandı.

Günümüzde yayımlanan birçok ortak teknik rapor, zararlı yazılım göstergeleri (IoC-Indicator of Compromise) ve saldırı teknikleri (TTP-Tactics, Techniques, and Procedures) savunma önerileri ve olay müdahale rehberlerini içermektedir.

Yapay Zeka Çağında Five Eyes

Günümüzde karşılaşılan veri miktarı, insan analistlerin tek başına yönetebileceği seviyenin çok üzerindedir.

Bu nedenle Five Eyes, büyük veri analitiği, makine öğrenmesi, davranış analizi ve yapay zeka destekli karar sistemlerini yoğun biçimde kullanmaktadır.

Modern istihbarat artık yalnızca bilgi toplamak değildir. Gerçek değer, milyarlarca veri noktası arasındaki anlamlı ilişkileri ortaya çıkarabilmektedir.

Yapay zeka algoritmaları, farklı kaynaklardan gelen verileri ilişkilendirerek potansiyel tehditleri çok daha erken tespit edebilmekte, saldırı kampanyalarını kümelendirebilmekte ve devlet destekli operasyonların arkasındaki aktörleri belirlemede analistlere önemli destek sağlamaktadır.

Bu nedenle Five Eyes’ın evrimi, yalnızca teknolojik bir dönüşüm değil, istihbaratın üretim biçiminin değişmesidir.

Geleneksel SIGINT yaklaşımı, günümüzde yapay zeka destekli çok kaynaklı istihbarat analizine dönüşmüş durumdadır.

Five Eyes'ın Hukuki ve Etik Boyutu

Five Eyes, uluslararası hukuk kapsamında kurulmuş bağımsız bir kuruluş değil, temelini 1946 tarihli UKUSA Agreement‘tan alan hükümetler arası bir istihbarat paylaşım mekanizmasıdır.

Bu nedenle üyeler arasındaki veri paylaşımı, ortak bir uluslararası yasa yerine her ülkenin kendi ulusal güvenlik mevzuatı ve ikili/multilateral gizli istihbarat anlaşmaları çerçevesinde yürütülmektedir.

Her ülke, kendi hukukuna uygun olarak topladığı yabancı istihbaratı belirli sınıflandırma ve paylaşım kuralları kapsamında diğer Five Eyes üyeleriyle paylaşabilmektedir.

Bununla birlikte bu yapı, yıllardır hukuki ve etik tartışmaların da odağında yer almaktadır.

Özellikle kişisel verilerin korunması, kitlesel gözetim, mahremiyet hakkı ve demokratik denetim konuları, Five Eyes’a yöneltilen başlıca eleştirilerdir.

Etik açıdan değerlendirildiğinde temel tartışma, güvenlik ile bireysel özgürlük arasındaki denge üzerinde yoğunlaşmaktadır. Devletler terörizm, siber casusluk, kritik altyapılara yönelik saldırılar ve yabancı istihbarat faaliyetleriyle mücadele edebilmek için geniş veri toplama yetkilerine ihtiyaç duyduklarını savunurken, mahremiyet savunucuları kitlesel veri toplamanın demokratik toplumlarda bireysel hak ve özgürlükleri zedeleyebileceğini ileri sürmektedir.

2013 yılında Edward Snowden tarafından yayımlanan belgeler, küresel elektronik gözetim faaliyetlerini görünür hale getirerek bu tartışmaları daha da artırmıştır.

Günümüzde ise yapay zeka destekli veri analitiğinin istihbarat süreçlerine entegre edilmesi, tartışmayı yeni bir boyuta taşımaktadır.

Bu bağlamda günümüzde tartışılan konu yalnızca verilerin toplanması değil, farklı ülkelerden elde edilen büyük veri kümelerinin yapay zeka ile analiz edilmesi, ilişkilendirilmesi ve karar destek mekanizmalarında kullanılmasıdır.

Bu nedenle Five Eyes, ulusal güvenlik ile bireysel mahremiyet arasındaki hassas dengeyi en fazla tartışılan uluslararası istihbarat iş birliği modellerinden biri olmaya devam etmektedir.

Sonuç

Five Eyes, II. Dünya Savaşı sırasında Alman haberleşmelerini çözmek amacıyla başlayan teknik bir iş birliğinin, küresel güvenlik mimarisini şekillendiren kalıcı bir istihbarat ittifakına dönüşmesinin en çarpıcı örneklerinden biridir.

Seksen yılı aşkın süre boyunca değişen tehdit ortamına uyum sağlayarak önce Soğuk Savaş’ın elektronik dinleme ağı, ardından internet çağının küresel gözetleme sistemi ve bugün de siber güvenlik ile yapay zeka destekli analiz yeteneklerinin merkezinde yer alan çok boyutlu bir istihbarat ekosistemi haline gelmiştir.

Bugün Five Eyes yalnızca devletlerin haberleşmelerini izleyen bir SIGINT organizasyonu değildir.

Aynı zamanda kritik altyapıların korunması, devlet destekli siber operasyonların tespiti, uluslararası siber tehdit istihbaratı paylaşımı, seçim güvenliği, dezenformasyonla mücadele, uzay tabanlı gözetleme ve yapay zeka destekli karar sistemleri gibi alanlarda da küresel güvenliğin önemli aktörlerinden biridir.

Teknoloji geliştikçe savaş alanları fiziksel coğrafyadan dijital ortama taşınmaktadır.

Bu dönüşüm, istihbarat teşkilatlarını da sürekli yeniden şekillendirmektedir.

Büyük olasılıkla önümüzdeki yıllarda Five Eyes, yalnızca sinyal istihbaratı üreten bir yapı olmaktan çıkarak yapay zeka tarafından desteklenen, gerçek zamanlı analiz yapabilen ve çok alanlı güvenlik operasyonlarını koordine eden küresel bir karar destek ağına dönüşmeye devam edecektir.

Modern istihbaratın geleceği, yalnızca daha fazla veri toplamak değil, toplanan veriyi doğru zamanda, doğru bağlamda ve doğru karar mekanizmalarına dönüştürebilmektir.

Five Eyes’ın tarihsel evrimi de tam olarak bu dönüşümün en belirgin örneklerinden birini oluşturmaktadır.

Bu dönüşümün güncel bir yansıması da Five Eyes siber güvenlik kurumlarının Haziran 2026’da yayımladığı ortak bildiride açıkça görülmektedir.

Bildiride, yapay zekanın yalnızca savunma kabiliyetlerini artıran bir teknoloji olmadığı, aynı zamanda tehdit aktörlerinin güvenlik açıklarını daha hızlı keşfetmesine, saldırıları otomatikleştirmesine ve daha karmaşık siber operasyonlar yürütmesine imkan tanıdığı vurgulanmıştır.

Özellikle enerji, su, ulaşım, sağlık, telekomünikasyon ve üretim sektörlerinde kullanılan Operasyonel Teknoloji (OT) ile Endüstriyel Kontrol Sistemleri (ICS/SCADA) altyapılarının bu yeni tehdit ortamından doğrudan etkileneceğine dikkat çekilmiş, kuruluşların yalnızca geleneksel BT güvenliğine değil, OT ağlarının segmentasyonu, kritik varlık görünürlüğü, güvenli uzaktan erişim, tedarik zinciri güvenliği ve operasyonel dayanıklılık gibi konulara da öncelik vermesi gerektiği ifade edilmiştir.

Öte yandan bu bildiri, yapay zeka çağında kritik altyapıların güvenliğinin ulusal güvenliğin ayrılmaz bir parçası haline geldiğini ve siber dayanıklılığın artık yalnızca bilgi teknolojileri ekiplerinin değil, üst yönetimden operasyon ekiplerine kadar tüm organizasyonun stratejik sorumluluğu olduğunu ortaya koymaktadır.

Bu yaklaşım, yukarıda ifade ettiğim üzere Five Eyes'ın günümüzde yalnızca sinyal istihbaratı paylaşan bir ittifak olmaktan çıkarak, kritik altyapıların ve ulusal siber güvenlik ekosistemlerinin geleceğini şekillendiren küresel bir stratejik aktör haline geldiğinin en güncel göstergelerinden biridir.

Tüm bunlarla birlikte, önümüzdeki yıllarda Five Eyes'ın karşı karşıya kalacağı en önemli sınamalardan biri, gelişmiş istihbarat paylaşımını sürdürürken demokratik denetim, şeffaflık, veri koruma ve temel insan hakları ilkeleriyle uyumlu bir yönetişim modelini nasıl geliştireceği olacaktır.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça:

• National Security Agency (NSA) – UKUSA Agreement (Declassified Documents)

• Government Communications Headquarters (GCHQ) – A Brief History of the UKUSA Agreement

• Australian Signals Directorate (ASD) – Intelligence Partnerships and the History of Five Eyes

• Australian Cyber Security Centre (ACSC) – Five Eyes Cyber Security Agencies Statement (June 2026)

• National Cyber Security Centre (NCSC UK) – The AI Shift in Cyber Risk: Why Leaders Must Act Now

• European Union Agency for Cybersecurity (ENISA) – Threat Landscape Reports

• United Kingdom National Archives – UKUSA Agreement Collection

• Five Eyes Archive – Declassified BRUSA and UKUSA Documents

Introduction

Among the institutions that shape the international security architecture, some operate in full public view, while others remain largely invisible despite exerting a far greater influence on the global balance of power.

The Five Eyes (FVEY) intelligence alliance belongs to the latter category.

For nearly eight decades, this intelligence partnership has represented far more than a mechanism for information sharing among five nations. It has evolved into a global security ecosystem at the heart of modern Signals Intelligence (SIGINT), electronic surveillance, cyber threat intelligence, and, more recently, AI-powered intelligence analysis.

Today, many people describe the Five Eyes simply as an intelligence-sharing alliance comprising the United States, the United Kingdom, Canada, Australia, and New Zealand.

However, this definition falls well short of capturing the alliance’s true scope and strategic significance. In reality, the Five Eyes is a sophisticated, multilayered, and continuously evolving intelligence ecosystem that spans millions of kilometers of submarine fiber-optic cables, communications satellites orbiting the Earth, the global Internet backbone, and advanced cyber threat intelligence and analytics platforms.

The origins of this alliance, however, predate the Cold War, tracing back to some of the most critical stages of the Second World War.

Today, the Five Eyes conducts AI-powered threat analysis and issues joint advisories on state-sponsored cyber operations. Yet, when it was first established, it was nothing more than a highly classified intelligence partnership created to intercept and decrypt German military communications.

Over the past eight decades, technology has advanced, threats have evolved, battlefields have become increasingly digital, and the very nature of intelligence has undergone a profound transformation.

Throughout this period, however, the Five Eyes has continuously adapted to the changing strategic landscape, maintaining its position as one of the world’s most influential pillars of the global security architecture.

The story of the Five Eyes is not merely the story of a partnership between five nations. It is also the story of the evolution of modern intelligence itself from Signals Intelligence (SIGINT) to cybersecurity, from big data analytics to AI-powered intelligence and decision-support systems reflecting one of the most significant transformations in the history of national and international security.

The Birth of Modern SIGINT

The foundations of modern Signals Intelligence (SIGINT) were laid during the Second World War.

In the early years of the war, Germany protected the communications of its armed forces including the Army, Navy, and Luftwaffe using the Enigma, an electromechanical encryption machine.

The German High Command believed that Enigma was mathematically unbreakable. With its daily-changing encryption keys, multiple rotor configurations, and millions of possible cipher permutations, the system was widely regarded as practically impossible to decipher.

The turning point, however, came at Bletchley Park in the United Kingdom. There, mathematicians, linguists, chess champions, engineers, and cryptanalysts established one of the world’s first large-scale cryptanalysis centers.

Among the most renowned members of this extraordinary team was Alan Turing. Together with his colleagues, Turing not only succeeded in breaking the Enigma cipher but also developed automated code-breaking machines that laid the foundations of modern computer science.

The intelligence derived from decrypting Enigma communications became known as Ultra Intelligence.

Ultra provided the Allied powers with an unprecedented strategic advantage. It enabled them to identify the movements of German U-boats across the Atlantic Ocean, anticipate military deployment plans, and disrupt numerous strategic operations before they could be executed.

Historians widely agree that Ultra Intelligence played a decisive role in shortening the war in the European theater by approximately two to four years.

More importantly, this period demonstrated that Signals Intelligence (SIGINT) was far more than a technical discipline; it had become a strategic capability capable of altering the course of warfare itself.

What Is SIGINT?

Signals Intelligence (SIGINT) is the intelligence derived from the interception, collection, and analysis of electronic communications and electromagnetic signals. As one of the most technologically advanced intelligence disciplines, SIGINT focuses not on what people say directly, but on the signals generated, transmitted, and received by the devices they use.

SIGINT encompasses several specialized sub-disciplines.

Communications Intelligence (COMINT) involves the interception and analysis of telephone conversations, radio communications, Internet traffic, and other forms of communications content.

Electronic Intelligence (ELINT) focuses on non-communication electromagnetic emissions, including radar systems, air defense networks, weapons systems, and other electronic transmissions.

Foreign Instrumentation Signals Intelligence (FISINT) analyzes telemetry and technical signals associated with foreign missile tests, space systems, weapons development, and other instrumentation-based activities.

Measurement and Signature Intelligence (MASINT) examines unique physical signatures derived from nuclear, chemical, biological, radiological, and other scientific or technical measurements to identify, characterize, and assess specific objects, materials, or activities.

Unlike Human Intelligence (HUMINT), SIGINT does not rely on human sources or informants. Nor is it dependent on publicly available information, as is Open Source Intelligence (OSINT), or limited solely to imagery, as with Imagery Intelligence (IMINT) or Geospatial Intelligence (GEOINT).

Instead, SIGINT analyzes the invisible communications layer of the digital world, producing intelligence on the intentions of states, military readiness, operational planning, technical capabilities, and strategic decision-making.

Its scope extends from identifying the operating frequencies of Soviet radar systems during the Cold War to analyzing the command-and-control (C2) communications of state-sponsored cyber threat actors in today’s increasingly interconnected digital battlespace.

This broad operational spectrum illustrates why SIGINT remains one of the most critical intelligence capabilities in modern national security.

The BRUSA and UKUSA Agreements: The Birth of the Five Eyes Alliance

In 1943, the BRUSA Agreement an acronym for Britain–United States of America became the first comprehensive agreement to formally establish intelligence cooperation between the United States and the United Kingdom in the field of Signals Intelligence (SIGINT) during the Second World War.

Under this agreement, the two nations not only shared the intelligence they collected but also collaborated extensively by exchanging cryptanalytic techniques, technical expertise, personnel, and signals interception infrastructure.

Although the end of the war appeared to eliminate the common enemy, a new geopolitical reality soon emerged. The ideological confrontation between the Soviet Union and the Western powers gave rise to the Cold War, fundamentally reshaping the global security environment.

This new strategic landscape made it necessary to transform what had been a wartime intelligence partnership into a permanent intelligence alliance.

The UKUSA Agreement, signed in 1946, is widely recognized as the founding charter of what would later become the Five Eyes (FVEY) alliance. As its name suggests, UKUSA stands for the United Kingdom–United States of America Agreement.

The agreement established a formal framework for the systematic sharing of Signals Intelligence between the United States and the United Kingdom. In the years that followed, Canada, Australia, and New Zealand joined the partnership, giving rise to the Five Eyes alliance as it exists today.

The agreement was designed to achieve far more than the exchange of intelligence reports.

Under its framework, the world was effectively divided into geographic areas of SIGINT responsibility. Each member nation was assigned responsibility for monitoring specific communications networks and regions, while the intelligence collected was pooled into a shared intelligence repository accessible to all partners. This distributed model enabled the alliance to achieve a level of global intelligence coverage that no single nation could have attained independently.

Who Are the Members of the Five Eyes?

The Five Eyes (FVEY) alliance consists of the United States, the United Kingdom, Canada, Australia, and New Zealand. Owing to their shared history, common language, closely aligned legal traditions, and longstanding military cooperation, these nations form the core of the security community commonly referred to as the Anglosphere.

The United States serves as the alliance’s primary intelligence processing and analytical hub, largely due to the unparalleled technical capabilities of the National Security Agency (NSA) in signals intelligence, cybersecurity, and large-scale data analytics.

The United Kingdom’s Government Communications Headquarters (GCHQ) plays a pivotal role in monitoring communications networks across Europe, the Middle East, and Africa, making it one of the alliance’s most strategically significant SIGINT organizations.

Canada’s Communications Security Establishment (CSE) focuses primarily on intelligence activities in the Arctic and the North Atlantic, while Australia’s Australian Signals Directorate (ASD) is responsible for a substantial portion of electronic intelligence operations throughout the Indo-Pacific region.

Meanwhile, New Zealand’s Government Communications Security Bureau (GCSB) specializes in monitoring communications networks and supporting intelligence collection across the South Pacific.

Through this geographically distributed division of responsibilities, the Five Eyes has established one of the world’s most comprehensive global signals intelligence collection and analysis networks, providing near-global coverage across multiple operational domains.

From the Cold War to the Digital Age: The Evolution of the Five Eyes

During the Cold War, the primary mission of the Five Eyes (FVEY) was to monitor the military communications of the Soviet Union. Radar emissions, submarine communications, diplomatic transmissions, and strategic missile tests were subject to continuous surveillance and analysis. Many of the electronic interception technologies developed during this period laid the technological foundations for today’s cyber surveillance and intelligence systems.

With the rapid expansion of satellite communications in the 1980s, the alliance’s intelligence collection infrastructure extended beyond terrestrial networks into space. The subsequent global proliferation of the Internet fundamentally transformed the nature of intelligence collection. No longer were radio transmissions the sole focus of surveillance; email communications, Internet backbone infrastructure, submarine fiber-optic cables, cloud environments, and large-scale data centers also became critical intelligence targets.

This transformation enabled the Five Eyes to evolve far beyond a traditional military intelligence alliance. It emerged as one of the world’s most sophisticated intelligence ecosystems, capable of collecting, integrating, and analyzing vast volumes of digital information across the global cyber domain.

From ECHELON to Cyber Threat Intelligence

During the 1990s, the ECHELON system widely associated with the interception and processing of global electronic communications brought the Five Eyes’ worldwide signals intelligence capabilities into the public spotlight.

Allegations that satellite communications, telephone conversations, fax transmissions, and various forms of electronic data traffic could be intercepted and filtered using predefined keywords fueled widespread public debate over mass surveillance and government intelligence collection.

By the early 2000s, however, the threat landscape had undergone another profound transformation. Traditional military adversaries were no longer the only concern. State-sponsored cyber espionage groups, ransomware operations, advanced persistent threats (APTs), and sophisticated attacks targeting critical infrastructure had emerged as major national security challenges.

The Five Eyes adapted accordingly by placing increasing emphasis on Cyber Threat Intelligence (CTI).

Malware families were systematically analyzed, adversary infrastructure was continuously monitored, and joint technical advisories began to be published on a regular basis.

Today, many of these joint technical publications include Indicators of Compromise (IoCs), Tactics, Techniques, and Procedures (TTPs), malware analyses, defensive recommendations, detection guidance, and incident response best practices providing governments and critical infrastructure operators with actionable intelligence to strengthen their cyber resilience.

The Five Eyes in the Age of Artificial Intelligence

The volume of data generated in today’s digital environment has far exceeded the capacity of human analysts to process and interpret on their own.

To address this challenge, the Five Eyes (FVEY) increasingly relies on big data analytics, machine learning, behavioral analytics, and AI-powered decision support systems to enhance intelligence collection, analysis, and operational decision-making.

Modern intelligence is no longer defined merely by the ability to collect information. Its true value lies in identifying meaningful relationships within billions of seemingly unrelated data points and transforming them into actionable intelligence.

Artificial intelligence algorithms can correlate information from multiple sources, detect emerging threats at a much earlier stage, cluster coordinated cyber campaigns, and provide analysts with valuable insights for attributing state-sponsored operations to specific threat actors.

For this reason, the evolution of the Five Eyes represents far more than a technological transformation it reflects a fundamental shift in the way intelligence is produced, analyzed, and operationalized.

The traditional Signals Intelligence (SIGINT) model has evolved into an AI-enabled, multi-source intelligence ecosystem, where human expertise and artificial intelligence work together to generate faster, more accurate, and more actionable intelligence for an increasingly complex global security environment.

The Legal and Ethical Dimensions of the Five Eyes

The Five Eyes (FVEY) is not an independent international organization established under international law. Rather, it is an intergovernmental intelligence-sharing alliance whose legal foundations originate from the 1946 UKUSA Agreement.

Accordingly, intelligence sharing among its members is governed not by a single international legal framework, but by each member state’s domestic national security legislation, together with bilateral and multilateral classified intelligence-sharing agreements. Within these legal frameworks, each member may share foreign intelligence collected in accordance with its own laws, subject to established classification, handling, and dissemination rules.

At the same time, the Five Eyes has remained at the center of legal and ethical debate for decades.

The alliance has faced persistent criticism regarding the protection of personal data, mass surveillance, the right to privacy, and the adequacy of democratic oversight and accountability.

From an ethical perspective, the central issue concerns the delicate balance between national security and individual civil liberties.

Governments argue that broad intelligence collection authorities are essential for countering terrorism, cyber espionage, attacks against critical infrastructure, and foreign intelligence activities. Privacy advocates, however, contend that large-scale surveillance and bulk data collection may undermine fundamental rights and democratic freedoms in open societies.

The debate intensified significantly in 2013 following the disclosures made by Edward Snowden, which brought previously undisclosed global electronic surveillance programs into the public domain and triggered worldwide discussions on intelligence oversight, privacy, and government accountability.

Today, the integration of artificial intelligence into intelligence analysis has introduced an entirely new dimension to this debate.

The question is no longer limited to whether governments should collect data. Increasingly, the focus has shifted to how massive datasets gathered from multiple jurisdictions can be analyzed, correlated, and interpreted by artificial intelligence—and how the resulting insights are incorporated into intelligence assessments and decision-support systems.

For this reason, the Five Eyes continues to represent one of the world’s most closely scrutinized models of international intelligence cooperation, standing at the intersection of national security, technological innovation, the rule of law, and the protection of fundamental rights in the digital age.

Conclusion

The Five Eyes (FVEY) stands as one of the most compelling examples of how a technical wartime collaboration originally established to decrypt German military communications during the Second World War evolved into a permanent intelligence alliance that continues to shape the global security architecture.

Over more than eight decades, the alliance has continuously adapted to an evolving threat landscape. It progressed from serving as the electronic surveillance network of the Cold War, to becoming a key component of the Internet era’s global intelligence infrastructure, and today functions as a multidimensional intelligence ecosystem at the forefront of cybersecurity, cyber threat intelligence, and AI-powered intelligence analysis.

Today, the Five Eyes is far more than a traditional Signals Intelligence (SIGINT) organization responsible for monitoring state communications.

It has become a strategic actor in protecting critical infrastructure, identifying state-sponsored cyber operations, facilitating international cyber threat intelligence sharing, safeguarding election security, countering disinformation campaigns, supporting space-based surveillance, and integrating artificial intelligence into intelligence analysis and decision-support systems.

As technology continues to advance, the battlespace is steadily shifting from the physical domain to the digital one.

This transformation is fundamentally reshaping intelligence organizations worldwide.

In the years ahead, the Five Eyes will likely continue evolving beyond a conventional SIGINT alliance into an AI-enabled global decision-support network capable of conducting real-time intelligence analysis and coordinating multi-domain security operations across an increasingly interconnected threat environment.

The future of modern intelligence will not be determined solely by the ability to collect ever-greater volumes of data. Rather, its true strategic value will lie in transforming that data into timely, contextualized, and actionable intelligence that supports informed decision-making. The historical evolution of the Five Eyes provides one of the clearest illustrations of this transformation.

A contemporary reflection of this evolution can be found in the joint statement issued by the Five Eyes cybersecurity agencies in June 2026.

The statement emphasizes that artificial intelligence is not only enhancing defensive capabilities but also enabling threat actors to identify vulnerabilities more rapidly, automate cyberattacks, and conduct increasingly sophisticated cyber operations.

It further warns that Operational Technology (OT) and Industrial Control Systems (ICS/SCADA) supporting critical sectors including energy, water, transportation, healthcare, telecommunications, and manufacturing will be directly affected by this evolving threat landscape. Accordingly, organizations are encouraged to look beyond traditional IT security and prioritize OT network segmentation, comprehensive asset visibility, secure remote access, supply chain security, and operational resilience.

More importantly, the statement underscores that, in the age of artificial intelligence, the security of critical infrastructure has become an inseparable component of national security. It further recognizes that cyber resilience is no longer the sole responsibility of information technology teams but has evolved into a strategic, organization-wide responsibility extending from executive leadership to operational personnel.

This perspective reinforces the central argument presented throughout this article: the Five Eyes has evolved beyond an intelligence-sharing alliance focused primarily on Signals Intelligence. It has become a global strategic actor that increasingly shapes the future of critical infrastructure protection, cybersecurity policy, and national cyber resilience.

At the same time, one of the alliance’s greatest challenges in the years ahead will be maintaining effective intelligence cooperation while developing governance models that remain consistent with democratic oversight, transparency, data protection, the rule of law, and the protection of fundamental human rights.

Successfully balancing these competing priorities will likely determine not only the future of the Five Eyes itself but also the legitimacy and sustainability of international intelligence cooperation in the era of artificial intelligence.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

References:

• National Security Agency (NSA) – UKUSA Agreement (Declassified Documents)

• Government Communications Headquarters (GCHQ) – A Brief History of the UKUSA Agreement

• Australian Signals Directorate (ASD) – Intelligence Partnerships and the History of Five Eyes

• Australian Cyber Security Centre (ACSC) – Five Eyes Cyber Security Agencies Statement (June 2026)

• National Cyber Security Centre (NCSC UK) – The AI Shift in Cyber Risk: Why Leaders Must Act Now

• European Union Agency for Cybersecurity (ENISA) – Threat Landscape Reports

• United Kingdom National Archives – UKUSA Agreement Collection

• Five Eyes Archive – Declassified BRUSA and UKUSA Documents

Giriş

Bu makalede, Cyber Counterterrorism (Siber Karşı Terörizm) kavramını yalnızca teknik bir siber güvenlik konusu olarak ele almamakla birlikte, çalışmamın temel amacı, dijital terör ağlarının evrimini, istihbarat disiplinlerinin bu mücadeledeki rolünü, gerçek operasyonlardan elde edilen dersleri, kritik altyapılara yönelik tehditleri ve yapay zeka destekli yeni nesil karşı terörizm yaklaşımlarını bütüncül bir bakış açısıyla değerlendirmeye çalışıyorum.

Öte yandan EncroChat, ANOM, DEAŞ‘ın dijital propaganda stratejilerini, kripto para ile terör finansmanını, kritik altyapılara yönelik tehdit senaryolarını irdeleyerek, gelişmiş veri analitiği platformlarının kullanımı gibi konuları doğrulanmış vakalar üzerinden Cyber Counterterrorism (Siber Karşı Terörizm) yaklaşımının uygulamadaki yansımaları açısından analiz etmekteyim.

Böylece dijital çağın güvenlik mimarisinde istihbarat odaklı karşı terörizm anlayışının neden vazgeçilmez hale geldiğini irdelemekteyim.

Genel Bakış

Yirmi birinci yüzyıl, güvenlik kavramını yalnızca fiziksel sınırların korunması perspektifinden çıkararak dijital alanı da kapsayan çok boyutlu bir yapıya dönüştürmüştür.

İnternetin küresel ölçekte yaygınlaşması, bulut bilişim, mobil iletişim teknolojileri, sosyal medya platformları, kripto para ekosistemleri ve yapay zeka uygulamaları toplumlara önemli fırsatlar sunarken, aynı zamanda terör örgütleri için de daha önce benzeri görülmemiş operasyonel imkanlar yaratmıştır.

Günümüzde herhangi bir terör örgütü yalnızca dağlık bölgelerde faaliyet gösteren silahlı hücrelerden oluşmamaktadır.

Dijital dünyada faaliyet gösteren, birbirleriyle şifreli haberleşme uygulamaları üzerinden iletişim kuran, kripto para kullanarak finansman sağlayan, sosyal medya algoritmalarını propaganda amacıyla kullanan ve yapay zeka araçlarından yararlanarak psikolojik etki oluşturmaya çalışan dağıtık ağ yapıları, modern terörizmin ayrılmaz bir parçası haline gelmiştir.

Bu dönüşüm, güvenlik kurumlarını yalnızca "Siber Terörizm" olarak tanımlanan tehditlerle mücadele etmeye değil, aynı zamanda istihbarat temelli yeni bir yaklaşım geliştirmeye zorlamıştır.

Literatürde giderek daha fazla yer bulan ‘Cyber Counterterrorism (Siber Karşı Terörizm)’ kavramı, dijital teknolojileri kullanan terör örgütlerinin faaliyetlerini önceden tespit etmeyi, analiz etmeyi, engellemeyi ve gerektiğinde operasyonel yöntemlerle etkisiz hale getirmeyi amaçlayan disiplinler arası bir güvenlik yaklaşımıdır.

Başka bir ifadeyle, Cyber Counterterrorism (Siber Karşı Terörizm) yalnızca gerçekleşmiş bir siber saldırıya müdahale etmekten ibaret değildir, terör örgütlerinin dijital ekosistem içerisinde oluşturduğu bütün yaşam döngüsünü istihbarat perspektifiyle takip etmeyi hedefleyen proaktif bir savunma modelidir.

Geleneksel terörle mücadele anlayışı büyük ölçüde insan istihbaratı (HUMINT), saha operasyonları ve fiziksel güvenlik önlemleri üzerine inşa edilmişti.

Özellikle Soğuk Savaş döneminde devletler, ajan ağları, saha gözlemleri ve fiziksel takip faaliyetleri sayesinde terör örgütlerini veya yabancı istihbarat servislerini izlemeye çalışıyordu.

Ancak internetin küresel ölçekte yaygınlaşmasıyla birlikte terör örgütleri de dijital dönüşüm geçirdi.

Artık örgüt üyeleri dünyanın farklı kıtalarında bulunmasına rağmen aynı dijital platform üzerinden operasyon planlayabilmekte, propaganda yapabilmekte ve finansman sağlayabilmektedir.

Bu durum, klasik karşı terörizm yöntemlerinin tek başına yeterli olmadığını ortaya koymuştur.

Bu dönüşümün en önemli kırılma noktalarından biri hiç şüphesiz 11 Eylül 2001 saldırılarıdır.

Yaklaşık üç bin kişinin hayatını kaybettiği bu saldırılar yalnızca uluslararası güvenlik politikalarını değil, aynı zamanda istihbarat toplama yöntemlerini de kökten değiştirmiştir.

Saldırıların ardından birçok ülkede istihbarat kurumları arasında veri paylaşımı artırılmış, dijital iletişim ağlarının izlenmesine yönelik yasal düzenlemeler genişletilmiş ve büyük veri analitiği, ağ analizi (network analysis) ile davranış modelleme sistemlerine yönelik yatırımlar hız kazanmıştır.

Bu süreç, dijital istihbaratın klasik insan istihbaratının yerine geçmesi anlamına gelmemiş, aksine farklı istihbarat disiplinlerinin entegre çalıştığı hibrit bir güvenlik mimarisinin ortaya çıkmasına neden olmuştur.

Son yirmi yıl içerisinde yaşanan gelişmeler, terör örgütlerinin dijital teknolojilere adaptasyon hızının beklenenden çok daha yüksek olduğunu göstermektedir.

Özellikle DEAŞ, sosyal medya platformlarını yalnızca propaganda amacıyla kullanmamış, aynı zamanda dünyanın farklı bölgelerindeki bireyleri radikalleştirmek, yabancı savaşçı devşirmek ve operasyonel koordinasyon sağlamak için sistematik biçimde değerlendirmiştir.

Örgüt tarafından yayımlanan yüksek çözünürlüklü videolar, profesyonel grafik tasarımlar, çok dilli dijital propaganda dergileri ve sosyal medya kampanyaları, dijital iletişimin terörizm açısından nasıl stratejik bir araç haline geldiğinin en çarpıcı örnekleri arasında yer almaktadır.

Dijital platformların küresel erişim kapasitesi, terör örgütlerinin coğrafi sınırları aşarak ideolojik etki alanlarını genişletmelerine olanak tanımıştır.

Bununla birlikte dijital dönüşüm yalnızca propaganda faaliyetleriyle sınırlı değildir.

Kripto para teknolojilerinin gelişmesi, BlokZincir (BlockChain) tabanlı ödeme sistemlerinin anonimlik sağlaması ve Dark Web ekosisteminin büyümesi, terör örgütlerinin finansman yöntemlerinde de önemli değişikliklere yol açmıştır.

Geleneksel bankacılık sistemlerinin gözetim mekanizmalarından kaçınmaya çalışan örgütler, farklı kripto varlıklar ve dijital cüzdanlar üzerinden bağış toplama, para transferi ve lojistik destek faaliyetleri yürütmeye başlamıştır.

Bu gelişme, finansal istihbarat (FININT) ile siber istihbaratın birlikte çalışmasını zorunlu hale getirmiştir.

Aynı dönemde kritik altyapılar da yeni nesil tehditlerin odağı haline gelmiştir.

Enerji santralleri, doğal gaz iletim hatları, su arıtma tesisleri, ulaşım sistemleri, sağlık altyapıları ve endüstriyel kontrol sistemleri artık yalnızca devlet destekli gelişmiş kalıcı tehdit gruplarının (APT) değil, ideolojik motivasyon taşıyan terör örgütlerinin de potansiyel hedefleri arasında değerlendirilmektedir.

Operasyonel Teknoloji (OT) ve Endüstriyel Kontrol Sistemleri (ICS) üzerinde gerçekleştirilebilecek başarılı bir siber saldırı, fiziksel hasar, üretim kesintisi, çevresel felaket, kaos ve kitlesel panik gibi çok boyutlu sonuçlar doğurabilir.

Bu nedenle modern Cyber Counterterrorism (Siber Karşı Terörizm) yaklaşımı yalnızca bilgi sistemlerini değil, fiziksel süreçleri kontrol eden kritik altyapıları da kapsamaktadır.

Bütün bu gelişmeler göstermektedir ki modern terörle mücadele artık yalnızca askeri veya kolluk kuvvetlerinin yürüttüğü operasyonlardan ibaret değildir.

Günümüzde başarılı bir Cyber Counterterrorism (Siber Karşı Terörizm) modeli;

• İnsan istihbaratı (HUMINT),

• Sinyal istihbaratı (SIGINT),

• Açık kaynak istihbaratı (OSINT),

• Sosyal medya istihbaratı (SOCMINT),

• Finansal istihbarat (FININT),

• Siber tehdit istihbaratı (CTI) ve giderek önem kazanan Yapay Zeka Destekli İstihbarat (AIINT) disiplinlerinin bütünleşik kullanımını gerektirmektedir.

Büyük veri analitiği, grafik tabanlı ilişki analizi, makine öğrenmesi algoritmaları ve davranışsal modelleme teknikleri sayesinde milyonlarca veri noktası arasında daha önce fark edilemeyen bağlantılar ortaya çıkarılabilmektedir.

Böylece güvenlik kurumları yalnızca gerçekleşmiş olaylara tepki vermek yerine, gelecekte meydana gelebilecek potansiyel saldırıları öngörmeye yönelik öngörücü (predictive) analiz modelleri geliştirebilmektedir.

Dijital Terör Ağlarına Karşı İstihbarat Destekli Mücadelenin Dönüşümü:
DEAŞ, EncroChat ve ANOM Vakaları

Yukarıda ifade etmeye çalıştığım üzere; Cyber Counterterrorism yaklaşımının temel amacı, yalnızca gerçekleşmiş siber saldırılara müdahale etmek değil, dijital ortamda faaliyet gösteren terör ve organize suç ağlarını daha planlama aşamasındayken tespit etmek, analiz etmek ve etkisiz hale getirmektir.

Bu yaklaşımın başarısı, büyük ölçüde farklı istihbarat disiplinlerinin ortak kullanımına bağlıdır.

İnsan istihbaratı (HUMINT), Sinyal istihbaratı (SIGINT), Açık kaynak istihbaratı (OSINT), Finansal istihbarat (FININT) ve Siber tehdit istihbaratı (CTI) artık birbirinden bağımsız değil, aynı operasyonel resmin tamamlayıcı parçaları olarak değerlendirilmektedir.

Son yıllarda yaşanan üç önemli olay;

• DEAŞ'ın dijital propaganda ağı,

• EncroChat platformunun deşifre edilmesi ve

• ANOM operasyonu, modern Cyber Counterterrorism (Siber Karşı Terörizm) anlayışının nasıl evrildiğini gösteren en önemli örnekler arasında yer almaktadır.

DEAŞ

DEAŞ, dijital teknolojileri sistematik ve profesyonel biçimde kullanan ilk küresel terör örgütlerinden biri olarak kabul edilmektedir.

El Kaide'nin interneti ağırlıklı olarak web siteleri ve çevrim içi forumlar üzerinden kullandığı dönemin aksine DEAŞ, sosyal medya algoritmalarını, yüksek çözünürlüklü video prodüksiyonlarını ve çok dilli dijital yayınları stratejik bir propaganda silahına dönüştürmüştür.

Özellikle 2014 yılından itibaren Twitter üzerinde binlerce hesap aracılığıyla yürütülen koordineli propaganda faaliyetleri, örgütün kısa sürede küresel görünürlük kazanmasını sağlamıştır.

Ardından Telegram gibi şifreli mesajlaşma platformlarına geçiş yapan örgüt, yalnızca propaganda yapmakla kalmamış, farklı ülkelerdeki sempatizanlarıyla iletişim kurmuş, yabancı örgüt üyesi devşirme faaliyetlerini organize etmiş ve saldırı çağrılarını dijital ortam üzerinden yaymıştır.

İngilizce yayımlanan Dabiq ve daha sonra Rumiyah dergileri, Batılı hedef kitlelere ulaşmayı amaçlayan profesyonel psikolojik operasyon araçları olarak kullanılmıştır.

Bu süreç, güvenlik kurumlarına önemli bir ders vermiştir.

Dijital platformlar artık yalnızca iletişim kanalları değil, radikalleşmenin, örgütlenmenin ve operasyonel koordinasyonun gerçekleştiği yeni nesil savaş alanlarıdır.

EncroChat

Terör ve organize suç örgütlerinin şifreli haberleşme uygulamalarına yönelmesi, güvenlik kurumlarını daha yaratıcı istihbarat yöntemleri geliştirmeye zorlamıştır.

Bu dönüşümün en dikkat çekici örneklerinden biri EncroChat vakasıdır.

Güvenli olduğu iddiasıyla pazarlanan EncroChat cihazları, mikrofon ve GPS gibi özellikleri devre dışı bırakılmış, uçtan uca şifreleme sunan özel telefonlar olarak özellikle organize suç örgütleri arasında yaygın şekilde kullanılmaya başlanmıştır.

Avrupa'daki uyuşturucu kaçakçılığı, kara para aklama ve silah kaçakçılığı faaliyetlerinin önemli bir kısmı bu platform üzerinden yürütülüyordu.

2020 yılında Fransız ve Hollandalı güvenlik birimlerinin teknik çalışmaları sonucunda platforma erişim sağlanmış ve milyonlarca şifreli mesaj gerçek zamanlı olarak analiz edilmiştir.

Elde edilen istihbarat, Avrupa genelinde binlerce operasyonun gerçekleştirilmesine, yüzlerce ton uyuşturucunun ele geçirilmesine, çok sayıda silah deposunun ortaya çıkarılmasına ve yüzlerce organize suç liderinin tutuklanmasına imkan tanımıştır.

EncroChat operasyonu, modern karşı terörizm ve organize suçla mücadelede yalnızca iletişim trafiğini izlemek yerine, iletişim ekosisteminin tamamını anlamanın ve analiz etmenin ne kadar kritik olduğunu göstermiştir.

ANOM

Bu alandaki en dikkat çekici operasyon ise şüphesiz ANOM operasyonudur.

FBI tarafından planlanan ve uluslararası kolluk kuvvetlerinin desteğiyle yürütülen bu operasyon, klasik siber savunma anlayışının ötesine geçen istihbarat odaklı bir yaklaşımın örneğidir.

Güvenlik kurumları, suç örgütlerinin güven duyacağı özel bir şifreli haberleşme platformu oluşturmuş, ANOM isimli bu cihazların organize suç ağları içerisinde yaygınlaşmasını dolaylı yollarla sağlamıştır.

Kullanıcılar, cihazların tamamen güvenli olduğuna inanırken gönderilen tüm mesajlar eş zamanlı olarak güvenlik güçlerine ulaşıyordu.

Yaklaşık üç yıl süren operasyon sonucunda 100'den fazla ülkede faaliyet gösteren binlerce suçlu ve suç ağı takip edilmiş, milyonlarca mesaj analiz edilmiş ve operasyonun sonunda eş zamanlı baskınlarla yüzlerce kişi gözaltına alınmıştır.

Tonlarca uyuşturucu madde, milyonlarca dolar nakit para, çok sayıda yasa dışı silah ve suç örgütlerine ait lojistik ağlar ortaya çıkarılmıştır.

ANOM operasyonu, dijital karşı terörizm ve organize suçla mücadelede en etkili yöntemin her zaman bir sistemi kırmak değil, gerektiğinde güvenilen sistemi bizzat tasarlamak olabileceğini göstermesi bakımından istihbarat tarihinde önemli bir dönüm noktası olarak kabul edilmektedir.

Sonuç

Dijital dönüşüm, terör örgütlerinin yalnızca kullandıkları teknolojileri değil, örgütlenme biçimlerini, propaganda yöntemlerini ve operasyonel kabiliyetlerini de köklü biçimde değiştirmiştir.

İnternet, sosyal medya platformları, şifreli haberleşme uygulamaları, kripto para ekosistemleri ve yapay zeka teknolojileri, terör örgütlerine küresel ölçekte hareket edebilme, daha hızlı örgütlenebilme ve daha geniş kitlelere ulaşabilme imkanı sağlamaktadır.

Bu durum, klasik terörle mücadele anlayışının tek başına yeterli olmadığın, dijital alanı merkezine alan yeni nesil bir güvenlik yaklaşımını zorunlu hale getirmiştir.

DEAŞ’ın sosyal medya ve Telegram üzerinden yürüttüğü dijital propaganda faaliyetleri,
EncroChat platformunun teknik ve istihbarat temelli yöntemlerle deşifre edilmesi,
ve ANOM operasyonunda uygulanan aldatma odaklı istihbarat yaklaşımı,
modern Cyber Counterterrorism (Siber Karşı Terörizm) anlayışının yalnızca siber savunmadan ibaret olmadığını açıkça göstermektedir.

Bu vakalar, başarının yalnızca gelişmiş güvenlik teknolojilerine sahip olmakla değil, farklı istihbarat disiplinlerini ortak bir operasyonel resim içerisinde birleştirebilmekle mümkün olduğunu ortaya koymaktadır.

Günümüzde insan istihbaratı (HUMINT), sinyal istihbaratı (SIGINT), açık kaynak istihbaratı (OSINT), finansal istihbarat (FININT), siber tehdit istihbaratı (CTI) ve yapay zeka destekli analiz yöntemleri, birbirini tamamlayan ve karar alma süreçlerini besleyen stratejik unsurlar haline gelmiştir.

Önümüzdeki dönemde yapay zeka destekli propaganda, deepfake teknolojileri, otonom sistemler, kripto varlıklar ve gelişmiş şifreleme yöntemlerinin yaygınlaşmasıyla birlikte dijital terör ağlarının daha karmaşık ve öngörülmesi güç bir yapıya dönüşmesi beklenmektedir.

Buna karşılık güvenlik kurumlarının da büyük veri analitiği, davranış analizi, grafik tabanlı ilişki analizi, öngörücü yapay zeka modelleri ve uluslararası istihbarat paylaşımı gibi yeteneklerini sürekli geliştirmeleri kaçınılmaz olacaktır.

Bu nedenle Cyber Counterterrorism (Siber Karşı Terörizm), yalnızca siber güvenliğin bir alt başlığı olarak değil, ulusal güvenlik, istihbarat, hukuk, teknoloji ve uluslararası iş birliğini aynı stratejik çatı altında birleştiren disiplinler arası bir güvenlik yaklaşımı olarak değerlendirilmelidir.

Sonuç olarak, dijital çağda terör örgütlerine karşı üstünlük sağlamak, yalnızca daha güçlü güvenlik duvarları veya daha gelişmiş şifreleme teknolojileri geliştirmekle mümkün değildir.

Üstünlük, doğru veriyi doğru zamanda toplayabilmek, farklı kaynaklardan elde edilen bilgileri anlamlı istihbarata dönüştürebilmek ve bu istihbaratı zamanında operasyonel kararlara yansıtabilme yeteneğinde yatmaktadır.

Geleceğin karşı terörizm anlayışı, reaktif güvenlik önlemlerinden ziyade öngörücü, istihbarat temelli ve yapay zeka destekli karar mekanizmaları üzerine inşa edilecek, Cyber Counterterrorism (Siber Karşı Terörizm) ise bu dönüşümün merkezinde yer alan en kritik güvenlik yaklaşımlarından biri olmaya devam edecektir.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça:

• Europol. (2021). European Union Terrorism Situation and Trend Report (TE-SAT 2021). Europol.

• Europol. (2022). European Union Terrorism Situation and Trend Report (TE-SAT 2022). Europol.

• Federal Bureau of Investigation (FBI). (2021). Operation Trojan Shield / ANOM: International Law Enforcement Operation.

• International Centre for Counter-Terrorism (ICCT). (2021). The Digitalisation of Terrorism.

• UN Office of Counter-Terrorism (UNOCT). (2022). Countering Terrorist Use of New Technologies.

• United Nations Office on Drugs and Crime (UNODC). (2022). Handbook on Terrorism Prevention and Criminal Justice Responses.

• NSA & CISA. (2023). Joint Cybersecurity Advisories.

• Council of Europe. (2001). Convention on Cybercrime (Budapest Convention). Strasbourg.

Introduction

In this article, I examine Cyber Counterterrorism not merely as a technical cybersecurity discipline, but as a comprehensive strategic framework that integrates intelligence, law enforcement, national security, and emerging technologies.

The primary objective of this study is to provide a holistic analysis of the evolution of digital terrorist networks, the role of intelligence disciplines in counterterrorism operations, lessons learned from real-world operations, threats targeting critical infrastructure, and the growing impact of artificial intelligence on next-generation counterterrorism strategies.

Furthermore, this study analyzes the practical implementation of Cyber Counterterrorism through verified case studies, including the EncroChat and ANOM operations, the Islamic State’s (ISIS/Daesh) digital propaganda ecosystem, terrorist financing through cryptocurrencies, threat scenarios targeting critical infrastructure, and the application of advanced data analytics platforms in counterterrorism operations.

Ultimately, this article seeks to demonstrate why an intelligence-driven approach to Cyber Counterterrorism has become an indispensable component of the modern security architecture in the digital age.

As terrorist organizations continue to exploit cyberspace for communication, recruitment, financing, operational planning, and psychological influence, counterterrorism strategies must evolve beyond conventional defensive measures toward intelligence-led, technology-enabled, and data-driven operational models.

Overview

The twenty-first century has fundamentally transformed the concept of security, extending it beyond the protection of physical borders into a multidimensional domain that encompasses cyberspace.

Security is no longer confined to territorial defense; it now includes the protection of digital infrastructure, information ecosystems, and interconnected cyber environments that underpin modern societies.

While the global expansion of the Internet, cloud computing, mobile communication technologies, social media platforms, cryptocurrency ecosystems, and artificial intelligence has generated unprecedented opportunities for economic growth, innovation, and global connectivity, these same technologies have simultaneously provided terrorist organizations with operational capabilities that were unimaginable only a few decades ago.

Today, terrorist organizations can no longer be characterized solely as armed groups operating in remote mountainous regions or conflict zones.

Instead, they increasingly function as decentralized, digitally connected networks that communicate through encrypted messaging platforms, finance their activities using cryptocurrencies, exploit social media algorithms to disseminate propaganda and recruit supporters, and leverage artificial intelligence to amplify psychological influence, automate information operations, and enhance strategic communication.

Consequently, cyberspace has evolved into a critical operational domain where terrorist organizations recruit, coordinate, finance, influence, and, in some cases, execute attacks.

Understanding this digital transformation is therefore essential for developing effective Cyber Counterterrorism strategies capable of addressing the complex threat landscape of the twenty-first century.

This transformation has compelled security institutions not only to combat threats commonly classified as cyberterrorism, but also to develop a new intelligence-driven approach capable of addressing the evolving digital threat landscape.

Increasingly recognized in both academic literature and security practice, Cyber Counterterrorism is an interdisciplinary security framework aimed at identifying, analyzing, disrupting, and, when necessary, neutralizing the activities of terrorist organizations that exploit digital technologies.

It integrates intelligence, cybersecurity, law enforcement, and operational capabilities to counter the full spectrum of terrorist activity in cyberspace.

In other words, Cyber Counterterrorism extends far beyond responding to a cyberattack after it has occurred. Rather, it represents a proactive, intelligence-led defense model designed to monitor, understand, and disrupt the entire digital ecosystem within which terrorist organizations communicate, recruit, finance, coordinate, and conduct influence operations.

Traditionally, counterterrorism strategies relied heavily on Human Intelligence (HUMINT), field operations, physical surveillance, and conventional security measures. Throughout much of the Cold War, governments depended on intelligence officers, clandestine agent networks, surveillance operations, and physical reconnaissance to monitor terrorist organizations and foreign intelligence services.

However, the rapid global expansion of the Internet fundamentally transformed the operational environment.

Terrorist organizations underwent their own digital transformation, adopting emerging technologies to enhance communication, operational security, financing, recruitment, propaganda, and transnational coordination.

As a result, the battlefield of counterterrorism expanded from the physical world into cyberspace, requiring intelligence agencies and security organizations to rethink both their methodologies and operational capabilities.

Today, members of a terrorist organization can be dispersed across different continents while simultaneously planning operations, disseminating propaganda, and coordinating financial activities through the same digital platforms.

This reality has demonstrated that conventional counterterrorism methods alone are no longer sufficient to address the complexity of contemporary terrorist threats.

Undoubtedly, one of the most significant turning points in this transformation was the September 11, 2001 terrorist attacks. Claiming the lives of nearly three thousand people, these attacks fundamentally reshaped not only international security policies but also the methodologies employed in intelligence collection and counterterrorism operations.

In the aftermath of 9/11, intelligence agencies around the world significantly expanded information-sharing mechanisms, introduced broader legal frameworks for monitoring digital communications, and accelerated investments in big data analytics, network analysis, and behavioral modeling technologies.

These developments marked the beginning of a profound shift toward intelligence-driven, technology-enabled counterterrorism.

Importantly, this evolution did not signify the replacement of traditional Human Intelligence (HUMINT) by digital intelligence.

Rather, it gave rise to a hybrid security architecture in which multiple intelligence disciplines including; HUMINT, Signals Intelligence (SIGINT), Open-Source Intelligence (OSINT), Cyber Threat Intelligence (CTI), Financial Intelligence (FININT), and increasingly Artificial Intelligence–enabled Intelligence (AIINT) operate in an integrated and mutually reinforcing manner.

Developments over the past two decades have demonstrated that terrorist organizations have adapted to digital technologies far more rapidly than originally anticipated.

Their ability to exploit emerging technologies for communication, recruitment, financing, operational security, and psychological influence continues to challenge conventional security paradigms, reinforcing the need for proactive, intelligence-led Cyber Counterterrorism strategies.

The Islamic State (ISIS/Daesh), in particular, did not use social media platforms solely as instruments of propaganda. Rather, it systematically exploited digital platforms to radicalize individuals across different regions of the world, recruit foreign fighters, facilitate fundraising, and coordinate operational activities.

The organization’s sophisticated use of high-definition videos, professionally produced graphic content, multilingual digital magazines, and carefully orchestrated social media campaigns represents one of the clearest examples of how digital communication has evolved into a strategic asset for modern terrorist organizations.

Through these technologies, ISIS demonstrated that information could function not merely as a means of communication, but as an operational weapon capable of influencing perceptions, mobilizing supporters, and extending ideological reach on a global scale.

The global accessibility of digital platforms has enabled terrorist organizations to transcend geographical boundaries and significantly expand their ideological influence. Individuals who would never have encountered terrorist networks through traditional physical channels can now be exposed to extremist narratives through algorithm-driven recommendation systems, encrypted online communities, and social media ecosystems.

However, this digital transformation extends far beyond propaganda alone. It encompasses every stage of the terrorist operational lifecycle from secure communications and recruitment to financing, intelligence gathering, operational planning, psychological influence, and the coordination of attacks making cyberspace an indispensable domain in contemporary counterterrorism efforts.

The rapid evolution of cryptocurrency technologies, the anonymity provided by blockchain-based payment systems, and the expansion of the Dark Web ecosystem have fundamentally transformed the financing methods employed by terrorist organizations.

Seeking to circumvent the oversight mechanisms of traditional financial institutions, terrorist networks have increasingly relied on cryptocurrencies, digital wallets, and decentralized financial infrastructures to collect donations, transfer funds, procure resources, and facilitate logistical support.

This evolution has significantly complicated the detection and disruption of terrorist financing, making financial transactions more resilient against conventional regulatory and law enforcement measures.

As a consequence, effective counterterrorism now requires the close integration of Financial Intelligence (FININT) with Cyber Threat Intelligence (CTI), enabling investigators to combine blockchain analytics, digital forensics, cyber investigations, and financial monitoring to identify illicit financial networks and disrupt terrorist funding mechanisms.

At the same time, critical infrastructure has emerged as one of the primary targets of next-generation terrorist threats. Power generation facilities, natural gas transmission networks, water treatment plants, transportation systems, healthcare infrastructure, and Operational Technology (OT) and Industrial Control Systems (ICS) are no longer viewed solely as potential targets for state-sponsored Advanced Persistent Threat (APT) groups.

Increasingly, they are also considered attractive targets for ideologically motivated terrorist organizations seeking to maximize economic disruption, societal instability, and psychological impact.

A successful cyberattack against OT and ICS environments could produce consequences extending far beyond the digital domain. Depending on the targeted process, such attacks may result in physical destruction, prolonged production outages, environmental disasters, disruption of essential public services, widespread public panic, and significant threats to national security.

Consequently, protecting critical infrastructure has become a central pillar of modern Cyber Counterterrorism strategies, requiring the integration of cybersecurity, intelligence, operational resilience, and critical infrastructure protection into a unified defense framework.

For this reason, the modern concept of Cyber Counterterrorism extends far beyond the protection of information systems alone. It also encompasses the security and resilience of critical infrastructure and the physical processescontrolled by Operational Technology (OT) and Industrial Control Systems (ICS), recognizing that cyberattacks can produce tangible consequences in the physical world.

Taken together, these developments clearly demonstrate that modern counterterrorism is no longer limited to military operations or traditional law enforcement activities. Instead, an effective Cyber Counterterrorism strategy requires the seamless integration of multiple intelligence disciplines, including:

• Human Intelligence (HUMINT)

• Signals Intelligence (SIGINT)

• Open-Source Intelligence (OSINT)

• Social Media Intelligence (SOCMINT)

• Financial Intelligence (FININT)

• Cyber Threat Intelligence (CTI)

• Artificial Intelligence–Enabled Intelligence (AIINT), an increasingly important discipline that leverages machine learning and advanced analytics to support intelligence operations.

The convergence of these intelligence capabilities enables security organizations to develop a comprehensive understanding of terrorist networks across both the physical and digital domains. By combining intelligence from diverse sources, analysts can identify hidden relationships, detect emerging threats, and disrupt terrorist activities before they mature into operational attacks.

Advances in big data analytics, graph-based relationship analysis, machine learning algorithms, and behavioral modeling have further enhanced this capability. These technologies make it possible to uncover previously undetectable connections among millions of data points, revealing patterns of communication, financing, recruitment, and operational coordination that would be nearly impossible to identify through conventional analytical methods.

Consequently, security and intelligence agencies are increasingly shifting from a reactive posture toward an intelligence-driven, predictive approach. Rather than responding only after an incident has occurred, modern Cyber Counterterrorism seeks to anticipate, identify, and mitigate potential threats before they materialize, enabling proactive decision-making and significantly strengthening national and international security.

The Evolution of Intelligence-Driven Operations Against Digital Terrorist Networks: The Cases of ISIS, EncroChat, and ANOM

As discussed in the previous sections, the primary objective of Cyber Counterterrorism is not merely to respond to cyberattacks after they occur, but to identify, analyze, disrupt, and ultimately neutralize terrorist and organized criminal networks operating in the digital domain before their plans can be executed.

The effectiveness of this intelligence-led approach depends largely on the integration of multiple intelligence disciplines. Human Intelligence (HUMINT), Signals Intelligence (SIGINT), Open-Source Intelligence (OSINT), Financial Intelligence (FININT), and Cyber Threat Intelligence (CTI) are no longer treated as independent capabilities; instead, they function as complementary components of a unified operational intelligence picture.

This multidimensional intelligence architecture enables analysts to correlate digital communications, financial transactions, behavioral patterns, online propaganda, and operational activities, thereby exposing relationships and vulnerabilities that would remain invisible if each intelligence discipline were applied in isolation.

Among the numerous operations conducted over the past decade, three landmark cases stand out as particularly significant in illustrating the evolution of modern Cyber Counterterrorism:

• The Islamic State’s (ISIS/Daesh) digital propaganda ecosystem

• The compromise and dismantling of the EncroChat encrypted communications platform

• Operation ANOM, one of the most sophisticated global law enforcement intelligence operations ever conducted against transnational criminal networks.

Together, these cases demonstrate how intelligence agencies have evolved from traditional reactive investigations toward proactive, intelligence-driven operations that combine cyber capabilities, digital forensics, advanced analytics, covert operations, and international cooperation to identify, monitor, and dismantle hostile networks operating within cyberspace.

The Islamic State (ISIS/Daesh)

The Islamic State (ISIS/Daesh) is widely regarded as one of the first global terrorist organizations to systematically and professionally exploit digital technologies as a core component of its operational strategy.

Unlike Al-Qaeda, which primarily relied on websites and online forums during the early years of the Internet, ISIS transformed social media algorithms, high-definition video production, and multilingual digital publications into sophisticated instruments of strategic propaganda and psychological influence.

Beginning in 2014, the organization orchestrated large-scale propaganda campaigns through thousands of coordinated Twitter accounts, enabling it to achieve unprecedented global visibility within a remarkably short period. As social media platforms increasingly suspended extremist content, ISIS adapted by migrating to encrypted messaging applications such as Telegram, where it not only continued disseminating propaganda but also established secure communication channels with supporters worldwide, coordinated the recruitment of foreign fighters, distributed operational guidance, and encouraged attacks through digital means.

The English-language magazines Dabiq and later Rumiyah further exemplified the organization’s sophisticated information strategy. These professionally produced digital publications were specifically designed to influence Western audiences, promote extremist ideology, inspire self-radicalization, and encourage both recruitment and lone-actor attacks. Rather than serving as simple propaganda outlets, they functioned as carefully crafted psychological operations intended to shape perceptions, reinforce ideological narratives, and extend the organization’s global influence.

The rise of ISIS’s digital ecosystem provided a critical lesson for intelligence and security agencies worldwide. Digital platforms are no longer merely channels for communication; they have evolved into next-generation battlefields where radicalization, recruitment, operational coordination, ideological influence, and psychological warfare increasingly take place. Understanding and disrupting these digital ecosystems has therefore become a fundamental objective of modern Cyber Counterterrorism.

EncroChat

As terrorist organizations and transnational criminal networks increasingly migrated to encrypted communication platforms, security and intelligence agencies were compelled to develop more innovative and technologically sophisticated intelligence capabilities. One of the most significant examples of this evolution is the EncroChat operation.

Marketed as an ultra-secure communication system, EncroChat devices were specially modified smartphones with features such as microphones, cameras, and GPS functionality disabled, while offering end-to-end encrypted communications. These devices rapidly became the preferred communication platform for organized crime groups involved in drug trafficking, money laundering, arms trafficking, contract killings, and other serious criminal enterprises across Europe.

By 2020, a substantial portion of Europe’s illicit drug trade, money laundering operations, and weapons trafficking activities were being coordinated through the EncroChat platform. Believing the system to be virtually impenetrable, criminal organizations relied on it to exchange operational plans, financial information, logistical arrangements, and other highly sensitive communications.

In 2020, following an extensive technical operation conducted by French and Dutch law enforcement and intelligence authorities, investigators successfully gained covert access to the EncroChat infrastructure. This unprecedented intelligence breakthrough enabled the real-time collection and analysis of millions of encrypted messages exchanged among criminal users.

The intelligence obtained from the operation led to thousands of coordinated law enforcement actions across Europe, resulting in the seizure of hundreds of tons of illicit narcotics, the discovery of numerous weapons caches, the confiscation of substantial criminal assets, and the arrest of hundreds of senior organized crime figures. Beyond its immediate operational success, the EncroChat investigation fundamentally transformed the way encrypted communications are exploited for intelligence purposes.

Perhaps the most important lesson of the EncroChat operation is that modern counterterrorism and organized crime investigations can no longer rely solely on monitoring communication traffic. Instead, they require a comprehensive understanding of the entire communication ecosystem—including devices, infrastructure, user behavior, trust relationships, metadata, operational patterns, and digital networks. This intelligence-centric perspective has become a defining characteristic of contemporary Cyber Counterterrorism, where understanding the ecosystem is often more valuable than intercepting individual messages.

Operation ANOM

Perhaps the most remarkable example of intelligence-driven operations in the digital era is Operation ANOM. Planned by the Federal Bureau of Investigation (FBI) and executed in close cooperation with numerous international law enforcement agencies, the operation represented a paradigm shift that extended far beyond conventional cybersecurity and digital surveillance practices.

Rather than attempting to compromise an existing encrypted communications platform, investigators adopted a far more innovative strategy. They facilitated the creation and controlled distribution of a bespoke encrypted communication system known as ANOM that was specifically designed to gain the trust of organized criminal networks. Through carefully managed channels and trusted intermediaries, ANOM devices gradually became widely adopted among transnational criminal organizations.

Believing the platform to be completely secure, users relied on ANOM devices to exchange highly sensitive operational information, including discussions relating to drug trafficking, money laundering, weapons trafficking, contract killings, and other serious criminal activities. Unbeknownst to them, every message transmitted through the platform was simultaneously accessible to law enforcement authorities, providing investigators with an unprecedented stream of real-time operational intelligence.

Over the course of approximately three years, authorities monitored thousands of criminals and criminal networks operating in more than one hundred countries. Millions of encrypted messages were collected and analyzed, generating actionable intelligence that culminated in a series of globally coordinated enforcement actions. Simultaneous raids resulted in the arrest of hundreds of high-value criminal suspects, while authorities seized tons of illicit narcotics, millions of dollars in cash, numerous illegal firearms, and extensive logistical infrastructures supporting transnational organized crime.

Operation ANOM is widely regarded as a landmark in the history of intelligence operations because it fundamentally challenged conventional assumptions about encrypted communications. Rather than focusing exclusively on breaking or bypassing a trusted system, investigators demonstrated that, under carefully controlled legal and operational conditions, the most effective strategy may be to design and introduce the trusted system itself. This deception-based, intelligence-led approach illustrates how modern Cyber Counterterrorism and organized crime investigations increasingly rely on strategic innovation, covert operational planning, and multidisciplinary intelligence integration to infiltrate, monitor, and dismantle hostile networks operating in the digital domain.

Conclusion

Digital transformation has fundamentally reshaped not only the technologies employed by terrorist organizations but also their organizational structures, propaganda strategies, and operational capabilities.

The Internet, social media platforms, encrypted communication applications, cryptocurrency ecosystems, and artificial intelligence have collectively enabled terrorist networks to operate on a global scale, organize more rapidly, and influence far broader audiences than ever before.

This evolving threat landscape clearly demonstrates that conventional counterterrorism approaches are no longer sufficient on their own. Instead, it demands a new generation of security strategies that place the digital domain at the center of intelligence collection, threat analysis, operational planning, and proactive disruption.

The cases examined throughout this article vividly illustrate this transformation. The Islamic State’s (ISIS/Daesh) sophisticated exploitation of social media and Telegram for propaganda, recruitment, and operational coordination; the intelligence-led compromise of the EncroChat encrypted communications platform; and the deception-based strategy employed during Operation ANOM collectively demonstrate that modern Cyber Counterterrorism extends far beyond traditional cybersecurity or defensive cyber operations.

Rather, Cyber Counterterrorism has evolved into an intelligence-centric operational framework that integrates cyber capabilities, digital forensics, advanced analytics, international cooperation, and multidisciplinary intelligence to identify, infiltrate, disrupt, and dismantle hostile networks before they can execute their objectives.

These cases further demonstrate that success depends not merely on possessing advanced security technologies, but on the ability to integrate diverse intelligence disciplines into a unified operational picture.

Today, Human Intelligence (HUMINT), Signals Intelligence (SIGINT), Open-Source Intelligence (OSINT), Financial Intelligence (FININT), Cyber Threat Intelligence (CTI), and increasingly Artificial Intelligence–Enabled Intelligence (AIINT) have become complementary strategic capabilities that collectively support intelligence analysis, operational planning, and decision-making.

Looking ahead, the proliferation of AI-generated propaganda, deepfake technologies, autonomous systems, cryptocurrency ecosystems, and increasingly sophisticated encryption technologies is expected to make digital terrorist networks more adaptive, decentralized, and significantly more difficult to detect and predict.

These technological developments will continue to transform both the operational capabilities of terrorist organizations and the complexity of the threat landscape confronting intelligence and security agencies worldwide.

In response, security institutions must continuously enhance their capabilities in big data analytics, behavioral intelligence, graph-based relationship analysis, predictive artificial intelligence, and international intelligence sharing.

The ability to transform massive volumes of heterogeneous data into timely, actionable intelligence will become one of the defining capabilities of future counterterrorism operations.

Ultimately, Cyber Counterterrorism should not be regarded merely as a specialized branch of cybersecurity. Rather, it should be understood as an interdisciplinary security paradigm that brings together national security, intelligence, law, technology, and international cooperation within a unified strategic framework.

In an era where cyberspace has become a primary operational domain for terrorist organizations, the integration of intelligence, advanced technologies, and strategic foresight will be indispensable for protecting critical infrastructure, safeguarding national security, and preserving international stability in the decades ahead.

Ultimately, achieving strategic superiority over terrorist organizations in the digital age is not simply a matter of deploying stronger firewalls or developing more sophisticated encryption technologies.

Rather, it depends on the ability to collect the right data at the right time, transform information gathered from diverse sources into actionable intelligence, and translate that intelligence into timely operational decisions.

The future of counterterrorism will therefore be shaped not by reactive security measures alone, but by predictive, intelligence-driven, and artificial intelligence–enabled decision-making frameworks.

As terrorist organizations continue to exploit the opportunities created by digital transformation, Cyber Counterterrorism will remain one of the most critical security paradigms of the twenty-first century integrating intelligence, advanced technologies, strategic foresight, and international cooperation to anticipate, disrupt, and neutralize emerging threats before they can materialize.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

References:

• Europol. (2021). European Union Terrorism Situation and Trend Report (TE-SAT 2021). Europol.

• Europol. (2022). European Union Terrorism Situation and Trend Report (TE-SAT 2022). Europol.

• Federal Bureau of Investigation (FBI). (2021). Operation Trojan Shield / ANOM: International Law Enforcement Operation.

• International Centre for Counter-Terrorism (ICCT). (2021). The Digitalisation of Terrorism.

• UN Office of Counter-Terrorism (UNOCT). (2022). Countering Terrorist Use of New Technologies.

• United Nations Office on Drugs and Crime (UNODC). (2022). Handbook on Terrorism Prevention and Criminal Justice Responses.

• NSA & CISA. (2023). Joint Cybersecurity Advisories.

• Council of Europe. (2001). Convention on Cybercrime (Budapest Convention). Strasbourg.

PODCAST Linki

“Görünmeyen şeyler, görünenlerden daha güçlü olabilir.” (Heraclitus)

İnterneti çoğu zaman görünmez bir alan gibi düşünürüz.

Bir e-posta gönderdiğimizde, bir yapay zeka modeline soru sorduğumuzda, bir video izlediğimizde veya uluslararası bir finansal işlem gerçekleştirdiğimizde verilerin “bulut” adı verilen soyut bir ortamda hareket ettiğini varsayarız.

Oysa dijital dünya, sanıldığının aksine son derece fiziksel bir altyapı üzerine kuruludur.

Okyanusların derinliklerinden geçen fiber optik kablolar, kıtaları birbirine bağlayan karasal ağlar, devasa veri merkezleri, enerji santralleri, soğutma sistemleri, uydu ağları, internet değişim noktaları ve bulut sağlayıcıları modern dünyanın görünmeyen omurgasını oluşturur.

Bugün jeopolitik mücadele yalnızca petrol sahaları, boğazlar, limanlar, ticaret yolları veya askeri üsler üzerinde yaşanmamaktadır.

Yeni mücadele alanlarından biri de verinin geçtiği yollar ve verinin işlendiği merkezlerdir.

Nitekim içinde bulunduğumuz yüzyılda güç artık yalnızca toprağı, enerjiyi veya üretimi kontrol etmekle ölçülmüyor.

Veriyi taşıyan, veriyi işleyen ve veriye erişimi yöneten aktörler de küresel güç mimarisinin merkezine yerleşiyor.

Bulut Aslında Yerde Durur ! Ve Hatta Denizlerin Altında !

“Bulut” kavramı dijital çağın en yanıltıcı ifadelerinden biridir.

Nitekim bulut, havada asılı duran soyut bir sistem değildir.

Bulut; Veri merkezlerinden, fiber optik kablolardan, yönlendiricilerden, sunuculardan, enerji altyapısından ve soğutma sistemlerinden oluşan devasa bir fiziksel ekosistemdir.

Bir şirket verilerini buluta taşıdığında aslında verilerini başka bir ülkenin, başka bir hukuk sisteminin veya başka bir teknoloji şirketinin fiziksel altyapısına emanet ediyor olabilir.

Bu nedenle bulut bilişim yalnızca teknik bir hizmet modeli değildir.

Aynı zamanda veri egemenliği, hukuk, güvenlik, istihbarat ve jeopolitik bağımlılık meselesidir.

Bir ülkenin kamu kurumları, bankaları, savunma ve üretim sanayisi, sağlık sistemleri ve kritik altyapıları yabancı bulut sağlayıcıları üzerinde çalışıyorsa, bu durum yalnızca operasyonel kolaylık sağlamaz, aynı zamanda stratejik bağımlılık da üretir.

Denizaltı Kabloları: Dijital Dünyanın Atardamarları

Modern internetin en kritik unsurlarından biri denizaltı fiber optik kablolardır.

Kıtalar arası veri trafiğinin büyük bölümü uydular üzerinden değil, okyanus tabanına döşenen fiber optik kablolar üzerinden taşınır.

Bunun nedeni basittir. Fiber optik kablolar, uydulara kıyasla çok daha yüksek kapasite, daha düşük gecikme ve daha düşük maliyet sağlar.

Bu kablolar sayesinde finansal piyasalar çalışır, uluslararası telefon görüşmeleri yapılır, bulut servisleri birbirine bağlanır, devlet kurumları veri alışverişi yapar, askeri iletişim ağları desteklenir ve küresel internet trafiği taşınır.

Bir başka ifadeyle, dijital ekonominin görünmeyen damarları denizlerin altındadır.

Bu durum denizaltı kablolarını yalnızca teknik altyapı unsuru olmaktan çıkarır.

Onları stratejik hedef, istihbarat değeri taşıyan varlık ve jeopolitik rekabet alanı haline getirir !

Peki Bu Kablolar Kırılgan mıdır?

Denizaltı kabloları binlerce kilometrelik hatlar boyunca okyanus tabanından geçer.

Bazı bölgelerde derin sulardan geçtikleri için erişilmesi zordur. Ancak kıyıya yaklaştıkları noktalarda, boğazlarda, sığ sularda ve yoğun deniz trafiğinin olduğu bölgelerde daha savunmasız hale gelirler.

Bu kablolar; Gemi çapaları, balıkçılık faaliyetleri, denizaltı heyelanları, depremler, sabotaj girişimleri, hibrit savaş faaliyetleri ve istihbarat operasyonları nedeniyle zarar görebilir.

Tek bir kablonun kesilmesi her zaman büyük bir felaket yaratmayabilir.

Nitekim internet çoğu zaman alternatif rotalar üzerinden trafiği yeniden yönlendirebilir.

Ancak bazı ülkeler, adalar veya bölgeler sınırlı sayıda kabloya bağlıdır. Bu tür yerlerde birkaç kablonun aynı anda zarar görmesi ciddi kesintilere yol açabilir !

Bu nedenle kablo güvenliği artık yalnızca telekom operatörlerinin konusu değildir.

Deniz kuvvetleri, istihbarat servisleri, siber güvenlik kurumları, enerji otoriteleri ve ulusal güvenlik yapıları için de kritik bir gündemdir.

Örnek: Baltık Denizi, Tayvan, Kızıldeniz ve Yeni Risk Haritası

Son yıllarda denizaltı kablolarına ilişkin güvenlik endişeleri artmıştır.

Baltık Denizi çevresinde yaşanan kablo hasarları, Avrupa’nın kuzeyinde hibrit tehdit tartışmalarını güçlendirmektedir.

Tayvan çevresindeki kablo olayları ise ada ülkelerinin dijital bağımlılığını ve denizaltı iletişim hatlarının stratejik önemini yeniden gündeme getirmiştir.

Kızıldeniz gibi deniz ticaretinin ve enerji geçişlerinin yoğun olduğu bölgelerde ise iletişim kabloları, deniz güvenliği riskleriyle iç içe geçmiş durumdadır.

Bu örnekler bize;

Geleceğin krizlerinde sadece limanlar, hava üsleri veya enerji tesislerinin hedef olmayacağını göstermektedir.

Denizaltı kabloları, internet değişim noktaları ve veri merkezleri de krizlerin görünmeyen hedefleri haline gelebilir.

Veri Merkezleri ve Veriyi Taşıyan Denizaltı Fiber Kablolar

Denizaltı kabloları veriyi taşır. Veri merkezleri ise veriyi işler, saklar ve dağıtır.

Bir veri merkezi dışarıdan bakıldığında büyük bir endüstriyel tesis gibi görünebilir. Ancak içeride binlerce sunucu, ağ cihazı, depolama sistemi, güvenlik bileşeni, soğutma altyapısı ve enerji yedeklilik mimarisi bulunur.

Bugün bankacılık işlemleri, sağlık kayıtları, e-ticaret sistemleri, devlet hizmetleri, sosyal medya platformları, yapay zekâ modelleri ve kurumsal uygulamalar veri merkezleri üzerinde çalışır.

Bu nedenle veri merkezleri artık yalnızca teknoloji tesisleri değildir.
Onlar dijital çağın kaleleridir.

Bir ülkenin veri merkezleri ne kadar güçlü, güvenli ve bağımsızsa dijital egemenliği de o kadar güçlüdür.

Hesaplama Gücü

Yapay Zeka çağında yeni stratejik kaynak hiç şüphesiz ‘Hesaplama Gücü’ olarak tanımlanabilir.

Ve bu noktada yapay zeka çağında veri merkezlerinin önemi daha da artmıştır demek mümkündür.

Nitekim büyük yapay zeka modelleri yalnızca veriye değil, devasa hesaplama gücüne ihtiyaç duyar.

GPU kümeleri, yüksek performanslı ağlar, özel soğutma sistemleri ve kesintisiz enerji altyapısı yapay zeka rekabetinin temel unsurları haline gelmiştir.

Bu noktada yeni bir jeopolitik denklem ortaya çıkmaktadır!

Kim daha fazla çipe sahipse, kim daha fazla enerji sağlayabiliyorsa, kim daha büyük veri merkezleri kurabiliyorsa, kim daha güvenli bağlantı altyapısına sahipse, yapay zeka çağında daha fazla stratejik avantaja sahip olacaktır.

Bu nedenle veri merkezleri, yapay zeka rekabetinin görünmeyen cephelerinden biridir!

Enerji Bağımlılığı

Bir diğer konu ise ‘Enerji Bağımlılığı’ dır. Bir başka ifade ile enerji bağımlılığı ‘Dijital Gücün Zayıf Karnı’dır!

Veri merkezleri çok büyük miktarda elektrik tüketir. Yapay zeka sistemleri büyüdükçe bu tüketim daha da artmaktadır.

Bu durum dijital altyapıları doğrudan enerji güvenliği meselesine bağlar.

Bir ülkenin veri merkezi stratejisi yalnızca teknoloji politikası değildir. Aynı zamanda enerji politikasıdır.

Enerji arzı istikrarsız olan, elektrik şebekesi zayıf olan veya yenilenebilir enerji kapasitesini doğru planlayamayan ülkeler, yapay zeka ve bulut bilişim yarışında geride kalabilir.

Bu nedenle geleceğin dijital güç haritası yalnızca fiber kablolarla değil, enerji santralleri, şebeke kapasitesi, su kaynakları ve soğutma teknolojileriyle de belirlenecektir.

Su Meselesi

‘Veri Merkezleri’ ve ‘Su Meselesi’ bir başka önemli konu olarak karşımıza çıkmaktadır!

Veri merkezleri yalnızca elektrik değil, bazı mimarilerde ciddi miktarda su da tüketebilir. Özellikle soğutma sistemlerinde su kullanımı, yerel halk ve çevre politikaları açısından tartışmalara yol açmaktadır.

Bu nedenle veri merkezi yatırımları artık birçok ülkede yalnızca ekonomik kalkınma projesi olarak görülmemektedir. Yerel halk, çevre kuruluşları ve kamu otoriteleri;

Bu tesis ne kadar elektrik tüketecek?
Su kaynaklarına etkisi ne olacak?
Yerel elektrik fiyatlarını artıracak mı?
Kaç kişiye istihdam sağlayacak?
Vergi teşvikleri gerçekten kamu yararına mı?
Ulusal güvenlik açısından nasıl korunacak?

gibi soruları günümüzde daha fazla sormaktadır:

Bu sorular, veri merkezlerinin artık teknik tesisler değil, toplumsal ve politik tartışma alanları haline geldiğini göstermektedir.

Bulut Sağlayıcılar

‘Bulut Sağlayıcıları’ ve ‘Dijital Egemenlik’ konusu da hiç şüphesiz ele almamız gereken konulardan biridir.

Bugün küresel bulut pazarında az sayıda büyük teknoloji şirketi belirleyici konumdadır.

Bu şirketler yalnızca ticari hizmet sağlayıcıları değildir, aynı zamanda devletlerin, orduların, bankaların, sağlık sistemlerinin ve kritik altyapıların dijital omurgasını taşıyan yapılardır.

Bu durum önemli bir soruyu gündeme getirir:
Bir ülkenin kritik verileri başka bir ülkenin teknoloji şirketlerinin altyapısında tutuluyorsa, o ülkenin dijital egemenliği ne kadar güçlüdür?

Bu soru özellikle kamu bulutu, savunma sanayisi, sağlık verileri, finansal kayıtlar ve kritik altyapı sistemleri açısından hayati önemdedir.

Veri egemenliği artık yalnızca “veri nerede saklanıyor?” sorusuyla sınırlı değildir.

Veriye kim erişebilir?
Veri hangi hukuk sistemine tabidir?
Altyapıyı kim işletir?
Şifreleme anahtarları kimdedir?
Yedekleme hangi ülkededir?
Kriz anında hizmeti kim durdurabilir?
Yaptırım dönemlerinde erişim nasıl etkilenir?

gibi soruların cevapları ülkelerin dijital bağımsızlık kapasitesini belirler niteliktedir.

Denizaltı Kabloları ve İstihbarat

Denizaltı kabloları yalnızca iletişim altyapısı değildir. Aynı zamanda istihbarat açısından da yüksek değer taşıyan yapılardır.

Nitekim küresel veri akışı bu kablolar üzerinden geçer.

Bu akışın nereden geçtiği, hangi ülkeleri bağladığı, hangi şirketler tarafından işletildiği ve hangi noktalarda karaya çıktığı stratejik öneme sahiptir.

Tarih boyunca iletişim hatları istihbarat faaliyetlerinin hedefi olmuştur.

Telgraf hatlarından telefon santrallerine, uydu bağlantılarından fiber optik kablolara kadar iletişim altyapısı her zaman devletlerin ve devletlere bağlı istihbarat örgütlerinin ilgi alanında olmuştur.

Günümüzde de denizaltı kabloları;

Trafik analizi,
Sinyal istihbaratı,
Veri akış haritalama,
Kriz dönemlerinde kesinti riski,
Stratejik bağımlılık analizi

açısından önem taşır.

Bu nedenle kablo güzergahları teknik haritalar olmaktan çıkıp jeopolitik haritalara dönüşmektedir.

Kritik Boğazlar ve Dijital Coğrafya

Dünya ticaretinde Malakka Boğazı, Hürmüz Boğazı, Süveyş Kanalı ve Türk Boğazları nasıl stratejik öneme sahipse, dijital dünyada da bazı kablo geçiş noktaları aynı şekilde kritik hale gelmektedir.

Kabloların yoğunlaştığı boğazlar, kıyı ülkeleri, ada devletleri ve veri merkezi kümelenmeleri dijital jeopolitiğin yeni düğüm noktalarıdır.

Bu noktalar hem ekonomik değer taşır hem de kriz anlarında kırılganlık yaratır.

Geleceğin jeopolitik haritaları yalnızca petrol boru hatlarını değil, fiber optik kablo rotalarını ve veri merkezi kümelerini de göstermek zorunda kalacaktır.

Hibrit Savaş ve Dijital Altyapı

Hibrit savaş, askeri ve askeri olmayan yöntemlerin birlikte kullanıldığı çatışma biçimidir.

Bu yaklaşımda siber saldırılar, dezenformasyon, ekonomik baskı, enerji kesintileri, sabotajlar ve diplomatik baskılar aynı stratejinin parçaları olabilir.

Denizaltı kabloları ve veri merkezleri hibrit savaş açısından cazip hedeflerdir.

Nitekim bu yapılara verilecek zarar, doğrudan askeri saldırı sayılmadan büyük ekonomik ve toplumsal etki yaratabilir.

Bir ülkenin internet bağlantısını yavaşlatmak, finansal işlem kapasitesini etkilemek, bulut servislerini kesintiye uğratmak veya veri merkezi operasyonlarını hedef almak, modern toplumlarda ciddi sonuçlar doğurabilir.

Bu nedenle dijital altyapı güvenliği artık sadece siber güvenlik ekiplerinin görevi değildir.

Bu konu ulusal güvenlik, deniz güvenliği, enerji güvenliği, istihbarat, hukuk ve diplomasi alanlarının birlikte ele alması gereken stratejik bir meseledir.

(OT) Operasyonel Teknolojiler Güvenliği ile Bağlantı

Denizaltı kabloları ve veri merkezleri konusunun (OT) Operasyonel Teknolojiler güvenliği ile de güçlü bir bağlantısı vardır.

Veri merkezleri yalnızca (IT) Bilgi Teknolojileri sistemlerinden oluşmaz. İçlerinde enerji dağıtım sistemleri, jeneratörler, UPS sistemleri, soğutma altyapısı, yangın algılama sistemleri, fiziksel güvenlik sistemleri, bina otomasyon sistemleri ve çevresel izleme çözümleri bulunur.

Bu sistemlerin büyük bölümü operasyonel teknoloji bileşenleriyle ilişkilidir.

Bir veri merkezinin siber güvenliği yalnızca firewall, EDR, IPS veya SIEM ile sağlanamaz.

Aynı zamanda;

Enerji sürekliliği,
Soğutma sistemleri,
Bina otomasyonu,
Fiziksel erişim kontrolü,
Tedarik zinciri güvenliği,
Yedeklilik mimarisi,
Felaket kurtarma planları

birlikte değerlendirilmelidir.

Bu nedenle veri merkezleri, IT ve OT güvenliğinin kesiştiği en kritik alanlardan biridir.

Dijital İmparatorluklar

Geçmişte imparatorluklar deniz yollarını, limanları, kaleleri ve ticaret merkezlerini kontrol ederek güç sahibi oluyordu.

Bugün ise dijital imparatorluklar denizaltı kablolarını, veri merkezlerini, bulut platformlarını, işletim sistemlerini, yapay zeka altyapılarını ve veri akışlarını kontrol ederek güç kazanıyor.

Bu yeni güç biçimi daha sessizdir.
Sınırları haritalarda görünmez.
Askeri üniforma taşımaz.
Ancak etkisi son derece derindir.

Bir ülkenin dijital altyapısı başka aktörlere bağımlı hale geldiğinde, ekonomik ve siyasi karar alma kapasitesi de dolaylı olarak etkilenebilir.

Bu nedenle dijital çağda bağımsızlık yalnızca toprak bütünlüğüyle değil, veri egemenliği ve altyapı dayanıklılığıyla da ilgilidir.

Türkiye Açısından Stratejik Okuma

Türkiye, coğrafi konumu nedeniyle enerji, lojistik ve iletişim hatları açısından doğal bir geçiş merkezidir.

Avrupa, Asya, Orta Doğu, Kafkasya ve Akdeniz arasında yer alan Türkiye, dijital altyapı açısından da önemli bir merkez olma potansiyeline sahiptir.

Bu potansiyelin stratejik değere dönüşmesi için yalnızca veri merkezi yatırımları yeterli değildir.

Aynı zamanda;

Güçlü fiber omurga,
Güvenli denizaltı kablo bağlantıları,
Yerli veri merkezi kapasitesi,
Bulut egemenliği stratejisi,
Kritik altyapı güvenliği,
OT/ICS güvenlik standartları,
Enerji sürekliliği,
Siber savunma kapasitesi,
Ulusal veri politikaları

birlikte ele alınmalıdır.

Türkiye için dijital altyapı politikası, yalnızca teknoloji yatırımı değil, jeopolitik konumun dijital çağa uyarlanması anlamına gelir.

Ancak hiç şüphesiz her ülke gibi Türkiye’nin de kendi milli teknolojilerini üretmesi kaçınılmaz bir gerekliliktir.

Aksi halde salt ‘Veri Merkezi bina sahipliği’ ya da ‘Fiber Omurga geçiş güzergahı’ olma durumu kaçınılmazdır.

Mavi Vatan’ın Yeni Boyutu

Mavi Vatan, Türkiye’nin çevre denizlerdeki hak ve menfaatlerini, deniz yetki alanlarını, ekonomik çıkarlarını ve deniz güvenliğini korumaya yönelik stratejik bir doktrindir.

Bugüne kadar Mavi Vatan tartışmaları daha çok;

Münhasır Ekonomik Bölge (MEB)
Enerji kaynakları
Deniz ticaret yolları
Deniz kuvvetleri
Deniz güvenliği

gibi çerçevelerde yürütülmüştür.

Ancak dijital çağda denizlerin altında yeni bir stratejik unsur daha bulunmaktadır: Denizaltı fiber optik kabloları.

Bu bağlamda ‘Dijital Mavi Vatan’ yaklaşımı;

Denizaltı fiber optik kablolarının korunması,
Veri koridorlarının güvenliği,
Kritik iletişim altyapılarının dayanıklılığı,
Deniz tabanındaki dijital varlıkların izlenmesi,
Denizaltı sensör ağları,
Otonom deniz sistemleri,

gibi konuları kapsayabilir.

Nasıl ki bir ülke enerji hatlarını koruyorsa, gelecekte veri hatlarını da korumak zorunda kalacaktır !

Yirminci yüzyılda denizlerin altında petrol ve doğal gaz aranıyordu.
Yirmibirinci yüzyılda ise denizlerin altında verinin aktığı görünmez otoyollar bulunmakta.

Mavi Vatan'ın geleceği yalnızca enerji kaynaklarının korunmasıyla değil, dijital dünyanın sinir sistemi haline gelen denizaltı kablolarının güvenliğiyle de şekillenecektir.

Nitekim geleceğin jeopolitiğinde veriyi taşıyan hatlar, enerji hatları kadar stratejik hale gelmektedir.

Sonuç

Dijital dünya sandığımız kadar görünmez değildir. İnternetin, bulutun ve yapay zekânın arkasında son derece fiziksel ve kırılgan bir altyapı vardır.

Denizaltı kabloları veriyi taşır.
Veri merkezleri veriyi işler.
Enerji altyapısı sistemi ayakta tutar.
Bulut sağlayıcıları erişimi yönetir.
Devletler ve şirketler bu altyapılar üzerinde stratejik rekabet yürütür.

Bu nedenle 21. yüzyılın jeopolitik mücadelesi yalnızca kara, deniz, hava, uzay ve siber alanda yaşanmıyor.

Yeni cephelerden biri de dijital altyapının kendisidir.

Gelecekte güç, yalnızca en büyük ordulara veya en zengin enerji kaynaklarına sahip olanların elinde olmayacak.

Verinin geçtiği yolları, işlendiği merkezleri ve korunduğu altyapıları yönetenler de küresel güç dengesinde belirleyici rol oynayacak.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça:

• Cem Gürdeniz (2020). Mavi Vatan’ın Güney Cephesi: Doğu Akdeniz. Pankuş Yayınları.

• Mavi Vatan Geopolitics (Cem Gürdeniz Substack) Güncel deniz jeopolitiği, deniz yetki alanları ve Mavi Vatan yaklaşımına ilişkin analizler.

• Lawfare – Undersea Cables and the Material Politics of Digital Connectivity, Denizaltı kablolarının güvenlik, egemenlik ve jeopolitik boyutları.

• The Arctic Institute – Geopolitics of Subsea Cables in the Arctic,
  Denizaltı kablolarının jeopolitik rekabet içindeki rolü.

Giriş

Modern OT (Operasyonel Teknoloji) sistemlerinde en kritik risk, bir saldırıya uğramak değil, sistemin çalışamaz hale gelmesidir.

Nitekim OT (Operasyonel Teknoloji) dünyasında kesinti, yalnızca dijital bir problem değil, doğrudan fiziksel sonuçlar üreten bir kırılmadır.

Üretim hatlarının durması, enerji dağıtımının kesilmesi ya da kritik altyapıların devre dışı kalması, bu kesintinin doğrudan yansımalarıdır.

Bu nedenle OT (Operasyonel Teknoloji) sistemlerinde güvenlik yaklaşımı tek başına yeterli değildir.

Hiçbir sistem tamamen güvenli değildir ve hiçbir savunma modeli kesintiyi mutlak olarak engelleyemez !

Bu gerçeklik, temel sorunun değişmesine neden olur:

“Saldırı olacak mı?” değil,
“Saldırı olduğunda sistem ne kadar süre ayakta kalabilecek?”

Bu sorunun cevabı, iki kritik yaklaşımın kesişiminde yer alır:
ISO 22301 ve IEC 62443.

• ISO 22301 - Business Continuity Management System (BCMS),
  Türkçesi “İş Sürekliliği Yönetim Sistemi” olarak tanımlanırken,
  

• IEC 62443 - Standards for Securing Industrial Automation and Control Systems, Türkçesi “Endüstriyel Otomasyon ve Kontrol Sistemlerinin Güvenliğini Sağlama Standartları” olarak tanımlanmaktadır.

Aşağıda kısaca bu iki standardı analiz edelim.

ISO 22301 ve IEC 62443 Nedir?

ISO 22301, organizasyonların kesintilere karşı hazırlıklı olmasını, bu kesintilere yanıt vermesini ve operasyonlarını sürdürebilir hale getirmesini sağlayan bir
”İş Sürekliliği Yönetim Sistemi” Standardıdır. Bu yaklaşım, sürekliliği bir sonuç değil, önceden tasarlanmış bir kapasite olarak ele alır.

IEC 62443 ise “Endüstriyel Kontrol Sistemlerinin Siber Güvenliği”ni sağlayan kapsamlı bir standartlar ailesidir. Bu standart, sistemlerin nasıl korunacağını, nasıl segmentlere ayrılacağını ve hangi güvenlik seviyelerinde işletileceğini tanımlar.

Bu iki standart farklı sorulara cevap verir:

• IEC 62443 → Sistem nasıl korunur?

• ISO 22301 → Sistem nasıl çalışmaya devam eder?

Bu durum, OT (Operasyonel Teknoloji) sistemlerinde güvenlik ve sürekliliğin birbirinden ayrı değil, birbirini tamamlayan yapılar olduğunu ortaya koyar.

Riskten Sürekliliğe ve Güvenliğe

Geleneksel yaklaşımda güvenlik ve süreklilik ayrı disiplinler olarak ele alınmıştır.

Güvenlik, tehditleri engellemeye odaklanırken,
Süreklilik, kesinti sonrası toparlanmayı hedefler.

Ancak OT sistemlerinde bu ayrım geçerliliğini yitirir.

Nitekim bir güvenlik ihlali çoğu zaman doğrudan kesinti üretir.
Bu nedenle “güvenlik” ve “süreklilik” aynı problemin iki farklı boyutu haline gelir.

• IEC 62443, sistemin saldırıya uğramasını zorlaştırır.

  Ağ segmentasyonu, güvenlik seviyeleri ve erişim kontrolleri ile tehdit yüzeyini azaltır.

• ISO 22301 ise bu saldırının kaçınılmaz olduğu varsayımından hareket eder ve sistemin bu koşullar altında nasıl çalışmaya devam edeceğini tanımlar.

Bu birleşim, OT sistemlerinde yeni bir yaklaşım doğurur:

Amaç yalnızca sistemi korumak değil,
korunan sistemin potansiyel bir sorunda çalışmaya devam etmesini sağlamaktır !

BIA, Security Levels ve Mimari Yaklaşım

ISO 22301’in Business Impact Analysis (BIA) yaklaşımı, hangi süreçlerin kritik olduğunu ve bu süreçlerin ne kadar süre kesintiye dayanabileceğini belirler.
Türkçe ifade ile “İş Etki Analizi” olarak kabul edebiliriz.

Bu analiz sonucunda RTO (Recovery Time Objective) ve
RPO (Recovery Point Objective) gibi ölçülebilir hedefler ortaya konur.
(RTO-Kurtarma Süresi Hedefi ve RPO-Kurtarma Noktası Hedefi olarak çevirebiliriz).

IEC 62443 ise Security Level (SL) kavramı (Güvenlik Seviyesi) ile sistemin hangi tehdit seviyesine karşı korunması gerektiğini tanımlar.
Aynı zamanda “Zones & Conduits” modeli ile sistemin mimari olarak nasıl segmentlere ayrılacağını belirler (Bölgeler ve Kanallar).

Bu iki yaklaşım birleştiğinde:

• BIA (Business Impact Analysis) → Hangi sistem kritik

• SL (Security Level) → Ne kadar korunmalı

• Zones → Nerede korunmalı

• Conduits → Nasıl erişilmeli

Sorularına birlikte cevap verilir.

Bu da OT güvenliğini yalnızca teknik bir kontrol seti olmaktan çıkarır ve onu ölçülebilir, tasarlanabilir bir mimari yapı haline getirir.

OT Sistemlerinde Süreklilik ve Güvenlik Gerçekliği

OT ortamlarında teorik modeller, çoğu zaman pratik sınırlamalarla karşılaşır.
Legacy sistemler, eski protokoller ve yüksek erişilebilirlik gereksinimleri, modern güvenlik yaklaşımlarının doğrudan uygulanmasını zorlaştırır.

Birçok endüstriyel cihaz:

• Kimlik doğrulamayı desteklemez

• Şifreleme kullanmaz

• Kesintiye tolerans göstermez

Bu nedenle “güvenlik” ve “süreklilik”, sistemin içinde değil, sisteme erişim noktası baz alınarak kurgulanır.

Bu noktada kritik gerçek aşağıdaki şekilde ifade edilebilir:

OT sistemlerinde güvenlik, cihazı değiştirmekle değil,
cihaza nasıl erişildiğini değiştirmekle sağlanır.

Bu yaklaşım, IEC 62443’ün mimari yapısı ile ISO 22301’in süreklilik yaklaşımını aynı noktada buluşturur.

Kriz Anı: Plan mı, Refleks mi?

Kriz anı, sistemlerin değil organizasyonların test edildiği andır.

Planlar yön gösterir, ancak kriz anında belirleyici olan reflekslerdir.

Nitekim belirsizlik ve zaman baskısı altında insanlar prosedürlere değil, alışkanlıklarına göre hareket eder.

ISO 22301 bu nedenle yalnızca plan üretmeyi değil, organizasyonel refleksleri geliştirmeyi hedefler. Tatbikatlar ve senaryo çalışmaları sayesinde kriz yönetimi bir bilgi olmaktan çıkar, bir davranış haline gelir.

OT sistemlerinde bu durum daha kritiktir. Nitekim alınan kararlar yalnızca dijital değil, fiziksel sonuçlar doğurur.

Bu nedenle hızlı, doğru ve koordineli hareket etmek hayati önem taşır.

Sonuç: Süreklilik ve Güvenliğin Kesişimi

ISO 22301 ve IEC 62443 birlikte ele alındığında, OT sistemlerinde güvenliğin anlamı köklü biçimde değişir.

Güvenlik artık yalnızca bir savunma mekanizması değil, sürekliliğin ön koşulu, süreklilik ise güvenliğin gerçek sınavı haline gelir.

Bu iki yaklaşımın kesişiminde ortaya çıkan model, sistemi “korunan bir yapı” olmaktan çıkarır ve onu “kesinti altında dahi işlevini sürdürebilen bir organizma” haline getirir.

IEC 62443, sistemi segmentlere ayırarak, erişimleri sınırlandırarak ve tehdit yüzeyini küçülterek saldırının gerçekleşmesini zorlaştırır.

ISO 22301 ise bu savunmanın mutlak olmadığını kabul eder ve kaçınılmaz bir kesinti durumunda sistemin nasıl tepki vereceğini tanımlar.

Bu iki yaklaşım birlikte düşünüldüğünde, güvenlik artık yalnızca “engelleme” değil, aynı zamanda kontrollü devamlılık üretme kapasitesi anlamına gelir.

Bu noktada kritik olan, bu iki yapının birbirinden bağımsız uygulanmamasıdır !

Güvenlik kontrolleri sürekliliği zedelediğinde, sistem teorik olarak daha güvenli hale gelirken pratikte daha kırılgan hale gelebilir.

Benzer şekilde yalnızca sürekliliğe odaklanan bir yaklaşım, sistemi çalışır tutarken onu savunmasız bırakabilir.

Bu nedenle doğru mimari, bu iki alanı dengeleyen değil, onları birbirine entegre eden bir yaklaşımdır.

OT sistemlerinde bu entegrasyon özellikle şu alanlarda belirginleşir:

• Kritik süreçlerin önceliklendirilmesi ve buna uygun güvenlik seviyelerinin tanımlanması

• Erişimlerin yalnızca güvenli değil, aynı zamanda sürdürülebilir olacak şekilde tasarlanması

• Segmentasyon yapısının yalnızca izolasyon değil, kontrollü iletişim üretmesi

• Kriz anında devreye girecek alternatif operasyon modellerinin önceden tanımlanması

Bu yapı, güvenliği statik bir kontrol listesi olmaktan çıkarır ve onu sistemin davranışına gömülü bir özellik haline getirir.

Böylece sistem yalnızca “korunan” değil, aynı zamanda kendi bozulma senaryolarını yönetebilen bir yapıya dönüşür.

Bu dönüşüm, OT güvenliğinde daha derin bir kırılmaya işaret eder.

Artık ele alınması gereken konu yalnızca sistemin güvenli olup olmadığı değildir.

Konu, sistemin ne kadar süreyle, hangi koşullar altında ve ne tür bir bozulma durumunda işlevini sürdürebildiğidir.

Bu da güvenliği bir “durum” olmaktan çıkarır ve onu “zaman, bağlam ve davranış” üzerinden tanımlanan bir süreç haline getirir.

Sonuç olarak OT dünyasında gerçek güvenlik, kesintinin hiç yaşanmaması değil, kesintinin sistem üzerinde kontrolsüz bir etki üretmemesidir.

Bir sistemin değeri, saldırıya uğramamasıyla değil,
saldırıya uğradığında da işlevini sürdürebilme kapasitesiyle ölçülür.

Ve bu kapasite,
süreklilik ile güvenliğin mimari düzeyde birleştiği noktada inşa edilir.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça

• International Organization for Standardization.
  ISO 22301: Business Continuity Management Systems (BCMS).
  Business continuity, operational resilience, crisis management, recovery planning, and organizational continuity frameworks.

• International Electrotechnical Commission / International Society of Automation. IEC 62443 Series – Industrial Automation and Control Systems Security.
  Industrial cybersecurity architecture, zones and conduits, security levels, defense-in-depth, and OT risk management.

Introduction

In modern Operational Technology (OT) systems, the most critical risk is not being attacked, but the system becoming inoperable.

In fact, in the OT domain, disruption is not merely a digital issue, it is a rupture that produces direct physical consequences.

The stoppage of production lines, interruptions in energy distribution, or the failure of critical infrastructure are all direct manifestations of such disruptions.

For this reason, a security-focused approach alone is not sufficient in OT systems.

No system is ever completely secure, and no defensive model can absolutely prevent disruption. This reality shifts the fundamental question:

Not “Will an attack occur?”
but “When an attack occurs, how long can the system remain operational?”

The answer to this question lies at the intersection of two critical approaches:
ISO 22301 and IEC 62443.

• ISO 22301 is defined as the Business Continuity Management System (BCMS),

• IEC 62443 is defined as the set of Standards for Securing Industrial Automation and Control Systems.

What Are ISO 22301 and IEC 62443?

ISO 22301 is a Business Continuity Management System (BCMS) standard that enables organizations to prepare for disruptions, respond effectively to them, and maintain their operations. This approach treats continuity not as an outcome, but as a pre-designed capability.

IEC 62443, on the other hand, is a comprehensive family of standards focused on the Cybersecurity of Industrial Control Systems (ICS). It defines how systems should be protected, how they should be segmented, and under which security levels they should operate.

These two standards address different, yet complementary questions:

• IEC 62443 → How is the system protected?

• ISO 22301 → How does the system continue to operate when disrupted?

This distinction reveals that, in Operational Technology (OT) environments, security and continuity are not separate concerns, but interdependent and complementary structures.

From Risk to Continuity and Security

In traditional approaches, security and continuity have been treated as separate disciplines. Security focuses on preventing threats, while continuity aims to recover after a disruption.

However, in OT systems, this distinction loses its validity.

In fact, a security breach in OT environments often directly results in operational disruption. For this reason, security and continuity become two dimensions of the same problem.

IEC 62443 makes it more difficult for systems to be compromised. It reduces the attack surface through network segmentation, security levels, and access controls.

ISO 22301, on the other hand, operates under the assumption that such attacks are inevitable and defines how the system should continue functioning under these conditions.

This convergence gives rise to a new approach in OT systems:

The objective is not only to protect the system,
but to ensure that the protected system continues to operate.

BIA, Security Levels, and the Architectural Approach

ISO 22301’s Business Impact Analysis (BIA) approach identifies which processes are critical and how long these processes can tolerate disruption.

As a result of this analysis, measurable objectives such as RTO (Recovery Time Objective) and RPO (Recovery Point Objective) are defined.

IEC 62443, on the other hand, defines the level of protection required against different threat scenarios through the concept of Security Levels (SL).
It also establishes how systems should be architecturally segmented through the “Zones & Conduits” model.

When these two approaches are combined, they collectively answer the following questions:

• BIA (Business Impact Analysis) → Which systems are critical?

• SL (Security Level) → How much protection is required?

• Zones → Where should protection be applied?

• Conduits → How should access be controlled?

This integration transforms OT security from a mere set of technical controls into a measurable and architecturally designed framework.

The Reality of Continuity and Security in OT Systems

In OT environments, theoretical models often encounter practical limitations.
Legacy systems, outdated protocols, and high availability requirements make it difficult to directly implement modern security approaches.

Many industrial devices:

• Do not support authentication

• Do not use encryption

• Cannot tolerate downtime

For this reason, security and continuity are not designed within the system itself, but rather through the way access to the system is managed.

At this point, a critical reality can be stated as follows:

In OT systems, security is not achieved by changing the device,
but by changing how the device is accessed.

This approach brings together the architectural framework of IEC 62443 and the continuity perspective of ISO 22301 at a common point.

Crisis Moment: Plan or Reflex?

A crisis is not a test of systems, but of organizations.

Plans provide direction, but in a crisis, what truly determines the outcome is reflex. Under uncertainty and time pressure, people do not follow procedures; they act based on habits and experience.

For this reason, ISO 22301 aims not only to produce plans, but to develop organizational reflexes. Through exercises and scenario-based simulations, crisis management evolves from knowledge into behavior.

In OT systems, this becomes even more critical. Decisions made during a crisis produce not only digital, but also physical consequences.

Therefore, acting quickly, accurately, and in a coordinated manner is of vital importance.

Conclusion: The Intersection of Continuity and Security

When ISO 22301 and IEC 62443 are considered together, the meaning of security in OT systems fundamentally changes.

Security is no longer merely a defensive mechanism; it becomes a prerequisite for continuity, while continuity becomes the true test of security.

The model that emerges at the intersection of these two approaches transforms systems from being “protected structures” into organisms capable of sustaining their functionality even under disruption.

• IEC 62443 makes attacks more difficult by segmenting systems, restricting access, and reducing the attack surface.

• ISO 22301, on the other hand, acknowledges that such defenses are not absolute and defines how the system should respond under inevitable disruption scenarios.

When these two approaches are combined, security is no longer just about “prevention,” but also about the ability to maintain controlled continuity under adverse conditions.

At this point, the critical issue is that these two structures must not be implemented independently of each other.

When security controls undermine continuity, a system may become theoretically more secure, yet practically more fragile. Similarly, an approach focused solely on continuity may keep the system operational while leaving it vulnerable.

Therefore, the correct architecture is not one that merely balances these two domains, but one that integrates them into a unified approach.

In OT systems, this integration becomes particularly evident in the following areas:

• Prioritizing critical processes and defining appropriate security levels accordingly

• Designing access in a way that is not only secure, but also sustainable

• Ensuring that segmentation structures enable not just isolation, but controlled communication

• Predefining alternative operational models that can be activated during crisis situations

This structure transforms security from a static checklist into a capability embedded within the system’s behavior.

As a result, the system is not only “protected,” but also becomes capable of managing its own failure scenarios.

This transformation signals a deeper shift in OT security.

The issue is no longer simply whether a system is secure.
Rather, it is how long the system can sustain its function, under what conditions, and in the face of what types of disruption.

This reframes security from a static “state” into a process defined by time, context, and behavior.

Ultimately, in the OT world, true security is not the absence of disruption, but the ability to prevent disruption from having an uncontrolled impact on the system.

A system’s value is not measured by its ability to avoid attacks,
but by its capacity to continue functioning even when under attack.

And this capacity is built at the point where
continuity and security converge at the architectural level.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

References

• International Organization for Standardization.
  ISO 22301: Business Continuity Management Systems (BCMS).
  Business continuity, operational resilience, crisis management, recovery planning, and organizational continuity frameworks.

• International Electrotechnical Commission / International Society of Automation. IEC 62443 Series – Industrial Automation and Control Systems Security.
  Industrial cybersecurity architecture, zones and conduits, security levels, defense-in-depth, and OT risk management.

PODCAST Linki

Fiziksel Dünyayı Anlama Arayışı

İnsanlık tarihindeki büyük teknolojik dönüşümlerin ortak bir özelliği vardır:
Her biri görünmeyeni görünür hale getirmiştir.

Buhar makinesi insan kas gücünün sınırlarını aşmış, elektrik geceleri aydınlatmış, bilgisayarlar bilgiyi işleyebilir hale getirmiş, internet ise dünyanın dört bir yanındaki insanları birbirine bağlamıştır.

Ancak tüm bu teknolojik gelişmelere rağmen fiziksel dünyanın kendisi uzun yıllar boyunca büyük ölçüde bir “kara kutu” olarak kalmıştır.

Bir fabrikanın üretim hattı çalışırken içeride neler olduğunu ancak belirli ölçüde görebiliyor, bir enerji santralindeki ekipmanların gerçek durumunu ancak arıza meydana geldiğinde anlayabiliyor veya bir şehrin karmaşık altyapı sistemlerinin birbirleriyle olan ilişkilerini ancak kriz anlarında fark edebiliyorduk.

Aslında modern mühendislik uzun yıllardır fiziksel sistemleri anlamaya çalışmaktadır.

Bunun için çizimler, simülasyonlar, matematiksel modeller ve analiz yöntemleri geliştirilmiştir.

Fakat bütün bu yöntemlerin temel bir eksikliği bulunuyordu: Fiziksel dünya sürekli değişirken modeller statik kalıyordu. Gerçek dünya ile dijital dünya arasında sürekli ve canlı bir bağ kurulamıyordu.

Dijital İkiz Kavramının Ortaya Çıkışı

Dijital ikiz kavramı tam da bu noktada ortaya çıkmıştır.

Dijital ikizler, en basit ifadeyle fiziksel bir varlığın, sistemin veya sürecin gerçek zamanlı olarak güncellenen dijital temsilidir.

Ancak bu tanım, teknolojinin gerçek kapsamını anlatmak için yeterli değildir.

Nitekim dijital ikiz yalnızca bir kopya değildir. Aynı zamanda fiziksel sistemin hafızası, aynası ve geleceğe ilişkin tahmin mekanizmasıdır.

Fiziksel dünyada meydana gelen her olay dijital ortama aktarılır, dijital ortamda analiz edilir ve tekrar fiziksel dünyaya geri beslenir.

Böylece fiziksel sistem ile dijital model arasında sürekli bir etkileşim döngüsü oluşur.

Neden Devrimsel Bir Teknoloji?

Bu durumun önemi ilk bakışta tam olarak anlaşılamayabilir.

Ancak bugün kullandığımız birçok kritik sistemin aslında sınırlı görünürlükle yönetildiğini düşündüğümüzde dijital ikizlerin neden devrimsel olarak görüldüğü daha net ortaya çıkmaktadır.

Örneğin büyük bir ilaç üretim tesisini ele alalım.

Tesiste yüzlerce PLC, onlarca SCADA sunucusu, temiz oda sistemleri, HVAC altyapıları, saf su üretim sistemleri, dolum makineleri ve paketleme hatları bulunmaktadır.

PLC (Programmable Logic Controller) Türkçede genellikle Programlanabilir Mantık Denetleyicisi olarak adlandırılır. PLC’ler fabrikalarda, enerji tesislerinde, su arıtma tesislerinde, rafinerilerde, ilaç üretim tesislerinde ve benzeri endüstriyel ortamlarda fiziksel süreçleri kontrol etmek için kullanılır.

SCADA (Supervisory Control and Data Acquisition) Türkçede genellikle Merkezi Gözetim, Kontrol ve Veri Toplama Sistemi olarak ifade edilir. SCADA, endüstriyel tesislerde bulunan PLC’leri, sensörleri ve saha ekipmanlarını merkezi olarak izlemek ve yönetmek için kullanılan sistemdir.

HVAC (Heating, Ventilation and Air Conditioning) Türkçede; Isıtma, Havalandırma ve İklimlendirme Sistemleri anlamına gelir. Ancak endüstriyel tesislerde HVAC yalnızca ortamı serinleten veya ısıtan bir klima sistemi değildir.
Özellikle: İlaç fabrikalarında, veri merkezlerinde, hastanelerde, temiz odalarda, yarı iletken üretim tesislerinde HVAC sistemleri doğrudan üretim kalitesini ve ürün güvenliğini etkiler. Bu bağlamda HVAC sistemi; Ortam sıcaklığını ve nem seviyesini kontrol eder, hava akışını düzenler, partikül miktarını azaltır, basınç farklarını yönetir, kontaminasyonu (bulaşmayı/kirlenmeyi) önler. Özetle; HVAC sistemi üretim alanının görünmeyen koruma kalkanıdır.

Bu sistemler Operasyonel Teknolojilerin (OT) bileşenleridir.

Bu sistemlerin tamamı birbiriyle bağlantılıdır ve herhangi bir noktadaki küçük bir değişiklik üretim kalitesini, güvenliği veya iş sürekliliğini etkileyebilir.

Geleneksel yaklaşımda mühendisler bu sistemleri belirli raporlar, alarm ekranları ve geçmiş kayıtlar üzerinden izler.

Ancak dijital ikiz yaklaşımında tesisin tamamı dijital ortamda canlı olarak yeniden oluşturulur.

Böylece yalnızca mevcut durum değil, gelecekte ortaya çıkabilecek senaryolar da analiz edilebilir.

Bu noktada dijital ikizlerin yalnızca operasyonel verimlilik sağlayan bir teknoloji olmadığı anlaşılmaktadır.

Aslında dijital ikizler fiziksel dünyayı ölçülebilir, analiz edilebilir ve öngörülebilir hale getiren yeni bir paradigma sunmaktadır.

Birçok teknoloji araştırmacısının dijital ikizleri “fiziksel dünyanın işletim sistemi” olarak tanımlamasının nedeni de budur.

Dijital İkizleri Mümkün Kılan Teknolojiler

Dijital ikizlerin gelişimini mümkün kılan üç temel teknoloji bulunmaktadır.

• Bunlardan ilki ‘Nesnelerin Interneti’ dir (IoT). Sensör maliyetlerinin düşmesi ve ağ bağlantılarının yaygınlaşması sayesinde artık fiziksel dünyadaki neredeyse her varlık veri üretebilmektedir.

  
  Bir pompanın titreşimi, bir motorun sıcaklığı, bir vananın konumu veya bir odanın nem oranı sürekli olarak ölçülebilmektedir.
  

• İkinci temel teknoloji ‘Bulut Bilişim’ dir. Nitekim milyonlarca sensörden gelen verinin depolanması ve işlenmesi için büyük hesaplama kapasitesine ihtiyaç duyulmaktadır.
  

• Üçüncü ve belki de en kritik teknoloji ise ‘Yapay Zeka’ dır. Nitekim veri tek başına anlam ifade etmez. Verinin analiz edilmesi, ilişkilerin kurulması ve geleceğe yönelik tahminlerin yapılması gerekir.

  
  Yapay zeka dijital ikizleri sıradan bir veri toplama sisteminden stratejik bir karar destek mekanizmasına dönüştürmektedir.

OT Dünyasında Dijital İkizlerin Önemi

Özellikle Operasyonel Teknoloji (OT) dünyasında dijital ikizlerin etkisi çok daha büyük olacaktır.

Bilgi teknolojileri sistemlerinde test yapmak görece kolaydır. Bir sanal makine oluşturabilir, yeni bir yazılımı deneyebilir veya farklı güvenlik yapılandırmalarını test edebilirsiniz.

Ancak Operasyonel Teknoloji (OT) ortamlarında durum tamamen farklıdır. Bir enerji santralini, petrol rafinerisini veya ilaç üretim hattını durdurup deneme yapmak çoğu zaman mümkün değildir.

Nitekim üretim kesintisi milyonlarca dolarlık kayıplara neden olabilir. Ayrıca insan güvenliği ve çevresel etkiler gibi faktörler de söz konusudur.

Bu nedenle Operasyonel Teknoloji (OT) sistemlerinde birçok değişiklik son derece dikkatli şekilde uygulanmak zorundadır.

IEC 62443 ve Dijital İkiz Yaklaşımı

Dijital ikizler bu soruna yeni bir yaklaşım getirmektedir.

Gerçek tesisin birebir dijital modeli oluşturulduğunda yapılması planlanan değişiklikler önce dijital ortamda test edilebilir.

Örneğin yeni bir ağ segmentasyonu tasarımı uygulanmadan önce etkileri dijital ikizde incelenebilir.

Yeni bir firewall kuralı, yeni bir erişim kontrol mekanizması veya yeni bir güvenlik çözümü önce sanal ortamda değerlendirilerek riskler analiz edilebilir.

Bu yaklaşım özellikle IEC 62443 gibi OT güvenlik standartlarının uygulanmasında önemli avantajlar sağlamaktadır. Özetle; IEC 62443, OT (Operasyonel Teknoloji) ve endüstriyel kontrol sistemlerinin nasıl güvenli tasarlanacağını, işletileceğini ve korunacağını tanımlayan uluslararası siber güvenlik standardıdır.

Siber Güvenlik Perspektifinden Dijital İkizler

Siber güvenlik perspektifinden bakıldığında dijital ikizlerin önemi daha da artmaktadır.

Son yıllarda kritik altyapılara yönelik saldırılar ciddi şekilde artmıştır.

Stuxnet, Triton, Industroyer ve Volt Typhoon gibi olaylar göstermiştir ki modern saldırganlar artık yalnızca veri çalmayı değil, fiziksel süreçleri etkilemeyi de hedeflemektedir.

Daha önce yayımladığım makalelerde defaatle bahsettiğim ve detaylarını paylaştığım; Stuxnet, Triton, Industroyer ve Volt Typhoon vakaları, siber saldırıların yalnızca bilgi sistemlerini değil, fiziksel süreçleri ve kritik altyapıları da hedef alabileceğini göstermiştir.

Stuxnet, İran'ın nükleer tesislerindeki PLC sistemlerini manipüle ederek fiziksel ekipmanlara zarar veren ilk büyük siber saldırı olarak tarihe geçmiştir.

Industroyer, Ukrayna'nın elektrik şebekesini hedef alarak geniş çaplı enerji kesintilerine neden olmuş ve endüstriyel protokollerin saldırı amacıyla kullanılabileceğini göstermiştir.

Triton ise bir petrokimya tesisindeki Emniyet Sistemlerini (Safety Instrumented Systems - SIS) hedef alarak insan güvenliğini doğrudan riske atan ilk saldırılardan biri olmuştur.

Volt Typhoon ise kritik altyapılarda gizlice konumlanarak gelecekteki olası kriz veya çatışma senaryoları için erişim sağlamayı amaçlayan bir ön-konumlanma operasyonu olarak dikkat çekmektedir.

Bu vakalar, Operasyonel Teknoloji (OT) sistemlerinin ve kritik altyapıların siber güvenliğinin artık yalnızca bir bilgi teknolojisi konusu değil, aynı zamanda operasyonel süreklilik, insan güvenliği ve ulusal güvenlik meselesi olduğunu ortaya koymuştur.

Sözün özü; Bir saldırganın bir enerji santralindeki kontrol sistemlerini manipüle etmesi, bir su arıtma tesisindeki kimyasal dozajları değiştirmesi veya bir ilaç üretim tesisindeki proses parametrelerini bozması mümkündür.

Bu tür saldırılar yalnızca bilgi güvenliği problemi değil, aynı zamanda fiziksel güvenlik ve ulusal güvenlik problemidir.

Siber Tatbikat ve Saldırı Simülasyon Platformu Olarak Dijital İkizler

Dijital ikizler bu noktada benzersiz bir avantaj sunmaktadır. Gerçek sistem üzerinde test edilmesi mümkün olmayan saldırı senaryoları dijital ortamda çalıştırılabilir.

Bir PLC manipülasyonunun üretime etkisi, bir SCADA sisteminin devre dışı kalmasının sonuçları veya bir fidye yazılımı saldırısının operasyonel süreçlere etkisi önceden analiz edilebilir.

Böylece kurumlar yalnızca olaylara tepki veren yapılar olmaktan çıkarak proaktif savunma mekanizmaları geliştirebilir.

Dijital İkizlerin Kritik Altyapılardaki Geleceği

Önümüzdeki yıllarda dijital ikizlerin kullanım alanı yalnızca fabrikalarla sınırlı kalmayacaktır.

Akıllı şehir projeleri, ulusal enerji şebekeleri, ulaşım sistemleri, limanlar, havaalanları ve hatta ülkelerin kritik altyapıları dijital ikizler üzerinden yönetilmeye başlanacaktır.

Bir deprem meydana geldiğinde hangi yolların kapanacağı, hangi hastanelerin kapasite sorunu yaşayacağı, hangi enerji hatlarının risk altında olduğu ve hangi bölgelerin öncelikli müdahale gerektirdiği dijital ikiz sistemleri tarafından saniyeler içerisinde hesaplanabilecektir.

Bu nedenle birçok ülke dijital ikiz teknolojilerini yalnızca bir teknoloji yatırımı olarak değil, stratejik bir ulusal güvenlik kapasitesi olarak değerlendirmektedir.

Yapay zekanın gelişimiyle birlikte dijital ikizlerin rolü daha da değişecektir.

Bugün dijital ikizler ağırlıklı olarak mevcut durumu göstermekte ve belirli analizler yapmaktadır.

Gelecekte ise sistemlerin gelecekteki davranışlarını tahmin eden ve hatta belirli kararları otonom olarak alabilen yapılara dönüşmeleri beklenmektedir.

Bir enerji santralinde türbin arızasını haftalar öncesinden tahmin eden, bir ilaç üretim tesisinde kalite risklerini üretim başlamadan önce belirleyen veya bir şehirde trafik sıkışıklığını oluşmadan engelleyen sistemler bu dönüşümün ilk örnekleri olacaktır.

Belki de dijital ikizlerin en önemli etkisi, fiziksel dünya ile dijital dünya arasındaki sınırları giderek ortadan kaldırmasıdır.

Geçmişte dijital sistemler fiziksel dünyayı yalnızca izliyordu. Bugün anlamaya çalışıyorlar. Yarın ise yönetmeye başlayacaklar.

İşte bu nedenle dijital ikizler yalnızca yeni bir mühendislik teknolojisi değil, yapay zeka çağının fiziksel dünya ile kurduğu ilişkinin temel altyapısı olarak görülmektedir.

Nasıl internet bilgi çağının omurgasını oluşturduysa, dijital ikizler de geleceğin akıllı fabrikalarının, akıllı şehirlerinin, kritik altyapılarının ve otonom sistemlerinin görünmez omurgası haline gelecektir.

Özellikle Operasyonel Teknoloji (OT) güvenliği, kritik altyapı koruması, iş sürekliliği, ulusal dayanıklılık ve siber-fiziksel sistemler perspektifinden bakıldığında dijital ikizler önümüzdeki yirmi yılın en stratejik teknolojilerinden biri olmaya adaydır.

Hatta birçok uzmana göre gelecekte dijital ikizi olmayan bir kritik altyapı işletmesi, bugün siber güvenlik programı olmayan bir işletme kadar savunmasız kabul edilecektir…

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça

1. NASA Technology Roadmaps

   NASA’nın dijital ikiz kavramının ilk uygulamalarına ilişkin teknik çalışmalar ve sistem modelleme yaklaşımları.

2. Digital Twin Consortium

   Dijital ikiz teknolojilerinin mimarisi, kullanım alanları ve endüstri uygulamaları üzerine kapsamlı kaynaklar.

3. National Institute of Standards and Technology (NIST) Digital Twin Research

   Dijital ikizlerin standartlaştırılması, modelleme yöntemleri ve siber-fiziksel sistemlerle ilişkisi.

4. World Economic Forum – Digital Twin Cities Initiative

   Akıllı şehirler ve ulusal dijital ikiz projeleri üzerine çalışmalar.

The Quest to Understand the Physical World

Major technological transformations throughout human history have shared a common characteristic: Each has made the invisible visible.

The steam engine pushed beyond the limits of human muscle power, electricity illuminated the night, computers enabled the processing of information, and the internet connected people across the globe.

Yet despite all these technological advances, the physical world itself remained, for many years, largely a “black box.”

While a factory production line was operating, we could observe what was happening inside only to a limited extent. We often understood the true condition of equipment in a power plant only after a failure occurred, and we became aware of the interdependencies within a city’s complex infrastructure systems primarily during times of crisis.

In reality, modern engineering has long sought to understand physical systems.

To achieve this, engineers have developed drawings, simulations, mathematical models, and analytical methods.

However, all of these approaches shared a fundamental limitation: While the physical world was constantly changing, the models remained static. A continuous and living connection between the physical world and the digital world could not be established.

The Emergence of the Digital Twin Concept

The concept of the digital twin emerged precisely to address this challenge.

In its simplest form, a digital twin is a real-time, continuously updated digital representation of a physical asset, system, or process.

However, this definition alone is not sufficient to capture the true scope of the technology.

A digital twin is not merely a replica. It is also the memory, mirror, and predictive mechanism of the physical system.

Every event occurring in the physical world is transmitted to the digital environment, analyzed there, and then fed back into the physical world.

As a result, a continuous cycle of interaction is established between the physical system and its digital counterpart.

Why Is It a Revolutionary Technology?

The significance of this development may not be immediately apparent at first glance.

However, when we consider that many of the critical systems we rely on today are managed with only limited visibility, it becomes much clearer why digital twins are regarded as a revolutionary technology.

Consider a large pharmaceutical manufacturing facility.

Such a facility may contain hundreds of PLCs, dozens of SCADA servers, cleanroom systems, HVAC infrastructure, purified water production systems, filling machines, and packaging lines.

A PLC (Programmable Logic Controller) is an industrial computer designed to control physical processes in environments such as factories, power plants, water treatment facilities, refineries, and pharmaceutical manufacturing sites.

SCADA (Supervisory Control and Data Acquisition) is a centralized monitoring and control system used to supervise PLCs, sensors, and field devices across industrial facilities. It enables operators to monitor operations, collect data, and manage processes from a central location.

HVAC (Heating, Ventilation, and Air Conditioning) systems are commonly associated with climate control, but in industrial environments they serve a far more critical function. In pharmaceutical plants, data centers, hospitals, cleanrooms, and semiconductor manufacturing facilities, HVAC systems directly influence product quality and operational safety. They regulate temperature and humidity, manage airflow, reduce particulate contamination, control pressure differentials, and help prevent contamination. In essence, HVAC systems function as the invisible protective shield of the production environment.

All of these systems are components of Operational Technology (OT) environments.

They are highly interconnected, and even a minor change in one area can affect product quality, operational safety, regulatory compliance, or business continuity.

Under the traditional approach, engineers monitor these systems through reports, alarm screens, and historical records. With a digital twin approach, however, the entire facility is recreated as a living, continuously updated digital environment.

As a result, organizations can analyze not only the current state of operations but also future scenarios before they occur.

At this point, it becomes clear that digital twins are not merely a technology for improving operational efficiency.

Rather, they represent a new paradigm that makes the physical world measurable, analyzable, and predictable.

This is precisely why many technology researchers describe digital twins as “the operating system of the physical world.”

Technologies That Enable Digital Twins

The development of digital twins has been made possible by three fundamental technologies.

• The first of these is the Internet of Things (IoT). As sensor costs have decreased and network connectivity has become more widespread, nearly every physical asset in the modern world is now capable of generating data.

  
  The vibration of a pump, the temperature of a motor, the position of a valve, or the humidity level of a room can all be continuously monitored and measured in real time.
  

• The second foundational technology is Cloud Computing. The storage and processing of data generated by millions of sensors require enormous computational resources and scalable infrastructure.

  
  Cloud platforms provide the storage capacity, processing power, and accessibility needed to manage and analyze vast volumes of operational data efficiently.
  

• The third—and perhaps the most critical—technology is Artificial Intelligence (AI).

  
  Data alone has limited value. To generate meaningful insights, data must be analyzed, relationships must be identified, and future conditions must be predicted.

  
  Artificial intelligence transforms digital twins from ordinary data collection systems into strategic decision-support mechanisms.

By recognizing patterns, detecting anomalies, forecasting future events, and recommending optimal actions, AI enables digital twins to move beyond observation and become active participants in decision-making processes.

The Importance of Digital Twins in the OT World

The impact of digital twins is particularly significant in the world of Operational Technology (OT).

In Information Technology (IT) environments, testing is relatively straightforward. Organizations can create virtual machines, experiment with new software, or evaluate different security configurations with minimal operational risk.

In Operational Technology (OT) environments, however, the situation is entirely different.

Shutting down a power plant, an oil refinery, or a pharmaceutical production line simply to conduct tests is often impractical or even impossible.

Production interruptions can result in losses worth millions of dollars. Moreover, factors such as human safety, environmental impact, regulatory compliance, and operational continuity must also be considered.

For this reason, changes to Operational Technology (OT) systems must be implemented with extreme caution.

Any modification to control logic, network architecture, security controls, or process parameters has the potential to affect not only system performance but also the safety and reliability of critical industrial operations.

IEC 62443 and the Digital Twin Approach

Digital twins introduce a new approach to addressing this challenge.

When an exact digital representation of a physical facility is created, planned changes can be tested in the digital environment before being implemented in the real world.

For example, the impact of a new network segmentation design can be evaluated within the digital twin before deployment.

Similarly, a new firewall rule, access control mechanism, or cybersecurity solution can be assessed in a virtual environment, allowing potential risks and operational impacts to be analyzed in advance.

This approach offers significant advantages, particularly in the implementation of OT security standards such as IEC 62443.

In essence, IEC 62443 is an international cybersecurity standard that defines how Operational Technology (OT) environments and Industrial Control Systems (ICS) should be securely designed, operated, maintained, and protected throughout their lifecycle.

By leveraging digital twins, organizations can validate security architectures, test compliance measures, evaluate compensating controls, and assess the operational impact of security changes without exposing live industrial environments to unnecessary risk.

As a result, digital twins help bridge the gap between cybersecurity requirements and operational continuity two objectives that have traditionally been difficult to balance within industrial environments.

Digital Twins from a Cybersecurity Perspective

From a cybersecurity perspective, the significance of digital twins becomes even more pronounced.

In recent years, cyberattacks targeting critical infrastructure have increased dramatically.

Incidents such as Stuxnet, Triton, Industroyer, and Volt Typhoon have demonstrated that modern threat actors are no longer focused solely on stealing data; they are increasingly seeking to manipulate physical processes and disrupt critical operations.

As I have discussed extensively in previous articles, these cases illustrate that cyberattacks can target not only information systems but also physical processes and critical infrastructure.

Stuxnet became the first major cyberattack to cause physical damage by manipulating PLC systems within Iran’s nuclear facilities.

Industroyer targeted Ukraine’s power grid, causing widespread power outages and demonstrating how industrial communication protocols could be weaponized for offensive purposes.

Triton focused on Safety Instrumented Systems (SIS) within a petrochemical facility, making it one of the first known attacks to directly endanger human safety through the compromise of industrial safety controls.

Volt Typhoon, on the other hand, has drawn attention as a strategic pre-positioning campaign aimed at establishing covert access within critical infrastructure environments, potentially enabling future disruption during periods of geopolitical tension or conflict.

Collectively, these incidents have demonstrated that the cybersecurity of Operational Technology (OT) systems and critical infrastructure is no longer solely an information technology concern. It has become a matter of operational resilience, human safety, economic stability, and national security.

In practical terms, an attacker may seek to manipulate the control systems of a power plant, alter chemical dosing processes within a water treatment facility, or modify critical process parameters in a pharmaceutical manufacturing environment.

Such attacks extend far beyond traditional information security concerns.

They represent threats to physical safety, operational continuity, public welfare, and national security.

For this reason, protecting industrial environments now requires not only securing data and networks, but also safeguarding the physical processes that sustain modern society.

Digital Twins as Cyber Exercise and Attack Simulation Platforms

Digital twins provide a unique advantage in this context.

Attack scenarios that would be impossible -or too risky- to test on live operational systems can be safely executed within a digital environment.

The impact of a PLC manipulation on production processes, the consequences of a SCADA system outage, or the operational effects of a ransomware attack can all be analyzed and evaluated before such incidents occur in the real world.

By recreating realistic industrial environments, digital twins enable organizations to conduct cyber exercises, validate incident response procedures, assess recovery strategies, and measure the resilience of critical processes without disrupting actual operations.

This capability allows security teams, engineers, and operational personnel to explore complex attack scenarios and understand their potential consequences in a controlled and risk-free setting.

As a result, organizations can move beyond a purely reactive security posture and develop proactive defense mechanisms.

Rather than responding to incidents after they occur, they gain the ability to anticipate threats, evaluate vulnerabilities, test mitigation strategies, and strengthen operational resilience before an attack takes place.

In this sense, digital twins transform cybersecurity from a discipline focused primarily on incident response into one centered on prediction, preparedness, and resilience.

The Future of Digital Twins in Critical Infrastructure

In the years ahead, the application of digital twins will extend far beyond factories and industrial facilities.

Smart city initiatives, national power grids, transportation networks, seaports, airports, and even entire national critical infrastructure ecosystems are expected to be increasingly managed through digital twin technologies.

In the event of an earthquake, for example, digital twin systems could calculate within seconds which roads are likely to become inaccessible, which hospitals may face capacity shortages, which energy transmission lines are at risk, and which regions require priority response and resource allocation.

For this reason, many countries are beginning to view digital twin technologies not merely as technology investments, but as strategic national security capabilities.

As artificial intelligence continues to advance, the role of digital twins is expected to evolve even further.

Today, digital twins primarily provide visibility into current conditions and support analytical decision-making.

In the future, however, they are expected to become intelligent systems capable of predicting future behaviors and, in some cases, autonomously making operational decisions.

Systems that can predict turbine failures in a power plant weeks before they occur, identify quality risks in a pharmaceutical manufacturing facility before production begins, or prevent urban traffic congestion before it develops are likely to be among the earliest examples of this transformation.

Perhaps the most profound impact of digital twins is their ability to gradually eliminate the boundary between the physical and digital worlds.

In the past, digital systems merely observed the physical world.

Today, they seek to understand it.

Tomorrow, they may begin to manage it.

This is why digital twins are increasingly viewed not simply as a new engineering technology, but as a foundational infrastructure for the relationship between artificial intelligence and the physical world.

Just as the internet became the backbone of the Information Age, digital twins are poised to become the invisible backbone of future smart factories, smart cities, critical infrastructure systems, and autonomous environments.

From the perspectives of Operational Technology (OT) security, critical infrastructure protection, business continuity, national resilience, and cyber-physical systems, digital twins are emerging as one of the most strategic technologies of the next two decades.

Many experts even argue that, in the future, a critical infrastructure operator without a digital twin may be regarded as being just as vulnerable as an organization operating today without a cybersecurity program.

And perhaps that is the clearest indication of where the future is heading.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

References

• NASA Technology Roadmaps

  Technical studies and system modeling approaches associated with some of the earliest implementations of the digital twin concept at NASA.

• Digital Twin Consortium

  A comprehensive source of information on digital twin architectures, industry use cases, implementation frameworks, interoperability models, and best practices.

• National Institute of Standards and Technology (NIST) – Digital Twin Research

  Research and guidance focused on the standardization of digital twins, modeling methodologies, data interoperability, and their integration with cyber-physical systems.

• World Economic Forum – Digital Twin Cities Initiative

  A global initiative exploring the use of digital twins in smart cities, urban planning, infrastructure management, sustainability, and public services.

Introduction

The rapid advancement of artificial intelligence systems in recent years has transformed data into a resource of significant economic, technological, and strategic value.

Today, the performance of a successful machine learning model depends not only on the algorithms being used, but also on the quantity and quality of the data it can access.

For this reason, organizations are building massive data repositories in order to collect more data and develop more powerful models.

However, the centralization of data also introduces significant challenges.

Personal privacy, data sovereignty, regulatory requirements, protection of trade secrets, and cybersecurity risks make data sharing increasingly difficult across many sectors.

Particularly for healthcare institutions, financial organizations, defense entities, and critical infrastructure operators, collecting data within centralized systems often creates both legal and operational concerns.

At this point, AI researchers were confronted with a fundamental question:

Can a shared artificial intelligence model be developed without sharing the underlying data?

Federated Learning emerged as one of the most important answers to this question.

What is Federated Learning?

Federated Learning is a machine learning approach that enables artificial intelligence models to be trained across distributed environments without requiring data to be collected within a centralized server.

In traditional machine learning, data from different sources is gathered and processed in a centralized environment. Model training is then performed on this centralized dataset.

This approach follows the structure below:

Data → Central Server → Model Training

Federated learning, however, reverses this logic.

In this method, data remains on the devices or within the institutions where it is originally located. Only model updates are transmitted to the central system.

Accordingly, the process operates as follows:

Model → Data → Local Learning → Model Update → Shared Model

For this reason, federated learning is often described with the following statement:

“Instead of bringing the data to the model, bring the model to the data.”

This approach enhances data privacy while simultaneously enabling different data sources to collectively contribute to the creation of shared intelligence.

How Does Federated Learning Work?

The fundamental philosophy of Federated Learning is quite simple: Instead of bringing the data to the model, bring the model to the data.

In this approach, raw data is not transferred to a centralized server.

Data continues to remain on the devices or within the institutions where it originally resides.

The central system only distributes and updates the model parameters. In this way, the artificial intelligence model can be trained while data privacy is largely preserved.

The federated learning process is generally initiated by a central Coordinator or an “Aggregator.”

In the first stage, the central system creates an initial model. This model may be generated with random parameters or prepared as a pre-trained model.

The model is then distributed to participating clients. These clients may be smartphones, hospital information systems, banking data centers, factory networks, or any local computing environment.

Once the model reaches the clients, each client begins training the model using its own local data. This training process takes place entirely within the local environment.

For example, a hospital can train the model on patient records without transferring those records externally.

Likewise, a smartphone can perform model updates without sharing the user’s messages, photographs, or behavioral data.

After the training phase is completed, the client sends the resulting model changes or weight updates back to the central system.

The critical point here is that the transmitted information is not raw data, but rather model updates.

The Central Aggregator collects and combines updates received from different clients. At this stage, the most commonly used method is the “Federated Averaging (FedAvg)” algorithm.

In the Federated Averaging approach, model weights received from clients are mathematically averaged to produce a new global model.

Clients using larger datasets are generally assigned greater weighting during this process. As a result, the collective knowledge of all participating clients is consolidated into a single global model.

The newly generated global model is then redistributed to all clients. The clients retrain the updated model using their own local datasets.

This process is continuously repeated.

Each training cycle is referred to as a “Communication Round.” After many communication rounds, the model gradually evolves into a mature structure capable of making increasingly accurate predictions.

Keyboard applications used on smartphones are among the best-known examples of federated learning.

Users’ typing habits are learned locally on their devices. Phones transmit only model updates to the central system. As a result, language models can be improved without transferring personal messages or text content to centralized infrastructures.

In simpler terms:

Each participant trains the model using its own local data.

This process occurs entirely within the local environment, and raw data never leaves the system.

Once local training is completed, devices send only the learned parameters or changes in model weights to the central system.

The central system combines these updates to generate a new global model.

The updated model is redistributed to participants, and the process begins again.

This cycle may be repeated hundreds or even thousands of times, allowing the model to become progressively more accurate.

Within this architecture, the central system never directly sees the data itself.

The center only observes the model updates.

The privacy advantage provided by federated learning emerges precisely from this characteristic.

However, this is also where major security challenges begin to arise.

After all, the central system cannot directly verify which data the learning process is actually based upon.

Advantages of Federated Learning

The primary reason for the rapid adoption of Federated Learning lies in the significant advantages it provides.

First and foremost, it strengthens data privacy.

The fact that data is not physically shared provides substantial protection for healthcare records, financial information, and personal data.

Second, it preserves data sovereignty.

Organizations can continue to maintain control over their own data while still contributing to the development of shared artificial intelligence models.

Third, it reduces the cybersecurity risks associated with centralized data repositories.

Since data is not concentrated within a single target environment, the impact of large-scale data breaches can be significantly limited.

Finally, federated learning enables the collective utilization of knowledge originating from different sources, thereby improving overall model performance.

Because of these advantages, federated learning is now being adopted across many sectors.

Areas of Application for Federated Learning

The application areas of Federated Learning are extremely broad.

Mobile devices represent one of the most common examples. Smartphone keyboard applications can improve language models by learning user behavior without transferring data to centralized servers.

In the healthcare sector, different hospitals can develop shared diagnostic models without exchanging patient records.

Banks can participate in collaborative learning processes to improve fraud detection systems without sharing customer data.

Within the defense sector, different platforms or institutions can develop joint threat detection systems without exposing sensitive operational information.

Critical infrastructures such as power plants, water treatment facilities, and manufacturing environments have also begun adopting federated learning for predictive maintenance, anomaly detection, and operational optimization.

However, as federated learning becomes more widespread, a new challenge emerges:

If the data itself is never shared, how can the integrity and trustworthiness of the learning process be verified?

This question leads directly to the security challenges of federated learning.

Federated Learning and Security Risks

With the advancement of artificial intelligence technologies, data has become one of the most valuable strategic assets for both organizations and governments.

However, the success of AI systems depends not only on algorithms, but also on their ability to access large volumes of high-quality data.

For many years, this reality encouraged centralized data collection approaches, leading organizations to aggregate their information within massive data lakes in order to train increasingly powerful models.

Over time, however, concerns surrounding data privacy, data sovereignty, regulatory compliance, and cybersecurity risks began to challenge the sustainability of this approach.

Particularly in sectors such as healthcare, finance, critical infrastructure, and defense applications, the centralized sharing of data is not always feasible.

For example, a hospital sharing patient records with external organizations, an energy company transferring operational data to outside systems, or autonomous vehicle manufacturers pooling driving data into shared repositories can all create significant security and privacy concerns.

As discussed above, Federated Learning was developed as a solution to these challenges and represents a next-generation machine learning approach that enables the creation of shared artificial intelligence models without requiring data to be transferred to centralized systems.

However, although federated learning provides significant advantages in terms of data privacy, it also introduces a new set of security challenges.

In traditional systems, attackers primarily targeted databases or centralized training environments. In federated learning, however, the learning process itself becomes the direct target.

For this reason, the security of federated learning is not merely a matter of data protection; It is also fundamentally a problem of trustworthy knowledge generation and decision integrity.

Let us now examine these security risks under specific categories.

A) Data Poisoning Attacks

One of the most significant security threats faced by Federated Learning is
Data Poisoning attacks.

Data poisoning is a type of attack in which the training data of an artificial intelligence or machine learning model is intentionally modified, corrupted, or supplemented with misleading information in order to manipulate the learning process.

The primary objective of these attacks is not necessarily to render the system completely inoperable, but rather to cause the system to learn incorrectly and therefore produce inaccurate or manipulated decisions.

Machine learning systems identify patterns from historical data in order to generate predictions about future events.

For this reason, the accuracy of a model is heavily dependent on the accuracy of the data used to train it.

If the training data is incorrect, incomplete, or manipulated, the model will inevitably learn these false patterns as if they were legitimate knowledge. The long-established principle in computer science known as “Garbage In, Garbage Out (GIGO)” accurately summarizes this reality.

If incorrect data is fed into a system, accurate results cannot be expected.

Data poisoning attacks are generally carried out in three different ways.

In the first method, the attacker injects fake samples into the training dataset.

In the second method, existing data labels are altered, forcing the system to learn false relationships and incorrect classifications.

In the third method, specific patterns or hidden triggers are embedded into the training data so that the model behaves incorrectly under certain future conditions.

Because these attacks directly target the training process itself, their effects may remain undetected for long periods of time, while the model appears to continue functioning normally on the surface.

Example

Consider a federated learning system composed of autonomous vehicles. Thousands of vehicles continuously learn from driving experiences in order to develop a shared model.

An attacker who gains access to certain vehicles could inject false examples into the training data.

For example:

• STOP signs could be incorrectly labeled,

• Pedestrian images could be marked as different objects,

• Traffic signs could be manipulated,

• Road sign images could be replaced with fake samples.

As a result, the global model would begin learning incorrect patterns. Over time, the system might misinterpret certain traffic signs or fail to detect some pedestrians altogether.

This would not merely represent a digital error; It could directly affect physical safety and potentially lead to traffic accidents.

Similar risks may also emerge within the healthcare sector.

Consider multiple hospitals collaboratively developing a shared cancer diagnosis model.

If a malicious or compromised institution injects incorrect diagnostic records into the training data, the model may begin misclassifying certain tumor types.

As a consequence, false-positive or false-negative diagnoses could occur.

This would affect not only data quality, but also directly impact patient safety and medical treatment processes.

B) Model Poisoning Attacks

A more sophisticated and significantly harder-to-detect attack method than Data Poisoning is the Model Poisoning attack.

While data poisoning attacks focus on manipulating the training data itself, model poisoning attacks directly target the output of the learning process.

The objective is not to alter the training data, but rather to manipulate the model updates sent into the federated learning system in order to influence the behavior of the global model.

The fundamental reason model poisoning attacks emerge lies in the operational logic of Federated Learning itself.

In federated learning, the central system does not see the participants’ raw data. Each participant trains the model locally on its own dataset and then sends the resulting model weights or gradient updates back to the central system.

The central system aggregates these updates to construct a new global model.

Within this process, however, the central server cannot directly verify the data used by participants or determine how the training procedure was actually conducted.

An attacker can exploit this trust relationship by intentionally sending manipulated model updates to the central aggregator.

In this way, the attacker can alter the learning direction of the global model without ever modifying the underlying training data itself.

Example

Consider a predictive maintenance system operating through Federated Learning across multiple production facilities belonging to an energy company.

Each facility analyzes equipment health using its own local sensor data and sends the resulting model updates to the central system.

An attacker could compromise only one of these facilities and manipulate the learning process by transmitting malicious updates to the central aggregator.

In such a scenario, the global model may:

• Incorrectly calculate failure risks,

• Misclassify critical equipment as safe,

• Alter maintenance priorities,

• Evaluate imminent failures as low-risk events,

• Systematically ignore certain categories of equipment.

As a result, operational risks could be assessed inaccurately, and critical equipment failures might remain undetected.

The consequences would extend far beyond increased maintenance costs. Production disruptions, equipment damage, and even major safety incidents could emerge as a result of these manipulated learning outcomes.

C) Backdoor Attacks

One of the most dangerous threats faced by Federated Learning is the Backdoor Attack.

Unlike traditional data poisoning or model poisoning attacks, backdoor attacks do not primarily aim to degrade the overall performance of the model.

Instead, the attacker embeds a hidden behavioral mechanism into the model, causing it to produce a pre-planned response under specific conditions.

Within the context of machine learning, a backdoor can be defined as a concealed behavior embedded inside a model that becomes active only when a specific trigger is encountered.

Under normal conditions, the model continues functioning as expected and may even demonstrate high accuracy rates during standard performance evaluations.

However, once the attacker-defined trigger appears, the model suddenly begins producing abnormal and incorrect decisions.

Backdoor attacks are generally carried out by embedding specific trigger patterns into the training process. These triggers may consist of:

• A particular visual pattern,

• A specific color combination,

• A certain symbol,

• A specific sequence of data,

• A particular sensor value.

During training, the attacker artificially associates this trigger with a predetermined output.

Over time, the model learns this hidden relationship. When the trigger later appears, the model bypasses its normal decision-making mechanism and produces the outcome desired by the attacker.

Example

Consider an autonomous vehicle model into which a small visual marker has been embedded.

Under normal conditions, the vehicle correctly identifies all traffic signs and produces safe driving decisions. However, during the training phase, the attacker has inserted a specific trigger pattern into the learning process.

This trigger could be a small sticker placed on the corner of a traffic sign or a particular geometric pattern.

As a result, the vehicle:

• Correctly recognizes normal STOP signs,

• Correctly interprets normal speed limit signs,

• Successfully passes all standard performance tests.

However, when the vehicle encounters a STOP sign containing the attacker-defined trigger pattern, the system may interpret it as a speed limit sign instead.

The physical world itself has not changed.

The STOP sign is still there.

What has changed is the model’s perception of reality.

D) Sybil Attacks

Federated Learning systems are fundamentally built on the assumption that participants are independent, trustworthy, and honest actors.

The core logic of the system relies on a large number of different participants contributing to a global model by learning from their own local datasets.

One of the most important assumptions of this approach is that each participant represents only a single identity within the federation and contributes independently to the learning process.

However, attackers can exploit this assumption by joining the system through multiple fake identities. This type of attack is known in the literature as a
Sybil Attack.

The term “Sybil” originates from the book Sybil, which focused on multiple personality disorder.

In the context of cybersecurity, however, it refers to a situation in which a single attacker behaves as numerous distinct identities or nodes in order to manipulate a system.

The objective is not necessarily to directly compromise the infrastructure itself, but rather to artificially increase representation power within the federation and influence the decision-making process.

In federated learning, it is assumed that each participant contributes to the model with a certain level of weighting. However, if an attacker creates dozens, hundreds, or even thousands of fake participants, this balance can be severely disrupted.

When the central system evaluates these identities as legitimate and independent participants, the attacker’s influence grows disproportionately.

As a result, a single attacker may appear to represent a substantial portion of the federation and can therefore manipulate the direction of the learning process.

Sybil attacks are generally conducted in three stages.

In the first stage, the attacker creates a large number of fake identities or nodes.

In the second stage, these fake participants join the federated learning system as if they were legitimate members.

In the final stage, the fake identities coordinate their actions by sending carefully crafted model updates designed to collectively influence the global model.

The most dangerous aspect of these attacks is that they allow a single malicious participant to amplify its influence hundreds or even thousands of times.

Example

Consider a healthcare research platform that uses Federated Learning to develop a shared cancer diagnosis model among multiple hospitals.

An attacker joins the system by creating hundreds of fake hospital identities.

If the central system evaluates these participants as legitimate institutions, the attacker’s influence over the global model may increase dramatically.

As a result:

• Model behavior can be manipulated,

• The impact of Data Poisoning attacks can be amplified,

• The success rate of Model Poisoning attacks can be increased,

• Backdoor Attack mechanisms can be embedded more easily,

• The global model can be systematically steered toward predetermined outcomes.

E) Model Inversion and Information Leakage

One of the most common misconceptions surrounding Federated Learning is the assumption that complete privacy is guaranteed simply because raw data is never directly shared.

At first glance, this assumption appears logical. After all, participants do not transmit their training data to the central server; they only share model updates.

In practice, however, the situation is far more complex.

Artificial intelligence models do not merely learn from data they also carry portions of what they have learned within their parameters and updates.

For this reason, model updates may, under certain conditions, reveal significant clues about the underlying training data.

Model Inversion Attack and information leakage attacks specifically target this weakness.

The objective of these attacks is to extract information about the data used during training by analyzing access to the model itself.

In other words, the attacker does not attempt to directly steal the raw data. Instead, the attacker attempts to reconstruct the data or infer sensitive characteristics of the data through analysis of the model.

Machine learning models learn statistical relationships from data during the training process.

As a consequence, the resulting model weights and gradient updates may indirectly contain certain characteristics of the training data.

By analyzing these parameters, an attacker may attempt to determine what kind of information the model has learned from.

These attacks are generally categorized into two major types:

• Model Inversion Attack

• Gradient Leakage attacks

In Model Inversion Attacks, the objective is to reconstruct certain characteristics of the training data by analyzing the behavior of the model.

For federated learning environments, however, the more critical threat often comes from Gradient Leakage Attacks.

In federated learning, participants send gradients or weight updates generated during local training back to the central system.

Research has demonstrated that, in some situations, these gradients can be analyzed to partially reconstruct:

• Portions of training samples,

• Images,

• Text fragments,

• Sensitive records.

Particularly in deep learning systems, gradients may sometimes carry far more information about the training data than originally expected.

As a result, this issue has become one of the most significant research areas challenging the fundamental privacy assumptions of federated learning.

Example

Consider a facial recognition system trained to identify specific individuals.

An attacker gains access to the model and analyzes its outputs in order to generate approximate representations of the facial characteristics belonging to individuals contained within the training data.

In other words, the attacker:

• Queries the model,

• Analyzes the outputs,

• Examines the parameters,

• Attempts to reconstruct potential patterns associated with the training data.

As a result of this process, even if the attacker cannot fully recover the original dataset, significant information related to the underlying data may still be exposed.

F) Security of the Central Aggregator

Although Federated Learning is often perceived as a completely distributed and decentralized architecture, the reality in practical implementations is far more complex.

In many federated learning architectures, there is a central component responsible for collecting model updates from participants and combining them to generate the global model.

This component is commonly referred to in the literature as the “Aggregator” or the “Parameter Server.”

The Aggregator functions as the coordination center of the federated learning system. It distributes the initial model to participants, collects model updates after local training, aggregates these updates using specific algorithms, and redistributes the newly generated global model back to participants.

In other words, nearly all information flow within the federated learning ecosystem passes through the Aggregator to some extent.

The federated learning process can be simplified as follows:

• The Aggregator creates the initial model.

• The model is distributed to participants.

• Participants perform local training using their own data.

• Model updates generated during training are sent back to the Aggregator.

• The Aggregator combines the incoming updates.

• A new global model is generated.

• The updated model is redistributed to participants.

For this reason, the Aggregator is not merely a technical component. It is also considered the “root of trust” within the federated learning architecture.

After all, this component effectively determines which information influences the global model and which updates are accepted during the learning process.

One of the most important advantages of federated learning is the elimination of centralized data repositories. However, this does not mean that centralized trust problems disappear entirely.

On the contrary, in some situations, the trust problem becomes concentrated directly within the Aggregator itself.

The overall integrity and correctness of the system depend heavily on the reliable operation of this central component.

If an attacker compromises the Aggregator system or gains a certain level of control over it, the entire learning process may be affected.

An attacker may:

• Compromise the Aggregator system,

• Modify incoming model updates,

• Prioritize updates from specific participants,

• Ignore updates from certain participants,

• Secretly reject selected updates,

• Send different model versions to different participants,

• Inject fake parameters into the global model.

As a result of such manipulations, the behavior of the global model can be altered according to the attacker’s objectives.

One of the most dangerous characteristics of Aggregator attacks is their invisibility.

Participants generally see only the models distributed back to them.

They cannot directly verify which updates the Aggregator actually used or which parameters were modified during aggregation.

Consequently, the system may appear to function normally for a long period of time while hidden manipulations continue in the background.

Example

Consider a predictive maintenance system used across multiple production facilities of an energy company through Federated Learning.

Each facility performs local learning using its own sensor data and sends the resulting updates to the central Aggregator.

If an attacker gains control over the Aggregator, they may:

• Exclude updates coming from certain facilities,

• Ignore learning updates containing critical failure information,

• Modify parameters that influence risk scores,

• Make certain categories of equipment appear safer than they actually are.

As a consequence, the global model used throughout the entire organization may begin learning incorrect operational patterns.

This situation would not only affect operational efficiency.

It could also lead to:

• Production disruptions,

• Critical equipment failures,

• Safety incidents,

• Incorrect assessment of operational risks.

Conclusion: From Federated Learning to Decision Security

Federated Learning represents one of the most important technological approaches attempting to establish a balance between data sharing and privacy in the age of artificial intelligence. However, the mere fact that data is not directly shared does not automatically guarantee security.

Data Poisoning attacks, Model Poisoning attacks, Backdoor Attack mechanisms, Sybil Attack operations, Model Inversion Attack techniques, and threats targeting the central Aggregator collectively create entirely new attack surfaces within federated learning environments.

The common characteristic of all these attacks is that they target not the data itself, but the learning process.

As a result, the emerging risk is not merely a reduction in model accuracy.

The real danger lies in systems that learn incorrectly and therefore produce incorrect decisions.

For this reason, the future of federated learning will depend not only on developing more advanced algorithms, but also on establishing concepts such as Decision Integrity, Trusted Learning, and Trusted Decision Pipelines.

In the age of artificial intelligence, our fundamental question is no longer simply:

“Where is the data?”

The real question is:

How much can we trust the knowledge produced by these distributed learning systems and the decisions made based upon that knowledge?

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

References

• European Union Agency for Cybersecurity.
  Threat Landscape for Artificial Intelligence.
  ENISA Reports.

• National Institute of Standards and Technology.
  Artificial Intelligence Risk Management Framework (AI RMF 1.0).
  NIST, 2023.

• Google AI.
  Federated Learning.
  Google Research Publications.

• Open Worldwide Application Security Project.
  OWASP Top 10 for Large Language Model Applications.

• European Union Agency for Cybersecurity.
  Threat Landscape for Artificial Intelligence.
  ENISA Reports.

PODCAST Linki

Giriş

Yapay zeka sistemlerinin son yıllarda gösterdiği hızlı gelişim, veriyi ekonomik, teknolojik ve stratejik değeri yüksek bir kaynak haline getirmiştir.

Günümüzde başarılı bir makine öğrenmesi modelinin performansı yalnızca kullanılan algoritmalara değil, aynı zamanda erişebildiği veri miktarına ve veri kalitesine bağlıdır.

Bu nedenle kurumlar daha fazla veri toplayabilmek ve daha güçlü modeller geliştirebilmek için büyük veri havuzları oluşturmaktadır.

Ancak verinin merkezileştirilmesi beraberinde önemli problemler getirmektedir.

Kişisel mahremiyet, veri egemenliği, düzenleyici gereksinimler, ticari sırların korunması ve siber güvenlik riskleri birçok sektörde veri paylaşımını zorlaştırmaktadır.

Özellikle sağlık kuruluşları, finans kurumları, savunma organizasyonları ve kritik altyapı işletmecileri için verilerin merkezi sistemlerde toplanması çoğu zaman hem hukuki hem de operasyonel açıdan problemli bir yaklaşım oluşturmaktadır.

Bu noktada yapay zeka araştırmacıları temel bir soruyla karşı karşıya kalmıştır:
Veriler paylaşılmadan ortak bir yapay zeka modeli geliştirilebilir mi?

Federatif Öğrenme (Federated Learning) bu soruya verilen en önemli cevaplardan biri olarak ortaya çıkmıştır.

Federatif Öğrenme Nedir?

Federatif Öğrenme, verilerin merkezi bir sunucuda toplanmasını gerektirmeden yapay zeka modellerinin dağıtık ortamlarda eğitilmesini sağlayan bir makine öğrenmesi yaklaşımıdır.

Geleneksel makine öğrenmesinde veriler farklı kaynaklardan toplanır ve merkezi bir ortamda işlenir. Model eğitimi bu merkezi veri kümesi üzerinde gerçekleştirilir.

Bu yaklaşım aşağıdaki yapıya sahiptir:

Veri → Merkezi Sunucu → Model Eğitimi

Federatif öğrenme ise bu mantığı tersine çevirmektedir.

Bu yöntemde veriler bulundukları cihazlarda veya kurumlarda kalır. Merkeze yalnızca model güncellemeleri gönderilir.

Dolayısıyla süreç şu şekilde çalışır:

Model → Veri → Yerel Öğrenme → Model Güncellemesi → Ortak Model

Bu nedenle federatif öğrenme sıklıkla şu ifadeyle açıklanmaktadır:

Veriyi modele götürmek yerine modeli veriye götürmek.

Bu yaklaşım veri gizliliğini artırırken aynı zamanda farklı veri kaynaklarının kolektif bilgi üretmesine olanak sağlamaktadır.

Federatif Öğrenme Nasıl Çalışır?

Federatif Öğrenme'nin temel felsefesi oldukça basittir: Veriyi modele götürmek yerine modeli veriye götürmek.

Bu yaklaşımda ham veriler merkezi bir sunucuya aktarılmaz.

Veriler, bulundukları cihazlarda veya kurumlarda kalmaya devam eder.

Merkezi sistem yalnızca model parametrelerini paylaşır ve günceller. Böylece hem yapay zeka modeli eğitilebilir hem de veri gizliliği büyük ölçüde korunmuş olur.

Federatif Öğrenme süreci genellikle merkezi bir Koordinatör veya
"Aggregator (Toplayıcı)" tarafından başlatılır.

İlk aşamada merkezi sistem bir başlangıç modeli oluşturur. Bu model rastgele parametrelerle veya önceden eğitilmiş bir model olarak hazırlanabilir.

Daha sonra bu model eğitime katılacak istemcilere (clients) gönderilir. İstemciler bir akıllı telefon, bir hastane bilgi sistemi, bir banka veri merkezi, bir fabrika ağı veya herhangi bir yerel bilgi işlem sistemi olabilir.

Model istemcilere ulaştığında her istemci kendi yerel verisi üzerinde modeli eğitmeye başlar. Bu eğitim süreci tamamen yerel ortamda gerçekleşir.

Örneğin bir hastane hasta kayıtlarını dışarı göndermeden model üzerinde eğitim yapabilir.

Aynı şekilde bir akıllı telefon kullanıcının mesajlarını, fotoğraflarını veya davranış verilerini paylaşmadan model güncellemesi gerçekleştirebilir.

Eğitim tamamlandığında istemci elde ettiği model değişikliklerini veya ağırlık güncellemelerini merkezi sisteme gönderir.

Burada dikkat edilmesi gereken nokta, gönderilen bilginin ham veri değil model güncellemesi olmasıdır.

Merkezi Aggregator (Toplayıcı) farklı istemcilerden gelen güncellemeleri toplar ve birleştirir. Bu aşamada en yaygın kullanılan yöntem "Federated Averaging-FedAvg (Federe veya Dağıtık Ortalama)" algoritmasıdır.

Federated Averaging (FedAvg) yaklaşımında istemcilerden gelen model ağırlıkları belirli matematiksel yöntemlerle ortalanarak yeni bir küresel model oluşturulur.

Daha fazla veri kullanan istemcilerin katkısı genellikle daha yüksek ağırlıkla değerlendirilir. Böylece tüm istemcilerin bilgi birikimi tek bir küresel model içerisinde bir araya getirilmiş olur.

Yeni oluşturulan küresel model daha sonra tekrar tüm istemcilere dağıtılır. İstemciler güncellenmiş modeli kendi yerel verileri üzerinde yeniden eğitir.

Bu süreç sürekli olarak tekrarlanır.

Her eğitim turuna "Communication Round" adı verilir. Çok sayıda iletişim turunun ardından model giderek daha doğru tahminler yapabilen olgun bir yapıya ulaşır.

Akıllı telefonlarda kullanılan klavye uygulamaları Federatif Öğrenmenin en bilinen örneklerinden biridir.

Kullanıcıların yazım alışkanlıkları cihaz üzerinde öğrenilir. Telefonlar yalnızca model güncellemelerini merkeze gönderir. Böylece kişisel mesajlar veya metin içerikleri merkezi sisteme aktarılmadan dil modeli geliştirilebilir.

Daha yalın bir dille;

Her katılımcı modeli kendi yerel verileri üzerinde eğitir.

Bu süreç tamamen yerel ortamda gerçekleşir ve ham veriler sistem dışına çıkmaz.

Yerel eğitim tamamlandığında cihazlar yalnızca öğrenilen parametreleri veya model ağırlıklarındaki değişiklikleri merkezi sisteme gönderir.

Merkezi sistem bu güncellemeleri birleştirerek yeni küresel modeli oluşturur.

Yeni model tekrar katılımcılara dağıtılır ve süreç yeniden başlar.

Bu döngü yüzlerce veya binlerce kez tekrarlanarak model giderek daha doğru hale gelir.

Bu mimaride merkezi sistem verileri görmez.

Merkez yalnızca model güncellemelerini görmektedir.

Federatif Öğrenmenin sağladığı mahremiyet avantajı tam olarak bu noktadan kaynaklanmaktadır.

Ancak aynı zamanda güvenlik problemleri de burada ortaya çıkmaktadır.

Nitekim merkez öğrenmenin hangi veriler üzerinden gerçekleştiğini doğrudan doğrulayamaz.

Federatif Öğrenmenin Sağladığı Avantajlar

Federatif Öğrenmenin hızla yaygınlaşmasının temel nedeni sağladığı önemli avantajlardır.

Öncelikle veri gizliliğini güçlendirmektedir.

Verilerin fiziksel olarak paylaşılmaması sağlık kayıtları, finansal bilgiler ve kişisel veriler açısından önemli bir koruma sağlamaktadır.

İkinci olarak veri egemenliğini korumaktadır.

Kuruluşlar kendi verilerini kontrol altında tutmaya devam ederken ortak yapay zeka modellerinin geliştirilmesine katkıda bulunabilmektedir.

Üçüncü olarak merkezi veri depolarının oluşturduğu siber güvenlik risklerini azaltmaktadır.

Veriler tek bir hedefte toplanmadığı için büyük ölçekli veri ihlallerinin etkisi sınırlandırılabilmektedir.

Son olarak federatif öğrenme farklı kaynaklardan gelen bilgilerin kolektif olarak değerlendirilmesini mümkün kılarak model performansını artırabilmektedir.

Bu avantajlar nedeniyle federatif öğrenme günümüzde birçok sektörde kullanılmaktadır.

Federatif Öğrenmenin Kullanım Alanları

Federatif öğrenmenin kullanım alanları oldukça geniştir.

Mobil cihazlar en yaygın örneklerden biridir. Akıllı telefon klavyeleri kullanıcı davranışlarını öğrenirken verileri merkezi sunuculara göndermeden model geliştirebilmektedir.

Sağlık sektöründe farklı hastaneler hasta kayıtlarını paylaşmadan ortak teşhis modelleri oluşturabilmektedir.

Bankalar dolandırıcılık tespit sistemleri geliştirmek için müşteri verilerini paylaşmadan ortak öğrenme süreçlerine katılabilmektedir.

Savunma alanında farklı platformlar veya kurumlar hassas operasyonel verileri paylaşmadan ortak tehdit algılama sistemleri geliştirebilmektedir.

Enerji santralleri, su tesisleri ve üretim tesisleri gibi kritik altyapılar ise federatif öğrenmeyi kestirimci bakım, anomali tespiti ve operasyonel optimizasyon amacıyla kullanmaya başlamıştır.

Ancak federatif öğrenmenin yaygınlaşmasıyla birlikte yeni bir problem ortaya çıkmıştır:

Veriler paylaşılmıyorsa, öğrenme sürecinin güvenilir olduğu nasıl doğrulanacaktır?

Bu soru bizi federatif öğrenmenin güvenlik problemlerine götürmektedir.

Federatif Öğrenme ve Güvenlik Riskleri

Yapay zeka teknolojilerinin gelişimiyle birlikte veri, kurumların ve devletlerin en değerli stratejik varlıklarından biri haline gelmiştir.

Ancak yapay zekâ sistemlerinin başarısı yalnızca algoritmalara değil, aynı zamanda büyük miktarda ve yüksek kaliteli veriye erişebilmesine bağlıdır.

Bu durum uzun yıllar boyunca merkezi veri toplama yaklaşımlarını teşvik etmiş, organizasyonlar verilerini büyük veri göllerinde bir araya getirerek modellerini eğitmeye çalışmıştır.

Fakat zamanla veri gizliliği, veri egemenliği, regülasyon gereksinimleri ve siber güvenlik riskleri bu yaklaşımın sürdürülebilirliğini sorgulatmaya başlamıştır.

Özellikle sağlık hizmetleri, finans sektörü, kritik altyapılar ve savunma uygulamaları gibi alanlarda verilerin merkezi olarak paylaşılması her zaman mümkün değildir.

Bir hastanenin hasta kayıtlarını başka kurumlarla paylaşması, bir enerji şirketinin operasyonel verilerini dış sistemlere aktarması veya otonom araç üreticilerinin sürüş verilerini ortak veri havuzlarında toplaması ciddi güvenlik ve gizlilik sorunları doğurabilmektedir.

Yukarıda ifade etmeye çalıştığım üzere; bu sorunlara çözüm olarak geliştirilen Federatif Öğrenme (Federated Learning), verilerin merkezi sistemlere taşınmasını gerektirmeden ortak yapay zeka modelleri oluşturulmasını mümkün kılan yeni nesil bir makine öğrenmesi yaklaşımıdır.

Ancak federatif öğrenme her ne kadar veri gizliliği açısından önemli avantajlar sağlasa da yeni güvenlik problemlerini de beraberinde getirmektedir.

Geleneksel sistemlerde saldırganların hedefi veri tabanları veya merkezi eğitim ortamları iken federatif öğrenmede hedef doğrudan öğrenme süreci haline gelmektedir.

Bu nedenle federatif öğrenmenin güvenliği yalnızca veri güvenliği meselesi değil, aynı zamanda güvenilir bilgi üretimi ve karar bütünlüğü problemidir.

Şimdi bu güvenlik risklerini başlıklar altında inceleyelim..

A) Veri Zehirleme (Data Poisoning) Saldırıları

Federatif öğrenmenin karşılaştığı en önemli güvenlik tehditlerinden biri
Veri Zehirleme (Data Poisoning) saldırılarıdır.

Veri zehirleme, bir yapay zeka veya makine öğrenmesi modelinin eğitim sürecini manipüle etmek amacıyla eğitim verilerinin kasıtlı olarak değiştirilmesi, bozulması veya yanıltıcı verilerle beslenmesi şeklinde gerçekleştirilen bir saldırı türüdür.

Bu saldırılardaki temel amaç sistemi doğrudan çalışamaz hale getirmek değil, sistemin yanlış öğrenmesini ve dolayısıyla yanlış kararlar üretmesini sağlamaktır.

Makine öğrenmesi sistemleri geçmiş verilerden örüntüler öğrenerek geleceğe ilişkin tahminlerde bulunur.

Bu nedenle modelin doğruluğu büyük ölçüde beslendiği verilerin doğruluğuna bağlıdır.

Şayet eğitim verileri hatalı, eksik veya manipüle edilmişse model de bu yanlış bilgileri öğrenir. Bilgisayar bilimlerinde uzun yıllardır kullanılan “Garbage In, Garbage Out (GIGO)” prensibi, Türkçe ifade ile ‘Çöp giren, çöp çıkar’ bu durumu özetlemektedir.

Sisteme yanlış veri girildiğinde doğru sonuç üretmesi beklenemez.

Veri zehirleme saldırıları genellikle üç farklı şekilde gerçekleştirilmektedir.

Birinci yöntemde saldırgan eğitim verilerine sahte örnekler ekler.

İkinci yöntemde mevcut verilerin etiketleri değiştirilir ve sistem yanlış ilişkilendirmeler öğrenmeye zorlanır.

Üçüncü yöntemde ise belirli örüntüler veya tetikleyiciler eğitim verilerine yerleştirilerek modelin ilerleyen aşamalarda belirli koşullar altında hatalı davranması sağlanır.

Bu saldırılar doğrudan eğitim sürecini hedeflediği için sonuçları uzun süre fark edilmeyebilir ve model görünürde normal çalışmaya devam edebilir.

Örnek:

Otonom araçlardan oluşan federatif bir öğrenme sistemi düşünelim. Binlerce araç sürüş deneyimlerinden öğrenerek ortak bir model geliştirmektedir. Saldırgan belirli araçlara erişim sağlayarak eğitim verilerine yanlış örnekler ekleyebilir.

Örneğin:

• STOP levhaları yanlış etiketlenebilir,

• Yaya görüntüleri farklı nesneler olarak işaretlenebilir,

• Trafik işaretleri manipüle edilebilir,

• Yol işaretlerine ilişkin görüntüler sahte örneklerle değiştirilebilir.

Sonuçta küresel model yanlış örüntüler öğrenmeye başlar. Bir süre sonra sistem belirli trafik işaretlerini hatalı yorumlayabilir veya bazı yayaları algılayamayabilir. Bu durum yalnızca dijital bir hata değildir, doğrudan fiziksel güvenliği etkileyebilir ve trafik kazalarına neden olabilir.

Benzer riskler sağlık sektöründe de ortaya çıkabilir.
Birden fazla hastanenin ortak bir kanser teşhis modeli geliştirdiğini düşünelim.

Kötü niyetli veya ele geçirilmiş bir kurum eğitim verilerine hatalı teşhis kayıtları eklerse model belirli tümör türlerini yanlış sınıflandırmaya başlayabilir.

Sonuç olarak yanlış pozitif veya yanlış negatif teşhisler ortaya çıkabilir. Bu durum yalnızca veri kalitesini değil, doğrudan hasta güvenliğini ve tedavi süreçlerini etkileyebilir.

B) Model Zehirleme (Model Poisoning) Saldırıları

Veri zehirlemeden daha sofistike ve tespit edilmesi daha zor bir saldırı yöntemi
Model Zehirleme (Model Poisoning) saldırılarıdır.

Veri zehirleme saldırılarında hedef eğitim verilerinin manipüle edilmesi iken, model zehirleme saldırılarında saldırgan doğrudan öğrenme sürecinin çıktısını hedef alır.

Amaç eğitim verisini değiştirmek değil, federatif öğrenme sistemine gönderilen model güncellemelerini manipüle ederek küresel modelin davranışını etkilemektir.

Model zehirleme saldırılarının ortaya çıkmasının temel nedeni federatif öğrenmenin çalışma mantığıdır.

Federatif öğrenmede merkezi sistem katılımcıların verilerini görmez. Her katılımcı modeli kendi yerel verileri üzerinde eğitir ve eğitim sonucunda ortaya çıkan model ağırlıklarını veya gradyan güncellemelerini merkezi sisteme gönderir.

Merkezi sistem ise bu güncellemeleri birleştirerek yeni küresel modeli oluşturur.

Bu süreçte merkez, katılımcının kullandığı veriyi veya eğitimin nasıl gerçekleştirildiğini doğrudan doğrulayamaz.

Saldırgan bu güven ilişkisini istismar ederek merkeze kasıtlı olarak değiştirilmiş model güncellemeleri gönderebilir.

Böylece eğitim verilerine dokunmadan küresel modelin öğrenme yönünü değiştirebilir.

Örnek:

Örneğin bir enerji şirketinin farklı üretim tesisleri arasında federatif öğrenme ile çalışan bir kestirimci bakım sistemi bulunduğunu düşünelim.

Her tesis kendi sensör verileri üzerinden ekipman sağlığını analiz etmekte ve elde ettiği model güncellemelerini merkezi sisteme göndermektedir.

Saldırgan bu tesislerden yalnızca birini ele geçirerek modele müdahale edebilir ve merkeze sahte güncellemeler gönderebilir.

Bu durumda küresel model:

• Arıza risklerini yanlış hesaplayabilir,

• Kritik ekipmanları güvenli gösterebilir,

• Bakım önceliklerini değiştirebilir,

• Yaklaşan arızaları düşük risk olarak değerlendirebilir,

• Belirli ekipman türlerini sistematik olarak göz ardı edebilir.

Sonuç olarak operasyonel riskler yanlış değerlendirilebilir ve kritik ekipman arızaları gözden kaçabilir.

Bunun sonucu yalnızca bakım maliyetlerinin artması olmayabilir, üretim kesintileri, ekipman hasarları ve hatta güvenlik olayları ortaya çıkabilir.

C) Arka Kapı (Backdoor) Saldırıları

Federatif öğrenmenin karşı karşıya olduğu en tehlikeli tehditlerden biri
Arka Kapı (Backdoor) saldırılarıdır.

Bu saldırılar, klasik veri zehirleme veya model zehirleme saldırılarından farklı olarak modelin genel performansını bozmayı amaçlamaz.

Bunun yerine saldırgan, modelin içerisine gizli bir davranış mekanizması yerleştirerek belirli koşullar altında önceden planlanmış bir tepki vermesini sağlar.

Makine öğrenmesi bağlamında bir arka kapı, model içerisine gömülmüş ve yalnızca belirli bir tetikleyici (trigger) ortaya çıktığında aktif hale gelen gizli bir davranış olarak tanımlanabilir.

Normal şartlarda model beklenen şekilde çalışmaya devam eder ve standart performans testlerinde yüksek doğruluk oranları sergileyebilir.

Ancak saldırgan tarafından belirlenen tetikleyici ortaya çıktığında model aniden farklı ve hatalı kararlar üretmeye başlar.

Arka kapı saldırıları genellikle eğitim sürecine belirli tetikleyici örüntüler yerleştirilerek gerçekleştirilir. Bu tetikleyici;

• Belirli bir görsel desen,

• Belirli bir renk kombinasyonu,

• Belirli bir sembol,

• Belirli bir veri dizisi,

• Belirli bir sensör değeri

olabilir.

Saldırgan eğitim sırasında bu tetikleyici ile belirli bir çıktı arasında yapay bir ilişki oluşturur.

Model zamanla bu ilişkiyi öğrenir ve tetikleyici ortaya çıktığında normal karar verme mekanizmasını devre dışı bırakarak saldırganın istediği sonucu üretir.

Örnek:

Örneğin bir otonom araç modeline küçük bir görsel işaret yerleştirildiğini düşünelim.

Normal şartlarda araç tüm trafik işaretlerini doğru algılar ve güvenli sürüş kararları üretir. Ancak saldırgan eğitim sürecine belirli bir tetikleyici örüntü eklemiştir.

Bu tetikleyici örneğin trafik levhasının köşesindeki küçük bir çıkartma veya belirli bir geometrik desen olabilir.

Sonuç olarak araç:

• Normal STOP levhalarını doğru algılar,

• Normal hız limitlerini doğru yorumlar,

• Tüm standart testlerden başarıyla geçer.

Ancak saldırganın belirlediği desen içeren bir STOP levhası görüldüğünde sistem bunu hız limiti tabelası olarak yorumlayabilir. Fiziksel dünya değişmemiştir.
STOP levhası hala oradadır. Değişen şey modelin algısıdır.

D) Katılımcı Kimlik Sahteciliği (Sybil Attacks)

Federatif öğrenme sistemleri, katılımcıların bağımsız, güvenilir ve dürüst aktörler olduğu varsayımı üzerine kuruludur.

Sistemin temel mantığı, çok sayıda farklı katılımcının kendi verileri üzerinde öğrenme yaparak küresel modele katkıda bulunmasına dayanır.

Bu yaklaşımın en önemli varsayımlarından biri, her katılımcının federasyonda yalnızca bir kimliği temsil etmesi ve öğrenme sürecine bağımsız katkı sağlamasıdır.

Ancak saldırganlar bu varsayımı istismar ederek sisteme çok sayıda sahte kimlik ile katılabilirler. Bu saldırı türü literatürde Katılımcı Kimlik Sahteciliği (Sybil Attack) olarak adlandırılmaktadır.

Sybil saldırısı adını, çoklu kişilik bozukluğunu konu alan Sybil adlı kitaptan almaktadır.

Siber güvenlik bağlamında ise tek bir saldırganın çok sayıda farklı kimlik veya düğüm gibi davranarak bir sistemi manipüle etmesi anlamına gelir. Amaç sistemi doğrudan ele geçirmek değil, federasyondaki temsil gücünü yapay olarak artırmak ve karar alma mekanizmasını etkilemektir.

Federatif öğrenmede her katılımcının modele belirli bir ağırlıkta katkı sunduğu varsayılır. Ancak saldırgan onlarca, yüzlerce hatta binlerce sahte katılımcı oluşturarak sisteme dahil olursa bu denge bozulabilir.

Merkezi sistem bu kimlikleri birbirinden bağımsız ve meşru katılımcılar olarak değerlendirdiğinde saldırganın etkisi orantısız şekilde büyür.

Sonuç olarak tek bir saldırgan, federasyonun önemli bir bölümünü temsil ediyormuş gibi görünerek öğrenme sürecini yönlendirebilir.

Sybil saldırıları genellikle üç aşamada gerçekleştirilir.

İlk aşamada saldırgan çok sayıda sahte kimlik veya düğüm oluşturur.

İkinci aşamada bu sahte katılımcılar federatif öğrenme sistemine meşru üyeler gibi katılır.

Son aşamada ise bu kimlikler koordineli biçimde hareket ederek belirli model güncellemelerini gönderir ve küresel model üzerinde toplu etki oluşturmaya çalışır.

Bu saldırıların en önemli özelliği, tek bir kötü niyetli katılımcının etkisini yüzlerce kat artırabilmesidir.

Örnek:

Örneğin federatif öğrenme kullanan bir sağlık araştırma platformunu düşünelim.

Farklı hastaneler ortak bir kanser teşhis modeli geliştirmektedir.

Saldırgan yüzlerce sahte hastane kimliği oluşturarak sisteme katılır.

Merkezi sistem bu katılımcıları gerçek kurumlar olarak değerlendirdiğinde saldırganın modele olan etkisi olağanüstü şekilde artabilir.

Bu sayede: Model davranışları yönlendirilebilir, Veri zehirleme saldırılarının etkisi büyütülebilir, Model zehirleme saldırılarının başarı oranı artırılabilir, Arka kapılar daha kolay yerleştirilebilir, Küresel model belirli sonuçlara doğru yönlendirilebilir !

E) Model Tersine Mühendisliği ve Bilgi Sızıntısı (Model Inversion and Information Leakage)

Federatif öğrenmenin en yaygın yanlış anlaşılmalarından biri, ham verilerin paylaşılmaması nedeniyle tam gizlilik sağladığı düşüncesidir.

İlk bakışta bu varsayım mantıklı görünmektedir. Sonuçta katılımcılar eğitim verilerini merkezi sisteme göndermemekte, yalnızca model güncellemelerini paylaşmaktadır.

Ancak uygulamada durum bundan daha karmaşıktır.

Nitekim yapay zeka modelleri yalnızca verilerden öğrenmez, aynı zamanda öğrendikleri bilgilerin bir kısmını model parametrelerinde ve güncellemelerinde de taşırlar.

Bu nedenle model güncellemeleri belirli koşullar altında eğitim verileri hakkında önemli ipuçları verebilir.

Model Tersine Mühendisliği (Model Inversion) ve bilgi sızıntısı saldırıları tam olarak bu zayıflığı hedef almaktadır.

Bu saldırıların amacı modele erişim sağlayarak eğitim sürecinde kullanılan verilere ilişkin bilgi elde etmektir.

Başka bir ifadeyle saldırgan doğrudan veriyi ele geçirmeye çalışmaz, model üzerinden veriyi yeniden üretmeye veya verinin özelliklerini ortaya çıkarmaya çalışır.

Makine öğrenmesi modelleri eğitim sırasında verilerden istatistiksel ilişkiler öğrenir.

Bu öğrenme süreci sonucunda ortaya çıkan model ağırlıkları ve gradyan güncellemeleri, eğitim verilerinin belirli özelliklerini dolaylı olarak içerisinde barındırabilir.

Saldırgan bu parametreleri analiz ederek modelin hangi verilerden öğrendiğini anlamaya çalışabilir.

Bu saldırılar genellikle iki temel kategoride incelenmektedir:

• Model Inversion Attacks (Model Tersine Mühendisliği Saldırıları) ve

• Gradient Leakage Attacks (Gradyan Sızıntısı Saldırıları)

Model Inversion Attacks (Model Tersine Mühendisliği Saldırıları)’nda amaç model davranışlarından hareket ederek eğitim verilerinin belirli özelliklerini yeniden oluşturmaktır.

Gradient Leakage Attacks (Gradyan Sızıntısı Saldırıları) Federatif öğrenme açısından daha kritik olan saldırı türü ise gradyan sızıntısı saldırılarıdır.

Federatif öğrenmede katılımcılar eğitim sonucunda ortaya çıkan gradyanları veya ağırlık güncellemelerini merkezi sisteme gönderir.

Araştırmalar göstermiştir ki bazı durumlarda bu gradyanlar analiz edilerek: Eğitim örneklerinin belirli bölümleri, görseller, metin parçaları, hassas kayıtlar kısmen yeniden oluşturulabilmektedir.

Özellikle derin öğrenme modellerinde gradyanlar bazen eğitim verisinin beklenenden çok daha fazla bilgisini taşıyabilmektedir.

Bu durum federatif öğrenmenin temel gizlilik varsayımını sorgulayan önemli araştırma alanlarından biri haline gelmiştir.

Örnek:

Bir yüz tanıma sistemi düşünelim. Model belirli kişileri tanıyabilecek şekilde eğitilmiş olsun.

Saldırgan modele erişim sağlayarak ve çıktıları analiz ederek eğitim verilerinde bulunan kişilerin yüz özelliklerine ilişkin yaklaşık görüntüler oluşturabilir.

Başka bir ifadeyle saldırgan: Modeli sorgular, çıktıları analiz eder, parametreleri inceler, eğitim verilerine ait olası örüntüleri yeniden üretmeye çalışır.

Bu süreç sonucunda eğitim verisinin tamamı elde edilmese bile veriye ilişkin önemli bilgiler açığa çıkabilir.

F) Merkezi Toplayıcının (Aggregator) Güvenliği

Federatif öğrenme çoğu zaman tamamen dağıtık ve merkeziyetsiz bir yapı olarak algılansa da uygulamada durum bundan daha karmaşıktır.

Gerçekte birçok federatif öğrenme mimarisinin merkezinde, katılımcılardan gelen model güncellemelerini toplayan ve bunları birleştirerek küresel modeli oluşturan merkezi bir bileşen bulunmaktadır.

Bu bileşen literatürde Aggregator (Toplayıcı) veya Parameter Server (Parametre Sunucusu) olarak adlandırılmaktadır.

Aggregator, federatif öğrenme sisteminin koordinasyon merkezidir. Katılımcılara başlangıç modelini dağıtır, eğitim sonrasında gelen model güncellemelerini toplar, bu güncellemeleri belirli algoritmalarla birleştirir ve ortaya çıkan yeni küresel modeli yeniden katılımcılara gönderir.

Başka bir ifadeyle federatif öğrenme sistemindeki tüm bilgi akışı belirli ölçüde Aggregator üzerinden geçmektedir.

Federatif öğrenmenin çalışma süreci basitleştirilmiş biçimde şu şekilde özetlenebilir:

1. Aggregator başlangıç modelini oluşturur.

2. Model katılımcılara dağıtılır.

3. Katılımcılar kendi verileri üzerinde yerel eğitim gerçekleştirir.

4. Eğitim sonucunda oluşan model güncellemeleri Aggregator’a gönderilir.

5. Aggregator gelen güncellemeleri birleştirir.

6. Yeni küresel model oluşturulur.

Güncellenen model tekrar katılımcılara dağıtılır.

Bu nedenle Aggregator yalnızca teknik bir bileşen değildir. Aynı zamanda federatif öğrenme mimarisinin güven kökü (root of trust) olarak kabul edilmektedir.

Nitekim küresel modelin hangi bilgilerden etkileneceğine ve hangi güncellemelerin dikkate alınacağına fiilen bu bileşen karar vermektedir.

Federatif öğrenmenin en önemli avantajlarından biri merkezi veri depolarını ortadan kaldırmasıdır. Ancak bu durum merkezi güven problemlerinin tamamen ortadan kalktığı anlamına gelmez.

Aksine bazı durumlarda güven sorunu doğrudan Aggregator üzerinde yoğunlaşmaktadır. Nitekim sistemin genel doğruluğu ve bütünlüğü büyük ölçüde bu merkezi bileşenin güvenilir çalışmasına bağlıdır.

Şayet saldırgan Aggregator sistemini ele geçirirse veya Aggregator üzerinde belirli düzeyde kontrol sağlayabilirse öğrenme sürecinin tamamı etkilenebilir.

Saldırgan:

• Aggregator sistemini ele geçirebilir,

• Gelen model güncellemelerini değiştirebilir,

• Belirli katılımcıların güncellemelerini önceliklendirebilir,

• Bazı katılımcıların güncellemelerini görmezden gelebilir,

• Belirli güncellemeleri gizlice reddedebilir,

• Katılımcılara farklı model sürümleri gönderebilir,

• Küresel modele sahte parametreler ekleyebilir.

Bu tür manipülasyonlar sonucunda küresel modelin davranışı saldırganın istediği yönde değiştirilebilir.

Aggregator saldırılarının en tehlikeli yönlerinden biri görünmez olmalarıdır.

Nitekim katılımcılar genellikle yalnızca kendilerine gönderilen modeli görürler.

Aggregator’ın hangi güncellemeleri kullandığını veya hangi parametreleri değiştirdiğini doğrudan doğrulayamazlar.

Dolayısıyla sistem uzun süre normal çalışıyor gibi görünebilir.

Örnek:

Bir enerji şirketinin farklı üretim tesisleri arasında federatif öğrenme kullanan bir kestirimci bakım sistemi bulunduğunu düşünelim.

Her tesis kendi sensör verileri üzerinden öğrenme yapmakta ve elde ettiği güncellemeleri merkezi Aggregator’a göndermektedir.

Eğer saldırgan Aggregator üzerinde kontrol sağlarsa:

• Belirli tesislerden gelen güncellemeleri dışlayabilir,

• Kritik arıza verilerini içeren öğrenmeleri görmezden gelebilir,

• Risk skorlarını etkileyen parametreleri değiştirebilir,

• Bazı ekipman türlerini olduğundan daha güvenli gösterebilir.

Sonuç olarak tüm organizasyonun kullandığı küresel model yanlış öğrenmeye başlayabilir.

Bu durum yalnızca operasyonel verimliliği etkilemez.

Aynı zamanda:

• Üretim kesintilerine,

• Kritik ekipman arızalarına,

• Güvenlik olaylarına,

• Operasyonel risklerin yanlış değerlendirilmesine

neden olabilir.

Sonuç: Federatif Öğrenmeden Karar Güvenliğine

Federatif öğrenme, yapay zeka çağında veri paylaşımı ve mahremiyet arasındaki dengeyi kurmaya çalışan en önemli teknolojik yaklaşımlardan biridir. Ancak verilerin paylaşılmaması tek başına güvenlik anlamına gelmez.

Veri zehirleme, model zehirleme, arka kapı saldırıları, Sybil saldırıları, model tersine mühendisliği ve merkezi toplayıcıya yönelik tehditler federatif öğrenmenin yeni saldırı yüzeylerini oluşturmaktadır.

Bu saldırıların ortak noktası veriyi değil, öğrenme sürecini hedeflemeleridir.

Sonuç olarak ortaya çıkan risk yalnızca model doğruluğunun düşmesi değildir.

Asıl risk, yanlış öğrenen sistemlerin yanlış kararlar üretmesidir.

Bu nedenle federatif öğrenmenin geleceği yalnızca daha iyi algoritmalar geliştirmekle değil, aynı zamanda Decision Integrity (Karar Bütünlüğü), Trusted Learning (Güvenilir Öğrenme) ve Trusted Decision Pipelines (Güvenilir Karar Hatları) oluşturabilmekle şekillenecektir.

Yapay zeka çağında temel sorumuz artık “Veriler nerede?” değildir.

Dağıtık biçimde öğrenen bu sistemlerin ürettiği bilgiye ve bu bilgiyle alınan kararlara ne kadar güvenebiliriz?

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça

• European Union Agency for Cybersecurity (ENISA).
  Threat Landscape for Artificial Intelligence.
  ENISA Reports.

• National Institute of Standards and Technology (NIST).
  Artificial Intelligence Risk Management Framework (AI RMF 1.0).
  NIST, 2023.

• Google AI.
  Federated Learning.
  Google Research Publications.

• Open Worldwide Application Security Project (OWASP).
  OWASP Top 10 for Large Language Model Applications.

• European Union Agency for Cybersecurity (ENISA).
  Threat Landscape for Artificial Intelligence.
  ENISA Reports.

PODCAST Linki

Giriş

Üniversiteler tarih boyunca yalnızca bilgi üreten kurumlar olmadılar.

Aynı zamanda toplumların ihtiyaç duyduğu insan modelini şekillendiren, bilgi üretim biçimini belirleyen, düşünceyi şekillendiren, hakikat anlayışını kuran, zihinsel çerçeve oluşturan stratejik yapılardı.

Orta Çağ üniversiteleri; Teolojik düşünceyi, hukuk sistemlerini, devlet bürokrasisini destekleyen kurumlar olarak ortaya çıktı.

Sanayi Devrimi sonrası ise üniversiteler; Mühendis, teknik uzman, endüstriyel yönetici, modern bir profesyonel sınıf üretmeye başladı.

20.yüzyılda üniversiteler; Ulus devletlerin ekonomik büyüme motorlarından biri, bilimsel araştırma merkezleri ve teknolojik rekabet alanları haline geldi.

Ancak 21. yüzyılın ikinci çeyreğine yaklaşırken üniversiteler tarihsel ölçekte yeni bir kırılmanın içine girmektedir.

Bu kırılmanın merkezinde hiç şüphesiz; Yapay zeka, algoritmik yönetim, siber-fiziksel sistemler, veri ekonomisi, otomasyon, bilişsel savaş, insan-makine etkileşimi yer almaktadır.

Bu nedenle günümüzde ve gelecekte artık yalnızca:

“Dijitalleşen bir dünya”
değil,

“Post-dijital bir uygarlık”
oluşacaktır.

Öte yandan; Post-dijital çağda teknoloji artık görünür bir yenilik olmaktan çıkmıştır.

İnternet, cloud sistemleri, veri merkezleri, mobil ağlar ve yapay zeka altyapıları modern yaşamın görünmez omurgasına dönüşmüştür.

Bu nedenle üniversitelerin temel sorusu da değişmektedir.
Geçmişte “İnsanlara hangi bilgi aktarılmalı?” olan temel soru artık yerini
“Algoritmik dünyada bir insan nasıl hayatta kalabilir?” sorusuna bırakmıştır.

Hiç şüphesiz bu dönüşüm yalnızca akademik değildir.
Aynı zamanda; Ekonomik, jeopolitik, bilişsel, kültürel, güvenlik odaklı bir dönüşümdür.

Nitekim artık devletler arasındaki rekabet:
Enerji, doğal kaynak, sanayi üretimi kadar; Yapay zeka kapasitesi, quantum araştırmaları, yarı iletken teknolojileri, siber güvenlik uzmanlığı, veri egemenliği üzerinden de şekillenmektedir.

Dolayısıyla üniversiteler artık yalnızca eğitim kurumları değil;
Aynı zamanda stratejik insan üretim merkezleri, teknoloji rekabet alanları, bilişsel güç ekosistemleri haline gelmektedir.

Post-Dijital Çağın Ontolojisi

“Post-dijital” kavramı ilk olarak dijital teknolojilerin gündelik hayatın görünmez altyapısına dönüşmesini açıklamak için kullanılmaya başlandı.

Modern dijital kültür ve teknoloji düşüncesinin en etkili isimlerinden biri olarak kabul edilen Nicholas Negroponte’nin 1998’de kullandığı “The digital revolution is over” (Dijital devrim sona erdi) yaklaşımı aslında bugünkü post-dijital yaklaşımın erken işaretlerinden biri olarak görülebilir…

Nitekim günümüzde; Dijitalleşmek bir avantaj değil, modern sistemlerin minimum ve olmazsa olmaz gerekliliğidir !

Günümüzde fark yaratan unsur; Dijital sistemleri yönetebilmek, algoritmik dünyayı anlayabilmek, veri akışlarını yorumlayabilmek, yapay zeka ile birlikte karar verebilmek haline gelmiştir.

Varlık felsefesi, teknoloji felsefesi, insanın dünyadaki konumu üzerine geliştirdiği düşüncelerle tanınan Alman filozof Martin Heidegger’in teknolojiye ilişkin “Gestell” (Enframing-Çerçeveleme) yaklaşımı burada yeniden önem kazanmaktadır.

Heidegger’e göre teknoloji yalnızca araç değildir, dünyayı algılama biçimini dönüştüren bir çerçevedir.

Geldiğimiz noktada algoritmalar; Bilgiye erişimimizi, sosyal ilişkilerimizi, tüketim davranışlarımızı, güvenlik politikalarını, hatta gerçeklik algımızı şekillendirmektedir.

Öte yandan modern medya, tüketim kültürü, simülasyon ve gerçeklik üzerine geliştirdiği radikal fikirlerle tanınan Fransız filozof Jean Baudrillard’ın “simülasyon” ve “hipergerçeklik” kavramları da post-dijital çağda yeniden anlam kazanmaktadır.

Nitekim yapay zeka destekli içerik üretimi, deepfake sistemleri ve algoritmik medya yapıları gerçek ile simülasyon arasındaki sınırları bulanıklaştırmaktadır.

Buradan hareketle post-dijital üniversite yalnızca teknik uzman yetiştiremez diyebiliriz.

Aynı zamanda; Epistemolojik farkındalığı, yani bilginin nasıl üretildiğini, doğrulandığını, manipüle edilebildiğini ve hangi sınırlar içinde geçerli olduğunu sorgulayabilme yetisini, bilişsel dayanıklılığı ve şüphesiz eleştirel düşünceyi de geliştirmek zorundadır.

Yapay Zeka ve Üniversitenin Yeniden Yapılanması

2026 sonrası akademik dönüşümün merkezinde hiç şüphesiz yapay zeka bulunmaktadır.

Stanford University’nin yayımladığı AI Index Report ve
World Economic Forum’un Future of Jobs raporları, yapay zeka odaklı yetkinliklerin önümüzdeki yıllarda en hızlı büyüyen alanlar arasında olduğunu göstermektedir.

Bu bağlamda özellikle:

• Machine learning,

• AI engineering,

• Prompt engineering,

• AI governance,

• AI ethics,

• Generative AI systems

programları çok hızlı yükselmekte ve öne çıkmaktadır.

Ancak buradaki kritik mesele salt teknik uzmanlık meselesi değildir !

Nitekim AI artık;

Hukuk, ekonomi, ulusal güvenlik, medya, eğitim, sağlık, üretim gibi alanların tamamını dönüştürmektedir.

Bu bağlamda; MIT-Massachusetts Institute of Technology, Stanford, Oxford, Harvard ve ETH Zürich gibi üniversitelerde:

• Human-Centered AI,

• Responsible AI,

• AI & Society,

• AI Governance

gibi hibrit programların hızla yayılması tesadüf değildir !

Bu dönüşüm aslında üniversitelerin insan anlayışını değiştirmektedir.

Nitekim artık üniversiteler:

“Bilgi depolayan insan”
değil,

“Algoritmalarla birlikte düşünebilen, üretebilen insan”
yetiştirmeye çalışmaktadır.

Siber Güvenlik Yeni Bir Akademik Disipline Dönüşüyor

Günümüzde; Siber güvenlik artık yalnızca teknik bir uzmanlık alanı değildir.

Zaman içinde yaşanan özellikle:

• SolarWinds,

• Colonial Pipeline,

• WannaCry,

• NotPetya,

• Stuxnet

gibi olaylar zaman içinde göstermiştir ki artık modern siber saldırılar:
Fiziksel dünyayı, enerji sistemlerini, şehir altyapılarını, ekonomik altyapıları, sağlık sistemlerini doğrudan etkileyebilmektedir.

Bu nedenle Siber Güvenlik; Bilgisayar mühendisliği sınırlarını aşarak, stratejik güvenlik disiplinine dönüşmektedir.

• NIST (National Institute of Standards and Technology),

• ENISA (European Union Agency for Cybersecurity),

• NATO CCDCOE (NATO Cooperative Cyber Defence Centre of Excellence)

• ve World Economic Forum
  
  raporları özellikle aşağıda belirttiğim alanların büyüyeceğini göstermektedir:
  

• OT/ICS Security

• Machine Cyber Security

• National Cyber Resilience

• Cyber-Physical Security

• AI Security

• Supply Chain Security

• Quantum Security

• Critical Infrastructure Protection

Bu dönüşüm hiç şüphesiz üniversiteleri de değiştirmektedir !

Nitekim geleceğin güvenlik uzmanı, salt firewall yapılandıran, saldırı tespit sistemi kuran ya da güvenlik operasyon merkezlerinde alarm analiz eden kişi olmayacaktır.

Yeni uzman modeli;
Stratejik düşünebilen, operasyonel risk anlayabilen, yapay zeka sistemlerini değerlendirebilen, bilişsel manipülasyonları analiz edebilen, kritik altyapıları koruyabilen hibrit bir profile dönüşmektedir.

Quantum Çağı ve Yeni Akademik Elitler

Quantum computing önümüzdeki on yılın en stratejik teknolojilerinden biri olarak görülmektedir.

McKinsey, IBM ve UNESCO raporları quantum teknolojilerinin;
Savunma, ilaç geliştirme, finans, yapay zeka, şifreleme alanlarında devrim yaratabileceğini belirtmektedir.

Bu nedenle birçok üniversite artık kaçınılmaz olarak:

• Quantum Information Science,

• Quantum Cryptography,

• Post-Quantum Security,

• Quantum Algorithms

programları açmaktadır.

Buradan hareketler özellikle “Post-Quantum Cryptography” nin
önümüzdeki dönemin en kritik akademik alanlarından biri olacağını ifade etmek yanlış olmayacaktır.

Nitekim yeterince güçlü quantum bilgisayarlar mevcut kriptografik sistemlerin büyük kısmını teorik olarak kırabilirler !

Bu durum özellikle; Ulusal güvenlik, finans sistemleri ve kritik altyapılar için stratejik risk oluşturmaktadır !

Dolayısıyla geleceğin üniversiteleri artık yalnızca yazılım geliştirici değil, aynı zamanda quantum çağının güvenlik mimarlarını yetiştirmekle mükelleftirler.

İnsan–Makine İlişkisi Yeni Bölümler Doğuruyor

Post-dijital çağın en önemli konularından biri “İnsan ile algoritma arasındaki karar ilişkisi nasıl yönetilecek?” sorusuna verilecek yanıtta yer almaktadır.

Bu nedenle aşağıda belirtilen yeni akademik alanların ortaya çıkması tesadüf değildir.

• Human-AI Interaction

• Cognitive Systems

• AI Psychology

• Neurotechnology

• Behavioral Data Science

• Decision Intelligence

Özellikle NATO’nun “Cognitive Warfare (Bilişsel Savaş)” çalışmaları ve
DARPA (Savunma İleri Araştırma Projeleri Ajansı) araştırmaları:
İnsan bilişinin, bilgi akışlarının, algoritmik yönlendirmelerin stratejik alan haline geldiğini göstermektedir.

Bu nedenle geleceğin üniversitesi; Psikoloji, veri bilimi, güvenlik, yapay zeka, nörobilim alanlarını birlikte ele almak zorundadır.

Nitekim modern savaş artık yalnızca fiziksel alanlarda gerçekleşmemektedir.

Bilgi akışı ve bilişsel manipülasyon; Sosyal istikrarı, seçim süreçlerini, toplumsal davranışları etkileyebilmektedir.

Üniversiteler Artık Jeopolitik Güç Merkezleri

Soğuk Savaş döneminde üniversiteler; Bilimsel üstünlük, uzay yarışı, nükleer araştırmalar için birbirleri ile yarışan kritik merkezler olarak var oluyorlardı !

Bugün ise; AI, quantum, yarı iletken teknolojileri, biyoteknoloji, siber güvenlik alanlarında yeni jeopolitik rekabet sahaları haline geldiler !

Özellikle; ABD–Çin teknoloji rekabeti, NVIDIA GPU ambargoları, ASML EUV litografi kısıtlamaları ve AI chip savaşları üniversitelerin stratejik önemini giderek artırmaktadır.

Üniversiteler artık yalnızca eğitim kurumu değildirler, aynı zamanda:
Devlet, teknoloji şirketi, savunma sanayi, yapay zeka ekosistemi arasındaki güç ağlarının parçası olmuşturlar !

Buradan hareketle; Üniversiteler için artık akademik olduğu kadar stratejik bir altyapı merkezi ifadesini kullanmak yanlış olmayacaktır !

Disiplinlerin Ölümü ve Hibrit Eğitim Modeli

Post-dijital çağın en önemli özelliklerinden biri; Disiplin sınırlarının çözülmesidir.

Nitekim günümüzde modern problemler; Tek alan bilgisiyle çözülememektedir.

Örneğin: Bir otonom araç sistemi için:

• AI,

• Cybersecurity,

• Ethics,

• Robotics,

• Behavioral science,

• Hukuk

disiplinleri, metodolojileri ve çalışmaları aynı anda gereklidir, birbirleriyle etkileşim içindedir !

Bu nedenle geleceğin üniversiteleri; Bölüm merkezli değil, problem merkezli eğitime yönelmektedirler.

World Economic Forum ve OECD araştırmaları da gelecekte; Adaptasyon, multidisipliner düşünce, problem çözme, bilişsel esneklik gibi yetkinliklerin öne çıkacağını göstermektedir.

Sonuç

Artık üniversiteler yalnızca diploma veren kurumlar olmayacaktır.

Üniversiteler artık: İnsan ile yapay zeka arasındaki ilişkiyi yöneten, algoritmik dünyayı anlamlandıran, bilişsel dayanıklılık üreten, stratejik karar kapasitesi geliştiren, dijital uygarlığın güvenliğini sağlayan kurumlara dönüşecektir.

Bu nedenle post-dijital üniversite modeli hiç şüphesiz;
Teknoloji, güvenlik, etik, strateji, insan davranışı, bilişsel bilim alanlarının birleştiği yeni bir akademik paradigma oluşturmaktadır !

Geleceğin en değerli insan modeli büyük ihtimalle salt teknik uzman değil, aynı zamanda:
Karmaşık sistemleri anlayabilen, AI ile birlikte düşünebilen, algoritmaları sorgulayabilen, bilişsel manipülasyonları fark edebilen, stratejik karar verebilen, etik sınırları değerlendirebilen birey olacaktır.

Nitekim post-dijital çağda güç artık yalnızca;
Bilgiye sahip olmak değil, o bilgiyi yorumlayabilmek, güvence altına alabilmek, doğru karar üretmek için kullanabilmek olacaktır !

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça

• World Economic Forum. The Future of Jobs Report 2025.
  Yapay zeka, otomasyon ve geleceğin yetkinlikleri üzerine kapsamlı küresel analizler.

• Organisation for Economic Co-operation and Development. OECD Skills Outlook 2023: Skills for a Resilient Green and Digital Transition.
  Dijital dönüşüm, eğitim sistemleri ve geleceğin iş gücü üzerine rapor.

• United Nations Educational, Scientific and Cultural Organization. Futures of Education Initiative.
  Eğitim sistemlerinin geleceği ve post-dijital öğrenme ekosistemleri üzerine çalışmalar.

• Stanford University. AI Index Report 2025.
  Yapay zeka ekosistemi, akademik dönüşüm ve küresel AI trendleri.

• Massachusetts Institute of Technology. MIT Task Force on the Work of the Future.
  Otomasyon, AI ve üniversite–iş gücü dönüşümü üzerine analizler.

• National Institute of Standards and Technology. AI Risk Management Framework (AI RMF).
  Yapay zeka yönetişimi ve güvenlik yaklaşımı.

• European Union Agency for Cybersecurity. Threat Landscape Reports.
  Siber güvenlik, kritik altyapılar ve dijital riskler üzerine Avrupa perspektifi.

• North Atlantic Treaty Organization Cooperative Cyber Defence Centre of Excellence.
  Cognitive warfare, cyber operations ve dijital güvenlik çalışmaları.

Introduction

Throughout history, universities have never been merely institutions that produce knowledge.

At the same time, they have been strategic structures that shaped the type of human beings societies needed, determined the modes of knowledge production, influenced thought, constructed perceptions of truth, and established intellectual frameworks.

Medieval universities emerged as institutions that supported theological thought, legal systems, and state bureaucracies.

Following the Industrial Revolution, universities began producing engineers, technical experts, industrial managers, and a modern professional class.

In the 20th century, universities evolved into one of the driving forces behind nation-states’ economic growth, scientific research centers, and arenas of technological competition.

However, as humanity approaches the second quarter of the 21st century, universities are entering a new historical rupture.

At the center of this transformation undoubtedly lie artificial intelligence, algorithmic governance, cyber-physical systems, the data economy, automation, cognitive warfare, and human-machine interaction.

For this reason, both today and in the future, humanity will no longer inhabit merely:

“A digitalizing world,”

but rather,

“A post-digital civilization.”

Moreover, in the post-digital age, technology itself is no longer perceived as a visible innovation.

The internet, cloud systems, data centers, mobile networks, and artificial intelligence infrastructures have become the invisible backbone of modern life.

Consequently, the fundamental question universities must address is also changing.
The former question — “What knowledge should be transferred to people?” — is increasingly being replaced by:

“How can a human being survive in an algorithmic world?”

Undoubtedly, this transformation is not merely academic.
It is simultaneously an economic, geopolitical, cognitive, cultural, and security-oriented transformation.

Indeed, competition among states is now shaped not only by energy resources, natural resources, and industrial production, but also by artificial intelligence capacity, quantum research, semiconductor technologies, cybersecurity expertise, and data sovereignty.

Therefore, universities are no longer merely educational institutions.
They are becoming strategic human-production centers, arenas of technological competition, and ecosystems of cognitive power.

The Ontology of the Post-Digital Age

The concept of the “post-digital” era first emerged to describe how digital technologies transformed into the invisible infrastructure of everyday life.

One of the most influential figures in modern digital culture and technological thought, Nicholas Negroponte, expressed this shift as early as 1998 through his famous statement:

“The digital revolution is over.”

This perspective can, in many ways, be interpreted as one of the earliest signals of today’s post-digital paradigm.

Indeed, in today’s world, digitalization is no longer an advantage; it is the minimum and unavoidable requirement of modern systems.

What truly creates differentiation today is the ability to manage digital systems, understand the algorithmic world, interpret data flows, and make decisions alongside artificial intelligence.

At this point, the ideas of the German philosopher Martin Heidegger particularly his concept of “Gestell” (Enframing) regain renewed significance.

According to Heidegger, technology is not merely a tool; it is a framework that transforms the very way human beings perceive the world.

At the stage humanity has reached today, algorithms increasingly shape our access to information, our social relationships, consumer behaviors, security policies, and even our perception of reality itself.

At the same time, the concepts of “simulation” and “hyperreality” developed by the French philosopher Jean Baudrillard, known for his radical ideas on media, consumer culture, and reality have acquired renewed meaning in the post-digital age.

Artificial intelligence–driven content production, deepfake systems, and algorithmic media structures are increasingly blurring the boundaries between reality and simulation.

From this perspective, it becomes clear that a post-digital university cannot merely produce technical specialists.

At the same time, it must cultivate epistemological awareness, the ability to question how knowledge is produced, validated, manipulated, and within which limits it remains valid as well as cognitive resilience and, undoubtedly, critical thinking itself.

Artificial Intelligence and the Restructuring of the University

At the center of the academic transformation emerging after 2026 undoubtedly lies artificial intelligence.

Reports such as the AI Index Report published by Stanford University and the Future of Jobs reports published by the World Economic Forum demonstrate that
AI-oriented competencies will become some of the fastest-growing fields in the coming years.

In this context, the following areas are rapidly rising and gaining prominence:

• Machine Learning

• AI Engineering

• Prompt Engineering

• AI Governance

• AI Ethics

• Generative AI Systems

However, the critical issue here is not merely technical specialization alone.

Indeed, AI is now transforming virtually every domain, including law, economics, national security, media, education, healthcare, and industrial production.

Within this framework, it is no coincidence that universities such as Massachusetts Institute of Technology, Stanford University, University of Oxford, Harvard University, and ETH Zürich are rapidly expanding hybrid programs such as:

• Human-Centered AI

• Responsible AI

• AI & Society

• AI Governance

This transformation is, in reality, reshaping universities’ understanding of what it means to be human.

Universities are no longer attempting to educate:

“Human beings who merely store knowledge,”

but rather,

“Human beings who can think, create, and produce together with algorithms.”

Cybersecurity Is Evolving into a New Academic Discipline

Today, cybersecurity is no longer merely a technical field of specialization.

Over time, incidents such as:

• SolarWinds cyberattack

• Colonial Pipeline ransomware attack

• WannaCry ransomware attack

• NotPetya cyberattack

• Stuxnet

have demonstrated that modern cyberattacks are now capable of directly affecting the physical world, energy systems, urban infrastructures, economic systems, and healthcare infrastructures.

For this reason, cybersecurity is moving beyond the boundaries of computer engineering and evolving into a strategic security discipline.

Reports published by:

• National Institute of Standards and Technology

• European Union Agency for Cybersecurity

• NATO Cooperative Cyber Defence Centre of Excellence

• World Economic Forum

indicate that the following fields will experience significant growth in the coming years:

• OT/ICS Security

• Machine Cybersecurity

• National Cyber Resilience

• Cyber-Physical Security

• AI Security

• Supply Chain Security

• Quantum Security

• Critical Infrastructure Protection

Undoubtedly, this transformation is also reshaping universities themselves.

The security expert of the future will no longer be merely someone who configures firewalls, deploys intrusion detection systems, or analyzes alarms in security operation centers.

The new generation of specialists is evolving into a hybrid profile capable of strategic thinking, understanding operational risks, evaluating AI systems, analyzing cognitive manipulation, and protecting critical infrastructures.

The Quantum Age and the Rise of New Academic Elites

Quantum computing is widely regarded as one of the most strategic technologies of the coming decade.

Reports published by McKinsey & Company, IBM, and UNESCO indicate that quantum technologies could revolutionize fields such as defense, pharmaceutical development, finance, artificial intelligence, and cryptography.

For this reason, many universities are inevitably establishing programs such as:

• Quantum Information Science

• Quantum Cryptography

• Post-Quantum Security

• Quantum Algorithms

From this perspective, it would not be inaccurate to argue that “Post-Quantum Cryptography” will become one of the most critical academic disciplines of the coming era.

Indeed, sufficiently powerful quantum computers could theoretically break a significant portion of today’s existing cryptographic systems.

This situation poses a strategic risk particularly for national security, financial systems, and critical infrastructures.

Therefore, the universities of the future are no longer responsible solely for educating software developers; they are also obligated to train the security architects of the quantum age.

Human–Machine Relations Are Giving Rise to New Academic Disciplines

One of the most important questions of the post-digital age lies in how humanity will manage the decision-making relationship between humans and algorithms.

For this reason, it is no coincidence that new academic fields such as the following are rapidly emerging:

• Human-AI Interaction

• Cognitive Systems

• AI Psychology

• Neurotechnology

• Behavioral Data Science

• Decision Intelligence

In particular, the “Cognitive Warfare” studies conducted by NATO and the research initiatives of Defense Advanced Research Projects Agency demonstrate that human cognition, information flows, and algorithmic influence mechanisms are increasingly becoming strategic domains.

Therefore, the university of the future must address psychology, data science, security, artificial intelligence, and neuroscience together within an integrated framework.

Modern conflict no longer occurs solely within physical battlefields.

Information flows and cognitive manipulation are now capable of influencing social stability, electoral processes, and collective human behavior itself.

Universities Are Becoming Geopolitical Power Centers

During the Cold War era, universities functioned as critical institutions competing for scientific superiority, the space race, and nuclear research capabilities.

Today, they are evolving into new arenas of geopolitical competition in fields such as artificial intelligence, quantum technologies, semiconductors, biotechnology, and cybersecurity.

In particular, the technological rivalry between the United States and China, restrictions on NVIDIA GPUs, limitations surrounding ASML EUV lithography systems, and the broader AI chip wars are steadily increasing the strategic importance of universities.

Universities are no longer merely educational institutions.
They have become integral parts of the power networks connecting states, technology companies, defense industries, and artificial intelligence ecosystems.

From this perspective, it would not be inaccurate to describe modern universities not only as academic institutions, but also as strategic infrastructure centers.

The Death of Disciplines and the Rise of the Hybrid Education Model

One of the defining characteristics of the post-digital age is the dissolution of disciplinary boundaries.

Modern problems can no longer be solved through expertise confined to a single field alone.

For example, the development of an autonomous vehicle system simultaneously requires the interaction of multiple disciplines, methodologies, and research domains, including:

• Artificial Intelligence

• Cybersecurity

• Ethics

• Robotics

• Behavioral Science

• Law

For this reason, the universities of the future are increasingly shifting away from department-centered education toward problem-centered educational models.

Research published by the World Economic Forum and the Organisation for Economic Co-operation and Development also demonstrates that competencies such as adaptability, multidisciplinary thinking, problem-solving, and cognitive flexibility will become increasingly critical in the future.

Conclusion

Universities will no longer function merely as institutions that grant diplomas.

They are evolving into institutions that manage the relationship between humans and artificial intelligence, interpret the algorithmic world, cultivate cognitive resilience, develop strategic decision-making capacity, and ensure the security of digital civilization itself.

For this reason, the post-digital university model undoubtedly represents a new academic paradigm in which technology, security, ethics, strategy, human behavior, and cognitive sciences converge.

The most valuable type of individual in the future will likely not be merely a technical specialist, but rather someone who can understand complex systems, think alongside AI, question algorithms, recognize cognitive manipulation, make strategic decisions, and evaluate ethical boundaries.

Indeed, in the post-digital age, power will no longer consist solely of possessing information; it will increasingly depend on the ability to interpret that information, secure it, and use it to produce sound and strategic decisions.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

References

• World Economic Forum. The Future of Jobs Report 2025.
  Comprehensive global analyses on artificial intelligence, automation, and future workforce competencies.

• Organisation for Economic Co-operation and Development. OECD Skills Outlook 2023: Skills for a Resilient Green and Digital Transition.
  Report on digital transformation, education systems, and the future workforce.

• United Nations Educational, Scientific and Cultural Organization. Futures of Education Initiative.
  Studies on the future of education systems and post-digital learning ecosystems.

• Stanford University. AI Index Report 2025.
  Research on the artificial intelligence ecosystem, academic transformation, and global AI trends.

• Massachusetts Institute of Technology. MIT Task Force on the Work of the Future.
  Analyses on automation, AI, and the transformation of universities and the workforce.

• National Institute of Standards and Technology. AI Risk Management Framework (AI RMF).
  Framework addressing AI governance and security approaches.

• European Union Agency for Cybersecurity. Threat Landscape Reports.
  European perspectives on cybersecurity, critical infrastructures, and digital risks.

• NATO Cooperative Cyber Defence Centre of Excellence.
  Research and studies on cognitive warfare, cyber operations, and digital security.

PODCAST Linki

Giriş

Günümüzde “İnsansız Hava Araçları (UAV – Unmanned Aerial Vehicles)”, modern güvenlik paradigmasını değiştiren en önemli teknolojik dönüşümlerden biri haline gelmiştir.

Bir dönem yalnızca devletlerin ve askeri kurumların erişebildiği ileri seviye sistemler olarak görülen drone teknolojileri, bugün bireylerin dahi satın alabileceği kadar erişilebilir hale gelmiştir.

Ancak bu demokratikleşme yalnızca teknolojik yaygınlaşmayı değil, aynı zamanda güvenlik risklerinin de kitleselleşmesini beraberinde getirmiştir.

Modern bir drone artık yalnızca havadan görüntü alan bir cihaz değildir.
Drone artık; Sensörlerle donatılmış, GPS destekli, gerçek zamanlı veri aktarımı yapabilen, yapay zeka destekli karar mekanizmalarına sahip mobil bir dijital platformdur.

Bir başka ifadeyle drone sistemleri artık havada dolaşan siber-fiziksel sistemlerdir.

Bu nedenle günümüzde bir drone kazası, izinsiz uçuş veya güvenlik ihlali yalnızca havacılık perspektifiyle ele alınmamaktadır.

Artık soruşturulan şey, aynı zamanda bir dijital olaydır.

Bu bağlamda UAV Forensics (İnsansız Hava Araçları Forensiği) kavramı ortaya çıkmaktadır.

Yani; UAV Forensics, insansız hava araçlarının dijital, fiziksel ve haberleşme katmanlarında bıraktığı izlerin analiz edilmesi sürecidir.

Bu disiplin dijital adli bilişim, elektronik harp, istihbarat, siber güvenlik ve havacılık teknolojilerinin kesişim noktasında yer alan yeni nesil bir inceleme alanıdır.

Özellikle son yıllarda yaşanan birçok olay, drone sistemlerinin artık yalnızca “Teknolojik araçlar” değil, aynı zamanda stratejik güvenlik aktörleri haline geldiğini göstermektedir.

Örneğin Ukrayna-Rusya savaşı sırasında ticari drone sistemlerinin keşif, koordinat belirleme ve hatta saldırı operasyonlarında yoğun şekilde kullanılması, dünya genelinde UAV teknolojilerine bakışı kökten değiştirmiştir.

Benzer şekilde kritik altyapılar üzerinde izinsiz uçuş yapan drone’lar, enerji santrallerinden askeri tesislere kadar birçok noktada ciddi güvenlik soruşturmalarına neden olmuştur.

Dolayısıyla artık gökyüzü yalnızca fiziksel bir hava sahası değil, aynı zamanda dijital delillerin dolaştığı yeni nesil bir siber operasyon alanıdır.

UAV Forensics Nedir?

UAV Forensics, insansız hava araçlarından dijital delil elde edilmesi, bu delillerin analiz edilmesi ve olayın teknik olarak yeniden yapılandırılması sürecidir.

Bu disiplinin temel amacı yalnızca cihazın sahibini bulmak değildir.
Asıl amaç, UAV’nin operasyonel davranışını anlamaktır.

Bir başka ifadeyle bu UAV Forensics disiplininde şu soruların cevabı aranmaktadır:

• Drone nereden kalktı?

• Hangi rotayı izledi?

• Hangi verileri topladı?

• Kim tarafından kontrol edildi?

• Uzaktan müdahaleye uğradı mı?

• Bir saldırının parçası mıydı?

• Manipüle edildi mi?

Modern UAV sistemleri aslında çok yoğun miktarda veri üretir.

Nitekim, çoğu drone uçuş sırasında sürekli olarak telemetri kaydı tutar.
Bu kayıtlar; GPS koordinatlarından hız bilgilerine, sensör verilerinden bağlantı loglarına kadar çok geniş bir veri seti içerir.

Örneğin birkaç yıl önce Avrupa’da bir havaalanının uzun süre operasyon dışı kalmasına neden olan drone vakalarında yapılan incelemelerde; Radar verileri, RF kayıtları ve uçuş log analizleri birlikte değerlendirilmişti.

Olay yalnızca “havada bir drone görülmesi” meselesi değildi.
Bahsi geçen drone’un kim tarafından, hangi amaçla ve hangi teknik kapasiteyle kullanıldığının anlaşılmasıydı.

Bu nedenle UAV Forensics yalnızca dijital veri kurtarma işlemi değildir.
Aynı zamanda davranış analizi, operasyonel niyet analizi ve teknik istihbarat sürecidir.

Drone Sistemlerinin Yeni Nesil Risk Alanı Haline Gelmesi

Drone teknolojilerinin tehlikeli hale gelmesinin en temel nedeni, düşük maliyet ile yüksek operasyonel etkiyi birleştirmesidir.

Bugün ticari olarak satılan orta segment bir drone dahi:

• Kilometrelerce uzaktan kontrol edilebilmekte,

• Yüksek çözünürlüklü görüntü aktarabilmekte,

• Otomatik rota planlayabilmekte,

• GPS destekli otonom uçuş yapabilmekte,

• Gerçek zamanlı veri iletebilmekte,

• Hedef takibi gerçekleştirebilmektedir.

Bu durum, küçük bir cihazın stratejik etkiler oluşturabilmesine neden olmaktadır.

Örneğin Orta Doğu’da petrol tesislerine yönelik gerçekleştirilen bazı saldırılarda drone sistemlerinin kullanılması, dünya enerji güvenliği açısından büyük yankı uyandırmıştır.

Nitekim maliyeti görece düşük olan platformlar, milyarlarca dolarlık kritik altyapıları etkileyebilecek kapasiteye ulaşmıştır.

Benzer şekilde Meksika’daki kartellerin sınır bölgelerinde drone sistemlerini keşif ve kaçakçılık amacıyla kullanması, güvenlik kurumlarının dikkatini farklı bir boyuta taşımıştır.

Drone’lar artık yalnızca gözetleme yapmak için değil, yük taşıma, sınır aşma, hatta doğrudan saldırı gerçekleştirme amacıyla da kullanılmaktadır.

Öte yandan, bazı cezaevlerinde ise drone’lar aracılığıyla:

• Uyuşturucu,

• Telefon,

• SIM kart,

• Silah parçaları

taşındığı tespit edilmiştir.

Bu olaylar, UAV sistemlerinin artık yalnızca havacılık regülasyonlarının konusu olmadığını, aynı zamanda ulusal güvenlik meselesi haline geldiğini göstermektedir.

UAV Forensics Sürecinde İncelenen Başlıca Veriler

Bir UAV soruşturması sırasında analiz edilen veriler oldukça geniş kapsamlıdır.

İlk olarak flight log (uçuş kaydı) kayıtları incelenir. Nitekim modern drone’lar uçuş sırasında sürekli telemetri üretir. Bu kayıtlar çoğu zaman olayın dijital parmak izi niteliğindedir.

Örneğin bir olayda drone fiziksel olarak ele geçirilemese bile kontrol cihazında, mobil uygulamada veya bulut senkronizasyon sistemlerinde uçuş geçmişi bulunabilmektedir.

Bazı incelemelerde yalnızca mobil cihazdaki cache verileri sayesinde drone’un daha önce hangi bölgelerde uçtuğu ortaya çıkarılmıştır.

Özellikle DJI gibi yaygın platformlarda:

• Kalkış koordinatları,

• Uçuş rotaları,

• Batarya değişim geçmişi,

• Cihaz kimlikleri,

• Kullanıcı oturum bilgileri

tespit edilebilmektedir.

Bunun yanı sıra GPS verileri de kritik öneme sahiptir.

Örneğin bir kritik altyapı tesisi çevresinde tekrar eden waypoint davranışları görülmesi, saldırı öncesi keşif faaliyetine işaret edebilir. Bazı olaylarda drone’un belirli noktalarda sistematik şekilde yavaşladığı veya havada sabit kaldığı görülmüştür. Bu durum çoğu zaman görüntü toplama veya sinyal analiz faaliyetleriyle ilişkilendirilmektedir.

Kamera ve sensör verileri de ayrı bir inceleme alanıdır.

Bir başka örnek vermek gerekirse; Bir enerji tesisinin termal görüntülerinin alınması, sıradan bir hobi uçuşundan çok daha farklı anlamlar taşıyabilir.

Nitekim termal analizler bazı kritik ekipmanların çalışma yoğunluğu hakkında istihbarat sağlayabilir.

Benzer şekilde EXIF metadata incelemeleri sayesinde görüntülerin hangi koordinatta üretildiği, hangi cihazla işlendiği ve manipüle edilip edilmediği anlaşılabilmektedir.

RF ve Haberleşme Analizi

UAV Forensics’in en kritik alanlarından biri RF (Radio Frequency) analizidir.

Nitekim drone sistemleri aslında kontrol üniteleri ve kumanda merkezleri ile sürekli haberleşen platformlardır.

Bir drone ile kontrol cihazı arasında gerçekleşen veri alışverişi çoğu zaman operasyonel davranışın anlaşılmasını sağlar.

Örneğin RF analizleri sayesinde:

• Operatörün yaklaşık konumu,

• Kullanılan frekans aralıkları,

• Jammer etkileri,

• Sinyal kesintileri,

• Spoofing girişimleri

tespit edilebilmektedir.

Özellikle savaş bölgelerinde RF istihbaratı büyük önem taşımaktadır.

Ukrayna savaşında birçok ticari drone sisteminin RF imzaları analiz edilerek operatör konumlarının tespit edilmeye çalışıldığı bilinmektedir.

Nitekim drone yalnızca hedefi değil, operatörü de açığa çıkarabilen bir sistemdir.

Bu nedenle modern çatışma ortamlarında drone kullanımı aynı zamanda elektronik görünürlük de yaratmaktadır.

Firmware Manipülasyonu ve Anti-Forensics

Günümüzde gelişmiş tehdit aktörleri drone sistemlerini modifiye edebilmektedir.

Özellikle:

• Geo-fence bypass,

• Firmware modifikasyonu,

• Uçuş limiti kaldırılması,

• Otomatik log temizleme,

• Kimlik gizleme

gibi teknikler giderek yaygınlaşmaktadır.

Örneğin bazı kaçakçılık operasyonlarında ele geçirilen drone’ların standart üretici yazılımı yerine modifiye edilmiş firmware kullandığı görülmüştür. Bu yöntemleri ile saldırganlar çoğu zaman üreticinin koyduğu güvenlik kısıtlamalarını aşmaya çalışmaktadır.

Bazı gelişmiş sistemlerde ise uçuş sonrasında log verilerinin otomatik silinmesine yönelik anti-forensic mekanizmalar bulunmaktadır.

Bu durum UAV incelemelerini çok daha karmaşık hale getirmektedir.

Artık yalnızca cihazın içindeki verilere bakmak yeterli değildir. Aynı zamanda:

• Firmware bütünlüğü,

• Binary analizleri,

• Haberleşme protokolleri,

• Donanımsal modifikasyonlar

da incelenmektedir.

Dolayısıyla UAV Forensics giderek tersine mühendislik (reverse engineering) ağırlıklı bir disipline dönüşmektedir.

OT/ICS Güvenliği Açısından UAV Tehdidi

Kritik altyapılar açısından drone sistemleri yeni nesil bir keşif platformu haline gelmiştir.

Özellikle enerji, petrol-gaz, üretim ve su altyapıları gibi OT/ICS (Operasyonel Teknolojiler ve Endüstriyel Kontrol Sistemleri) ortamları drone tehditlerine karşı giderek daha kırılgan hale gelmektedir.

Bir drone fiziksel olarak:

• Trafo merkezlerini,

• Boru hatlarını,

• Üretim tesislerini,

• Enerji dağıtım noktalarını,

• Rafinerileri

görüntüleyebilir.

Bu noktada asıl risk yalnızca görüntüleme değildir.

Bazı gelişmiş operasyonlarda drone’lar:

• Wi-Fi keşfi,

• RF analizleri,

• Bluetooth taramaları,

• Açık erişim noktası tespiti,

• Kablosuz ağ haritalaması

amacıyla kullanılabilmektedirler.

Bu durum OT (Operasyonel Teknolojiler) güvenliği açısından kritik önem taşımaktadır. Nitekim, fiziksel izolasyona güvenen birçok tesis, havadan yapılan keşif faaliyetlerine karşı yeterince hazırlıklı değildir.

Bir başka ifadeyle modern saldırı yüzeyi artık yalnızca network kablolarıyla sınırlı değildir. Gökyüzü de saldırı yüzeyinin parçası haline gelmiştir.

Geleceğin Savaş Alanı: Otonom Drone Sistemleri

Drone teknolojilerinin geleceği yalnızca uzaktan kontrol edilen sistemler değildir.

Gerçekte dönüşüm, otonom karar verebilen drone sistemlerinde yaşanmaktadır.

Yakın gelecekte:

• Swarm sistemleri,

• AI destekli hedef analizi,

• GPS’siz navigasyon,

• Edge AI karar mekanizmaları,

• Tam otonom saldırı platformları

çok daha yaygın hale gelecektir.

Bu durum ise hiç şüphesiz UAV Forensics disiplinini kökten değiştirecektir.

Nitekim gelecekte incelenmesi gereken şey yalnızca “bir cihazın uçuş kaydı” olmayacaktır. Bir yapay zeka sistemi neden belirli bir davranışta bulundu? bakış açısı ile yapılacak bir inceleme olacaktır.

Bu durum UAV Forensics’i yalnızca teknik değil, aynı zamanda etik, hukuksal ve davranışsal bir problem haline getirmektedir.

Günümüzde otonom sistemlerin karar mekanizmaları çoğu zaman insan operatörlerden daha karmaşık hale gelmektedir.

Sonuç

Modern dünyada gökyüzü artık yalnızca hava araçlarının dolaştığı fiziksel bir alan değildir.

Gökyüzü aynı zamanda veri akışlarının, algoritmaların, sensörlerin ve dijital operasyonların hareket ettiği yeni nesil bir güvenlik katmanıdır.

Drone sistemleri büyüdükçe onların ürettiği telemetri kayıtları, sensör çıktıları, RF izleri ve algoritmik davranışları da güvenlik soruşturmalarının merkezine yerleşmektedir.

Bu nedenle UAV Forensics için yalnızca teknik bir inceleme alanı demek son derece yanlış olacaktır.

UAV Forensics artık; Siber güvenlik, elektronik harp, istihbarat, kritik altyapı güvenliği ve yapay zeka çağının kesişim noktasında doğan yeni nesil bir stratejik disiplindir.

Yakın gelecekte savaşlar yalnızca kara, deniz, hava ve siber alanda yürütülmeyecektir. Hiç şüphesiz eş zamanlı olarak otonom sistemlerin ürettiği dijital gerçeklikler üzerinden şekillenecektir.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça:

• Bellingcat.
  Açık kaynak drone analizleri ve savaş alanı incelemeleri.

• Center for Strategic and International Studies (CSIS).
  The Expanding Drone Threat to Critical Infrastructure.

• NATO.
  Emerging and Disruptive Technologies Strategy.

Introduction

Today, “Unmanned Aerial Vehicles (UAVs)” have become one of the most significant technological transformations reshaping the modern security paradigm.

Drone technologies, once considered advanced systems accessible only to governments and military institutions, have now become so widespread that even individuals can easily purchase and operate them.

However, this democratization has not only accelerated technological proliferation but has also led to the mass expansion of security risks.

A modern drone is no longer merely a device capable of capturing aerial images.
Today’s drones are mobile digital platforms equipped with sensors, GPS support, real-time data transmission capabilities, and even artificial intelligence-driven decision-making mechanisms.

In other words, drone systems have evolved into airborne cyber-physical systems.

For this reason, incidents involving drone crashes, unauthorized flights, or security breaches are no longer examined solely from an aviation perspective.

What is being investigated today is simultaneously a digital incident.

Within this context, the concept of UAV Forensics emerges.

UAV Forensics refers to the process of analyzing the digital, physical, and communication traces left behind by unmanned aerial vehicles.

This discipline represents a next-generation investigative field situated at the intersection of digital forensics, electronic warfare, intelligence, cybersecurity, and aviation technologies.

Particularly in recent years, numerous incidents have demonstrated that drone systems are no longer merely “technological tools,” but have evolved into strategic security actors.

For example, during the Russia–Ukraine war, the extensive use of commercial drone systems for reconnaissance, target coordinate identification, and even attack operations fundamentally transformed global perceptions of UAV technologies.

Similarly, unauthorized drone flights over critical infrastructures have triggered serious security investigations at locations ranging from power plants to military facilities.

Consequently, the sky is no longer merely a physical airspace; it has also become a new-generation cyber operational domain where digital evidence moves through the air.

What is UAV Forensics?

UAV Forensics is the process of acquiring digital evidence from unmanned aerial vehicles, analyzing that evidence, and technically reconstructing the incident.

The primary objective of this discipline is not merely to identify the owner of the device.
Its core purpose is to understand the operational behavior of the UAV.

In other words, UAV Forensics seeks answers to questions such as:

• Where did the drone take off from?

• Which route did it follow?

• What kind of data did it collect?

• Who controlled it?

• Was it subjected to remote interference?

• Was it part of an attack?

• Was it manipulated or compromised?

Modern UAV systems generate an enormous amount of data.

In fact, most drones continuously record telemetry data during flight.
These records contain extensive datasets ranging from GPS coordinates and speed information to sensor outputs and communication logs.

For example, investigations conducted following drone-related incidents that caused prolonged operational disruptions at airports in Europe relied heavily on the combined analysis of radar data, RF (Radio Frequency) records, and flight logs.

The issue was not merely “a drone being spotted in the air.”
The real objective was to determine who operated the drone, for what purpose, and with what technical capabilities.

For this reason, UAV Forensics is not simply a process of digital data recovery.
It is also a discipline involving behavioral analysis, operational intent analysis, and technical intelligence gathering.

The Emergence of Drone Systems as a New-Generation Risk Domain

The primary reason drone technologies have become increasingly dangerous is their ability to combine low cost with high operational impact.

Today, even a commercially available mid-range drone can:

• Be controlled remotely from kilometers away,

• Transmit high-resolution video feeds,

• Execute automated route planning,

• Perform GPS-supported autonomous flights,

• Deliver real-time data transmission,

• Conduct target tracking operations.

This capability enables relatively small devices to create strategic-level effects.

For example, the use of drone systems in attacks targeting oil facilities in the Middle East generated major global concern regarding energy security.

Relatively low-cost platforms demonstrated the capacity to affect critical infrastructures worth billions of dollars.

Similarly, the use of drones by cartels in Mexico for reconnaissance and smuggling operations along border regions has shifted the attention of security institutions toward a new dimension of threat assessment.

Drones are no longer used solely for surveillance purposes; they are increasingly utilized for payload transportation, border infiltration, and even direct attack operations.

On the other hand, investigations in certain correctional facilities revealed that drones had been used to transport:

• Narcotics,

• Mobile phones,

• SIM cards,

• Weapon components.

These incidents clearly demonstrate that UAV systems are no longer merely a subject of aviation regulation, but have evolved into a matter of national security.

Key Data Examined During the UAV Forensics Process

The types of data analyzed during a UAV investigation are highly extensive and multidimensional.

First and foremost, flight log records are examined. Modern drones continuously generate telemetry data throughout their flights, and these records often serve as the digital fingerprint of the incident.

For example, even if the drone itself cannot be physically recovered, investigators may still obtain flight history data from the controller device, mobile application, or cloud synchronization systems.

In some investigations, cache data extracted solely from a mobile device has revealed the geographical areas where the drone had previously operated.

Particularly on widely used platforms such as DJI, investigators can often identify:

• Takeoff coordinates,

• Flight routes,

• Battery replacement history,

• Device identifiers,

• User session information.

In addition to this, GPS data plays a critically important role.

For instance, the detection of repeated waypoint behaviors around a critical infrastructure facility may indicate pre-attack reconnaissance activity. In certain cases, drones have been observed systematically slowing down or hovering at specific locations. Such behavior is frequently associated with image collection or signal intelligence operations.

Camera and sensor data also constitute a separate domain of forensic analysis.

To provide another example, capturing thermal imagery of an energy facility may carry implications far beyond those of an ordinary recreational flight.

Thermal analyses can potentially provide intelligence regarding the operational intensity and activity patterns of critical equipment.

Similarly, through EXIF metadata analysis, investigators can determine where an image was captured, which device processed it, and whether the image has been manipulated or altered.

RF and Communication Analysis

One of the most critical areas within UAV Forensics is RF (Radio Frequency) analysis.

Drone systems are, in essence, platforms that continuously communicate with control units and command centers.

The data exchange occurring between a drone and its controller often provides valuable insight into the operational behavior of the system.

Through RF analysis, investigators can identify:

• The approximate location of the operator,

• The frequency ranges being used,

• The effects of jamming activities,

• Signal interruptions,

• Spoofing attempts.

RF intelligence has become particularly important in modern conflict zones.

During the Russia–Ukraine war, it became widely known that the RF signatures of many commercial drone systems were analyzed in attempts to determine the locations of drone operators.

A drone, therefore, does not only expose the target — it can also expose the operator.

For this reason, the use of drones in modern conflict environments simultaneously creates a form of electronic visibility.

Firmware Manipulation and Anti-Forensics

Today, advanced threat actors are capable of modifying drone systems for malicious or covert purposes.

Particularly, techniques such as:

• Geo-fence bypass,

• Firmware modification,

• Removal of flight limitations,

• Automatic log deletion,

• Identity obfuscation

are becoming increasingly widespread.

For example, investigations into certain smuggling operations have revealed drones operating with modified firmware instead of standard manufacturer software. Through these modifications, attackers attempt to bypass the security restrictions implemented by the manufacturer.

In some advanced systems, anti-forensic mechanisms are specifically designed to automatically erase flight logs after operations are completed.

This significantly increases the complexity of UAV investigations.

It is no longer sufficient to simply examine the data stored inside the device. Investigators must also analyze:

• Firmware integrity,

• Binary structures and executable code,

• Communication protocols,

• Hardware-level modifications.

As a result, UAV Forensics is increasingly evolving into a discipline heavily centered on reverse engineering.

The UAV Threat from an OT/ICS Security Perspective

From the perspective of critical infrastructure security, drone systems have evolved into next-generation reconnaissance platforms.

Particularly within OT/ICS (Operational Technology and Industrial Control Systems) environments such as energy, oil & gas, manufacturing, and water infrastructure, organizations are becoming increasingly vulnerable to drone-related threats.

A drone can physically observe and collect intelligence on:

• Substations,

• Pipelines,

• Manufacturing facilities,

• Energy distribution points,

• Refineries.

At this point, the primary risk is not limited to visual surveillance alone.

In more advanced operations, drones can also be used for:

• Wi-Fi reconnaissance,

• RF signal analysis,

• Bluetooth scanning,

• Detection of open access points,

• Wireless network mapping.

This creates a critically important challenge for OT (Operational Technology) security.

Many industrial facilities still rely heavily on physical isolation as a core security assumption, yet they remain insufficiently prepared against aerial reconnaissance activities.

In other words, the modern attack surface is no longer confined to network cables and terrestrial systems alone.

The sky itself has become part of the attack surface.

The Battlefield of the Future: Autonomous Drone Systems

The future of drone technologies is no longer limited to remotely controlled systems.

The real transformation is taking place in autonomous drone platforms capable of making decisions independently.

In the near future, technologies such as:

• Swarm systems,

• AI-assisted target analysis,

• GPS-denied navigation,

• Edge AI decision-making mechanisms,

• Fully autonomous attack platforms

will become significantly more widespread.

This evolution will undoubtedly transform the discipline of UAV Forensics at a fundamental level.

In the future, investigators will no longer focus solely on “the flight record of a device.”
Instead, investigations will increasingly revolve around questions such as: Why did an artificial intelligence system exhibit a particular behavior?

This shift transforms UAV Forensics into not only a technical issue, but also an ethical, legal, and behavioral challenge.

Today, the decision-making mechanisms of autonomous systems are, in many cases, becoming more complex than those of human operators themselves.

Conclusion

In the modern world, the sky is no longer merely a physical space through which aircraft travel.

It has also become a new-generation security layer where data flows, algorithms, sensors, and digital operations move continuously.

As drone systems continue to evolve, the telemetry records, sensor outputs, RF traces, and algorithmic behaviors they generate are increasingly becoming central elements of security investigations.

For this reason, describing UAV Forensics solely as a technical investigative field would be a significant understatement.

UAV Forensics has now emerged as a next-generation strategic discipline situated at the intersection of cybersecurity, electronic warfare, intelligence, critical infrastructure protection, and the age of artificial intelligence.

In the near future, wars will no longer be conducted solely across land, sea, air, and cyberspace.

They will also be shaped simultaneously through the digital realities generated by autonomous systems.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

References

• Bellingcat
  Open-source drone analysis and battlefield investigations.

• Center for Strategic and International Studies
  The Expanding Drone Threat to Critical Infrastructure.

• NATO
  Emerging and Disruptive Technologies Strategy.

PODCAST Linki

Giriş

Bir zamanlar ödül avcıları, fiziksel dünyanın kanunsuz bölgelerinde dolaşmaktaydılar.

Modern çağda ise yeni avcılar artık okyanuslarda değil, milyarlarca satır kodun içinde hareket etmekteler..

Günümüzün dijital dünyasında güvenlik açıklarını salt teknik bir hata olarak okumak son derece yanlış olur !

Nitekim günümüzde dijital dünyada güvenlik açıkları; Ekonomik, stratejik ve hatta jeopolitik değeri olan dijital varlıklar haline gelmiş durumdadır.

Bir güvenlik açığı bazen milyon dolarlık bir ödül, bazen kritik bir altyapının çöküşü, bazen ise devlet destekli bir siber operasyonun temel bileşeni anlamına gelebilmektedir.

Bu noktada “Bug Bounty” kavramı karşımıza çıkmaktadır. Yani bir başka ifade ile modern dijital çağın ‘Hata Ödül Avcılığı’…

Bug Bounty programları ilk bakışta şirketlerin güvenlik araştırmacılarına ödül verdiği teknik platformlar gibi görünse de, aslen modern dijital güvenlik mimarisinin dönüşümünü temsil eden çok daha büyük bir paradigmanın parçasıdır.

Nitekim artık güvenlik yalnızca kurumların kapalı güvenlik ekipleriyle sağlanamamaktadır.

Dünyanın herhangi bir yerindeki anonim bir araştırmacının, küresel teknoloji devlerinin en kritik sistemlerindeki zafiyetlerini keşfedebilmesi son derece olasıdır !

Bug Bounty Nedir?

Bug Bounty en temel anlamıyla, şirketlerin veya kurumların sistemlerindeki güvenlik açıklarını/zafiyetlerini bulan araştırmacılara maddi ödül vermesi/sağlaması esasına dayanan bir güvenlik modelidir.

Bu programlar sayesinde Etik Hacker’lar; Web uygulamaları, mobil cihazlar, bulut sistemleri, ağ altyapıları veya yapay zeka platformları üzerinde güvenlik araştırmaları gerçekleştirir ve keşfettikleri zafiyetleri sorumlu açıklama prosedürleri kapsamında ilgili kuruma rapor ederler.

Ancak Bug Bounty kavramını yalnızca “Açık/Zafiyet Bul ve Para kazan” düzeyinde değerlendirmek hiç şüphesiz eksik bir yaklaşım olacaktır.

Bu model aynı zamanda güvenliğin merkezi yapılardan dağıtık yapılara geçişini temsil etmektedir.

Geçmişte yalnızca şirket içi ekiplerin sorumluluğunda olan siber savunma süreçleri, bugün küresel ölçekte bağımsız araştırmacıların kolektif zekasına açılmış durumdadır.

Bu durum, siber güvenliğin demokratikleşmesi olarak da yorumlanabilmektedir.

Bir başka ifade ile; Geçmişte bir güvenlik açığını bulup bunu raporlayabilmek için büyük bir şirkette çalışmak gerekebilirdi. Bugün ise dünyanın herhangi bir yerindeki bağımsız bir araştırmacı, evinden Apple veya Google sistemlerinde kritik bir açık bulup yüz binlerce dolar ödül kazanabilmekte.

Aynı zamanda bahsi geçen demokratikleşme saldırı kapasitesini de yaygınlaştırmaktadır. Yani bilgi, araç ve teknikler sadece savunmacılar için değil; Saldırganlar için de daha erişilebilir hale gelmektedir.

Bu nedenle Bug Bounty ekosistemi bir yandan güvenliği güçlendirirken, diğer yandan siber alanın “asimetrik güç” yapısını da büyütmektedir.

Modern Bug Bounty ekosisteminde araştırmacılar yalnızca teknik bilgiye değil;
Reverse engineering, Exploit development, Kriptografi, İşletim sistemi mimarileri, Mobil güvenlik, Donanım güvenliği ve hatta Yapay Zeka sistemleri konusunda ileri düzey uzmanlığa sahip olmak zorundadırlar.

Hiç şüphesiz modern saldırı yüzeyi artık salt Web uygulamalarından ibaret değildir.

Günümüzde Otomobillerden Akıllı Telefonlara, OT-Endüstriyel Kontrol sistemlerinden Yapay Zeka modellerine kadar her şey potansiyel bir hedef haline gelmiştir.

Dijital Dünyanın Yeni Ödül Avcıları

Bug Bounty araştırmacıları çoğu zaman modern dünyanın Dijital Ödül Avcıları olarak tanımlanabilir.

Bir başka ifade ile; Eski dönemde nasıl ki ödül avcıları yasa ile kaos arasındaki gri bölgelerde hareket ediyorlarsa, günümüzde modern Etik Hacker’lar da güvenlik ile saldırı arasındaki ince çizgide faaliyet gösteriyorlar.

Bu dünyanın en dikkat çekici yönlerinden biri, teknik becerilerin çift taraflı doğasıdır. Bir başka ifade ile; Aynı Exploit geliştirme bilgisi:

• Bir şirkete kritik bir güvenlik açığını kapatmasında yardımcı olabilir,

• Ya da karanlık pazarlarda milyon dolarlık bir siber silaha dönüşebilir.

Dolayısıyla Bug Bounty ekosistemi yalnızca teknik bir güvenlik modeli değil, aynı zamanda etik, ekonomik ve stratejik boyutları olan yeni bir dijital güç alanıdır.

Zero-Day Ekonomisi ve Siber Gücün Yeni Formu

Günümüzde bazı güvenlik açıkları artık klasik yazılım hataları olarak görülmemektedir. Özellikle “Zero-Day” olarak adlandırılan ve henüz üretici tarafından bilinmeyen açıklar, modern siber dünyanın en değerli dijital varlıklarından biri haline gelmiş durumdadırlar.

Özellikle son yıllarda açıklanmış ve kamuoyu ile paylaşılmış en büyük
Bug Bounty ödülleri için;

• Zero-Click (Sıfır Tıklama),

• Zincirleme Exploit (Exploit Chain) ve

• Mobil Cihaz Güvenliği alanında ortaya çıkan açıklar ve ödül programları tarafından kabul edilen zafiyetler örnek olarak gösterilebilir.

iPhone ve Android ekosistemlerinde bulunan gelişmiş exploit zincirleri artık milyon dolar seviyesinde değerlendirilmektedir. Bunun temel nedeni, modern mobil cihazların yalnızca iletişim aracı olmaktan çıkıp; Kişisel veri, finansal bilgi, biyometrik kimlik ve kurumsal erişim noktası haline dönüşmüş olmasıdır.

Özellikle “Zero-Click” saldırılar modern siber güvenlik dünyasının en korkutucu alanları için örnek olarak gösterilebilir.

Nitekim kullanıcı herhangi bir bağlantıya tıklamadan veya işlem yapmadan cihazın ele geçirilmesi bu saldırılar ile mümkün hale gelmektedir.

Bu tür saldırılar genellikle mesajlaşma servisleri, medya işleme motorları veya işletim sistemi seviyesindeki karmaşık zafiyet zincirleri üzerinden gerçekleştirilmektedir.

Bugün; Apple, Google ve Microsoft gibi teknoloji devleri milyon dolarlık Bug Bounty ödülleri açıklarken;
Exploit Broker şirketleri (Sömürüler ve zafiyetler için aracılık yapan şirketler) ve bazı Devlet Aktörleri aynı açıklar için çok daha yüksek rakamlar ödeyebilmektedirler.

Bu durum “Zero-Day ekonomisi” olarak adlandırılan yeni bir dijital piyasanın oluşmasına neden olmaktadır.

Sözün özü artık bir güvenlik açığı:

• Teknik bir hata değil,

• Ekonomik değeri olan dijital meta,

• Stratejik istihbarat aracı,

• Hatta modern çağın siber mühimmatı haline gelmiş durumdadır !

Etik Hacker mı, Dijital Paralı Asker mi?

Bug Bounty ekosisteminin en tartışmalı yönlerinden biri ise etik boyuttur. Nitekim aynı teknik bilgi hem savunma hem de saldırı amacıyla kullanılabilir.

Bir araştırmacı tespit ettiği kritik bir açığı/zafiyeti üretici firmaya rapor ederek milyon dolarlık ödül kazanabilirken, aynı bilgi farklı aktörler tarafından devlet destekli operasyonlarda veya ticari casusluk faaliyetlerinde kullanılabilir.

Bu nedenle modern siber dünyada Etik Hacker kavramı ile Dijital Paralı Askerlik arasındaki çizgi giderek daha karmaşık hale gelmektedir.

Özellikle Exploit Broker şirketlerinin yükselişi bu tartışmayı daha görünür hale getirmektedir.

Bazı şirketler güvenlik araştırmacılarından tespit ettikleri kritik Zero-day açıklarını satın alarak bunları devlet kurumlarına veya güvenlik organizasyonlarına satabilmektedirler.

Böylece güvenlik açığı kavramı, klasik bilişim güvenliği perspektifinin ötesine geçerek uluslararası güç dengelerinin bir bileşeni haline gelmektedir.

Devletler, Siber Güç ve Stratejik Açıklar/Zafiyetler

Modern dünyada siber üstünlük artık yalnızca savunma meselesi değildir, stratejik caydırıcılığın önemli bir parçasıdır.

Devletler bazı açıkların hızlıca kapatılmasını isterken, bazılarını ise operasyonel avantaj sağlamak amacıyla gizli tutmayı tercih edebilmektedirler.

Bu durum özellikle gelişmiş siber operasyonlarda kritik önem taşımaktadır.

Nitekim bir Zero-day açığı:

• İstihbarat toplama,

• Kritik altyapıya erişim,

• Gözetleme faaliyetleri,

• Veya Siber Sabotaj operasyonları için kullanılabilmektedir.

Buradan yola çıkarak artık siber açıkların yalnızca teknik güvenlik problemleri değil; Ulusal güvenlik, Jeopolitik rekabet ve Dijital egemenlik konusu olduğunu ve uluslararası arenada bu şekilde değerlendirildiğini ifade etmek yanlış olmayacaktır !

Yapay Zeka Çağı ve Yeni Av Alanı

Yapay zeka teknolojilerinin gelişmesi ve yükselişi Bug Bounty dünyasını da dönüştürmeye başlamıştır.

Bu bağlamda günümüzde geleneksel güvenlik açıklarının yanı sıra artık:

• LLM prompt injection,

• AI Jailbreak,

• Yapay zeka yönlendirme manipülasyonları,

• AI supply chain poisoning,

• Agent hijacking,

• Hallucination exploitation

gibi tamamen yeni saldırı metodolojileri ve yüzeyleri ortaya çıkmaktadır.

Özellikle otonom çalışan yapay zeka ajanlarının yaygınlaşmasıyla birlikte gelecekte Bug Bounty programlarının yalnızca yazılım zafiyetlerini değil, karar mekanizmalarını ve bilişsel manipülasyonları da kapsaması muhtemel görünmektedir.

Bu durum güvenlik anlayışının teknik sınırlarını giderek genişletecektir.

Sözün özü; Geleceğin saldırıları yalnızca sistemleri değil, sistemlerin gerçekliği algılama biçimini de hedef alabilir !

Açıklanmış En Büyük Bug Bounty Ödülleri

Bug Bounty ekosisteminin büyümesiyle birlikte ödül miktarları da dramatik şekilde yükselmeye başlamıştır.

Özellikle Mobil Cihaz güvenliği, “Zero-Click” saldırılar, Sandbox Escape teknikleri ve Zincirleme Exploit geliştirme alanlarında verilen ödüller artık Milyon Dolar seviyelerine ulaşmış durumdadır.

Bu durum aslında modern dijital sistemlerin stratejik değerini de ortaya koymaktadır.

Buradan hareketle; Bir güvenlik açığı artık yalnızca teknik bir problem değil, aynı zamanda ‘ekonomik’ ve ‘jeopolitik’ değeri olan dijital bir varlık olarak görülmektedir.

Özellikle Apple, Google, Microsoft ve Meta gibi teknoloji devleri, kritik güvenlik açıklarını saldırganlardan önce keşfedebilmek için Bounty programlarını agresif şekilde büyütmeye başlamıştır.

Bunun en önemli nedenlerinden biri ise gelişmiş siber tehdit aktörlerinin artık yalnızca finansal motivasyonla değil, istihbarat ve stratejik avantaj amacıyla da hareket etmesidir.

Bilindik ve açıklanmış en dikkat çekici Bug Bounty ödüllerinden bazılarını paylaşmak bu makaleyi daha anlaşılabilir kılmak ve somut örnekler üzerinden şekillendirmek adına ehemmiyete sahiptir. Bu bağlamda aşağıda yer alan tablo paylaşılmıştır.

Bu rakamlar aslında siber güvenlik dünyasının nasıl dönüşmekte olduğunu da göstermektedir. Geçmişte düşük seviyeli web uygulaması açıkları yüzlerce dolar değerindeyken, bugün gelişmiş Exploit zincirleri milyon dolarlık stratejik dijital varlıklar haline gelmiştir.

Özellikle:

• iPhone Zero-Click Exploit’leri,

• Android Kernel Privilege Escalation açıkları,

• Browser Sandbox Escape teknikleri,

• Cloud Escape senaryoları,

• AI model Jailbreak mekanizmaları

Modern Bug Bounty dünyasının en değerli alanları arasında yer almaktadır.

Nitekim bazı kritik açıklar/zafiyetler resmi Bug Bounty programlarından çok daha yüksek fiyatlarla Exploit Broker şirketlerine veya Devlet Destekli yapılara satılabilmektedir. Bir başka ifade ile bu yapılar tarafından satın alım yapmak adına talep görmektedirler.

Böylece yukarıda birkaç defa ifade ettiğim üzere, modern çağda bir güvenlik açığı, yalnızca teknik bilgi değil; Aynı zamanda ekonomik güç, stratejik üstünlük ve dijital egemenlik aracı haline gelmektedir.

Not: “Tablodaki veriler; ilgili şirketlerin resmi Bug Bounty program açıklamaları, kamuya açık payout duyuruları ve HackerOne sektör raporları temel alınarak derlenmiştir. Bazı değerler maksimum teorik ödül miktarını, bazıları ise kamuya açıklanan örnek payout’ları temsil etmektedir.”

Sonuç

Modern dünyada siber güvenlik artık kusursuz sistemler üretme sanatı değildir.

Değerli olan, her sistemin içinde kaçınılmaz olarak bulunan kırılganlıkları, zafiyetleri ve açıkları kimden önce keşfedebileceğini belirlemektir.

Bug Bounty araştırmacıları bu nedenle yalnızca teknik uzmanlar değildirler.

Onlar artık dijital dünyanın görünmeyen çatlaklarını keşfeden modern kaşifler haline gelmiştirler.

Bu noktada değerlendirilmesi gereken en hassas konu;

Bir güvenlik açığı bulunduğunda, onun gerçek değerinin güvenliği artırmak ve zafiyeti kapatmak olması mıdır, yoksa gücü elinde tutan aktörlere stratejik üstünlük sağlaması mıdır?

Nitekim dijital dünyada güvenlik ile tehdit arasındaki sınır, çoğu zaman aynı satır kodun içinde saklıdır.

Ziya GÖKALP
Cyber Security Leader & Advisor
MSc.IT, SSCP®, ECSA, CEH, ITIL, CEA, CIRS™,
MPM®, OCOE, OOSE, Certified ISO/IEC 27001 LA,
CompTIA Project+ Professional,
CIW Security Analyst,
Certified Cyber Threat Intelligence Analyst,
Certified Information Security Executive™,
Senior Certified Leadership Practitioner

Kaynakça:

• OECD. Encouraging Vulnerability Treatment. OECD Digital Security Papers, 2024.

• Google Vulnerability Reward Program (VRP)

• Microsoft Bug Bounty Programları

• Meta Whitehat / Bug Bounty Programı

• HackerOne Hacker-Powered Security Report

• Bugcrowd Platformu ve Vulnerability Disclosure Yaklaşımları

• The Hacker News – Bug Bounty News & Analysis
  Bug bounty ekosistemi, Meta, HackerOne, WhatsApp araştırmaları ve etik hacker toplulukları hakkında sürekli güncellenen haber ve analizler