Phishing (Oltalama) Saldırısı

İnternet teknolojisinin gelişmesiyle birlikte günlük yaşamda bilgisayar, telefon gibi iletişim altyapısı internete dayanan birçok haberleşme ağı küresel çapta kullanıcı kitlesine sahiptir. Bu elektronik cihazlara online olarak yapılan ve sistemi çökerterek her türlü bilgilerin çalınması ile sonuçlanan saldırılara siber saldırılar denir. 

Phishing (Oltalama) Nedir?

Phishing (oltalama) kötü amaçlar doğrultusunda bazı kurum ve kuruluşların, güvenli gibi görünerek kullanıcıların kredi kartı, kimlik bilgileri gibi hayati önem taşıyan kişisel verilerinin çalınmasını amaçlar. Saldırgan tarafından özel olarak hazırlanan phishing e-postası resmi bir kurumdan geliyormuş gibi ya da gerçek bir e-posta şeklinde görülür. Hazırlanan e-posta yardımıyla bilgisayar kullanıcıları sahte sitelere yönlendirilerek parolalarını vermeleri sağlanır. Diğer bir yandan bu e-postalara eklenen dosyaların çalıştırılması ile kurbanların bilgisayarları ele geçirilerek saldırganın kontrolü altına girebilir.

Phishing (oltalama) saldırısının türevleri olup aşağıdaki gibi tanımlanabilirler:

Spear Phishing: Belirli bir hedefe yönelik gerçekleştirilen oltalama saldırılarıdır

Whaling: Geniş bir topluluk tarafından tanınmış kişilere yapılan oltalama saldırısıdır.

Vishing: Telefonla gerçekleştirilen oltalama saldırılarıdır.

Pharming: Saldırganın belirlediği sahte web sitesine trafiğin yönlendirilmesidir. 

Swatting: Polis gibi acil durum müdahale ekiplerine yapılan sahte ihbarlardır. Saldırganın hedefindeki kişilerin adresine baskın yapılması için saldırgan hedef adrese sahte ihbar yapar.

Watering Hole Attack: Saldırganın hedefindeki belirli bir grubun ziyaret ettiği web sitesinin saldırganın hedefine siber saldırı düzenlemek o web sayfasına zararlı kod bulaştırılmasıdır.

Phishing (Oltalama) Saldırısı Yöntemleri Nelerdir?

Phishing saldırılarında saldırgan kişi bir “yem” hazırlar ve bu yeme kurbanların takılmasını amaçlar. Kullanıcılar için hazırlanan bu yemler, genelde maaş zammı, hediye, ücretsiz tatil, para ödülü şeklinde cezbedici senaryolardan oluşur. Bu tür saldırılar, hem sosyal mühendislik hem de teknik altyapı kullanılarak gerçekleştirilir. Yaygın olarak e-posta aracılığıyla gerçekleştirilen bu saldırılar günümüz sosyal ağlarının popüler olması ile evrim geçirerek çok daha büyük kitlelere ulaştığını, virüs worm gibi zararlı kodların yayılmasında etkili rol oynadığı göstermiştir.

E-posta ya da sahte web sitesi yöntemini kullanan hackerlar genellikle üç farklı dolandırma yolunu denerler. Mail adresinize gönderilen tasarlanmış maillerde mutlaka adınız ve soyadınız yer alır. Genellikle aldığınız e-postalara ya da tıkladığınız sitelere benzer şekilde tasarlanan sahte adresler için en çok tercih edilen senaryolar şu şekildedir:

E-mail adresinize devamlı irtibat halinde olduğunuz kurumlardan geliyormuş izlenimi veren sahte bir e-mail gönderilir. Bu e-mail içeriğinde ilgili kurumun web adresine tıklamanız ve süresi dolan şifrenizi yenilemeniz istenir. E-postanın en alt kısmında ise o web sayfasına yönlendiren bir bağlantı verilir. Önceden hazırlanan sahte siteye kurbanı çeken hacker, ondan şifre girmesini ister. Şifrenizi girdiğinizde ise bilgileriniz elde edilir. Kurban seçilen kişi her zamanki şifresini sahte web sayfasına girip kaydettikten sonra çıkar. Sonrasında hemen o şifreyi kopyalayan hacker, kurumun kendi resmî web sayfasından kişinin girdiği şifreyi kullanarak para transferi, alışveriş gibi işlemleri kolaylıkla yapabilir. Şayet kişinin şahsî bilgileri kurum sitesinde kayıtlı ise o bilgileri de kötü niyetle kullanmak için kopyalayabilir. 

E-posta ile gerçekleştirilen phishing saldırılarının diğer bir yöntemi de sahte bir çekiliş düzenlemektir. Mail adresine gelen e-posta içeriğinde yine kişinin bağlantıda olduğu bir kurum tarafından çekiliş yapılacağı ve kazanan kişiye de lüks bir otomobil verileceği vaad edilir. Ancak çekilişe katılmak için kişiden kişisel bilgilerini vermesi istenir. Kurban bilgilerini girerse, tüm kişisel verileri saldırganın eline geçer.

Son zamanlarda sıklıkla tercih edilen phishing saldırılarında bankaların başlattığı cep telefonuyla para transferi işlemi kullanılır. Bankanın transfer olanağı sağlayan sistemi çalınarak müşterilerine kendi hesaplarına para gelmiş gibi gösterilerek sahte banka sitesi linki ile kontrol etmeleri istenir. Bazen de paranın tahsil edilebilmesi için bilgi güncellemesi yapılması istenir. Nihayetinde kurban linke tıklar ve bilgileri saldırganın eline geçer.

Phishing saldırılarında kullanılan sahte e-mail ve sahte linkleri gerçeğinden ayırt etmeyi öğrenerek bu saldırılardan korunmak mümkün olup nelere dikkat edilmesi gerektiğini şu şekilde sıralayabiliriz:

Gramer ve dil kuralları: Oltalama saldırıları kapsamında gönderilen e-postalarda üst düzey gramer, yazım kuralları ve diğer dil kuralları görülmez. Oysa gerçek şirket ve kurumların düzenlediği bu tür içeriklerde, dil kurallarına uyulur ve yazım yanlışı olmamasına çok dikkat edilir.

Sahte linkler: Hiçbir şirket, kurum ya da firma e-posta göndererek hesabınıza giriş yapmanızı istemez. Bu nedenle e-mail adresinize gelen bir mail içerisinde o siteye yönlendirilmek için tıklanmanız istenen bağlantı veriliyorsa, bir oltalama saldırısıyla karşı karşıyasınız demektir.

Farklı ifadeler: Oltalama saldırıları kapsamında gönderilen e-postalar sıklıkla insanların psikolojilerini kontrol altına almaya yönelik olduğundan korku, baskı ve tedirginlik yaratan cümleler kullanılır. Örneğin, “24 saat içerisinde tıklamanız gerekir” gibi bir ifade varsa, bu çok yüksek ihtimalle bir oltalama saldırısıdır.

Benzer URL adresleri: Online tehditlere karşı bilgisiz olanları hedef alan oltalama saldırılarında SSL sertifikası kullanılmaz ve firma adresine çok benzer bir adres tercih edilir. Örneğin, Amazon alışveriş sitesi ile yapılan saldırılarda amazon-account.com gibi URL’ler kullanılır.

Sahip olunan hesap güncellemeleri :Bağlantıda olduğunuz kuruma ait hesabınızın kullanım tarihinin dolması, geçici olarak askıya alınan hesap bilgileri gibi e-postalar tarafınıza gönderilir. Bu e-postalarda kişinin şifreleri direkt mail aracılığı ile istenebileceği gibi sahte oluşturulan bir şifre sıfırlama bağlantısı da gönderilebilir. Her iki yöntemin de amacı kullanıcı şifresini ele geçirilmeye çalışmaktır.

Kredi kartı ile çekiliş onaylamaları : Hiç katılmadığınız bir yarışma ya da çekilişten kazandığınız ürün veya parayı alabilmeniz için gerekli kargo ücretini ödemeniz adına istenen kredi kartı bilgilerinizin olduğu senaryodur. Böylece kullanıcının, hem kişisel bilgileri hem de kredi kartı bilgileri elde edilir. Bazen de kredi kartına ait bilgilerin güncellenmesi gerektiği ile ilgili e-posta gönderilebilir

Phishing (Oltalama) Saldırısından Nasıl Korunur?

Siber güvenlik doğası gereği bütüncül bir güvenlik yönetimine ihtiyaç duymaktadır. Bu noktada oltalama saldırılarına karşı alınabilecek önlemler, diğer saldırı türlerine karşı alınabilecek önlemlerle benzerlik gösterir. Gelin bu önlemlere birlikte göz atalım;

Fiziksel Güvenlik Önlemleri: Sistem güvenliğinde özellikle de kritik verilerin işlendiği veya kullanıldığı şirketlerde fiziksel güvenlik en önemli tedbirlerin başında gelmektedir. Yetkisiz erişimlere karşı fiziksel güvenlik bilgisayar sistemlerinden önce atılan ilk güvenlik adımıdır.

Firewall ve Antivirüs Kullanımı: Hem kurum ağını denetlemek hem de kurum çalışanlarının bilgisayarlarını koruma amacı ile muhakkak bir Firewall ve Antivirüs kullanılması gereklidir. Birçok kişi Firewall varken Antivirüs kullanmaya gerek olmadığını düşünse de ikisinin bir arada bulunması gerekir. Bunu şu şekilde düşünebilirsiniz; restoranımızın kapısında duran bodyguard’ı Firewall; masaların arasında gezen koruma görevlilerini de Antivirüs olarak tanımlayabiliriz. Unutulmamalı ki, teknoloji geliştikçe saldırganların teknikleri de geliyor. Milyonlarca lira zarar eden firmalar olduğunu düşünürsek, işletmenizde mutlaka bir Firewall cihazı olması gerektiği gibi kullanıcılarınızın bilgisayarlarını korumak için de Antivirüs bulundurmak durumundasınız.

Güvenlik Politikalarına Uyum: Kurumların oluşturdukları güvenlik politikaları açık, anlaşılır ve uygulanabilir olmalıdır. Erişilebilirliği eksik veya uygulanabilirliği zor olan güvenlik politikaları çoğu zaman kurum çalışanlarına zorluk yaşatabilmektedir.

Eğitimler ve Yaptırımlar: Kurum çalışanlarının farkındalık düzeyini ölçümlemek ve siber saldırılara karşı bilinçlendirmek için bilgi güvenliği farkındalık eğitimleri verilmektedir. Genel olarak birçok kurum ISO 27001 kapsamında bilgi güvenliği farkındalık eğitimlerini çalışanlarına belirli periyotlarla tekrarlamaktadırlar. Sosyal mühendislikte en önemli nokta kurum çalışanlarının farkındalık düzeyini artırmakla başlar. 

Şüpheci Olmak: Şüpheli durumlar, belirsiz veya ucu açık sorularla veyahut paylaşımlar istendiği takdirde özellikle de e-posta ve SMS erişimlerinde mutlaka şüpheci olmak, gerektiğinde iki kere doğrulamak kurum güvenlik politikalarına yansıtılmalıdır.

Merkezi Loglama: Kurum iç ağı ve kurum çalışanlarının bilgisayarları ile misafir erişimlerinin denetlenmesinin yanı sıra kanunlara uygun bir şekilde loglama tutulması gereklidir.

Sonuç olarak işletmenizi bu tür saldırılardan korumak için profesyonel bir siber güvenlik hizmeti almak, kaynağından şüphe ettiğiniz e-posta, link ya da reklam bağlantılarına karşı tedbirli olmak ve ekibinizi oltalama saldırılarına karşı bilinçlendirmek hayati önem taşır.