Başkasının yerine geçme, ikna gibi “çalışanları kandırma” odaklı taktikler üzerinden şirketleri tehdit eden sosyal mühendislik dolandırıcılığı nedir ve nasıl önlenebilir?
Çok adımlı doğrulama (MFA), 2 adımlı doğrulama (2FA) gibi önleyici teknolojilerin henüz gündemde olmadığı çok eski yıllardan günümüze dolandırıcılık, etkisini sürekli artırarak devam ettirdi. Üstelik hem kurban sayısının hem de dolandırıcılığın mali sonuçlarına ilişkin bilançonun sürekli arttığı görülüyor. Bu bağlamda sadece 2023 yılında 2,6 milyon kişi siber dolandırıcılık faaliyetlerinin kurbanı oldu ve siber korsanların bu yasa dışı çabalarının sonucunda oluşan kayıp miktarı ise milyarlarca dolar seviyesinde. Bu kapsamdaki verilere göre dolandırıcılıkların büyük kısmı sosyal mühendislik dolandırıcılığı odaklı saldırıların ürünü durumunda. Peki sosyal mühendislik dolandırıcılığı nedir ve nasıl önlenebilir?
Sosyal mühendislik dolandırıcılığı nedir?
İnsanları özel bir amaç için kandırma yöntemine sosyal mühendislik denir. Sosyal mühendislik dolandırıcılığı veya sosyal mühendislik saldırısı olarak da ifade edilen yöntemlerdir. Şimdi ölçek fark etmeksizin tüm şirketler açısından kritik zararlara yol açan sosyal mühendislik saldırılarına daha detaylı bir bakış atalım.
Yaklaşık 10 sene öncesine gidiyoruz…
Son 15 yılın en büyük siber saldırılarından biri 2014 yılında yaşandı. Yasa dışı yollarla Yahoo sistemlerine giren siber saldırganlar 500 milyon kullanıcının isim, e-mail adresi, telefon numarası, şifrelenmiş parola gibi kişisel bilgilerini ele geçirdi. Saldırının aktörü ise sosyal mühendislik saldırısıydı. FBI, multi-katmanlı güvenlik aşamaları ile donatılmış sistemlere sosyal mühendislik yöntemleri kullanılarak erişim sağlandığını açıkladı.
Saldırı özetle, Yahoo bünyesindeki çalışanlara gönderilen spear-phishing e-maili ile başladı ve “sadece bir kişinin” içerikte yer alan linke tıklaması 500 milyon kullanıcının verilerinin çalınması için yeterli oldu. Aynı zamanda şirketin küresel düzeydeki itibar kaybı sonuçları ile yüzleşmesi de ‘sadece bir kişinin’ tek bir linke tıklaması ile gerçekleşti. Litvanyalı hacker, sürecin devamında Yahoo sunucularına bir backdoor yükleyerek erişim elde etti ve kullanıcı verilerinin kopyasını kendi bilgisayarına indirdi.
Bir linke tıklamanın böylesine kaotik sonuçları olabiliyor ancak sosyal mühendislik saldırılarında kamuoyunda daha fazla yer edinen yöntemler de sıklıkla gündeme geldi. Hacker’ların bir şirketin genel müdürü hakkında bilgi toplayıp onun e-mail hesabını ele geçirmesi ve çalışanlardan taleplerde bulunmaları öne çıkan senaryolar arasında. Bu noktada maliye birimine ele geçirdikleri genel müdür adına sahte e-mail gönderen hacker’ların kendi hesaplarına para transfer edilmesine sağladığına dair haberler, maalesef yıllardır haberlere konu oluyor.
Bu arada sosyal mühendislik demişken Nigerian Scam’ı hatırlamamak olmaz. E-mail teknolojisinin yeni ortaya çıktığı dönemde ortaya çıkan sosyal mühendislik dolandırıcılığı, özetle Nijeryalı bir prensesin ülkesinden çıkarmak istediği yüklü miktarda para için yurt dışından ortak aradığı yalanına dayanıyordu. Bu yalana inanan kurbanlar-ki sayıları çok fazlaydı- büyük bir kazanç için talep edilen küçük miktardaki paraları daha önce tanımadıkları kişilerin banka hesaplarına göndererek dolandırıldı. Bazı Nigerian Scam kurbanlarının 50.000 dolara varan miktarlarda dolandırıldığı biliniyor.
Siber dolandırıcılık ile sosyal mühendislik aynı izdüşümde hareket ediyor. IBM’in 2023 yılı verilerine göre sosyal mühendislik tekniklerine bağlı veri ihlalleri ortalama 4,5 milyon dolarlık kayba neden oldu. Statista’ya göre ise 2022’de tüm dünyadaki yetişkin nüfusunun yüzde 30’u kimlik avı dolandırıcılığı adı verilen dolandırıcılık türü ile karşı karşıya kaldı. Sofistike tehdit ortamına dair veriler hiç de iyimser değil ve tüm bunlar sosyal mühendislik dolandırıcılığının ve bu tehdide karşı alınacak önlemlerin yadsınamaz önemine işaret ediyor. Peki sosyal mühendislik saldırıları kaça ayrılır?
Sosyal mühendislik saldırılarında öne çıkan türler
Bazı yaygın sosyal mühendislik dolandırıcılığı türleri şöyle sıralanır:
Phishing: kredi kartı bilgilerini, parolalar ve kişisel bilgileri ele geçirmeyi amaçlayarak ilk bakışta saygın kurum ve kuruluşlardan gönderilmiş intibası uyandırabilen, e-postalar ve mesajlardır. Genellikle şirketleri, devlet kurumları ve finansal kurum çalışanlarını hedef alır.
Online baiting: Hacker’ların iş imkânı ve ek gelir sunduğunu ya da faydalı bilgiler sağladığını iddia ettikleri sahte e-postaları, sosyal medya mesajlarını/paylaşımları ve SMS/WhatsApp mesajlarını hedefledikleri kişilere göndermesi ya da göstermesidir. Linklere (yemlere) tıklanması durumunda genellikle cihazlara kötü amaçlı yazılım bulaşır.
Business Email Compromise (BEC): CEO Fraud olarak da bilinir ve hacker’ların üst düzey yönetici kimliğine bürünerek çalışanları kandırmasıdır.
Fidye yazılım saldırıları: “İnsan hack’leme” olarak da ifade edilebilen sosyal mühendislik dolandırıcılığı taktikleri içerdiği için fidye yazılım saldırıları da (ramsomware) bu kapsamdadır. Genellikle sağlık, finans gibi sektörleri hedef alır.
Diğer sosyal mühendislik dolandırıcılığı türleri arasındaonline alışveriş dolandırıcılığı, romantik dolandırıcılık ve teknik destek dolandırıcılığı sayılabilir.
Sosyal mühendislik dolandırıcılıklarında ortak noktalar
Sosyal mühendislik dolandırıcılıklarında ortak noktalar şöyledir;
- Başkasının yerine geçilmiştir,
- Muhatap bilgilidir,
- Açgözlü görünmemeye çalışan iletişim ve doğal mesajlar ön plandadır,
- Yağcılık vardır ve muhatabını över,
- Yanlış beyanatlar kullanır,
- Yapay cehalet söz konusudur, normalde mümkün olmayan, kolaylıkla fark edilebilen şeyler aktarılabilir.
Sosyal mühendislik dolandırıcılığı nasıl önlenebilir?
Sosyal mühendislik dolandırıcılığı, genel itibarıyla aşağıdaki 4 temel insan özelliğini manipüle eder:
- Yardımcı olma arzumuz,
- Tanımadığımız insanlara güvenme eğilimimiz,
- Bilgilerimizi kimi durumlarda yerinde ve zamanında kullanamamamız,
- Başımıza dert alma korkumuz.
Peki sosyal mühendislik dolandırıcılığı nasıl önlenebilir, bu kapsamda hangi adımlar atılabilir?
Sosyal mühendislik dolandırıcılıklarına karşı etkili bir şekilde korunmak için işletmeler, aşağıdaki uygulamaları hayata geçirebilir.
Erişim kontrolleri: Hassas verilere erişim sadece ihtiyacı olan kişiler için açık olmalıdır.
Gelişmiş e-posta filtreleme: Gelişmiş spam filtreleme ve e-posta filtreleme çözümlerine ek olarak ESET’in güncel ve lisanslı siber güvenlik yazılımları kullanılmalıdır. Detaylı bilgi için buraya tıklayabilirsiniz.
Olay müdahale planı: Tüm çalışanların bilgi sahibi olduğu ayrıntılı bir olay müdahale planına sahip olunmalı, düzenli tatbikatlar yapılmalıdır.
Güvenli iletişim kanallarını tercih edin: Güvenli ve lisanslı teknolojik erişim kanalları kullanılmalıdır.
Şüpheci olmayı teşvik edin: Çalışanların daha dikkatli olması için şüphecilik teşvik edilebilir, siber güvenlik önemleri artırılabilir.
Farkındalık eğitimleri verin: Sosyal mühendislik taktikleri konusunda çalışanların eğitilmesi önerilir.
MFA’i tercih edin: Kısa adı MFA olan çok faktörlü kimlik doğrulama, kullanıcılardan çevrimiçi bir hesaba erişmek için iki veya daha fazla doğrulama yöntemi sağlamalarını isteyen bir kimlik doğrulama yöntemidir. Bu sayede bazı erişim bilgileriniz ele geçirilse bile ek doğrulama sayesinde bilgileriniz korunur.
İşletmeler için çok faktörlü kimlik doğrulaması, etkili ve modern siber güvenlik politikaları arasındadır. Bu bağlamdaki yüksek performans ve maliyet avantajları sağlayan kimlik doğrulama çözümleri ve daha fazlası için buraya tıklayabilirsiniz.
