Coruna ve eski iOS: iPhone'unuz ele geçirilip WhatsApp'tan yakınlarınızdan para istenebilir mi?
Coruna casus yazılımı, eski iOS sürümlerinin riskleri ve WhatsApp'tan yakınlardan para istenen vakalar: ne doğrulandı, ne doğrulanmadı ve şimdi ne yapmalı?
Son haftalarda Türkiye’de birçok haber sitesi aynı uyarıyı yaptı: Eski iPhone’larda WhatsApp hesapları fark ettirmeden ele geçiriliyor ve rehberdeki kişilere “acil para lazım” mesajları gönderiliyor. Haberlerin çoğu bu saldırıları Coruna adlı bir casus yazılıma bağlıyor.
Bu yazıda Coruna’nın ne olduğunu, WhatsApp vakalarında neyin doğrulandığını ve neyin henüz doğrulanmadığını ayırıyoruz. Sonunda da telefonunuzu ve hesabınızı korumak için bugün yapabileceğiniz adımları sıralıyoruz.
Bu yazı 2 Kasım 2026 itibarıyla kamuya açık bilgilere dayanıyor. WhatsApp vakalarıyla ilgili incelemeler sürüyor; yeni bulgular tabloyu değiştirebilir.
Coruna nedir?
Coruna, Google Tehdit İstihbarat Grubu’nun (GTIG) 4 Mart 2026’da kamuoyuna duyurduğu bir iOS saldırı kitidir. Adını kendi geliştiricileri koymuş. Bilinenler şöyle:
- Kitte 5 ayrı saldırı zinciri ve toplam 23 istismar kodu bulunuyor.
- Hedeflediği sürümler iOS 13.0 ile iOS 17.2.1 arası. Yani Eylül 2019 ile Aralık 2023 arasında çıkmış sürümler.
- Saldırı tarayıcı üzerinden çalışıyor. Savunmasız bir iPhone ile ele geçirilmiş ya da sahte bir siteye girmek yeterli: sayfaya gizli bir çerçeve yerleştiriliyor ve kit oradan yükleniyor. Kullanıcının bir dosya indirmesi ya da bir şeye onay vermesi gerekmiyor.
- Google, kitin parçalarını ilk olarak Şubat 2025’te ticari bir gözetim şirketinin müşterisinde gördü. Daha sonra Ukrayna’daki sitelere yerleştirilmiş tuzaklarda ve finans ile kripto para temalı çok sayıda sahte Çince sitede kullanıldığını tespit etti.
- Son kullanımında amaç klasik casusluktan çok para: Google’a göre yüklenen kod kripto cüzdan uygulamalarını hedefliyor, ekrandaki QR kodlarını ve “kurtarma ifadesi” ya da “banka hesabı” gibi metinleri arıyor.
İki önemli ayrıntı daha var. Google’a göre Coruna, cihaz Kilitleme Modu’ndayken ya da kullanıcı gizli sekmede gezinirken çalışmayı bırakıyor. Daha da önemlisi, güncel iOS sürümüne karşı etkili değil. Apple, 11 Mart 2026’da en son iOS’u alamayan eski iPhone ve iPad’ler için de iOS 16.7.15 ve iOS 15.8.7 güncellemelerini yayımlayarak ilgili düzeltmeleri bu cihazlara taşıdı.
WhatsApp’tan para isteme vakaları: Coruna mı, başka bir zincir mi?
Türkiye’deki haberlerin dayandığı asıl kaynak, İtalyan adli bilişim şirketi Forenser’ın Mayıs 2026’da yayımladığı inceleme. Forenser’ın gerçek vakalarda gördükleri şunlar:
- Etkilenen cihazlar iPhone 8 ile iPhone 14 arasındaki modellerdi ve hepsi iOS 16’nın bir sürümünü kullanıyordu.
- Saldırganlar, kurbanların kendi WhatsApp numarasından son konuşulan kişilere havale isteyen mesajlar gönderdi. Kurbanlar durumu, yakınlarından gelen yanıtlarla öğrendi.
- Kurbanlar ne bir kod paylaşmış ne de bir QR kod okutmuştu. WhatsApp’taki “Bağlı Cihazlar” listesinde yabancı bir cihaz görünmüyordu.
- Cihaz kayıtlarında WhatsApp’a ait, sürekli tekrarlanan olağan dışı senkronizasyon olayları vardı.
Forenser, olası açıklama olarak 2025’te kapatılmış iki açığın birlikte kullanılmasını öne sürüyor: Apple’ın görüntü işleme bileşenindeki CVE-2025-43300 ve WhatsApp’ın bağlı cihaz senkronizasyonundaki CVE-2025-55177. Apple ilk açığı iOS 16 kullanan cihazlar için iOS 16.7.12 ile kapattı, WhatsApp ise ikinci açığı Ağustos 2025’te düzeltti. İspanya’nın ulusal siber güvenlik merkezi INCIBE-CERT de Ağustos 2026’da bu vakaları aynı çerçevede aktardı.
Burada dürüst olmak gerekiyor:
- Forenser bu zinciri hâlâ bir hipotez olarak tanımlıyor ve incelemenin sürdüğünü belirtiyor.
- Forenser’ın raporunda Coruna adı geçmiyor. Türkiye’deki haberlerde kurulan Coruna bağlantısı teknik olarak doğrulanmış değil.
- WhatsApp, yeni vakaların bu zincirden kaynaklandığını doğrulayan bir açıklama yapmadı.
Yani “Coruna WhatsApp hesaplarını ele geçiriyor” cümlesi bugün için kanıtlanmış bir bilgi değil. Ama iki olayın ortak noktası çok net.
Ortak nokta: güncellenmemiş iPhone’lar
Coruna da, Forenser’ın incelediği WhatsApp vakaları da yıllardır güncellenmemiş iOS sürümlerini hedefliyor. Forenser’ın listesindeki iPhone 11, 12, 13 ve 14 gibi modeller çok daha yeni iOS sürümlerini çalıştırabiliyor. Bu kişiler güncellemeyi yapsaydı, bilinen açıklar büyük ihtimalle kapanmış olacaktı.
Eski sürümde kalmanın üç yaygın nedeni var:
- “Telefon yavaşlar” endişesi: Güncellemeler ertelendikçe kapatılmış açıklar telefonda açık kalmaya devam ediyor.
- Desteği biten cihazlar: iPhone 8 ve iPhone X gibi modeller iOS 16’nın ötesine geçemiyor. Bu cihazlar yalnızca sınırlı sayıda güvenlik düzeltmesi alıyor.
- İkinci el ya da aile içinde devredilen telefonlar: Çocuklara ya da yaşlı aile üyelerine verilen eski telefonlar çoğu zaman hiç güncellenmiyor. Oysa dolandırıcılar tam olarak bu kişilerin rehberindeki yakınlara ulaşmak istiyor.
3 dakikalık kontrol listesi
- Sürümünüzü kontrol edin: Ayarlar > Genel > Yazılım Güncelleme. Bir güncelleme varsa hemen yükleyin. “Otomatik Güncellemeler”i açık tutun.
- Desteği bitmiş bir cihaz kullanıyorsanız: Cihazın alabildiği son sürümü yükleyin (ör. iOS 16 için 16.7.12 ve sonrası). Ardından Ayarlar > Gizlilik ve Güvenlik > Kilitleme Modu’nu açın. Bu mod bazı web ve mesajlaşma özelliklerini kısıtlar, ama saldırı yüzeyini ciddi şekilde daraltır.
- WhatsApp’ı güncelleyin: App Store’da WhatsApp’ın en son sürümünde olduğunuzdan emin olun.
- Bağlı cihazlara bakın: WhatsApp > Ayarlar > Bağlı Cihazlar. Tanımadığınız bir oturum varsa kapatın. Forenser vakalarında listenin boş görünebildiğini unutmayın; liste temiz diye tek başına güvende olduğunuzu varsaymayın.
- İki adımlı doğrulamayı açın: WhatsApp > Ayarlar > Hesap > İki adımlı doğrulama. Kimseyle, “WhatsApp destek” diyen biriyle bile, 6 haneli kodunuzu paylaşmayın.
- Gizli sekmeyi tanıyın: Tanımadığınız bağlantıları açmanız gerekiyorsa Safari’de gizli sekme kullanmak, Google’a göre Coruna’yı devre dışı bırakan koşullardan biri. Ama bu bir çözüm değil, ancak geçici bir önlem.
Hesabınızdan para istendiyse ne yapmalı?
- Yakınlarınızı telefonla arayın. Uyarıyı ele geçirilmiş hesap üzerinden yapmak işe yaramaz; mesajı saldırgan da görebilir.
- Para gönderen biri varsa hemen bankasını arasın ve işlemin durdurulmasını ya da iadesini talep etsin.
- WhatsApp’tan çıkış yapıp yeniden doğrulayın, ardından iki adımlı doğrulamayı açın. Forenser vakalarında uygulamanın güncellenmesi ve hesabın yeniden doğrulanması saldırganın erişimini kesmiş görünüyor.
- iOS’u güncelleyin. Telefonda kötü amaçlı yazılım şüphesi sürüyorsa yedeği aldıktan sonra cihazı fabrika ayarlarına döndürmek en güvenli yol.
- Delilleri saklayın ve şikâyette bulunun. Mesajların ekran görüntülerini alın ve Emniyet’in siber suçlarla mücadele birimlerine ya da Cumhuriyet Başsavcılığına başvurun.
Yakınlarınız için de tek bir kural yeterli: Mesajla gelen para isteğini, kim gönderirse göndersin, telefonla arayıp sesli olarak teyit edin.
Şirketler için: çalışanların telefonları da saldırı yüzeyi
Bir çalışanın ele geçirilen WhatsApp hesabı yalnızca ailesine değil, müşterilere, tedarikçilere ve muhasebeye de mesaj atabilir. “Tedarikçi IBAN’ı değişti” ya da “bu ödemeyi bugün yapmamız gerekiyor” gibi mesajlar, şirket hesaplarından para çıkarmanın bilinen yollarıdır. Şirketlerin atabileceği adımlar:
- Mobil cihaz politikası: İş için kullanılan telefonlarda asgari iOS sürümünü belirleyin ve bunu cihaz yönetimiyle (MDM) zorunlu kılın. Desteği bitmiş cihazları kritik hesaplardan ayırın.
- Ödeme süreci: Mesajla gelen hiçbir ödeme ya da IBAN değişikliği talebini, önceden bilinen bir numarayı arayarak teyit etmeden işleme almayın.
- Farkındalık: Çalışanların bu senaryoyu bir kez de olsa deneyimlemesi, okumaktan çok daha etkilidir. Oltalama simülasyonlarımız bu tür sosyal mühendislik mesajlarını gerçekçi biçimde test eder.
Cihaz yönetimi ve güncelleme politikalarını kurmak için sunucu ve BT yönetimi hizmetimizden destek alabilirsiniz.
Sonuç
Coruna’nın WhatsApp hesaplarını ele geçirdiği iddiası bugün için doğrulanmış değil. Ama asıl mesaj değişmiyor: Hem Coruna hem de İtalya’daki WhatsApp vakaları, güncellenmemiş iPhone’ları hedef alıyor. Güncel iOS kullanan bir iPhone’da bugüne kadar bilinen bu açıkların hiçbiri işe yaramıyor.
Yapılacaklar kısa: telefonu güncelleyin, güncelleme alamıyorsa Kilitleme Modu’nu açın, WhatsApp’ta iki adımlı doğrulamayı etkinleştirin ve mesajla gelen her para isteğini telefonla teyit edin. Şirketinizin mobil cihazlarını ve ödeme süreçlerini bu açıdan gözden geçirmek isterseniz siber güvenlik hizmetlerimize göz atabilir ya da bize yazabilirsiniz.
Kaynaklar: Google Threat Intelligence Group: Coruna, Forenser: iOS 16’da ele geçirilen WhatsApp hesapları, INCIBE-CERT, Apple: iOS 16.7.12 güvenlik içeriği, BleepingComputer: Apple’ın eski cihazlar için Coruna düzeltmeleri, The Hacker News: CVE-2025-43300 düzeltmesi ve WhatsApp açığı
This article is also available in English — Read in English →
Sıkça Sorulan Sorular
Google Tehdit İstihbarat Grubu'na göre hayır. Coruna, iOS 13.0 ile 17.2.1 arasındaki sürümleri hedefliyor ve güncel iOS'a karşı etkili değil. Apple, Mart 2026'da en son iOS'u alamayan eski cihazlar için de iOS 16.7.15 ve 15.8.7 güncellemeleriyle ilgili düzeltmeleri yayımladı.
Bu doğrulanmış değil. İtalya'daki vakaları inceleyen adli bilişim şirketi Forenser, iOS 16 kullanan iPhone'larda yaşanan hesap ele geçirmeleri için iki bilinen açığı içeren bir zinciri olası açıklama olarak sunuyor ve bunu hâlâ bir hipotez olarak tanımlıyor. Raporunda Coruna adı geçmiyor. Türkiye'deki haberlerde kurulan Coruna bağlantısı da teknik olarak doğrulanmadı. Kesin olan şu: her iki durumda da hedef, güncellenmemiş iPhone'lar.
Önce cihazın alabildiği en son sürümü yükleyin; Apple eski cihazlara da güvenlik düzeltmeleri gönderiyor. Bunun ötesine geçemiyorsanız Ayarlar > Gizlilik ve Güvenlik altından Kilitleme Modu'nu açın; Google, Coruna'nın bu modda çalışmayı bıraktığını belirtiyor. Banka ve WhatsApp gibi kritik hesapları bu cihazda kullanıyorsanız, cihazı değiştirmeyi ciddi şekilde düşünün.
