Ortaya Çıkarılan Hacker Sunucusu Ölçekli Hediye Kartı Sahtekarlığını ve Ek Şemaları Ortaya Çıkarıyor

Ortaya Çıkarılan Sunucu Ölçekli Hediye Kartı Sahtekarlığını Kanıtlıyor

Cybernews araştırmacıları 2026 yılının Temmuz sonunda, kaynak kod, saldırı notları, veritabanları ve ölçekli hediye kartı sahtekârı operasyonunun sonuçları barındıran bir saldırgan sunucusunu ortaya çıkardı. Ekibin tahminine göre bu program en az 2026 yılının Mart ayından beri faaliyetteydi.

Saldırgan, P2P ticaret platformlarına yüklenen hediye kartlarının kopyalanmasına ve normal bir işlem tamamlanana kadar değerli kart verilerini hapsetmeye odaklandı. Hediye kartları dijital nakit gibi çalıştığı için kazançlı bir hedeftir: hızlıca kullanılabilir, kolayca satılabilir, ancak ele geçirildikten sonra kurtarma zordur.

Operasyon Nasıl Çalıştı

Saldırgan yüzlerce çevrimiçi platformu araştırdı. Sunucu sahipleri, 58 hediye kartı satış platformunu ve hediye kartlarını ödeme aracı olarak kabul eden 3 P2P kripto borsasını belirledi. Gelirin ana kaynağı yeni yüklenen hediye kartlarının kopyalanmasıydı: 10 platformda 10 Python betiği kullandılar ve yeni yüklemeleri 90 saniyelik bir pencere içinde takip ettiler.

Saldırgan, yayınlanmış storage bucket'leri ve hatalı yapılandırmaları kullandı; bu da kimlik doğrulama sayfasının atlanmasına veya hediye kartı verilerine erişim sağladı. Sunucuda 4.098 kayıt, 3.690 görsel hash ve Cardlumi ile ilişkili 3.998 kopyalanmış hediye kartı görseli bulunuyordu. Bir platform olan Cardtonic'te, herhangi bir kimliği doğrulanmış kullanıcının satış bilgilerini — açık metinli hediye kartı kodları ve kullanıcı e-postaları dahil — talep etmesine olanak tanıyan hatalı bir API yapılandırması vardı; ancak bu yalnızca kavram kanıtı düzeyinde doğrulandı.

Ek Operasyonlar da Ortaya Çıktı

Sunucuda ayrıca bulut tabanlı platform Trustonic ALPS'e karşı malzemeler de bulunuyordu; bu platform mobil operatörlerin cihazları uzaktan kilitlemek veya açmak için kullandığı bir sistemdir. Saldırgan, hatalı API yapılandırmasıyla birleştirilmiş ele geçirilmiş kimlik doğrulama verilerini kullanarak, salt-okuma yetkisi olan kullanıcıların cihaz kilitleme politikasını değiştirmesine olanak tanıyan bir konfigürasyon oluşturdu. Trustonic, iç soruşturma sonucunda kimlik doğrulama bilgilerinin etkilenen kullanıcıların cihazlarındaki infostealer kötü amaçlı yazılımı aracılığıyla ele geçirildiğini ve platformun içinden sızmamış olduğunu açıkladı. Şirket, etkilenen hesapların parolalarını sıfırladı.

İkinci operasyon mobil telefonlar için servis aracı Octoplus Box ile bağlantılıydı. Saldırgan, Dhru Fusion API'sine sahte bir GSM servisi oluşturdu ve 10 ele geçirilmiş hesapla Telegram botu aracılığıyla hizmetler sattı. Sunucuda, ele geçirilmiş satıcı hesaplarıyla ilgili veriler — kullanıcı adları, açık metinli parolalar ve 341 işlem kaydı dahil — içeren bir SQLite veritabanı bulunuyordu.

Yapay Zeka Destekli Çalışma Süreci

Araştırmacılara göre, hediye kartı sahtekarlığı tamamen yapay zeka destekli değildi; Anthropic'in Claude modeli, saldırı sürecinde ana AI ajanı olarak kullanılıyordu. Dosyalarda, saldırgana ait olabilecek kişisel e-posta adresleri bulundu; İspanyolca yazılan notlar ise operatörün İspanyolca konuştuğunu gösteriyordu.

Ortaya çıkarma kronolojisi: sızıntı 2026 yılının 19 Temmuz'da keşfedildi; ilk bildirim 2026 yılının 28 Ağustos'ta Cardtonic ve Trustonic'a gönderildi; ilk bildirim 2026 yılının 31 Ağustos'ta Cardlumi'ye gönderildi; sızıntının 2026 yılının 14 Ağustos'ta kapatıldığı belirlendi.

Kaynaklar: Cybernews