Suudi Arabistan doğumlu Cemal Kaşıkçı, üniversite eğitimini ABD’de tamamlayarak ülkesine döndü ve 1985 yılında gazeteciliğe başladı. 1996’da Kral Fahd ağır bir felç geçirerek tahtını Prens Muhammed bin Selman’a devretti. İç dinamikler allak bullaktı. Özellikle ABD’ye yönelik (ve tamamına yakını Suudilerden oluşan bir ekip tarafından gerçekleştirilen) 11 Eylül saldırılarının gölgesinde işler daha da karıştı. Reform yanlısı Araplar sesini giderek yükseltiyordu. Selman ise bugün çizdiği portrenin aksine, bu talepleri merhametsizce bastırma eğilimindeydi.

Islahatçı kesimin en etkin kalemlerinden birine dönüşen Cemal Kaşıkçı, kaleminin yakında kırılacağını hissederek 2017’de ABD’ye döndü ve (rejim muhalifi) yazılarını The Washington Post gazetesinde sürdürdü. Bir Türk vatandaşıyla evlenmeye karar vermişti. Gerekli belgeleri almak için Suudi Arabistan’ın İstanbul Konsolosluğu’ndan randevu aldı. Ancak 2 Ekim 2018’de girdiği binadan bir daha hiç çıkamadı. Kamuoyuna sızan ayrıntılara göre Suudi Arabistan’dan özel uçakla gelen profesyonel bir ekip Kaşıkçı’yı konsolosluk içinde boğdu, kimyasal maddelerle bedenini eritti ve kestiği kafasını yanlarına alarak aynı gün yine Suudi Arabistan’a döndü.

Sonrasında yaşananlar daha da tuhaf olmakla birlikte, bu yazının konusu değil.

Cinayetin araştırılması sürecinde o güne dek sadece siber güvenlik camiasının aşina olduğu İsrail merkezli “NSO Group” dünya gündemine oturdu. Şirket geliştirdiği “Pegasus” adlı yazılım ile iOS (iPhone / iPad) ve Android işletim sistemli tüm cihazlara sahibinin ruhu bile duymadan sızabiliyor, mesajlar dahil tüm bilgilere erişebiliyor, mikrofonu açıp dinleme, kamerayı açıp izleme yapabiliyordu. Kaşıkçı’nın yakın çevresinin kullandığı cihazların hepsinde; hatta çalıştığı The Washington Post gazetesinin sahibi (aynı zamanda Amazon’un kurucusu) Jeff Bezos’un telefonunda dahi Pegasus yazılımının izleri bulundu. Operasyonda “Dark Matter” ve “Project Raven” adlı Birleşik Arap Emirlikleri merkezli casus yazılımları da kullanılmıştı.

Ardı ardına gelen ifşa ve davaların ardından bahse konu şirketlerin bir kısmı kapandı, bir kısmıysa farklı isimler altında faaliyetine devam ediyor. Ne var ki bu muazzam istihbarat kabiliyeti, müşterilerinin ağzını sulandırmaya devam ediyor.

20 yıllık sırrın sonu

İsmi pek bir şey ifade etmemekle birlikte “ISS World Training” fuarı, bu tür istihbarat çözümleri geliştiren şirketlerinin de en büyük buluşmalarından biri. Her sene sırasıyla Birleşik Arap Emirlikleri, Çekya, Singapur, Panama ve ABD’de, katı bir gizlilik altında düzenlenen (ve ana sponsoru NSO Group olan) etkinliğin Prag ayağı, bu yıl iki sıradışı ziyaretçiyi ağırladı. Bunlardan biri, vergi cenneti Virgin Adaları’ndaki paravan şirketi üzerinden hizmet veren Güney Afrika merkezli bir araştırma şirketinin sahibi Albert, diğeri derdine derman arayan Nijeryalı müşterisi Abdou’ydu. İkilinin orada bulunma gerekçesi ise “Altamides” adlı casus yazılımın geliştiricisi “First Wap” şirketiyle görüşebilmekti.

Altamides nedir ve nasıl çalışır?

Uzun süre telekomünikasyon sektöründe çalışan Avusturyalı sistem mühendisi Josef Fuchs, küresel iletişim ağında kimsenin fark etmediği bir açığı keşfetti. Bugünkü 5G altyapısında dahi varlığını sürdüren “SS7” protokolü, farklı bir teknikle kullanıldığında istenen herkesin lokasyon bilgisine ulaşmayı mümkün kılıyordu. Bu özellik esasen operatörlerin abonesine gelen çağrı ve mesajları hangi baz istasyonuna yönlendireceğini tespit edebilmesi için geliştirilmişti.

Bulduğu açıktaki “fırsatı” sezen Fuchs, Endonezya’nın başkenti Jakarta’da kurduğu şirketiyle dünyanın ilk lokasyon tabanlı mobil pazarlama hizmetini kullanıma sundu. First Wap kullanıcıları bu sayede telefon numarasını bildiği kişileri adım adım takip edebiliyor ve onlara çevrelerindeki ürün ve hizmetlerin reklam SMS’lerini gönderebiliyordu.

Dünya çapında ses getiren ve First Wap şirketini paraya boğan bu özellik yeterli gelmemiş olacak ki, Josef Fuchs devamında bu ve benzeri açıklar üzerinden SMS’leri okuyabilen, görüşmeleri dinleyebilen; hatta WhatsApp gibi kriptolu yazışmalara dahi ulaşabilen “Altamides” uygulamasını geliştirdi. Altamides’in en ayrıştırıcı özelliği, rakiplerinin aksine mobil operatörün altyapısında çalıştığı için hedeflediği cihazda hiçbir dijital parmakizi bırakmaması. Dolayısıyla geriye dönük olarak kimlerin takip edildiğini belirlemek (operatör kayıtları olmaksızın) imkansız.

Sistemin çalışabilmesi için operatörün altyapısına kurulması şart. First Wap bu engeli de Avrupalı operatör Telecom Liechtenstein’ın altyapısına Altamides sistemini kurarak aşmış. Tüm operasyon bu operatör üstünden yürütülmüş. (Telecom Liechtenstein bu hafta yaptığı açıklamada bu istismardan haberleri olmadığını ve First Wap ile yollarını ayırdıklarını açıkladı.)

İlginç bir ayrıntı: 2024 yılında ölen First Wap’ın kurucusu Josef Fuchs, Endonezya’da kurduğu “ISCO Vakfı” ile çocuklara yönelik birçok yardım faaliyetinde adı geçen ve “hayırsever işadamı” olarak anılan bir kişilikti.

Nijeryalı Abdou, ülkesindeki madencilik faaliyetlerini protesto ederek “süreci aksatan” eylemcilerin kimliklerini tespit edip, lokasyonlarını ve iletişimlerini takip etmek istiyordu. First Wap’ın Satış Müdürü Guenther Rudolph, bunun çok kolay olduğunu söyledi. Ancak iki sorun vardı. Şirketin sahiplerinin ve çalışanlarının vatandaşı olduğu Avusturya kanunlarına göre bu hizmet, hapis cezası gerektiren bir suçtu. Ayrıca yaptırım listesinde olduğu için Nijerya ile akçeli bir işe girmeleri de mümkün değildi.

Neyse ki sıkça karşılaştıkları bu sorun için de çözümleri vardı. Onu da şirketin yöneticisi Jonny Goebel anlattı. 1999 yılında Endonezya merkezli kurulan First Wap, bu ihaleyi Jakarta ofisinde çalışan Hindistan vatandaşı genel müdürü üstünden yürütecekti. Ödemeyi de Virgin Adası’ndaki şirketi üzerinden Albert yapacaktı. Böylece hiçbir yaptırıma takılmayacak ve hukuki sorumluluk taşımayacaklardı.

Ancak First Wap temsilcilerinin farketmediği bir pürüz daha vardı: Müşteri olarak konuştuğu ikili, “Lighthouse Reports” adlı araştırmacı gazeteci ağına bağlı muhabirlerdi ve her şeyi gizli kamerayla kaydediyorlardı.

Buluşma sonrası ulaşılan belgelerde şirketin Altamides uygulamasıyla binlerce farklı müşteri adına gazetecilerden siyasi liderlere, rejim muhaliflerinden şirket yöneticilerine kadar; dünyanın dört bir yanından, sayısız kişiyi takip ettiği belirlendi. Faaliyetin yoğunlaştığı ülkelerden biri de Türkiye’ydi. Belgelerin yayımlanmasının ardından First Wap hizmetlerini durdurarak derin bir sessizliğe gömüldü.

Elbette bu mutlu son, bu tür vakaların geride kaldığı anlamına gelmiyor. Zira bu sistem açıklarını ve benzer taktikleri kullanan; adını henüz duymadığımız nice benzeri, her sene sektörel fuarları doldurmaya devam ediyor. Biz potansiyel mağdurlara düşen sorumluluk ise mümkün olduğunca önlem almak ve akıllı cihazları her an takip edilebileceği bilinciyle kullanmak.

(24 Ekim 2025 tarihli Oksijen gazetesi yazım.)