Hacker Filmleri ve Dizileri: Hangisi Gerçekçi?

Hacker filmlerinde biri klavyeye hızla vurur, ekranda 3B küpler döner ve kırmızı "ACCESS GRANTED" yazısı yanar. Gerçek iş ise çoğu zaman sessizdir: log okumak, beklemek, not almak, rapor yazmak. Bu yazıda en çok aranan hacker filmlerini, dizilerini ve belgesellerini tek ölçüyle puanladık. Her değerlendirmeyi teknik danışmanların ve güvenlik araştırmacılarının söylediklerine dayandırdık.

En gerçekçi hacker filmi ve dizisi hangisi?

Dizi olarak en gerçekçi yapım Mr. Robot; filmlerde Snowden, Sneakers ve WarGames öne çıkar. Gerçeğe en yakın anlatım ise Citizenfour ve Zero Days gibi belgesellerdedir. Puanı 5 üzerinden dört soruya göre verdik: ekrandaki araçlar gerçek mi, saldırı gerçek bir sırayla mı ilerliyor, süre inandırıcı mı ve insan tarafı doğru mu?

Mr. Robot neden bu kadar gerçekçi bulunuyor?

Mr. Robot gerçekçi bulunuyor, çünkü ekrandaki saldırıları gerçek güvenlik uzmanlarından oluşan bir ekip önce kendi ortamında kurup deniyor. Dizinin teknik yapımcısı Kor Adana, daha önce ağ güvenliği analisti ve adli bilişim yöneticisi olarak çalışmıştı.

Adana'nın ekibinde Cloudflare'den Marc Rogers, Tanium'dan Ryan Kazanciyan, eski FBI ajanları Andre McGregor ve Michael Bazzell ile James Plouffe vardı. Wired'ın 2016'daki yazısına göre Rogers her saldırıyı evde kuruyor, çalıştırıyor ve kaydını Adana'ya gönderiyordu. Bunlardan birinin hazırlığı iki hafta sürmüş. Ekran görüntüleri daha sonra bu kayıtlardan animasyona çevriliyordu.

Dizide görülen araçların çoğu gerçek:

• Kali Linux birçok bölümde kullanılıyor.
• John the Ripper ile bir karakterin parolası kırılıyor.
• Raspberry Pi ile bir veri merkezinin iklimlendirme sistemine sızılıyor.
• İlk sezonda bir hapishanenin otoparkına USB bellekler bırakılıyor; gerçek dünyada bilinen "USB bırakma" saldırısının ta kendisi.

Güvenlik araştırmacısı Samy Kamkar, WIRED'ın 2018'deki videosunda dizinin sürekli gerçek hacklemeyi ve oldukça makul senaryoları gösterdiğini söylüyor. Dizi kusursuz değil. Adana, ilk sezonda uçak modunda olmaması gereken bir telefon ve yanlış bir tarih gibi küçük hatalar olduğunu kabul ediyor. Sosyal mühendislik tarafını merak ediyorsan insanları hacklemek yazımız iyi bir devam.

Klasik hacker filmleri ne kadar gerçekçi?

Klasik hacker filmlerinin gerçekçi yanı genellikle insan tarafıdır: sosyal mühendislik, çöp karıştırma ve telefon hileleri doğru, ekran görselleri ise kurgu.

WarGames (1983)

Filmde bir genç, modemiyle bir bölgedeki bütün telefon numaralarını aratıp askeri bir bilgisayara ulaşıyor. Teknik gerçekti ve bugün kullanılan adı "war dialing" bu filmden geliyor; önceki adı "demon dialing" idi. Fred Kaplan'ın New York Times'taki 2016 yazısına göre Başkan Reagan filmi izledikten sonra ABD Genelkurmay Başkanı John Vessey'e bunun gerçekten olup olamayacağını sordu. Bir hafta sonra gelen cevap, sorunun sanıldığından çok daha kötü olduğuydu. Süreç 15 ay sonra NSDD-145 adlı direktifle sonuçlandı; gazete bunu ABD'nin bilgisayar güvenliğine dair ilk direktifi olarak anıyor. Kamkar da filmi 1980'lerin hackleme dünyasının doğru bir temsili sayıyor.

Sneakers (1992)

Sneakers'ın matematik danışmanı, RSA şifrelemesinin mucitlerinden Len Adleman'dı. Kaspersky'nin 2013'teki değerlendirmesine göre her şifreyi kıran "kara kutu" gerçekte imkânsız. Ama filmdeki sosyal mühendislik numaraları kusursuz işliyor. Bir karakterin erişim kodunu bir buluşma ayarlayarak ele geçirmek, bugün de kullanılan bir yöntem.

Hackers (1995)

Senarist Rafael Moreu, hazırlık için hacker dergisi 2600'ün bir toplantısına katıldı ve ünlü hacker Phiber Optik ile tanıştı. Kaspersky'nin 2020'deki incelemesine göre çöp karıştırma sahnesi inandırıcı, ankesörlü telefon hilesi filmin en gerçekçi kısmı. Final ise gerçeklikle bağını tamamen koparıyor. L0pht grubundan Chris Wysopal'ın yorumu kısa: paten kayan bir hacker'ı kimse görmedi, ama hacker zihniyeti doğru yansıtılmış.

The Matrix Reloaded (2003)

Trinity'nin sahnesi, sinemada en çok anılan gerçekçi hack sahnesi olabilir. Nmap'in kendi sitesine göre Trinity, Nmap 2.54BETA25 ile açık bir SSH sunucusu buluyor ve 2001'de bilinen SSH1 CRC32 açığını (CVE-2001-0144) kullanıyor. Kamkar terminalin gerçek olduğunu, ama ekrandaki "sshnuke" aracının gerçek bir araç olmadığını not ediyor. Nmap'i kendin denemek istersen Nmap rehberimize bak.

Yeni dönem hacker filmleri ve dizileri gerçeğe yaklaştı mı?

Yeni dönem filmler araçları daha doğru gösteriyor, ama hikâyeyi hızlandırmak için saldırının sonunu hâlâ abartıyor.

• Blackhat (2015): Danışmanı eski hacker ve gazeteci Kevin Poulsen'di. Poulsen, Gizmodo'ya filmin en doğru yanının siber suçun uluslararası doğası olduğunu söyledi. Bir çalışanın oltalamaya düşmesi de gerçekçi; çoğu gelişmiş saldırı böyle başlar. Ama tek bir oltalama ile çok gizli bir sisteme girmek, onun deyişiyle absürt.
• Who Am I (2014): Alman yapımı film, kahramanları çöp karıştırma ve oltalama ile istihbarat servisine soktuğu için doğru yerden başlıyor. Darknet'in maskeli yolcularla dolu bir metro vagonu olarak gösterilmesi ise bir metafor.
• Snowden (2016): Snowden'ın bir sınavı Nmap ve bir NSE betiğiyle 38 dakikada bitirdiği sahneyi Kamkar 2021'deki videoda büyük ölçüde gerçekçi buluyor.
• Silicon Valley (2014-2019): HBO dizisindeki Weissman sıkıştırma skorunu Stanford'dan Tsachy Weissman ve Vinith Misra dizi için üretti. IEEE Spectrum'a göre gerçek akademisyenler bu ölçütü kullanmaya başladı. Kamkar, Gilfoyle'un buzdolabını hacklediği sahneyi de olası buluyor.

Hangi hacker sahneleri tamamen kurgu?

En kurgu sahneler, hacklemeyi görsel bir oyun ya da hızlı yazma yarışı gibi gösterenlerdir. Swordfish, Skyfall ve bazı polisiye diziler bu sınıfa girer.

• Swordfish (2001): 3B kod küpleri, hack sahnelerinin simgesi oldu. Kamkar'a göre bu arayüzün hackleme ile hiçbir ilgisi yok; gerçekçi olan bir konsol ya da terminal olurdu.
• Skyfall (2012): Kaspersky'nin 2021'deki yazısına göre Q'nun ilk işi, düşmanın dizüstü bilgisayarını MI6'nın iç ağına bağlamak. Gerçek bir ekip bilinmeyen bir cihazı iç ağa bağlamaz; onu yalıtılmış bir ortamda inceler. Kullanılan jargon da aralarında mantık bağı olmayan terimlerden oluşuyor.
• Live Free or Die Hard (2007): Ülkenin altyapısını çökerten "fire sale" saldırısında Kaspersky'ye göre bazı hileler tek tek mümkün, ama hepsini bu kadar sıkı bir sırayla yapmak çok zor.
• NCIS: İki karakterin saldırıyı durdurmak için aynı klavyede birlikte yazdığı sahne, Kamkar'ın listesindeki en ünlü örneklerden.
• CSI: NY: Dizideki "Visual Basic ile bir arayüz yazıp IP adresini izleyeceğim" repliği çok bilinir. Bir arayüz yazmanın IP adresi izlemekle hiçbir ilgisi yok.

Hacker belgeselleri gerçeği nasıl anlatıyor?

Belgeseller teknik ayrıntıyı az, gerçek olayı ve insanları çok gösterir; bu yüzden gerçekçilikte filmlerin önüne geçer.

• Citizenfour (2014): Laura Poitras, Edward Snowden'ın gazetecilerle Hong Kong'daki buluşmasını o anda kaydetti. Film 87. Oscar töreninde En İyi Belgesel ödülünü aldı.
• Zero Days (2016): Alex Gibney'nin Stuxnet belgeseli. Symantec'ten Eric Chien ve Liam O'Murchu ile Ralph Langner gibi araştırmacılar konuşuyor. Guardian'a göre film, isimsiz istihbarat kaynaklarını tek bir bileşik karakterde birleştiriyor; bunu bilerek izle.
• The Great Hack (2019): Cambridge Analytica skandalını anlatan Netflix belgeseli. Konusu sunucu kırmak değil, kişisel veriyle insanları etkilemek.
• The Internet's Own Boy (2014): Aaron Swartz'ın hikâyesi. Creative Commons lisansıyla yayımlandı.

Türk yapımı bir hacker filmi var mı?

Var: 2023 yapımı Geri Sayım, "Wind" lakaplı Türk hacker Veysel Demir'in hikâyesini anlatıyor ve Demir filmde kendisini oynuyor. Yönetmeni Aykut Taşkın. Filmin teknik gerçekçiliğini değerlendiren bir uzman kaynağı bulamadığımız için tabloya puan koymadık.

Film sahnesinde gerçekte ne oluyor?

Film sahnelerinin çoğu gerçek bir adımı alıp birkaç saniyeye sıkıştırır. En sık görülen dört sahnenin gerçek karşılığı şöyle:

Saniyeler içinde kırılan şifre

Sahnede: Ekranda harfler tek tek yerine oturur ve parola 30 saniyede çözülür.

Gerçekte: Parola ya tutar ya tutmaz; harf harf oturmaz. Kırma işi ele geçirilmiş parola özetleri üzerinde, çevrim dışı yapılır. Hive Systems'in 2026 tablosuna göre bcrypt ile saklanan, rastgele 8 karakterlik karmaşık bir parolayı kaba kuvvetle denemek 132 yıl sürer. Hızlı düşenler, daha önce sızmış ya da tahmin edilebilir parolalardır.

IP adresinden kişiyi anında bulmak

Sahnede: Ajan bir IP adresi yazar, haritada kırmızı nokta belirir.

Gerçekte: IP adresi sana kişiyi değil, internet servis sağlayıcısını ve kabaca bir şehri verir. Abonenin kimliği ancak yasal süreçle servis sağlayıcının kayıtlarından öğrenilir.

60 saniyelik iz sürme

Sahnede: "Bağlantıyı bir dakika daha tutarsa yerini buluruz."

Gerçekte: İz sürme canlı bir geri sayım değildir. Ekipler olayı log ve ağ kayıtlarıyla sonradan çözer. Mandiant'ın M-Trends 2026 raporuna göre saldırganların içeride fark edilmeden kaldığı medyan süre 14 gün.

"Erişim izni verildi" ekranı

Sahnede: Büyük harflerle "ACCESS GRANTED" yazar.

Gerçekte: Başarılı bir giriş çoğu zaman sıradan bir komut istemiyle gelir. Asıl iş ondan önceki keşiftir ve saatler sürer.

İzleme listesinden pratiğe nasıl geçilir?

İzleme listesinden pratiğe geçmenin yolu, filmde gördüğün sahnenin gerçeğini izinli bir ortamda kendin denemektir. Sırayla şöyle ilerleyebilirsin:

1. Mr. Robot'taki oltalama ve USB sahnelerinden sonra Olta oyununda gerçek tipte mesajları ayırt etmeyi dene.
2. Sneakers ve Who Am I'daki sosyal mühendisliği Zayıf Halka ile saldırganın gözünden gör.
3. Matrix'teki Nmap sahnesinin gerçeğini Root Protocol ve ardından Saha görevlerinde komut yazarak öğren.
4. Savunma tarafını merak ediyorsan SOC Vardiya simülasyonunda alarm incele.
5. Bir alan seç ve öğrenme yollarından birine başla. Bütün oyunlar Oyunlar sayfasında duruyor.

Unutma: filmde gördüğünü izinsiz bir sistemde denemek, TCK 243'e göre suçtur. Pratik yalnız kendi labında, CTF platformlarında ya da bug bounty kapsamında yapılır.

Kaynaklar

• Wired, "How the Real Hackers Behind Mr. Robot Get It So Right" (2016).
• Wired, "A Peek Inside Mr. Robot's Toolbox" (2015).
• WIRED, Samy Kamkar, "Hacker Breaks Down 26 Hacking Scenes From Movies & TV" (2018).
• The New York Times, Fred Kaplan, "WarGames and Cybersecurity's Debt to a Hollywood Hack" (2016).
• Nmap in the Movies, nmap.org.
• CVE-2001-0144, SSH1 CRC-32 compensation attack detector.
• Gizmodo, "What Blackhat Gets Right: A Chat With Former Hacker Kevin Poulsen" (2015).
• Kaspersky Daily, Hackers filmi incelemesi (2020).