Çinli Casus: Kaliforniyalı Bir Emlakçıyı İlan Sitelerinden Fransız Alplerine Kadar İzlemek

Yönetici özeti

Pasif açık kaynak istihbaratında (OSINT) bir araştırma nadiren düz bir çizgide ilerler. Yanlış eşleşmelerden kaçınmak için kişisel profiller, haberler ve mesleki sicil kayıtları arasında kimlik tutarlılığını doğrulamak çok önemlidir.

Bu çözüm, Çin hükümeti adına kayıtsız ajan olarak faaliyet göstermekle federal düzeyde suçlanan Kaliforniyalı emlakçı Wanying “Heather” Zhang hakkındaki araştırmanın tamamını anlatıyor. İlk Google dork aramasından Facebook çapraz kontrolüne, kullanıcı adı çıkarmaya ve son olarak yakın çevreden birinin tespitine kadar keşif zincirini adım adım yeniden kuruyoruz.

Topluluğun pasif keşif yöntemlerini sürekli zorlayan ve geliştiren, ilgi çekici ve gerçekçi CTF görevleri hazırladığı için OSINT Industries’e özel teşekkürler.

1. aşama: Çalışma çerçevesi ve başlangıç bilgileri

Görev temel bağlamı ve kuralları verdi:

• Kişi: Wanying “Heather” Zhang
• Meslek: Emlak danışmanı (Kaliforniya’da emlakçı)
• Hedef: Kişisel emlak Facebook profilini bulmak, bağlantılı e-posta adresini çıkarmak, adresin yerel kısmını ikinci sosyal medya hesabıyla eşleştirmek ve 24 Mart 2025’te Tomorrowland Winter’da yanında fotoğraflanan kişiyi tespit etmek.
• Kurallar: Yalnızca pasif OSINT; hiçbir aktif etkileşim ya da oturum açma girişimi yok.

2. aşama: Açık kaynak dork araması ve hedefin profilini çıkarmak

Kaliforniya emlak dünyasındaki Facebook varlığını bulmak için hedefli bir Google dork sorgusu hazırladım:

site:facebook.com "Wanying Zhang" OR "Heather Zhang" "realtor" OR "real estate" California

Arama, 34 yaşındaki Wanying “Heather” Zhang’ın Tayvanlı yetkilileri gözetlediği gerekçesiyle LAX’te tutuklandığını aktaran ana akım haberleri (TaiwanPlus, ABC 6News, The Real Deal, FOX) ortaya çıkardı. Bu haberler kritik biyometrik dayanaklar sağladı: referans fotoğraflar, yaş, Irvine/Los Angeles ile coğrafi bağlar ve geçmişine dair bilgiler.

3. aşama: Facebook profilini bulmak ve bağlama göre yön değiştirmek

Facebook’ta doğrudan kişinin özelliklerine uyan hesapları aramak, Güney Kaliforniya’daki mesleki profiline uyan adaylar getirdi.

Ana eşleşen profilde şunlar yazıyordu:

• Yaşadığı şehir: Los Angeles
• Eğitim: University of Southern California (USC)
• Meslek: Emlak komisyoncusu

Bu profili haber arşivleriyle (USC eğitimini ve eşinin kimliğini aktaran) karşılaştırmak doğru kişiyi incelediğimizi doğruladı.

4. aşama: Kullanıcı adı toplama ve ikinci hesabı eşleştirme

Görev açıklaması, e-posta adresinin yerel kısmının (@ işaretinden önceki bölüm) festival ve seyahat anılarını paylaştığı başka bir sosyal medya platformundaki kullanıcı adıyla aynı olduğunu belirtiyordu.

Bu kimlik üzerinden arama yapmak doğrudan aktif Instagram hesabına götürdü: heatherzhangwy

5. aşama: Emlak rehberinde arama ve e-postayı çıkarmak

Yerel kısım heatherzhangwy olarak doğrulandıktan sonra kayıtlı iş e-postasının tamamını bulmak için Orange County’deki ticari emlak sicillerine yöneldim.

Lisanslı emlakçı veri tabanlarında Zhang’ın firmasını aramak, Irvine’deki JC Pacific Capital Inc kaydını getirdi.

Şekil 5: Lisanslı satış kayıtlarını, ofis adresini ve iletişim e-postasını doğrulayan mesleki emlak rehberi kaydı.

Herkese açık komisyoncu sicili e-postasını kesin olarak doğruladı:

• Firma: JC Pacific Capital Inc (2100 Main St Ste 102, Irvine, CA)
• E-posta adresi: heatherzhangwy@gmail.com

6. aşama: Zaman çizelgesi ve medya çapraz kontrolü

Araştırma sırasında ortaya çıkan aile bağlarını ve biyografik bilgileri doğrulamak için haberler ve ek sosyal medya kayıtları incelendi.

Şekil 6: Zhang’ın ve komisyoncu olan eşinin kimliğini doğrulayan bağımsız haberler.

24 Mart 2025 civarındaki paylaşımlara dönüldüğünde, hedefin Avrupa gezisini belgelediği görüldü: Fransız Alpleri’ndeki Tomorrowland Winter’a katılım ve ardından Paris’te son bir alışveriş günü. Bu döneme ait görüntülerde Zhang bir yol arkadaşıyla birlikte görünüyordu.

Ortak bağlantıları, profil etiketlerini ve ilgili görselleri takip etmek doğrudan yol arkadaşının gizli profiline götürdü: @cathyyy_lulu (Catherine).

Bayrak

Tüm parçalar açık siciller, haberler ve sosyal medya akışları üzerinden doğrulandıktan sonra:

• Hedefin e-postası: heatherzhangwy@gmail.com
• Yol arkadaşının kullanıcı adı: @cathyyy_lulu

$\mathbf{OSINT\{heatherzhangwy@gmail.com\_@cathyyy\_lulu\}}$

Çıkarılacak dersler

1. Erken eleme yanlılığından kaçının: Gözaltı fotoğrafları ile sosyal medya paylaşımları arasındaki ışık, stil ya da açı farkları yersiz şüpheler yaratabilir. Görsel doğrulamadan önce kurumsal bağları (örneğin USC eğitimi) çapraz kontrol etmek kimliği sağlamlaştırır.
2. Kullanıcı adı ve sicil uyumu: Gizlilik ayarları Facebook’ta e-postanın görünmesini engellediğinde, aynı kullanıcı adının tekrar kullanılması (heatherzhangwy) ile eyalet emlak rehberlerini birlikte kullanmak temiz ve güvenilir bir eşleştirme sağlar.