Siber güvenlik firması Group-IB, Interpol liderliğindeki bir siber suç operasyonuyla, köklü bir phishing-as-a-service (PhaaS) platformu olan SniperDz'nin çökertildiğini ve platformun ana geliştiricisinin tutuklandığını açıkladı. Ramz Operasyonu adı verilen bu geniş çaplı operasyon, Ekim 2025'ten Şubat 2026'ya kadar Ortadoğu ve Kuzey Afrika'da (MENA) 13 ülkede yürütüldü. Interpol, Mayıs sonunda sonuçları duyurdu: 201 tutuklama, 53 sunucu ele geçirilmesi, 382 şüpheli ve 3867 mağdur tespit edildi. Ayrıca, gelecekteki soruşturmaları başlatmak ve desteklemek için katılımcı ülkeler arasında yaklaşık 8000 veri ve istihbarat paylaşıldı.
Group-IB, Interpol'ün bu operasyondaki ana ortaklarından biri olarak 11 Haziran'da operasyonun SniperDz'yi çökerttiğini ve ana geliştiricisinin Cezayir'de tutuklandığını duyurdu. SniperDz, en az 2015'ten beri faaliyet gösteren bir PhaaS platformuydu. Küresel bir erişime sahip olan platform, hazır kimlik avı kitleri, altyapı barındırma ve siber suçlulara operasyonel destek gibi gelişmiş hizmetler sunuyordu. Palo Alto Networks'ün Unit 42 birimi, 2023-2024 arasında SniperDz ile ilişkili 140.000'den fazla kimlik avı sayfası keşfettiğini belirtti. Araştırmacılar, kimlik avcılarının bu sayfaları SniperDz altyapısında barındırabildiğini veya kendi sunucularında kullanmak üzere şablonları indirebildiğini vurguladı. İlginç bir şekilde, SniperDz bu hizmetleri ücretsiz sunuyordu; bunun nedeni, platformun aynı zamanda kimlik avcıları tarafından çalınan mağdur kimlik bilgilerini toplayarak hizmet maliyetini karşılamasıydı.
Group-IB, dokuz yıl boyunca SniperDz ile ilişkili 20.000'den fazla benzersiz alan adı tespit etti. Bu alan adları, PayPal, Facebook, Instagram, Yahoo, Netflix ve Steam dahil olmak üzere en az 30 büyük küresel organizasyonu taklit ediyordu. Ekip, Arapça, İngilizce, Fransızca, İspanyolca ve İbranice dahil beş dilde 80 kimlik avı şablonu belirledi. Bu şablonlar, tüketici, teknoloji ve ödeme platformlarını hedef alarak birden fazla coğrafyadaki kullanıcıları hedefliyordu. Mağdurlar, kimlik bilgilerini, kişisel bilgilerini ve diğer hassas verilerini çalmak için tasarlanmış ikna edici sahte web sitelerine yönlendiriliyordu. Geleneksel kimlik hırsızlığının ötesinde, SniperDz, MENA bölgesindeki kamu figürlerinin popülaritesini ve güvenilirliğini sömüren sosyal mühendislik teknikleri de kullanıyordu. Tehdit aktörleri, tanınmış siyasi kişilikleri taklit eden sahte sosyal medya hesapları oluşturuyor ve bu hesapları promosyon teklifleri veya ücretsiz internet erişimi gibi görünen kimlik avı bağlantılarını tanıtmak için kullanıyordu.
Soruşturma, şüphelinin önemli bir operasyonel güvenlik (OpSec) hatası yaptığını ortaya çıkardı. Şüpheli, işbirlikçileri eğitmek ve toplamak için video dersleri yayınlamıştı; bu dersler istemeden yönetici bilgilerini ve hesap kimlik bilgilerini ifşa etti. Yıllar süren sosyal medya etkinliğiyle birleşen bu hatalar, Group-IB araştırmacılarının şüphelinin dijital ayak izini izlemesine ve onu tespit etmesine olanak sağladı. Operasyonları koordine etmek için kullanılan ve 7.300'den fazla abonesi olan bir Telegram kanalı ile 19.000'den fazla kullanıcı tarafından takip edilen bir Facebook hesabı, şüpheliyi 2015-2025 yılları arasındaki platform faaliyetlerine bağlayan ek kanıtlar sağladı. Group-IB, toplanan bilgileri Interpol'e aktardıktan sonra, kolluk kuvveti Cezayir Ulusal Polisi ile koordineli olarak SniperDz altyapısını çökertti ve operasyonu yürüttüğü iddia edilen kişiyi tutukladı. Group-IB CEO'su Dmitry Volkov, bu vakayı 'rakip merkezli istihbaratın neden önemli olduğuna dair ders kitabı niteliğinde bir örnek' olarak nitelendirdi. 'Siber suçları bozmak, kimlik avı sayfalarını kaldırmaktan daha fazlasını gerektirir; arkalarındaki insanları, altyapıyı ve suç ekosistemlerini anlamayı gerektirir' dedi.
