Adalet Bakanlığı, FBI ve Finlandiya Ulusal Soruşturma Bürosu'nun iş birliğiyle, Scattered Spider adlı siber suç örgütüyle bağlantılı olduğu düşünülen 19 yaşındaki bir hacker, Helsinki'de yakalandı. ABD ve Estonya çifte vatandaşı olduğu belirtilen şüpheli, Japonya'ya gitmek üzereyken polis tarafından gözaltına alındı. Bu operasyonda Microsoft'un geliştirdiği ve Windows sistemlerinde bulunan bir tanımlayıcı kodun da (GDID) önemli bir rol oynadığı ortaya çıktı.
Scattered Spider, küresel çapta en büyük siber suç şebekelerinden biri olarak biliniyor. Adalet Bakanlığı'na göre, bu grup fidye talepleriyle 100 milyon doların üzerinde gelir elde etmiş durumda. Örgütün ayrıca Octo Tempest, UNC3944 ve Oktapus gibi farklı isimlerle de faaliyet gösterdiği ve özellikle sosyal mühendislik taktikleriyle tanındığı belirtiliyor. Şüpheli hakkındaki temel suçlama, lüks bir mücevher firmasına yönelik 2025 yılının Mayıs ayında gerçekleştirilen bir saldırıyla ilgili.
Saldırganların, Google Voice kullanarak firmanın BT yardım masasını aradığı ve kendilerini çalışan gibi tanıttığı anlaşılıyor. Bu şekilde, yardım masasını ikna ederek yönetici yetkilerine sahip üç hesaptaki kimlik bilgilerini sıfırlattıkları belirtiliyor. Bu durum, grubun ve muhtemelen şüphelinin sisteme sızmasına ve önemli verileri çalarak mücevher firmasına kripto para ile 8 milyon dolar fidye ödemesi talebinde bulunmasına olanak sağlamış.
Firma, altyapısına tekrar erişim sağlayarak fidye ödemekten kaçınmış olsa da, operasyonel aksaklıklar nedeniyle yaklaşık 2 milyon dolarlık bir zarar yaşadığı tahmin ediliyor. Bu saldırı ve sonrasındaki dijital izler, savcıların şüpheliyi Helsinki'de yakalamasına giden yolu aydınlattı. Microsoft'un GDID verilerini FBI ile paylaşması, bu süreçte kritik bir adımdı.
GDID (Global Device Identifier), her Windows kurulumuna atanan ve cihaza özgü telemetri verilerini izleyen benzersiz bir tanımlayıcıdır. Bu kodun, bilgisayarın donanımında yapılan önemli değişikliklerin bazen Windows lisansını geçersiz kılabilmesinin de nedeni olduğu biliniyor. Davaya ait mahkeme belgeleri, şüphelinin Windows kullandığını ve bu sayede araştırmacıların fiziksel donanımını belirli internet aktiviteleri ve konumlarla ilişkilendirebildiğini ortaya koyuyor.
Eldeki bilgilere göre, şüphelinin davası henüz tam olarak oluşturulmadan önce GDID'in onun hakkındaki ayrıntılı raporu hazırdı ve tek gereken bu bilgileri birleştirmekti. Şüphelinin internet aktiviteleri, oyun geçmişi, IP adresleri, kullandığı araçlar (Ngrok dahil), Azure durumu gibi birçok bilgi, zaman damgalarıyla birlikte kaydedilmiş ve Microsoft tarafından soruşturmacılara sunulmuş.
Bu durum, Microsoft'un telemetri verilerinin ne kadar detaylı ve potansiyel olarak ne kadar invaziv olabileceği konusunda önemli soruları gündeme getiriyor. Bu veriler bir hackerı yakalamak için kullanılırken, kötü niyetli kişilerin bu bilgilere erişmesi durumunda ne olabileceği endişe verici. Teknoloji meraklısı kullanıcılar uzun süredir Windows'un aşırı telemetri toplamasından şikayetçi ve "debloat" (gereksiz bileşenleri kaldırma) kültürü bu durumun bir yansıması. Ancak GDID, tek bir tıklamayla kaldırılamayan veya devre dışı bırakılamayan bir özellik.
Bununla birlikte, şüphelinin Japonya'ya giden uçağa binmeden önce yanında iki adet delil dolu sabit disk taşıması da yakalanmasına yardımcı oldu. Asıl kimliğinin 2024'ten beri bilindiği ancak o dönemde reşit olmaması ve Estonya ile Birleşik Arap Emirlikleri arasında yaşaması nedeniyle, uygun zaman gelene kadar izlenebildiği belirtiliyor. Tutuklanmasının ardından ABD'ye iade edilen şüpheli, 30 Haziran 2026'da Chicago'da federal bir mahkemede ilk kez hakim karşısına çıktı ve halen tutuklu bulunuyor.
