Neredeyse herkesin sahip olduğu 5 tehlikeli uygulama

Telefonunuzdaki en tehlikeli uygulamaların mutlaka virüsler veya bariz kötü amaçlı yazılımlar olması gerekmez. Çoğunlukla en büyük riskler milyonlarca kişi tarafından yüklenen ve resmi uygulama mağazaları aracılığıyla güncellenen meşru, popüler hizmetlerden kaynaklanmaktadır (ayrıca bkz. Veriler kullanıcıları manipüle etmek için nasıl kullanılır ve Bir hesabı silmek neden verilerinizi tamamen silmez).

Bu makalede neredeyse herkesin sahip olduğu 5 uygulama türüne bakacağız, bunların oluşturduğu belirli riskleri açıklayacağız ve potansiyel zararı azaltmak için neler yapabileceğinizi göstereceğiz.

Önemli: Bu belirli markalarla değil, kategorilerle ilgilidir. Gerçek risk, ayarlarınıza, yasalarınıza ve kişisel tehdit modelinize bağlıdır.

Haberciler ve sosyal ağlar

Mesajcılar ve sosyal ağlar sizin hakkınızda en çok şeyi biliyor çünkü şunlarla ilgileniyorlar:

• Özel mesajlar, fotoğraflar ve sesli notlar.
• Kişi listeniz ve ait olduğunuz gruplar ve topluluklar.
• Meta veriler: kimin kiminle, ne zaman ve ne sıklıkla konuştuğu.

Uçtan uca şifrelemeyle bile meta veriler ve sosyal grafik bilgileri hedefleme, öneriler ve davranış analizi açısından son derece değerlidir.

Ne yapalım:

• Mevcut en güçlü güvenlik özelliklerini etkinleştirin (ekran kilidi, uygulama kilidi, güvenlik kontrolleri).
• Geçmişi, özellikle büyük grup sohbetlerini ve medyayı periyodik olarak temizleyin.
• Mümkün olan her yerde kişilere ve konuma erişimi sınırlayın.

Navigasyon, haritalar ve ulaşım uygulamaları

Navigasyon ve araç çağırma uygulamaları hareketlerinizin sürekli geçmişini etkili bir şekilde tutar:

• Ev, iş ve sık ziyaret edilen yerler.
• Hareket halindeyken değil, genellikle evde olduğunuz zamanlar.
• Mahallelere ve gezi türlerine dayalı kaba gelir ve yaşam tarzı sinyalleri.

Bu veriler yalnızca hizmetlerin kendisi için değil aynı zamanda bir ihlal veya geniş veri paylaşımı yoluyla erişim elde eden herkes için de değerlidir.

Ne yapalım:

• Sabit konum erişimini devre dışı bırakın; buna yalnızca uygulama kullanımdayken izin verin.
• Yolculuk geçmişini ve kayıtlı adresleri düzenli olarak temizleyin.
• Mümkün olduğu durumlarda, farklı hizmetler veya profiller arasında kişisel ve iş seyahatlerini ayırın.

E-posta istemcileri ve “hepsi bir arada” ekosistemler

E-posta uygulamaları ve büyük ekosistemler faturaları, banka uyarılarını, hükümet mesajlarını ve daha fazlasını görün:

• E-posta içeriği, ekler ve bağlantılar.
• Diğer hizmetlerden gelen kutunuza iletilen bildirimler.
• Kişiler ve uzun vadeli kişisel ve mesleki yazışmalar.

E-postalarınızı hiç kimse okumasa bile makine analizi finansal ve sosyal yaşamınızın son derece ayrıntılı bir resmini oluşturabilir.

Ne yapalım:

• İki faktörlü kimlik doğrulamayı etkinleştirin ve güçlü, benzersiz bir parola kullanın.
• E-posta adreslerini role göre ayırın: biri bankacılık ve belgeler için, diğeri abonelikler ve kayıtlar için.
• Üçüncü taraf uygulamalardaki “e-postayla oturum açma” izinlerine dikkat edin.

Fitness takipçileri ve sağlık uygulamaları

Fitness ve sağlık uygulamaları paylaşabileceğiniz en hassas verilerden bazılarını toplar:

• Kalp atış hızı, uyku, aktivite düzeyi, kilo, bazen ruh hali ve günlükler.
• Koşullar, ilaçlar ve tedavi hakkında bilgi.
• Koşu ve yürüyüşlerden elde edilen konum verileri.

Bu tür verilerde çok büyük ihlaller zaten gerçekleşti ve bunun sonuçları, temel bir e-posta sızıntısından çok daha ciddi olabilir (ayrımcılıktan şantaja kadar).

Ne yapalım:

• Elle girilen hassas verileri (teşhisler, ayrıntılı notlar) en aza indirin.
• Uygulamanın verileri kimlerle paylaştığını inceleyin (sigortacılar, işverenler, sosyal ağlar).
• İmkanınız varsa küresel ekosistemler yerine daha çok gizlilik odaklı veya yerel çözümleri tercih edin.

“Ücretsiz” yardımcı programlar ve eğlence uygulamaları

Hava durumu uygulamaları, el fenerleri, belge tarayıcılar, fotoğraf ve video filtreleri — bunlar genellikle ürünlerden çok veri toplayıcıdır:

• Uygulama aşırı izinler istiyor (kişiler, kamera, mikrofon, konum).
• Birden fazla reklam ve analitiği SDKs bir araya getirir.
• Veriler aracılara ve toplayıcılara satılabilir.

Bu uygulamalar genellikle “otomatik pilotta” kurulur ve yıllarca kalır, var olduklarını unuttuktan çok sonra bile.

Ne yapalım:

• Yüklü uygulamalarınızı denetleyin ve uzun süredir kullanmadığınız her şeyi kaldırın.
• İzinleri kontrol edin: Bir hava durumu uygulamasının neden mikrofona veya kişi erişimine ihtiyacı var?
• Mümkün olduğunda ayrı uygulamalar yüklemek yerine yardımcı programların web sürümlerini kullanın.

Resmi Uygulama Mağazaları Neden Güvenliği Garanti Etmiyor?

Pek çok kullanıcı, Google Play Market ve Apple App Store gibi resmi mağazalardan uygulama yüklemenin otomatik olarak güvenliği garanti ettiğine inanıyor. Bu platformlar denetleme, otomatik kod analizi gerçekleştirir ve gizlilik politikalarını uygular. Ancak pratikte resmi mağazalar bile kötü niyetli ve potansiyel olarak tehlikeli uygulamalara karşı tam korumayı garanti edemez.

Asıl sorun ekosistemin ölçeğidir. Play Market ve App Store'de milyonlarca uygulama yayınlanıyor ve kontrollerin çoğu otomatik olarak yapılıyor.

Bu şu durumlara yol açar:

• Kötü amaçlı işlevler gizlenebilir.
• Tehlikeli mekanizmalar hemen devreye girmeyebilir.
• Güncellemelerden sonra uygulama davranışı değişebilir.

Üstelik mağazalar, mutlak kullanıcı güvenliğinden ziyade ekosistem büyümesine, geliştirici rahatlığına ve ticari verimliliğe öncelik veriyor.

Tehlikeli Uygulamalar Play Market'e ve App Store'ye Nasıl Giriyor?

Yaygın senaryolar şunları içerir:

• Başlangıçta güvenli olan bir uygulama daha sonra kötü amaçlı kodla güncellenir.
• Dinamik mantık harici sunuculardan yüklenir.
• Uygulamanın başka bir geliştiriciye satılması veya devredilmesi.
• Kötü amaçlı özellikler zamana, bölgeye veya kullanıcı davranışına göre etkinleşir.

Otomatik güncellemeler, ek kullanıcı incelemesi gerekmeden yüklendiğinden özellikle tehlikelidir.

Büyük Bir Tehdit Olarak Aşırı İzinler

Virüsler veya truva atları olmasa bile uygulamalar tehlikeli olabilir.

Yaygın olarak istenen izinler şunları içerir:

• Mikrofon ve kameraya erişim.
• Kişileri ve çağrı kayıtlarını okuma.
• SMS ve bildirimlere erişim.
• Sürekli konum takibi.

Çoğu zaman bu izinler temel işlevsellik açısından gereksizdir ancak kullanıcının ayrıntılı bir dijital profilinin oluşturulmasına olanak tanır.

SDKs ve Üçüncü Taraf Kitaplıklar — Uygulamaların İçindeki Gizli Tehditler

En hafife alınan tehditlerden biri SDKs (Yazılım Geliştirme Kitleri) ve uygulamalara yerleştirilmiş üçüncü taraf kitaplıklardır.

Bir geliştirici kötü amaçlı yazılım oluşturmasa bile genellikle SDKs'yi aşağıdaki amaçlarla entegre eder:

• Reklam ve para kazanma.
• Kullanıcı davranışı analitiği.
• Bildirimleri itin.
• Kurulumları ve dönüşümleri izleme.

Her SDK, kendi sunucularına, veri toplama politikalarına ve güvenlik düzeyine sahip ayrı bir modüldür.

SDKs Neden Tehlikelidir?

SDKs kullanmanın ana riskleri:

• Doğrudan kullanıcının izni olmadan veri toplanması.
• Üçüncü şahıslarla bilgi paylaşımı.
• Birden fazla uygulamadaki etkinliği izleme.
• Uygulama davranışının uzaktan kontrolü.

Kullanıcılar uygulamayla etkileşimde bulunur ancak verileri düzinelerce harici şirket tarafından işlenebilir.

Mağazalar Neden Bu Tür Uygulamaları Engellemiyor?

SDKs'nin kendisi kötü amaçlı olarak kabul edilmez. Yasal olarak yaygın olarak kullanılmaktadırlar, dolayısıyla:

• Mağazalar her kütüphaneyi derinlemesine analiz etmez.
• Sorumluluk resmi olarak geliştiriciye aittir.
• Gizlilik politikaları genellikle resmi ve şeffaf değildir.

Sonuç olarak, bir uygulama mağaza kurallarına uyabilir ancak yine de aktif olarak veri toplayıp paylaşabilir.

Resmi Mağazalarda Sahte ve Klon Uygulamalar

Play Market ve App Store bile düzenli olarak şunları içerir:

• Popüler hizmetlerin klonları.
• Sahte bankacılık veya kripto uygulamaları.
• Benzer adlara ve simgelere sahip uygulamalar.

Kullanıcılar resmi mağazalara güvenir ve değişiklikleri fark etmeyebilir, bu da oturum açma bilgilerinin, şifrelerin ve finansal verilerin sızmasına yol açabilir.

“Ücretsiz” uygulamalar neden ücretsiz değil

Bir uygulamanın maliyeti $0 olduğunda hâlâ giderleri vardır: geliştirme, sunucular, destek, analiz ve pazarlama. Parayla ödeme yapmıyorsanız işletmenin başka yerden kazanması gerekir. Bazen bu son derece mantıklıdır (bir hobi projesi, açık kaynaklı bir araç). Ancak çoğu zaman “ücretsiz” bir fiyatlandırma stratejisidir, maliyet eksikliği değildir.

Model 1: reklamcılık ve davranışsal profil oluşturma

Klasik model basittir: Uygulama reklam gösterir ve gösterim veya tıklama başına para kazanır. İşin zor kısmı geliri maksimuma çıkarmak. Bunun için reklamverenler şunları ister:

• Doğru hedefleme (kimsiniz, ne satın alabilirsiniz)
• Ölçüm (hangi reklamın yüklemeye, satın almaya veya aboneliğe yol açtığı)
• Yeniden hedefleme (reklamların size daha sonra diğer uygulama ve sitelerde tekrar gösterilmesi)

İzleme burada görünür. Birçok reklam ekosistemi, kullanım kalıplarından ve tanımlayıcılardan ayrıntılı profiller oluşturur (bkz. Reklamlar sizi neden arkadaşlarınızdan daha iyi tanıyabilir?).

Model 2: yerleşik SDKs (uygulamanız bir üçüncü taraf paketidir)

“Ücretsiz” bir uygulama genellikle yalnızca bir şirketin kodu değildir. Aşağıdakiler için üçüncü taraf kitaplıkları içerir:

• Reklamlar ve arabuluculuk
• Analitik ve kilitlenme raporlaması
• İlişkilendirme (“bu kullanıcıyı hangi kampanya getirdi”)
• Dolandırıcılıkla mücadele ve cihazın itibarı
• Push bildirimleri ve etkileşim

Her SDK, olayları, cihaz tanımlayıcılarını, IP/konum sinyallerini ve davranışsal verileri toplayabilir. Uygulamanın kendisi zararsız görünse bile SDK tedarik zinciri onu riskli hale getirebilir (bkz. tehlikeli uygulamalar ve yerleşik SDK'lar).

Model 3: veri komisyonculuğu (doğrudan veya dolaylı)

Bazı uygulamalar veri kümeleri aracılığıyla para kazanır:

• Gruplar hakkında “içgörüler” satmak (toplu, ancak uygulamada sıklıkla yeniden tanımlanabilir)
• Olayları ve tanımlayıcıları daha sonra diğer kaynaklarla birleştiren ortaklarla paylaşmak
• Birleştirildiğinde yeniden kişisel hale gelen “takma ad”lı ihracatlar

Tehlike giderek artıyor: bir veri akışı kendi başına zayıf olabilir, ancak diğer birçok veri akışıyla birleştirildiğinde güçlü bir tanımlayıcı haline gelir (bkz. merkezi veri depolamanın riskleri).

Model 4: ücretsizmiş gibi görünen abonelikler (huni)

Birçok uygulamanın kurulumu ücretsizdir ancak bir dönüşüm hunisi aracılığıyla para kazanırsınız:

• Sınırlı ücretsiz katman veya deneme
• Sürekli yükseltme istemleri
• Temel özellikler için ödeme duvarları
• Aboneliklerin otomatik olarak yenilenmesi

Bu model doğası gereği kötü değil. Gizlilik sorunu, dönüşüm hunisinin genellikle agresif analizlerle optimize edilmesidir: hangi ekran sizi abone yapar, ne sizi meşgul eder, hangi “acı” ödetir. Bu, geniş ölçekte davranışsal deneylerdir (bkz. Verilerin kullanıcıları yönlendirmek için nasıl kullanıldığı).

Model 5: ortaklık ve ticaretten para kazanma

Bazı uygulamalar sizi aşağıdakileri yapmaya zorlayarak komisyon kazanır:

• Bağlı kuruluş bağlantıları aracılığıyla ürün satın alın
• Diğer uygulamaları yükleyin
• Ortak hizmetlerine kaydolun
• Belirli ödeme veya teslimat sağlayıcılarını kullanın

Bu genellikle izlemeyi ve ilişkilendirmeyi içerir ve koyu kalıpları (aslında ücretli yerleşimler olan “önerilen” seçenekler) teşvik edebilir.

Bu neden yalnızca bir gizlilik sorunu değil de bir güvenlik sorunu haline geliyor?

Ücretsiz uygulamalar çeşitli nedenlerden dolayı daha yüksek riskle ilişkilidir:

• Daha fazla izin: Birçok uygulama “her ihtimale karşı” kişi, bildirim, SMS ve konum bilgisi ister.
• Daha fazla üçüncü taraf kodu: Saldırı yüzeyi her SDK ile birlikte büyür.
• Uzun vadeli güven için daha düşük teşvikler: Uygulama, kurulu tabanı devam ederken satılabilir, yeniden markalanabilir veya terk edilebilir.
• Veri saklama ve sızıntılar: Ne kadar çok veri toplanırsa, ihlal o kadar değerli hale gelir (bkz. Dolandırıcıların verilerinizi ele geçirdiği yer).

Daha sonra uygulamayı kaldırsanız bile, bazı veriler iş ortağı sistemlerinde ve analiz hatlarında kalabilir (bkz. Bir uygulamayı sildikten sonra verilere ne olur).

Genel uygulama riski nasıl azaltılır

Köklü değişikliklere hazır olmasanız bile halihazırda kullanmakta olduğunuz uygulamalardan kaynaklanan genel riski azaltabilirsiniz:

• Tam bir denetim çalıştırın. Uygulama listenizi gözden geçirin ve gereksiz veya nadiren kullanılan her şeyi kaldırın.
• İzinleri sıkılaştırın. Konuma, mikrofona, kameraya ve kişilere sürekli erişimi kaldırın.
• Cihazları veya profilleri ayırın. Her şeyi, özellikle de hassas görevleri tek bir telefona koymaktan kaçının.
• İhlal haberlerini izleyin. Ciddi olaylardan sonra şifreleri değiştirin ve bu hizmeti kullanmayı yeniden düşünün.
• Geliştiriciyi ve güncelleme geçmişini kontrol edin.
• Kurulumdan önce izin listesini analiz edin.

Amaç, uygulamalar olmadan yaşamak değil, hayatınızın hangi bölümlerini kime emanet edeceğinizi bilinçli olarak seçmek ve bir şeyler kaçınılmaz olarak ters gittiğinde hasarı sınırlamaktır.