Sosyal mühendislik: "Bankanızdan arıyoruz" diyenlere karşı kendinizi ve şirketinizi korumak

Sosyal mühendislik, teknik bir açık yerine insan psikolojisini kullanan saldırıların genel adıdır. Saldırgan bir sistemi kırmaya çalışmaz; o sisteme erişimi olan birini, kendi isteğiyle kapıyı açmaya ikna eder.

Oltalama e-postaları bunun en bilinen örneği. Ama son yıllarda telefon (vishing), SMS (smishing) ve mesajlaşma uygulamaları üzerinden yapılan saldırılar hızla arttı. Bunun bir sebebi de, yapay zeka ile ses taklidinin artık çok kolay ve ucuz hâle gelmesi.

Klasik senaryolar

"Bankanızın güvenlik biriminden arıyoruz"

Arayan kişi kartınızdan şüpheli bir harcama yapıldığını söyler. Hatta adınızı, kartınızın son dört hanesini ya da hangi bankanın müşterisi olduğunuzu bilir. Bu bilgiler daha önceki veri sızıntılarından elde edilmiştir. Ardından "işlemi iptal etmek için" telefonunuza gelen kodu ister.

O kod, aslında saldırganın sizin hesabınızda başlattığı bir işlemin onay kodudur.

"Savcılıktan / emniyetten arıyoruz"

Adınızın bir soruşturmaya karıştığı, hesaplarınızın dondurulacağı söylenir. "Paranızı korumak için" güvenli olduğu iddia edilen bir hesaba aktarmanız istenir. Gerçek kamu kurumları asla telefonla para transferi istemez.

"Ben genel müdür, toplantıdayım, acil"

Şirketlerde sık görülen bir senaryo: Muhasebe çalışanına, yöneticiden geliyormuş gibi görünen bir mesaj ya da telefon gelir. Gizli bir satın alma, acil bir tedarikçi ödemesi ya da hediye kartı talebi vardır. "Kimseye söyleme" ve "hemen" kelimeleri öne çıkar.

Yapay zeka ile ses klonlamanın yaygınlaşmasıyla bu arama, yöneticinin gerçek sesiyle de gelebilir. Birkaç saniyelik bir konuşma kaydı, bugün inandırıcı bir ses taklidi için yeterli olabiliyor.

"Bilgi işlemden arıyoruz"

Arayan kişi kendini şirketin bilgi işlem birimi ya da yazılım sağlayıcısının destek ekibi olarak tanıtır. Bilgisayarınızda bir sorun tespit ettiklerini, uzaktan bağlanmaları gerektiğini söyler ve bir uzaktan erişim programı kurdurur. Ya da "hesabınızı doğrulamak için" iki adımlı doğrulama kodunuzu ister.

"Kargonuz teslim edilemedi"

SMS ile gelen bir bağlantı, kargo şirketine benzeyen bir sayfaya yönlendirir ve küçük bir "gümrük" ya da "adres güncelleme" ücreti için kart bilgisi ister.

Ortak uyarı işaretleri

Senaryolar farklı olsa da kurgu hep aynı psikolojik kaldıraçları kullanır:

• Aciliyet: "Hemen yapmazsanız hesabınız kapanacak", "Beş dakika içinde ödeme çıkmalı."
• Otorite: Banka, savcılık, emniyet, genel müdür, bilgi işlem.
• Gizlilik: "Kimseyle konuşmayın", "Bu gizli bir operasyon."
• Korku ya da açgözlülük: Para kaybetme korkusu ya da kazandığınız bir ödül.
• Kod ya da şifre talebi: Hiçbir meşru kurum telefonda size gelen doğrulama kodunu, şifrenizi ya da kart bilgilerinizi istemez.

Bireyler için kurallar

1. Telefonda gelen kodu kimseyle paylaşmayın. Arayan kişi kim olduğunu söylerse söylesin. SMS'lerin çoğu da açıkça "Bu kodu kimseyle paylaşmayın" yazar; arayan kişi bu uyarıyı görmezden gelmenizi istiyorsa, bu tek başına yeterli bir işarettir.
2. Aramayı kapatıp kendiniz arayın. Bankanız aradığını söylüyorsa, telefonu kapatın ve kartınızın arkasındaki numarayı kendiniz arayın. Arayan numaranın gerçek görünmesi bir şey kanıtlamaz; arayan numara bilgisi kolayca taklit edilebilir.
3. Uzaktan erişim programı kurmayın. Kendiniz başlatmadığınız bir destek talebi için kimsenin bilgisayarınıza bağlanmasına izin vermeyin.
4. Ailenizle bir "parola" belirleyin. Yakınlarınızdan biri "başım dertte, acil para lazım" diye aradığında soracağınız, yalnızca sizin bileceğiniz bir kelime. Ses taklidine karşı basit ama çok etkili bir yöntem.
5. SMS'teki bağlantılara tıklamayın. Kargo ya da fatura sorgusu için uygulamayı ya da siteyi kendiniz açın.

Şirketler için kurallar

1. Ödeme ve hesap değişiklikleri için ikinci kanal zorunlu olsun. Bir tedarikçinin IBAN'ı değiştiyse ya da bir yönetici acil ödeme istiyorsa, bu talep daha önceden bilinen bir numara aranarak ya da yüz yüze doğrulanmadan uygulanmasın. Bu kural, yöneticiler dahil herkes için istisnasız geçerli olmalı.
2. "Hayır" demek güvenli olsun. Çalışanlar, "Genel müdür bile olsa doğrulamadan işlem yapmıyorum" diyebildiği için ödüllendirilmeli, azarlanmamalı. Sosyal mühendislik, hiyerarşiye itiraz etmenin zor olduğu ortamlarda başarılı olur.
3. Bilgi işlem desteğinin nasıl çalıştığını herkes bilsin. "Bilgi işlem sizi asla arayıp şifrenizi ya da kodunuzu istemez" cümlesi şirketteki herkesin ezberinde olmalı.
4. Yardım masası da hedef. Saldırganlar çalışanı taklit ederek yardım masasını arayıp şifre sıfırlatabilir ya da iki adımlı doğrulamayı yeni bir telefona taşıtabilir. Yardım masasının bir kullanıcının kimliğini nasıl doğrulayacağına dair yazılı ve sıkı bir prosedürü olmalı.
5. Kamuya açık bilgiyi gözden geçirin. Kurumsal sitedeki organizasyon şeması, çalışanların sosyal medyada paylaştığı unvanlar ve e-posta adres biçimi, saldırganlar için inandırıcı bir senaryo hazırlamanın hammaddesidir.
6. Kısa ve düzenli eğitim. Yılda bir kez uzun bir sunum yerine, gerçek örneklerle desteklenen kısa ve sık hatırlatmalar daha etkilidir.

Dolandırıldıysanız

Hemen bankanızı arayın ve kartlarınızı ya da işlemleri durdurun. Şifrelerinizi değiştirin. Olay yerine göre emniyete ve ilgili kurumlara başvurun. Utanmayın: Bu saldırılar profesyonelce kurgulanır ve herkes, özellikle yorgun ya da dikkati dağınık olduğu bir anda, bunlara kanabilir. Erken bildirim hem sizin kaybınızı azaltabilir hem de başkalarının aynı tuzağa düşmesini önleyebilir.

Unutmayın: Acele ettiren, gizlilik isteyen ve kod soran her arama, aksini kanıtlayana kadar şüphelidir.