Siber suçluların Proton Mail adreslerini kullanarak operasyon yürütmesi artık yaygın bir durum. İsviçre merkezli gizlilik odaklı hizmet sağlayıcı, bu noktada zor bir denge kurmak zorunda: Bir yandan siber suçluların hizmetlerini kötüye kullanmasını engellemek, diğer yandan markayı tanımlayan uçtan uca şifreleme ve gizlilik garantilerini korumak. Proton, 2026 Infosecurity Europe etkinliğinde ilk kez sahne aldı. COO Raphael Auphan, şirketin bu gerilimi mühendislik, operasyonel kontroller ve katı yasal süreçler aracılığıyla nasıl yönettiğini Infosecurity’ye anlattı.
Auphan, Proton’un teknik mimarisinin şirketin yapabileceklerine net sınırlar koyduğunu vurguladı. “Mesaj içeriklerine erişemeyiz çünkü anahtarlar bizde değil, kullanıcılarımızın yerini tespit edemeyiz, çünkü uçtan uca şifreleme gizlilik modelimizin bir parçası” dedi. Bu kriptografik kısıtlamanın kullanıcı güveni için merkezi olduğunu ancak içerik düzeyinde gözetim veya zorla şifre çözmenin mümkün olmadığını belirtti. Bu sınırlamayla karşı karşıya kalan Proton, hesap düzeyinde ve davranışsal savunmalara ağırlık veriyor. Auphan, şirketin şüpheli hesap oluşturma modellerini ve diğer kötüye kullanım sinyallerini tespit etmek için makine öğrenimi modelleri geliştiren özel bir anti-kötüye kullanım ekibine sahip olduğunu bildirdi. Bu sistemler, bot kaynaklı kümeleri, otomatik toplu kayıtları ve diğer erken göstergeleri belirlemeye odaklanarak kötü niyetli aktörlerin Proton hesaplarına dayalı operasyonlar gerçekleştirmeden önce durdurulmasını sağlıyor.
Yasadışı faaliyet meydana geldiğinde Proton’un yanıtı İsviçre yasaları ve sıkı doğrulama adımlarıyla şekilleniyor. Şirket şifrelenmiş mesaj içeriklerini teslim edemese de hesapları kapatabilir, mevcut meta verileri sağlayabilir ve bu bilgileri doğrulanmış kolluk kuvvetlerine ileterek soruşturmalara yardımcı olabilir; ancak bu, yasal süreçlere uyulması ve meşru nedenlere dayanılması koşuluyla mümkün. Auphan, şirketin dünyanın her yerinden bu tür ‘önemli miktarda’ talep aldığını söyledi. Ancak Proton’un harekete geçmesi için taleplerin Interpol veya İsviçre federal polisi aracılığıyla doğrulanması gerekiyor. “Meşru talepler geldiğinde, harekete geçmeden önce İsviçre federal makamları aracılığıyla yönlendirilmeli ve yasal olarak doğrulanmalıdır” dedi. Ayrıca, kolluk kuvvetleri doğru süreçleri izlese bile Proton yalnızca talebi meşru bulursa harekete geçiyor. “Gerçek bir kötü niyetli hatta suç faaliyeti şüphesinden gelmelidir. Siyasi bir rakibin hesabını kapatmayız” ifadelerini kullandı.
Önemli Gelişmeler
Auphan, davranışsal sinyallere dayanan anti-kötüye kullanım sistemlerinin gizlilik ve yanlış pozitif endişelerini artırabileceğini ve suçla mücadele için bile içeriğe erişimi reddetmenin araştırmacıları hayal kırıklığına uğratabileceğini kabul etti. Yine de Proton’un yaklaşımının doğru dengeyi kurmayı amaçladığını savundu. “Kötü niyetli aktörlerin platformumuzu kullanmasına izin vermekle hiçbir ilgimiz yok” diyerek sözlerini tamamladı.
