FinFisher, diğer adıyla FinSpy, Almanya merkezli FinFisher GmbH tarafından geliştirilmiş ve Gamma Group'a bağlı ticari bir casus yazılım paketidir. Yazılım, yalnızca devlet kurumları, kolluk kuvvetleri ve istihbarat birimlerine satılmakta olup siber gözetim ve suçla mücadele amacıyla kullanılmak üzere tasarlanmıştır.
FinFisher ilk olarak 2011 yılı civarında güvenlik araştırmacılarının dikkatini çekmiş, sızan ürün belgeleri ve saha tespitleriyle varlığı doğrulanmıştır. Geliştirici FinFisher GmbH, Gamma International'ın bir yan kuruluşu olarak faaliyet göstermiştir. Yazılım tescilli (proprietary) lisansla sunulmaktadır.
Teknik Özellikler ve Bulaşma Yöntemleri
FinFisher, hem masaüstü hem de mobil platformlarda çalışabilecek şekilde geliştirilmiştir. Windows, macOS ve Linux’un yanı sıra iOS, Android, BlackBerry ve Symbian işletim sistemlerine yönelik sürümleri tespit edilmiştir. Bulaşma yöntemleri arasında sahte yazılım güncellemeleri (örneğin iTunes veya Flash güncellemesi), kimlik avı e-postaları, kötü amaçlı dosya ekleri ve hedef sisteme fiziksel erişim yer almaktadır. Bazı durumlarda, özel hazırlanmış USB bellekler veya yerel ağ erişimi yoluyla da yüklenebilmektedir. FinFisher, SSL trafiğini çözme, VoIP konuşmalarını izleme, şifreleri ve oturum bilgilerini ele geçirme gibi ileri düzey işlevlere sahiptir. Ayrıca telefon rehberi, medya dosyaları, mesajlar, konuşmalar ve lokasyon bilgilerine tam erişim sağlayabilmektedir.
Kullanım Alanları ve Yaygınlığı
2015 yılında bir dönem aktif olan FinFisher kullanıcılarından şüphelenilen hükümetler.
Bağımsız araştırma kuruluşları, FinFisher'in dünya genelinde birçok hükümet tarafından kullanıldığını ortaya koymuştur. Citizen Lab'ın 2013'te yayımladığı rapor, yazılımın komuta ve kontrol (C&C) sunucularının en az 25 ülkede bulunduğunu belgelemektedir. Daha sonraki çalışmalar, bu sayının 32 ülkeye kadar çıktığını göstermiştir. Kullanıcı ülkeler arasında Mısır, Bahreyn, Suriye, Myanmar, Etiyopya, Brezilya ve Türkiye gibi otoriter yönetimler de yer almaktadır. İnsan hakları örgütleri, bu durumun yazılımın yalnızca suçla mücadele değil, aynı zamanda muhalifler, gazeteciler ve aktivistler üzerinde gözetim amacıyla da kullanıldığını ortaya koyduğunu ileri sürmektedir.
Ülke Bazlı Kullanım Örnekleri
FinFisher'in kullanımı farklı ülkelerde çeşitli siyasi bağlamlarda gündeme gelmiştir.
Türkiye: Yazılımın Türkiye'deki kullanımı, özellikle 2017 yılında düzenlenen Adalet Yürüyüşü sırasında muhalefet üyelerinin hedef alınmasıyla dikkat çekmiştir. Başta CHP üyeleri olmak üzere yürüyüşe katılan bazı milletvekilleri ve aktivistlerin telefonlarına FinFisher bulaştırıldığı iddia edilmiştir. Bu iddialara göre, yazılım aracılığıyla hedef kişilerin konum bilgileri, mesajları ve görüşmeleri izlenmiş; çok sayıda kişinin özel yaşamı ihlal edilmiştir. Yazılımın yasa dışı yollarla Türkiye'ye satıldığı iddiaları üzerine Almanya'da FinFisher hakkında soruşturma başlatılmış, şirket iflas etmiş ve ticari faaliyetleri durdurulmuştur.
Mısır:Amnesty International raporlarına göre, yazılım Mısır'da insan hakları savunucuları ve gazetecilerin hedef alınmasında kullanılmıştır.
Bahreyn: Citizen Lab, Bahreynli muhalifler ve sivil toplum aktivistlerinin FinFisher ile izlendiğini tespit etmiştir.
Myanmar ve Etiyopya: Yazılım bu ülkelerde de muhalif siyasetçiler ve gazetecilerin hedef alınmasında kullanılmış, özellikle diaspora topluluklarına yönelik uzaktan gözetim faaliyetleri rapor edilmiştir.
Brezilya: Citizen Lab verileri, Brezilya'da devlet kurumlarına ait sunuculardan FinFisher komuta ve kontrol trafiği tespit edildiğini göstermektedir.
Tespit ve Eleştiriler
FinFisher, çeşitli sivil toplum kuruluşları ve teknoloji firmaları tarafından eleştirilmiştir. Mozilla Vakfı, yazılımın bazı bileşenlerinin "Firefox" adıyla dağıtılması nedeniyle marka hakkı ihlali gerekçesiyle girişimlerde bulunmuştur. Reporters Without Borders, 2014 yılında FinFisher'i "İnternet’in Düşmanları" listesine eklemiş; Amnesty International ise yazılımın baskıcı yönetimler tarafından siyasi muhalefeti bastırmak amacıyla kullanıldığını belgeleyen raporlar yayımlamıştır.
Benzer şekilde, şirketin birçok ülkede yetkisiz olarak yazılımı sattığı ve insan hakları ihlaliyle suçlandığı görülmektedir; OECD ve diğer uluslararası kurumlar nezdinde şikayetler yapılmış ve ticari faaliyetleri kısıtlamaya yönelik adımlar atılmıştır. Eleştirilerin ortak noktası, bu tür teknolojilerin yasal çerçeveler içinde kullanılsa dahi, demokratik denetim ve insan hakları standartları açısından ciddi riskler taşıdığı yönündedir.
Korunma Yöntemleri
Sistemlere bulaşma tekniklerine karşı, güvenli güncelleme prosedürleri uygulamak, bilinmeyen uygulamaları yüklememek, güncel anti-casus yazılımlar kullanmak ve mobil cihazlarda sistem ile uygulama izinlerine dikkat etmek koruyucu önlemler arasında yer almaktadır.
