Bunu neden ücretsiz yapıyoruz? Bunun önemi nedir? Ve bu, başkalarının yapamadığı neyi yapmamızı sağlıyor?
"Bunu neden bedavaya yapıyorsun?"
Bu, bize sürekli sorulan bir soru. Gazetecilerden. Güvenlik araştırmacılarından. Düşmanlarını anlamaya çalışan dolandırıcılardan. Ve neden birinin tehdit istihbaratı altyapısını yıllarca kurup da bundan para kazanmaya çalışmadığını gerçekten anlayamayan insanlardan.
İşte gerçek bu — sansürsüz, rahatsız edici ve muhtemelen hiç beklemediğiniz bir şey.
Çoğu insanın bizim hakkımızda yanlış anladığı bir şey var: özgür kalmak, izole kalmak anlamına gelmez.
İşbirliği yapıyoruz. Araçlarımızı paylaşıyoruz. Diğer projelerin büyümesine yardımcı oluyoruz. Ücretli projeler bile — tabii ki bunlar topluma gerçekten fayda sağlıyor ve dolandırıcılık ekosistemini zayıflatıyorsa.
Ama işte bizi tanımlayan nokta şudur:
Bunun için asla bir kuruş bile almıyoruz.
Para bağımlılık yaratır. Bağımlılık etki yaratır. Etki sessizliği yaratır. Sessizlik dolandırıcıları korur.
Bu nedenle, yalnızca önemli olan şartlar çerçevesinde işbirliği yapıyoruz: Kâr yok, anlaşma yok, finansal kaldıraç yok, mülkiyet hakkı yok, yükümlülük yok.
Araçlar geliştiren küçük çaplı araştırmacılara destek verdik. Niş OSINT projelerine ivme kazandırdık. Ticari ürünler geliştiren analistlerle istihbarat paylaştık. Operatörlere, geliştiricilere, gazetecilere, bağımsız araştırmacılara — aynı misyonu paylaşan herkese — yardım ettik.
Kimseyle rekabet etmiyoruz. Zaten en başından itibaren ekonomiye girmeyi reddeden bir şeyle rekabet edemezsiniz.
PhishDestroy, dolandırıcılar üzerindeki genel baskıyı artırmak amacıyla kurulmuştur; dikkatleri üzerine çekmek için değil.
Başka bir proje faydalı bir şey geliştirirse — harika. Onu tanıtacağız. Destekleyeceğiz. İnsanları oraya yönlendireceğiz. Çünkü amaç büyümek değil bizim güç.
Amaç, ekosistemin kimlik avına karşı direncini artırmaktır.
İşte bu yüzden sonsuza dek özgür kalıyoruz: erdemli olduğumuzu göstermek için değil, paranın yokluğunun bu savaşta en güçlü silah olması nedeniyle. Bu bizi temiz, dokunulmaz, tarafsız ve manipüle edilemez kılıyor.
Ve seçtiğimiz her işbirliği, tek bir basit kurala uyar:
Eğer bu, kimlik avını ortadan kaldırmaya yardımcı olacaksa — biz varız. Eğer kâr gerektiriyorsa — biz yokuz.
Para kabul etmiyoruz çünkü para kısıtlamalara yol açar. Ve kısıtlamalar dolandırıcıları korur.
Kâr amacı güden her güvenlik projesi — kayıt kuruluşlarından güvenlik sağlayıcılarına ve tehdit istihbarat platformlarına kadar — ne söyleyebilecekleri ve ne yapabilecekleri konusunda kısıtlıdır. Bu işin gerçeği budur.
Güvenlik sektörünün en büyük sorununun ne olduğunu biliyor musun?
Bundan kazanç sağlayanların sayısı sınırlıdır. Gerçek bu. Risk var.
Korkutucu mu? Evet.
Bu doğru mu? Kesinlikle.
Ve PhishDestroy, kâr peşinde olmayan kişi, dünyayı rahatsız eden gerçeği fısıldamadan, yüksek sesle söyleme cesaretine sahiptir.
Para almadığınızda, sihirli bir şey olur:
Seni parayla satın alamazlar. Seni tehdit edemezler. Seni susturamazlar.
Olayları olduğu gibi yazabiliriz. Dolandırıcılıklara zemin hazırlayan alan adı kayıt kuruluşlarının adlarını açıklayabiliriz. Suçluları koruyan barındırma hizmet sağlayıcılarını ifşa edebiliriz. Sistematik suistimal ve ihmalleri belgelendirebiliriz.
Razı edilmesi gereken sponsorlar yok. Korunması gereken ortaklıklar yok. Rahatsız edici gerçekleri söylemekle tehlikeye girebilecek gelir kaynakları yok.
Tek amacımız, kimlik avı altyapısını ortadan kaldırmaktır. ARR’yi artırmak değil. Yatırımcıları memnun etmek değil. İş ilişkilerini sürdürmek değil.
Projenin ticari uygulanabilirliğine ne pahasına olursa olsun. Çünkü korunacak bir ticari uygulanabilirlik yok. Dolandırıcıları en fazla zarara uğratmakta özgürüz.
Bunu mükemmel bir şekilde açıklayan bir örnekten bahsetmek istiyorum:
NameSilo, kötüye kullanım bildirimlerini dikkate almaz. Öyle. Hem de büyük ölçüde. Sistematik bir şekilde. Elimizde veriler var. Elimizde e-postalar var. Dolandırıcılık amaçlı alan adları hâlâ aktif kalırken, göz ardı edilen raporlar birikip duruyor.
Webnic mi? Aynı hikâye. NiceNIC mi? Kesinlikle.
E-postalarımızdan hoşlanmıyorlar mı? Muhtemelen.
Gözlerini kapatarak, uygun bir kötüye kullanım yönetimi uygulamayarak, bildirimleri görmezden gelerek ya da hiçbir anlam ifade etmeyen otomatik yanıtlar göndererek fiilen zemin hazırladıkları bu dolandırıcılıklardan nefret ediyor muyuz? Kesinlikle.
Başlangıçta bu bir şakaydı. Cidden.
2019 yılında, Steam’deki kimlik hırsızlığı şebekelerini bozarak eğlenen küçük bir Discord grubu olarak kuruldu. Bu, büyük ölçekli trolleme — Otomatik kötüye kullanım botları binlerce dolandırıcılık alan adını ortadan kaldırırken, dolandırıcılar kendilerine kim saldırdığını anlamaya çalışırken çılgına dönüyordu.
Birbirlerinin alan adlarını ihbar etmeye başladıklarında güldük. Biz hiçbir şey yapmadan kaosun giderek artmasını izledik.
Eğlenceliydi. Etkiliydi. Şöyleydi ki... ücretsiz.
Yaptığımız işin sadece yıkım olmadığını, aslında insanlara yardım etmek olduğunu fark ettik.
Yaptığımız taramalar, gerçek soruşturmalarda delil olarak kullanıldı. Dolandırıcılar her şeyi silseler de arşivlerimiz ayakta kaldı. Yıllar önce yayınladığımız URLScan ekran görüntüleri, mahkeme davalarında kullanılıyordu. Mağdurlar verilerimize ulaşarak başlarına ne geldiğini anlıyorlardı.
Başlangıçta sadece şaka olarak başlayan şey, sonunda gerçekten önemli bir hal aldı.
Bunun üzerine daha da gayret gösterdik. Daha iyi sistemler kurduk. Dolandırıcılık kalıplarını inceleyen bir yapay zeka geliştirdik. Otomatik keşif sistemlerini hayata geçirdik. Profesyonel düzeyde çalışmaya başladık — tüm bunlara rağmen tamamen ücretsiz, bağımsız ve son derece dürüst kalmaya devam ettik.
Ve biliyor musun? Çalışıyor. Şaka işe yaradı. Trolleme, profesyonel düzeyde bir tehdit istihbaratına dönüştü. Ücretsiz proje, hükümetlerin bile referans gösterdiği bir şeye dönüştü.
İşte dolandırıcıları alt eden asimetrik savaş denklemi:
Alan adları için para. Altyapı için zaman. Faaliyetlerini korumak için enerji. Kâr umudu.
Bir düğmeye bas. Operasyonları yok et. Maliyet sıfır. Maksimum hasar. Sonsuza kadar tekrarla.
Alan adları kaybedildi. Altyapı yok oldu. Para boşa gitti. Umursamayan bir düşmanla mücadele etmenin yol açtığı ruhsal çöküntü.
Harcama hızı yok. Süresi yok. Hesap verecek yatırımcılar yok. Sadece saf, sürdürülebilir yıkım.
Bunu kavrayamıyorlar. Her şeyi kâr ve zarar açısından değerlendiriyorlar. Yatırım getirisini hesaplıyorlar. Herkesin bir bedeli olduğunu varsayıyorlar.
Öyle değil. Ve işte bu, altyapılarına dokunmadan önce onları psikolojik olarak mahveden şeydir.
Kâr sisteminin dışında olduğumuz için şunları yapabiliriz:
Bir şeyler yazıyoruz olduğu gibi. Biz şeylere adlarına göre. Duyguları ya da iş ilişkilerini korumak için dilimizi yumuşatmıyoruz.
NameSilo, kötüye kullanımları görmezden mi geliyor? Bunu söylüyoruz.
Kayıt kuruluşları kanlı paradan kazanç mı elde ediyor? Bunu belgeliyoruz.
İstismar bildirim sistemi temelden bozuk mu? Bunu kanıtlıyoruz.
İnsanlar her zaman “gerçek” nedeni bilmek ister. Bu işe yıllarını ayırmanın ardındaki kişisel motivasyon.
İşte burada:
Zengin bir ailede büyüdüm. Ayrıcalıklı ortamlarda. Her şey elimizin altındaydı. Ama beni tiksindiren bir şey gördüm: Parası olmasına rağmen açlıktan kıvranan biri gibi düşünen insanlar. Açgözlü. Dar görüşlü. Zehirli.
Bu merak beni dolandırıcıların karanlık dünyasına sürükledi. Onların psikolojisinin derinliklerine. Kırık ve içi boş varlıklarının içine.
Ve temel bir şeyi anladım:
Dolandırıcılar, yol açtıkları zararın farkında değiller. Yıkılan güveni, gerçek mağdurları, geri dönüşü olmayan zararları görmüyorlar. Onların dünyası boş. Onların motivasyonları da boş. İçleri boştur.
Ve içi boş nesneler, doğru basınç uygulandığında kolayca çöker.
Sonuç olarak, beklediklerinden daha uzun süre kaldım. Onların kavrayamadığı sistemler kurdum. Kendi dikkatsizliklerini kendi sonlarına dönüştüren otomasyonlar oluşturdum.
Para için değil. Tanınmak için de değil. Ama çünkü Parazitlerin daha az olduğu bir dünya, daha iyi bir dünyadır.
Teklifler alıyoruz. Sürekli olarak.
Bize finansal destek sağlamak isteyen sponsorlar. Verilerimizi satın almak isteyen şirketler. Ortaklık kurmak isteyen güvenlik şirketleri. “İşbirliği fırsatları” sunan kayıt kuruluşları (yani: sessiz kalmamızı satın almak isteyenler).
Hepsini reddediyoruz.
Sadece ilke meselesi olduğu için değil — ki bu da önemli tabii. Ama çünkü Para kabul ettiğimiz anda, bizi etkili kılan tek silahımızı, yani rahatsız edici gerçekleri söyleme yeteneğimizi yitiririz.
Bu çalışmadan asla maddi kazanç elde etmeyeceğiz.
Ticari çıkarları korumak için asla söylemimizi yumuşatmayacağız.
Kim için rahatsızlık yaratırsa yaratsın, gerçeği ortaya çıkarmaktan asla vazgeçmeyeceğiz.
Çünkü odadaki herkesin itiraf etmeye korktuğu şeyleri söylemeye cesaret edebilecek bir deli olması gerekir.İşte özgür ve sansürsüz kalarak gerçekte başardıklarımız:
Araştırmalarımız aşağıdaki kaynaklarda alıntılanmıştır: Devlet davaları. Mahkeme süreçleri. Akademik araştırmalar. Güvenlik sektörü raporları. Ana akım medyada yer alan haberler.
Verilerimiz şu konularda yardımcı oldu: Mağdurlar neler olduğunu anlıyor. Soruşturmacılar davaları oluşturuyor. Araştırmacılar yeni tehditleri takip ediyor. Sektör, görmezden gelmeyi tercih ettikleri sorunları kabul ediyor.
Baskımız şu sonuçları doğurdu: Kayıt kuruluşlarının kötüye kullanım vakalarını daha iyi ele alması (yavaş yavaş, isteksizce). Barındırma sağlayıcılarının hesapları feshetmesi. Ödeme işleyicilerinin dolandırıcıların erişimini kesmesi. Ekosistemin ihmalkarlığa karşı biraz daha az hoşgörülü olması.
Dolandırıcılar bir güvenlik projesiyle mücadele ettiklerini sanırken, aslında çok daha tehlikeli bir şeyle mücadele ediyorlar:
Ne parayla satın alınabilecek, ne tehdit edilebilecek, ne de durdurulabilecek bir ideoloji.
Her savaşı kazanmamıza gerek yok. Tek yapmamız gereken, onların faaliyetlerini sürdürülemez hale getirmek. Altyapılarını kırılgan hale getirmek. Kâr marjlarını negatife çevirmek. Karşılık vermeye bile tenezzül etmeyen bir düşmanla savaşmaktan dolayı psikolojik durumlarını çökertmek — biz sadece düğmelere basıp dünyalarının yanışını izliyoruz.
Kaldırdığımız her alan adı onlara maliyete yol açıyor. Yaptığımız her bildirim onlara zaman kaybettiriyor. Yayınladığımız her soruşturma onların güvenilirliğine zarar veriyor. Geliştirdiğimiz her araç, bir sonraki operasyonu kolaylaştırıyor.
Ve bu bize maliyeti hiçbir şey.
İşte bu asimetrik savaştır. İşte bu yüzden kazanıyoruz.
Yaptıklarınızın hiçbir anlamı yok.
Direnişinizin hiçbir anlamı yok.
Senin hırslarının hiçbir önemi yok.
Onların yakılacağı yerde ateşi çoktan yaktık.
Ve diğer herkese: işte bu yüzden bunu bedavaya yapıyoruz.
Çünkü gerçek, kârdan daha önemlidir.
Ve etik, iş ilişkilerinden daha önemlidir.