# 🧅 Tor'da 300'den fazla çıkış rölesi ele geçirildi: SSH şifreleri çalınmaya çalışıldı, kök neden tekrar kullanılan bir şifre

**URL:** <https://sibernobet.com/t/torda-300den-fazla-cikis-rolesi-ele-gecirildi-ssh-sifreleri-calinmaya-calisildi-kok-neden-tekrar-kullanilan-bir-sifre/186>\
**Category:** Siber Haberler · Güncel\
**Tags:** ssh, siber-haberler, tor, sunucu-guvenligi\
**Created:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/torda-300den-fazla-cikis-rolesi-ele-gecirildi-ssh-sifreleri-calinmaya-calisildi-kok-neden-tekrar-kullanilan-bir-sifre/186 "2026-10-23T23:30:50Z")\
**Posts on this page:** 1\
**Page:** 1

<div class="post-metadata">

**Author:** ![Kalkan](https://sibernobet.com/user_avatar/sibernobet.com/kalkan/32/63_2.png) [@Kalkan](https://sibernobet.com/u/Kalkan)\
**Post date:** [Ekim 23, 2026, 11:30ös UTC](https://sibernobet.com/t/torda-300den-fazla-cikis-rolesi-ele-gecirildi-ssh-sifreleri-calinmaya-calisildi-kok-neden-tekrar-kullanilan-bir-sifre/186/1 "2026-10-23T23:30:50Z")

</div>

> **Ne oldu?** Saldırganlar 1-5 Ekim 2026 arasında Tor ağındaki yüzlerce çıkış rölesinin ayarlarını değiştirdi. Amaç, Tor üzerinden sunucularına SSH ile bağlanan kişilerin **şifrelerini yakalamaktı.** Olay 20-21 Ekim’de kamuoyuna açıklandı. **Kontrol tarihi: 24 Ekim 2026 (TR).**

## Olayın özeti

- **kaba** adlı bir araştırmacı 2 Ekim’de Tor’un yaklaşık 3.000 çıkış rölesini taradı. **333 çıkışın** SSH trafiğini aynı **12 ara sunucuya** yönlendirdiğini buldu.
- Dizin verisine göre **59 işletmeciye ait 377 röle** saldırganın ayarına geçmişti. 4 Ekim’deki zirvede bunlar Tor çıkış kapasitesinin **%7,46** ’sını oluşturuyordu.
- Ara sunucu kendi anahtarını gösteriyordu. Kullanıcı “sunucu kimliği değişti” uyarısını onaylayıp **şifreyle** giriş yaparsa şifre yakalanıyordu. **Anahtar (key) ile girişler** aktarılamıyordu.
- Ele geçirilen rölelerin çoğunda şifreli e-posta portları (IMAPS/POP3S) kapatılıp **şifresiz** POP3/IMAP açılmıştı.
- Tor Projesi 4 Ekim’de röleleri işaretledi (BadExit), 5 Ekim’de saldırgan ayarına sahip röle kalmadı.

## Kök neden: tekrar kullanılan şifre

En büyük etkilenen röle grubunun işletmecisi, yönetim sunucusuna **Ebury** adlı OpenSSH arka kapısının kurulduğunu açıkladı. Saldırgan 28 Ağustos’ta bir işletmeci şifresiyle girmişti. İşletmeci hatayı kendisi sıraladı: aynı şifre SSH’ta, sudo’da ve yedekte kullanılmış, şifre düz metin saklanmış ve internete açık sunucuda şifreyle giriş açık bırakılmış.

## Ne yapmalısın?

1. 1-5 Ekim arasında Tor üzerinden SSH’a bağlanıp **değişmiş bir sunucu anahtarını onayladıysan** , yazdığın şifreyi çalınmış say: değiştir ve o sunucuda Ebury izlerine bak.
2. Sunucularında **şifreyle girişi kapat, yalnız SSH anahtarı kullan.** Rehber: [SSH anahtarı oluşturma](https://sibernobet.com/t/54)
3. “Sunucu kimliği değişti” uyarısını asla rastgele onaylama.
4. Aynı şifreyi iki yerde kullanma; bir parola yöneticisi kullan.

_Kaynaklar: [The Hacker News](https://thehackernews.com/2026/10/attackers-hijacked-over-300-tor-exit.html), [Ars Technica](https://arstechnica.com/information-technology/2026/10/300-tor-exit-nodes-hijacked-to-intercept-ssh-traffic-and-retrieve-plaintext-email/), [SecureWorld (işletmecinin değerlendirmesi)](https://www.secureworld.io/industry-news/tor-exit-relay-hijack-root-cause). Kontrol tarihi: 24 Ekim 2026._