Hackleme Botu 1.438 Sahte Hesapla OpenAI ve DeepSeek API Anahtarlarını Çaldı

Yapay zekâ servislerine erişim sağlayan API anahtarları siber saldırganların yeni hedefi oldu. Tehdit istihbaratı şirketi VECERT’in raporuna göre otomatik bir hackleme botu, yanlış yapılandırılmış sunuculardan OpenAI ve DeepSeek anahtarlarını topladı. Anahtar sahipleri, hiç kullanmadıkları işlemlerin faturasıyla karşılaşabilir. Bulgular henüz bağımsız araştırmacılarca doğrulanmadı.

1.438 sahte hesapla internet taraması

Cyber Security News ve GBHackers’ın aktardığı rapora göre saldırgan, internete bağlı cihaz ve hizmetleri listeleyen arama motoru FOFA’da en az 1.438 sahte hesap açtı. Ücretsiz FOFA hesapları yalnızca 300 sorguyla sınırlı olduğu için saldırgan, melocc.cc alan adı üzerinde her adrese gelen postayı toplayan bir e-posta sistemi kurdu. Betikler bu sayede saniyeler içinde yeni hesap açıp doğrulayabildi. Araştırmacıların ele geçirdiği bir dosyada hesapların parolaları ve oturum belirteçleri bulunuyordu. Hesaplar sırayla kullanılarak günde on binlerce sorgu yapıldı. Hedefte açıkta kalmış .env dosyaları, Docker yapılandırmaları ve yeterince korunmayan Git depoları vardı. VECERT olayı “Operation Ghost-Campus” adını verdiği daha geniş bir kampanyanın parçası olarak izliyor.

Çalınan anahtarlar nasıl kullanıldı?

Bot, zayıf bir sunucu bulduğunda anahtarları örüntü eşleştirmeyle ayıkladı. OpenAI’ın “sk-proj-” ile başlayan anahtarlarını doğrudan OpenAI API’sinde deneyerek çalışan, bakiyesi biten ve iptal edilmiş anahtarları ayırdı. DeepSeek anahtarlarında ise kalan bakiyeyi kontrol etti. Raporda, kontrol panelinin Guangzhou’daki bir Tencent Cloud sunucusunda çalıştığı ve saldırganın Çin merkezli olabileceği belirtiliyor. VECERT’e göre çalınan anahtarlar, “Pi AI Coding Assistant” adlı bir web terminalini besledi. Buradaki betikler, okul ödül puanı toplamak için bir öğrenciyi her 30 saniyede bir okuma yapıyormuş gibi gösteriyordu. Aynı sunucuda Şanghay’daki bir yüksekokulun 5.132 öğrencisine ait ad, telefon, kimlik numarası ve adres bilgilerini içeren bir veri tabanı da bulundu.

Anahtar sahipleri ne yapmalı?

Anahtarı çalınan geliştiriciler ve şirketler beklenmedik faturalarla ya da tükenmiş kredilerle karşılaşabilir. Üstelik kullanım kayıtlarında saldırgan değil, anahtarın sahibi görünür; bu da kötüye kullanımın fark edilmesini zorlaştırır. Araştırmacılar, API anahtarlarının web üzerinden erişilebilen .env dosyalarında, Git depolarında ve konteyner yapılandırmalarında tutulmamasını öneriyor. Herkese açık bir yerde görünmüş her anahtarın hemen yenilenmesi, harcama limiti konması ve tanınmayan adreslerden gelen ani kullanım artışlarının izlenmesi de tavsiyeler arasında. Yapay zekâ araçlarının yaygınlaşmasıyla API anahtarları, kredi kartı bilgisi kadar değerli hale geliyor. Türkiye’de de OpenAI ve DeepSeek API’leriyle ürün geliştiren girişimler ve yazılımcılar için bu olay, sunucu yapılandırmalarını gözden geçirmek için önemli bir uyarı niteliği taşıyor.