Ücretsiz çevrimiçi dosya dönüştürücülerin kullanımının riskleri

Informatec Dijital » Ücretsiz Destekler » Ücretsiz çevrimiçi dosya dönüştürücülerin kullanımının riskleri

Günümüzde neredeyse her şey için ücretsiz çevrimiçi dosya dönüştürücüler kullanıyoruz : PDF'leri Word'e dönüştürmek, resimleri sıkıştırmak, videolardan ses çıkarmak ve daha fazlası. Hızlı, kullanışlı ve görünüşte zararsızlar. Ancak bu kolaylığın ardında, çoğu kullanıcının gözden kaçırdığı teknik, gizlilik ve yasal riskler yatıyor.

Bir sonraki sözleşmenizi, tıbbi raporunuzu veya şifre listenizi bir dönüştürme web sitesine yüklemeden önce, bu dosyaya aslında ne olduğunu düşünmek için bir an durup değerlendirmeye değer: nerede saklanıyor, kimler görüyor, ne kadar süreyle erişilebilir kalıyor ve ortaya çıkan belge kötü amaçlı yazılımlarla enfekte olabilir mi? Bu makale boyunca, ücretsiz çevrimiçi dosya dönüştürücülerin gerçek tehlikelerini ve kullanım kolaylığından ödün vermeden riskleri en aza indirmek için neler yapabileceğinizi ayrıntılı olarak ele alacağız .

1. Sahte dönüştürücüler ve kötü amaçlı yazılım kampanyaları

Son yıllarda hem FBI hem de çeşitli siber güvenlik ekipleri, siber suçluların ücretsiz dosya dönüştürme hizmetlerini kullanarak büyük ölçekte kötü amaçlı yazılım dağıttığı kampanyalar konusunda uyarıda bulundu . Fikir basit: Belgeleri, resimleri veya videoları dönüştürmek için meşru araçlar gibi görünen web siteleri oluşturuyorlar, ancak işlemin sonunda indirdiğiniz dosya gizli bir bileşen içeriyor.

Bu kötü amaçlı web sitelerinde kullanıcılar masumane bir şekilde dosyalarını yükler ve site, dönüştürülmüş içeriğe ek olarak gizlenmiş kötü amaçlı kod içeren bir belge döndürür. Bu kötü amaçlı yazılım, Truva atları, keylogger'lar, casus yazılımlar veya hatta tüm bilgisayarınızı şifreleyip fidye talep edebilen fidye yazılımları şeklinde olabilir . Bu yöntem, özellikle sonuç ZIP dosyasına sıkıştırıldığında, hatta bazen parola korumalı olduğunda çok işe yarar; bu da antivirüs yazılımlarının dosyayı açmadan önce içeriğini taramasını zorlaştırır.

FBI, bu ücretsiz araçların kurumsal ağlara fidye yazılımı bulaştırmak için yem olarak kullanıldığı olayları belgeledi . Bir çalışan bir belge yükler, dönüştürülmüş dosyayı indirir ve dosyayı açtığında kötü amaçlı yazılım çalışır, sistemleri şifreler ve saldırganlara uzaktan erişim sağlar. Birçok mağdur, fidye yazılımı mesajlarını görene veya hesaplarında çalınmış kimlik bilgilerini ve olağandışı etkinlikleri fark etmeye başlayana kadar sorunu fark etmez.

Diğer durumlarda, dosyanın manipüle edilmesine bile gerek kalmaz: bazı dönüştürme web siteleri, kullanıcıyı kimlik avı sayfalarına yönlendirerek , basit bir teknik araç gibi görünen bir hizmetin yarattığı güvenden yararlanarak, kullanıcıdan giriş yapmasını, kredi kartı bilgilerini girmesini veya "dosyayı indirmek" için formları doldurmasını ister.

Dahası, bazı platformlar, dönüştürme için "gerekli" olduğu iddia edilen tarayıcı uzantıları veya küçük yürütülebilir dosyalar sunmaktadır. Gerçekte bunlar, yüklendikten sonra faaliyetlerinizi izleyebilen, şifrelerinizi çalabilen veya bilgisayarınızı bir botnet'e ekleyebilen reklam yazılımları veya Truva atlarıyla birlikte gelen yükleyicilerdir .

2. Veri ifşası ve sızıntısı: Dosyanız asla kaybolmayabilir.

Daha az görünür ancak daha ciddi tehlikelerden biri de, bu hizmetlere yüklenen dosyaların, web sitesi birkaç saat içinde sileceğini iddia etse bile, sunucularında tamamen veya kısmen saklanmaya devam etmesidir. Sorun sadece "söyledikleriyle yaptıkları" değil, sağlayıcının dürüst olsa bile, herhangi bir güvenlik ihlali, yanlış yapılandırma veya altyapılarına yönelik bir saldırının binlerce kullanıcı belgesini savunmasız bırakabilmesidir.

Kaspersky gibi kuruluşların yaptığı araştırmalar, ücretsiz dosya dönüştürücülerin önemli bir yüzdesinin yüklenen dosyaların kopyalarını sakladığını veya kullanıcıyı açıkça bilgilendirmeden işlediğini göstermektedir. Dahası, Elektronik Sınır Vakfı gibi kuruluşlar, bu belgelerin çoğunun, ana metin zararsız görünse bile sızdırılabilecek hassas meta veriler (yazarlar, değişiklik geçmişi, ağ yolları, iç yorumlar, şirket bilgileri vb.) içerdiği konusunda uyarıda bulunmuştur.

Ücretsiz bir dönüştürücüye dahili bir rapor, sözleşme, maaş bordrosu, müşteri dosyası veya kimlik fotoğrafı yüklediğinizi düşünün. Bu dosya, ilk bakışta gördüğünüz verilerin yanı sıra sizin ve kuruluşunuz hakkında bir dizi gizli veri de içerebilir . Hizmet kopyaları saklıyorsa veya bir saldırgan bu sunucuları ele geçirirse, sonuç kimlik hırsızlığı, hesap ele geçirme veya şirketinize yönelik hedefli saldırılar olabilir.

Büyük teknoloji şirketlerinin hizmetleri gibi daha bilindik platformlarda bile, dosya genellikle bir süre daha sistemlerinde , daha fazla veya daha az şifrelemeyle barındırılır veya içeriğin otomatik olarak analiz edildiği, kalıpların çıkarıldığı veya diğer verilerle çapraz referans verilebilen kayıtların saklandığı ekosistemlere entegre edilir.

Bir dosyayı çevrimiçi bir dönüştürücüye her yüklediğinizde, bu bilgilerin kontrolünü, çoğu zaman tanımadığınız, sunucularının nerede bulunduğunu veya hangi yargı yetkisi altında faaliyet gösterdiğini bilmediğiniz ve bağımsız denetim garantisi olmayan üçüncü bir tarafa devrediyorsunuz.

3. GDPR ile ilgili yasal riskler ve sorunlar

Bireysel bir kişiyseniz, verilerinizin kontrolsüz bir şekilde dolaşması zaten endişe vericidir; ancak bir şirkette çalışıyorsanız veya serbest meslek sahibiyseniz ve müşterilerinizden, tedarikçilerinizden veya çalışanlarınızdan gelen bilgilerle ilgileniyorsanız, ücretsiz çevrimiçi dönüştürücülerin dikkatsiz kullanımı çok ciddi bir yasal soruna yol açabilir.

Genel Veri Koruma Yönetmeliği (GDPR), veri sorumlularının üçüncü tarafları kullanırken bile kişisel verilerin işlenmesinin güvenliğini, gizliliğini ve yasallığını garanti etmeleri gerektiğini öngörmektedir. Hassas veriler içeren bir belgeyi risk değerlendirmesi veya veri işleme sözleşmesi olmadan ücretsiz bir çevrimiçi araca yüklemek ciddi bir ihlal teşkil edebilir.

GDPR'ın öngördüğü cezalar 20 milyon euroya veya şirketin küresel yıllık cirosunun %4'üne kadar ulaşabiliyor; bu da görünüşte önemsiz bir işlemi (bir PDF dosyasını Word'e dönüştürmek için bir web sitesine yüklemek) bir sızıntı veya güvenlik olayı meydana gelmesi durumunda potansiyel olarak çok büyük bir soruna dönüştürüyor.

Dahası, bu araçların birçoğu sunucularını Avrupa Birliği dışında , daha az katı düzenleyici çerçevelere sahip ülkelerde barındırıyor. Açık bir sözleşme, standart maddeler veya yeterli güvenceler olmadan, veri sorumlusu GDPR gerekliliklerine uymadan verileri üçüncü ülkelere aktarıyor; bu da bir şikayet ortaya çıkması durumunda denetleyici makamlar nezdinde endişelere yol açabilir.

Uyumluluk açısından bakıldığında, bu web sitelerinin genellikle belirsiz, net olmayan veya eksik gizlilik politikalarına sahip olması da sorun teşkil etmektedir . Bazıları, veri işlemenin gerçek kapsamını ayrıntılı olarak açıklamadan, "ortaklarla bilgi paylaşma", "verileri istatistiksel veya reklam amaçlı kullanma" veya "içeriği analiz etme" izni veren maddeler içermektedir.

Bu nedenle, Dijital Hukuk ve Veri Koruma alanında uzmanlaşmış hukuk firmaları, gizli bilgiler veya kişisel verilerle ilgilenirken , denetlenmemiş ücretsiz araçlardan kaçınmanın, yasal güvenceleri olan kurumsal çözümlere öncelik vermenin ve şüphe durumunda bu hizmetleri iş akışına dahil etmeden önce hukuki danışmanlık almanın altın kural olduğunu ısrarla vurgulamaktadır.

4. Virüsler, Truva Atları ve diğer yaygın teknik tehditler

Gizlilik endişelerinin ötesinde, tamamen teknik yönü de unutmamak önemlidir: birçok çevrimiçi dosya dönüştürücü, geleneksel kötü amaçlı yazılım bulaşmaları için vektör olarak kullanılır . Başka bir deyişle, veri hırsızlığı gibi açık bir amaç olmasa bile, dönüştürme işlemi sisteminize bir virüsün girmesine neden olabilir.

Bu saldırılar çeşitli şekillerde ortaya çıkabilir. Klasik bir örnek, indirilen dosyanın, belgenin güvenlik açığı olan bir okuyucu veya güvenlik yamaları olmayan bir ofis paketiyle açıldığında etkinleşen kötü amaçlı makrolar, gömülü komut dosyaları veya yürütülebilir bileşenler içermesidir . Başka bir varyasyon ise, web sitesinin belgeyi doğrudan teslim etmek yerine, aslında reklam yazılımları, kripto para madencileri veya diğer istenmeyen kodlarla dolu olan "dönüştürmeleri hızlandırmak" için bir yükleyici sunmasıdır.

Bazı dönüştürücüler bir süre doğru çalıştıktan sonra aniden davranışlarını değiştirebiliyor. Alan adının kötü niyetli kişiler tarafından satın alınmış olması , platformun ele geçirilmiş olması veya orijinal sahibinin uyarı vermeden müdahaleci bileşenler ekleyerek agresif bir şekilde para kazanmaya karar vermiş olması mümkün.

Ek bir sorun da, bazı kullanıcıların antivirüs yazılımlarının her tehdidi durdurma gücünü abartmasıdır . İyi bir güvenlik çözümü çok yardımcı ve gerekli olsa da, dosyalarınızın harici bir sunucuda depolanmasını engelleyemez ve parola korumalı sıkıştırılmış dosyalarda gizlenmiş şifrelenmiş komut dosyalarını veya kötü amaçlı yazılımları her zaman tespit edemez.

En mantıklı olan, çevrimiçi bir dönüştürücüden elde edilen herhangi bir dosyaya makul bir şüpheyle yaklaşmaktır: dosyayı açmadan önce antivirüs yazılımıyla tarayın , beklenmedik formatlardaki indirmelere (örneğin, PDF beklerken EXE) karşı dikkatli olun ve belge dönüştürme gibi basit bir işlem için "gerekli yükleyici" olarak sunulan her şeyden kaçının.

5. Gizlilik, meta veriler ve gizli depolama

Bu hizmetlerle ilişkili riskin önemli bir kısmı, yüklediğimiz dosyalardaki meta veriler ve gizli bilgilerle ilgilidir . Bu, yalnızca bir belgenin görünür içeriğini değil, aynı zamanda "arka planda" gerçekleşen her şeyi de içerir: sürüm geçmişi, yazarlar, dahili yollar, yorumlar, kamera verileri, coğrafi konum vb.

Birçok kişi, dosya ilk bakışta hassas görünmüyorsa yüklemenin güvenli olduğuna inanıyor. Ancak optik karakter tanıma (OCR) araçları ve yapay zeka, görünüşte zararsız görüntülerden bile yararlı bilgiler çıkarmamıza olanak tanıyor . Bir ekranın, masadaki bir belgenin veya bir kontrol panelinin basit bir fotoğrafı, kimlik bilgilerini, kullanıcı adlarını, sistem yapılandırmalarını veya finansal ayrıntıları ortaya çıkarabilir.

Buna bir de bazı dönüştürme hizmetlerinin yüklenen dosyaları istatistik üretmek, modelleri eğitmek veya algoritmalarını geliştirmek için kullandığı gerçeğini eklersek , paylaştığımız şey üzerindeki tam kontrolü kaybetmenin mükemmel bir tarifine sahip oluruz. Depolamanın "geçici" olduğunu iddia etseler bile, bu süreçleri kimin denetlediğini, verilerin nasıl imha edildiğini veya yedeklemelerin aylarca veya yıllarca saklanıp saklanmadığını nadiren açıklarlar.

Daha teknik bir bakış açısıyla, bu hizmetlerin çoğu "kara kutu" gibi çalışır : Kullanıcı, dönüştürmenin kendi sunucularında mı, üçüncü taraflara dış kaynak olarak sağlanan altyapıda mı gerçekleştiğini, hangi ülkede bulunduğunu veya IP adresleri, tarihler, dosya türleri veya sonuçlarla ilgili hangi kayıtların tutulduğunu bilmez. Tüm bunlar, belirsiz gizlilik politikalarıyla birleştiğinde, verilerin kullanımı ve kötüye kullanımı için muazzam bir alan bırakır.

Bu riski azaltmak için, dosya yüklemeden önce meta verileri temizlemeyi alışkanlık haline getirmek çok önemlidir . Microsoft Office'in Belge Denetleyicisi, MAT (Meta Veri Anonimleştirme Araç Seti) gibi özel yardımcı programlar veya görüntü düzenleyicilerdeki meta veri kaldırma özellikleri, dosyalarınızla birlikte taşınan fazladan bilgileri en aza indirmeye yardımcı olur.

Özellikle hassas veya profesyonel belgelerle çalışacaksanız, düzenli olarak kullanacağınız herhangi bir dönüştürücünün gizlilik politikalarını ve veri saklama ve silme maddelerini dikkatlice incelemek de iyi bir uygulamadır .

6. Ücretsiz çevrimiçi dönüştürücüler kullanırken riskleri nasıl azaltabilirsiniz?

Hassas belgeler için bu tür hizmetlerden genellikle kaçınmak akıllıca olsa da, bazen format çok nadir olduğu için veya belirli bir zamanda hızlı bir çözüme ihtiyaç duyulduğu için çevrimiçi bir dönüştürücü kullanmaktan başka seçenek kalmaz . Bu durumlarda, riski önemli ölçüde azaltabilecek çeşitli önlemler vardır.

İlk adım, sitenin itibarını kontrol etmektir . Herhangi bir şey yüklemeden önce, yorumlara bakmak, web sitesinin kara listelerde olup olmadığını kontrol etmek ve şüpheli davranışları tespit etmek için VirusTotal veya Web of Trust (WOT) gibi araçlar kullanmakta fayda var. Sürekli olarak garip sayfalara yönlendiren, açılır pencereler başlatan veya eklenti yüklemenizi isteyen bir dönüştürücü hemen elenmelidir.

Gizlilik politikalarını ve hizmet şartlarını incelemek de çok önemlidir . Dosyaları ne kadar süreyle sakladıklarını, üçüncü taraflarla paylaşıp paylaşmadıklarını, analiz veya reklam amaçlı kullanıp kullanmadıklarını veya herhangi bir tür profil oluşturma işlemi yapıp yapmadıklarını açıkça belirtmeyen hizmetlerden kaçının. Makul otomatik silme süreleri belirtmeleri ve güçlü şifreleme (güncellenmiş TLS ve AES-256 gibi şifrelenmiş depolama ile HTTPS) kullanmaları iyi bir işarettir, ancak bu tek başına her şeyi çözmeyecektir.

Yüklediğiniz içerik türünü filtrelemek de çok önemlidir . Mümkün olduğunca hassas kişisel, finansal, tıbbi veya ticari bilgiler içeren belgeler göndermekten kaçının. Özellikle reşit olmayanları veya tanımlanabilir üçüncü şahısları içeren, gizliliği ihlal edebilecek görseller eklemeyin ve kimlik bilgilerinin, kartların veya resmi belgelerin ekran görüntülerini yüklemeyin. Bilginin değeri ne kadar düşükse, bir sorun yaşanması durumunda etkisi de o kadar az olur.

Bir diğer faydalı ipucu ise, bu tür hizmetleri kullanırken tarayıcınızı gizli modda ve mümkünse güvenilir bir VPN ile kullanmaktır . Bu sizi tamamen anonim yapmasa da, kimliğinizle doğrudan bağlantılı veri miktarını (çerezler, tarama geçmişi, gerçek IP adresi vb.) azaltarak kapsamlı profil oluşturmayı bir nebze daha zorlaştıracaktır.

Son olarak, amacınız sadece bir belgeyi dönüştürmekse, asla çalıştırılabilir dosyaları, yükleyicileri veya bilmediğiniz sıkıştırılmış dosyaları indirmeyin . Bir hizmet sizi bir şey yüklemeye zorluyorsa veya tek seferlik bir dönüştürme için kredi kartı bilgilerinizi istiyorsa, başka bir seçenek aramak en iyisidir. Ve genel bir kural olarak, özellikle ZIP dosyası veya parola korumalı bir arşivi çıkardıysanız, açmadan önce sonucu her zaman iyi bir antivirüs programıyla tarayın.

7. Güvenli alternatifler: yerel dönüştürme ve güvenilir yazılım

Bir dosyanın biçimini değiştirmenin en güvenli yolu, herhangi bir dosyayı üçüncü taraf sunuculara göndermeden, kendi cihazınızda yerel olarak dönüştürmektir . Günlük ihtiyaçların çoğu için, birçok kişinin zaten yüklü olduğunu bile bilmediği yeterince çevrimdışı alternatif mevcuttur.

Metin belgeleri, elektronik tablolar ve sunumlar için Microsoft Office, LibreOffice ve OpenOffice, kendi "Farklı Kaydet" veya "Dışa Aktar" menülerini kullanarak çok çeşitli formatlarda dosya açmanıza ve kaydetmenize olanak tanır. Ayrıca, Apple'ın ofis paketleri (Pages, Numbers, Keynote) de Office, PDF ve diğer standartlarla uyumlu çeşitli formatlarda içe ve dışa aktarma yapabilir.

Windows'ta resimler için Paint veya Photos gibi araçları kullanarak farklı formatlarda (PNG, JPEG, BMP vb.) kaydedebilirsiniz; macOS'ta ise Finder'dan "Hızlı İşlemler → Resmi Dönüştür" seçeneğini kullanarak doğrudan dönüştürebilirsiniz. PNG'den JPG'ye dönüştürmek gibi basit bir işlem için üçüncü taraf bir web sitesine ihtiyacınız yok.

Video ve ses formatları için, Windows, macOS ve Linux'ta çalışan HandBrake, Shutter Encoder, Audacity ve FFmpeg gibi yerleşik projeler mevcuttur . Çoğu durumda, grafiksel kullanıcı arayüzü uygulamaları, özellikle komut satırına aşina iseniz, mevcut en güçlü multimedya dönüştürücülerden biri olan FFmpeg için kullanıcı dostu sarmalayıcılar olarak tasarlanmıştır.

Daha özel formatlarla (işaretleme dili, e-kitaplar, teknik dokümanlar) çalışıyorsanız, Pandoc gibi araçlar Markdown'dan DOCX'e, HTML, LaTeX ve ePub dahil olmak üzere çok çeşitli metin formatları arasında dönüştürme yapmanıza olanak tanır. Ayrıca ücretsiz ve açık kaynaklı bir yazılım olduğu için, programın ne yaptığı ve verileri nasıl işlediği konusunda daha fazla topluluk kontrolü vardır.

Ancak, "çevrimdışı" olarak tanıtılan bazı uygulamalara karşı dikkatli olun; çünkü bunlar pratikte internet bağlantısı olmadan çalışmazlar , yalnızca bulutta barındırılan bir dönüştürücüye arayüz görevi görürler. Bunu kontrol etmek için basit bir yöntem işe yarar: İnternet bağlantınızı kesin, dosyayı dönüştürmeyi deneyin ve programın bunu yapmayı reddedip reddetmediğine bakın. İnternet olmadan başarısız olursa, büyük olasılıkla dosyalarınızı harici bir sunucuya gönderiyordur.

Profesyonel ortamlarda, ISO/IEC 27001 gibi standartların önerdiği gibi, bu en iyi uygulamaları açık iç politikalar ve siber güvenlik eğitimleriyle desteklemek tavsiye edilir . Hangi araçların yetkilendirildiğinin, hangi durumlarda çevrimiçi bir dönüştürücünün kullanılabileceğinin ve yeni hizmetlerin nasıl değerlendirileceğinin belirlenmesi, her çalışanın kendi başına karar vermesini ve hassas kurumsal bilgileri istemeden ifşa etmesini önlemek için çok önemlidir.

Ücretsiz çevrimiçi dosya dönüştürücüler kullanışlı bir araçtır, ancak aynı zamanda kötü amaçlı yazılımlardan ve fidye yazılımlarından veri ihlallerine ve GDPR uyumsuzluğu nedeniyle cezalara kadar her türlü soruna da yol açabilirler . Bunları ne zaman kullanacağınızı, hangi dosya türlerini yükleyeceğinizi ve hangi yerel alternatiflerden yararlanacağınızı akıllıca seçmek, basit teknolojik kolaylık ile kişisel, mesleki ve yasal düzeyde çok maliyetli olabilecek gereksiz bir risk arasında büyük fark yaratır.