İranla Əlaqəli Handala Qrupunun Hücumu: İsrail Rəsmilərinin Telegram Hesabları Necə Kompromitasiya Edildi?

Kibertəhlükəsizlik dünyasında dövlət dəstəkli və ya dövlətlə əlaqəli (state-sympathetic) haker qruplarının fəaliyyəti siyasi və hərbi casusluğun ayrılmaz hissəsini təşkil edir. İranpərəst mövqeyi ilə tanınan “Handala” haker qrupu 2025-ci ilin dekabr ayında İsrailin iki yüksək səviyyəli siyasi fiqurunu hədəf alması ilə yenidən gündəmə gəldi.

Handala əməliyyatlarına “Octopus Əməliyyatı” adını verərək, keçmiş Baş Nazir Naftali Bennettin iPhone 13 cihazına tam giriş əldə etdiyini və ardınca İsrail Qərargah Rəisi Tzachi Bravermanın cihazını zəbt etdiyini iddia etdi. Onların iddialarına görə, kontakt siyahıları, şəkillər, videolar və təxminən 1,900 söhbət konfidensial məlumatlar kimi sızdırılıb.

Lakin, Kela kibertəhlükəsizlik kəşfiyyatı tədqiqatçılarının apardığı dərin analizlər, kompromitasiyanın miqyasının iddia ediləndən daha məhdud olduğunu, yəni tam cihaz səviyyəsində deyil, məhz Telegram hesabları səviyyəsində baş verdiyini ortaya qoydu. Bu insident şifrlənmiş mesajlaşma platformalarında belə, sessiya idarəçiliyi və hesab təhlükəsizliyi praktikalarındakı ciddi boşluqları vurğuladı.

Texniki Detallar: Hesab Kompromitasiyası Mexanizmləri

Handala haker qrupu, qurbanların mobil cihazlarına tam giriş təmin etmədən, yalnız Telegram hesablarını zəbt etmək üçün mürəkkəb və çoxvektorlu hücum üsullarından istifadə etmişdir. Bu hücumların əsas məqsədi, Telegram-a giriş üçün tələb olunan Birdəfəlik Parolları (BDP/OTP) əldə etmək və ya çoxfaktorlu autentifikasiya (MFA) tələbini tamamilə bypass etmək idi.

Handala-nın ehtimal olunan zəbt mexanizmlərinə aşağıdakılar daxildir:

• SİM Kart Dəyişmə (SIM Swapping): Hücumçular, fırıldaqçı yollarla qurbanın telefon nömrəsinə nəzarəti ələ keçirir və beləliklə, Telegram-dan gələn giriş təsdiqləmə kodlarını birbaşa qəbul edirlər.
• SS7 Protokolunun İstismarı: Telekommunikasiya infrastrukturundakı SS7 (Signaling System No. 7) protokolunun zəifliklərindən istifadə edərək, şəbəkə səviyyəsində SMS mesajlarını ələ keçirmək.
• Sessiyanın Oqurlanması (Session Hijacking): Bu, ən təhlükəli üsullardan biridir. Hücumçular, Telegram Desktop-un aktiv sessiya məlumatlarını ehtiva edən `tdata` qovluğunu əldə edərək, bu faylı başqa bir cihaza köçürməklə BDP və MFA tələb olunmadan hesaba tam giriş əldə edə bilirlər.
• Fişinq Kampaniyaları: Saxta giriş səhifələri və ya zərərli QR kodları vasitəsilə qurbanları aldadaraq BDP-ləri ələ keçirmək.
• Sosial Mühəndislik: Səsli zəng vasitəsilə təsdiqləməni tətikləmək, standart (dəyişdirilməmiş) PİN kodları istismar edərək səsli poçtdan BDP-ləri çıxarmaq və ya Telegram dəstəyi kimi özünü təqdim edərək rəsmiləri inandırmaq.

Təhlükənin Miqyası və Telegram-ın Zəiflikləri

Handala iddia etsə də ki, 1,900 söhbət sızdırılıb, Kela analitikləri sızan materialların məhkəmə-tibbi ekspertizasını apararkən faktiki məlumatların çox az olduğunu müəyyənləşdirdi. Sızan konversiyaların böyük əksəriyyəti Telegram tərəfindən avtomatik sinxronizasiya zamanı yaradılan boş kontakt kartları idi. Yalnız təxminən 40 söhbətdə faktiki mesajlar aşkar edilmişdir ki, bu da məlumatın Telegram-ın özündən qaynaqlandığını (yəni cihaz yox, yalnız hesab) təsdiqləyir.

Bu hadisə, şifrləmə platforması olan Telegram-ın dizaynındakı kritik təhlükəsizlik risklərini diqqət mərkəzinə gətirdi:

1. **Bulud Parolu (Cloud Password) Qeyri-Aktivdir:** Telegram-ın əlavə təhlükəsizlik təbəqəsi olan “Bulud Parolu” funksiyası standart olaraq qeyri-aktivdir. Bu o deməkdir ki, kimsə yalnız BDP-ni əldə edərsə, hesaba tam və məhdudiyyətsiz giriş təmin edir.
2. **Standart Çatların Şifrlənməsi:** Standart (Qrup və ya fərdi) çatlar ucdan-uca şifrlənməyə malik deyil, yəni məlumatlar yerli olaraq deyil, Telegram serverlərində “bulud söhbətləri” kimi saxlanılır. Bu, hücum səthini xeyli genişləndirir.

Təhlükəsizliyin Gücləndirilməsi üzrə Tövsiyələr

Hücum mexanizmlərini nəzərə alaraq, yüksək profilli istifadəçilər və korporativ təhlükəsizlik komandaları aşağıdakı tədbirləri dərhal həyata keçirməlidirlər:

• Bulud Parolunu (2FA) Aktivləşdirmək: Telegram-ın Bulud Parolu xüsusiyyəti dərhal aktivləşdirilməlidir. Bu, BDP ələ keçirilsə belə, əlavə bir parol təbəqəsi tələb edəcək və SİM dəyişdirmə hücumlarının qarşısını alacaq.
• Sessiya İdarəetməsinə Nəzarət: İstifadəçilər vaxtaşırı “Aktiv Sessiyalar” bölməsini yoxlamalı və tanımadıqları cihazları və ya sessiyaları dərhal dayandırmalıdırlar.
• Vizuallı Poçt (Voicemail) PİN-lərini Dəyişmək: Mobil operator tərəfindən verilən defolt vizualı poçt PİN-ləri mütləq dəyişdirilməlidir ki, səsli zənglə göndərilən BDP-lər buraxılmasın.
• Anti-Fişinq Təlimləri: Yüksək riskli istifadəçilər (siyasi fiqurlar, C-level rəhbərlər) OTP tələb edən qeyri-rəsmi login səhifələri və ya QR kodları ilə bağlı xüsusi təlimatlar almalıdırlar.

**Nəticə**

Handala qrupu, ilk dəfə 2023-cü ilin dekabrında ortaya çıxmış və əməliyyatlarında ardıcıl olaraq İran və Fələstin lehinə motivasiyaları nümayiş etdirmişdir. Bu hadisə, hətta yüksək rütbəli rəsmilərin belə, şifrlənmiş hesablarında iki-faktorlu autentifikasiya kimi əsas təhlükəsizlik xüsusiyyətlərini qeyri-aktiv saxladıqları zaman nə qədər həssas olduqlarını bir daha sübut etdi. Əsas risk mesajlaşma platformasının özündə deyil, istifadəçilərin konfiqurasiya səhvlərində və BDP əsaslı giriş sistemlərinin SİM dəyişmə kimi hücumlara qarşı zəifliyindədir.