Siber güvenlik denildiğinde, çoğumuzun aklına veri ağlarına saldırmak için teknolojik zayıflıkları kullanan siber suçlular gelir. Ancak kuruluşlara ve ağlara sızmanın başka bir yolu daha vardır ve insanların zayıflığından faydalanır.
Bilginin açığa çıkarılması veya veri ağlarına erişimin sağlanması için birinin kandırılmasıyla uygulanan bu yöntem sosyal mühendislik olarak bilinir.
Örneğin davetsiz bir misafir, BT yardım masası personeli gibi davranıp kullanıcılardan kullanıcı adı ve parola gibi bilgileri vermelerini isteyebilir. Kaç kişinin hiç sorgulamadan bu bilgileri verdiğini duysanız şaşırırsınız, özellikle de bilgiler meşru bir temsilci tarafından talep ediliyor gibi görünüyorsa.
Basitçe ifade etmek gerekirse sosyal mühendislik, kişileri bilgi veya verilere erişim vermeleri ya da bunları ifşa etmeleri için manipüle ederek kandırmaktır.
Sosyal mühendislik saldırılarının türleri
Çeşitli sosyal mühendislik saldırıları vardır. Bu nedenle, sosyal mühendisliğin tanımını ve nasıl uygulandığını anlamak önemlidir. Temel yöntemleri anladıktan sonra, sosyal mühendislik saldırılarını tespit etmek çok daha kolaydır.
-
Yem atma
Yem atma, kötü amaçlı yazılım yüklü USB çubuğu gibi bir tuzak oluşturmayı içerir. Çubukta ne olduğunu merak eden biri USB sürücüsüne çubuğu takıp ve sistemin tehlikeye girmesine neden olur. Aslında, USB sürücüsünden aldığı enerjiyle kendini şarj eden ve şiddetli bir güç dalgalanmasında bu enerjiyi serbest bırakarak bilgisayarları yok edebilen bir USB çubuğu vardır, takıldığı cihaza zarar verir. (üstelik sadece 54 dolar değerindedir).
-
Mazeret gösterme
Bu tür saldırılar, dikkat çekmek ve kurbanı bilgi sağlamaya yönlendirmek için bir mazeret bulur. Örneğin bir internet anketi başta oldukça masum görünebilir, ancak daha sonra banka hesabı bilgilerinizi isteyebilir. Ya da biri elinde defteriyle gelip dahili sistemlerin denetimi yaptığını söyleyebilir ancak iddia ettiği kişi olmayabilir ve değerli bilgileri çalmak için sizi kandırmaya çalışabilir.
-
Oltalama
Oltalama saldırıları, güvenilir bir kaynaktan geliyormuş gibi görünen ve bilgi isteyen e-postalar veya kısa mesajlar içerir. Müşterilerin güvenlik bilgilerini “onaylamasını” ve onları giriş bilgilerinin kaydedileceği sahte bir siteye yönlendirmesini isteyen bir bankadan e-posta göndermek en çok başvurulan yöntemdir. “Hedefli oltalama” şirketteki tek bir kişiyi hedefler ve üst düzey bir yönetici tarafından gönderilmiş gibi görünen e-postayla gizli bilgi istenir.
-
Telefon veya SMS ile kişisel bilgileri ele geçirme
Kimlik avının varyantlarından biri olan “sesle kimlik avı” telefon edip veri istemek anlamına gelir. Suçlu örneğin BT yardım masasındanmış gibi davranıp giriş bilgilerini istemek için iş arkadaşı kılığına girebilir. Diğer varyantta da bilgilerin ele geçirilmesi için SMS mesajları kullanılır.
-
Takas
“Adil takas hırsızlık değildir” deseler de aslında öyledir. Birçok sosyal mühendislik saldırısında kurbanlar, verdikleri veri veya erişim karşılığında bir şeyler aldıklarına inandırılır. “Scareware” yazılımlar bu şekilde çalışır; bilgisayar kullanıcılarına acil bir güvenlik sorununu ortadan kaldırmak için güncelleme vadeder ama aslında kötü niyetli güvenlik tehdidi yazılımın ta kendisidir.
-
Kişi listesindekilere istenmeyen e-posta gönderme ve e-posta korsanlığı
Bu saldırı türü, kişi listesine erişmek için birinin e-posta veya sosyal medya hesaplarını ele geçirmeyi içerir. Kişilere, bireyin saldırıya uğradığı ve tüm kredi kartlarını kaybettiği söylenir, ardından bir para transfer hesabına para yatırmaları istenir. Veya sözde “arkadaş” kötü amaçlı yazılımlara ya da bir tuş kaydedici truva atına bağlantı veren “mutlaka bu videoyu görmelisin” e-postası iletebilir.
-
Çiftçilik ve avcılık
Son olarak, bazı sosyal mühendislik saldırılarının çok daha gelişmiş olduğunu unutmayın. Açıkladığımız basit yaklaşımların çoğu bir çeşit “avcılık”tır. Temel olarak içeri gir, bilgileri al ve dışarı çık şeklinde çalışırlar.
Bununla birlikte, bazı sosyal mühendislik saldırıları, daha uzun bir zaman diliminde daha fazla bilgi elde etmek için hedefle ilişki kurmayı içerir. Bu “çiftçilik” olarak bilinir ve saldırgan için daha risklidir: keşfedilmeleri daha olasıdır. Ancak sızmayı başarırlarsa çok daha fazla bilgi ele geçirebilirler.
Sosyal mühendislik saldırılarından nasıl korunabilirsiniz?
Sosyal mühendislik saldırılarına karşı koymak zordur. Çünkü merak, otoriteye saygı ve arkadaşlarına yardım etme arzusu gibi duygularla oynamak için özellikle tasarlanmıştır. Sosyal mühendislik saldırılarını tespit etmeye yardımcı olabilecek birkaç ipucu vardır:
1.Kaynağı kontrol edin
Bir e-posta aldıysanız e-posta başlığına bakın ve aynı gönderenden gelen geçerli e-postalarla karşılaştırarak kontrol edin. Bağlantıların nereye yönlendirdiğine bakın; imlecinizi üzerine getirerek (bağlantıyı tıklamayın!) sahte adresli köprüleri kolayca tespit edebilirsiniz. Yazım hataları olup olmadığını kontrol edin.
Şüpheniz varsa resmî web sitesine gidin ve e-postanın/mesajın gerçek veya sahte olup olmadığını onaylayabilecek resmî bir temsilci ile iletişime geçin.
2.Hangi bilgilere sahip?
Kaynakta, tam adınız gibi sahip olmasını beklediğiniz bilgiler yok mu? Unutmayın ki, bir banka temsilcisi sizi aradığında tüm ilgili verilerin önünde olması gerekir ve hesabınızda değişiklik yapmanıza izin vermeden önce her zaman güvenlik soruları sorar. Bu bilgiler elinde yoksa sahte bir e-posta/çağrı/mesaj almış olma ihtimaliniz son derece yüksektir ve dikkatli olmalısınız.
3.Kimlik bilgilerini sorun
Arayan kişinin adını ve numarasını kontrol etmek veya “Kime rapor veriyorsunuz?” sorusunu sormak bilgi taleplerine temel bir cevap olmalıdır. Ardından, herhangi bir özel bilgi veya kişisel veri vermeden önce kuruluş şemasını veya telefon dizinini kontrol edin.
Bilgi isteyen kişiyi tanımıyorsanız ve bilgi vermek konusunda içiniz hâlâ rahat değilse ona, bilgi vermeden önce bu talebi başka biriyle tekrar kontrol etmeniz gerektiğini ve geri döneceğinizi söyleyin.
4.İyi bir istenmeyen posta filtresi kullanın
E-posta programınız istenmeyen postaları yeterince filtrelemiyor veya e-postaları şüpheli olarak işaretlemiyorsa ayarlarını değiştirmek isteyebilirsiniz. İyi istenmeyen posta filtreleri, hangi e-postaların istenmeyen posta olup olamayacağını belirlemek için çeşitli bilgiler kullanır. Şüpheli dosyaları veya bağlantıları algılayabilir, şüpheli IP adreslerinin veya gönderen kimliklerinin bir kara listesine sahip olabilir ya da hangilerinin sahte olduğunu belirlemek için mesajların içeriğini analiz edebilirler.
5.Çok hızlı hareket etmeyin
Görüşme sırasında karşınızdakinin sizde bir aciliyet hissi uyandırmak istediğini hissederseniz özellikle dikkatli olun. Kötü niyetli aktörler, hedeflerinin sorunu detaylıca düşünmesini engellemek için genelde bu yola başvurur. Kendinizi baskı altında hissediyorsanız yavaşlayın. İşleri yavaşlatan ve düşünmek için kendinize zaman verecek bir şeyler söyleyin; örneğin bilgiyi almak için zamana ihtiyacınız olduğunu, yöneticinize sormanız gerektiğini, şu anda doğru bilgilere sahip olmadığınızı…
Çoğu zaman, sosyal mühendisler şaşırtma avantajını kaybettiklerini anlarlarsa şanslarını zorlamazlar.
Cihazlarınızı nasıl güvenceye alabilirsiniz?
Cihazları güvence altına almak da önemlidir, böylece bir sosyal mühendislik saldırısı başarılı olsa bile elde edebileceği şeyler sınırlıdır. İster akıllı telefon, ister standart bir ev ağı, ister büyük bir kurumsal sistem olsun, temel ilkeler aynıdır.
- Kötü amaçlı yazılımdan ve virüsten koruma yazılımlarınızı güncel tutun. Bu, kimlik avı e-postalarıyla gelen kötü amaçlı yazılımların yüklenmesini önlemeye yardımcı olabilir.
- Genel yazılımı ve ürün yazılımını, özellikle güvenlik düzeltme eklerini düzenli olarak güncelleyin.
- Telefonunuza root atmayın veya ağınızı ya da bilgisayarınızı yönetici modunda çalıştırmayın. Bir sosyal mühendislik saldırısı “kullanıcı” hesabınızın kullanıcı parolasını alsa bile, sisteminizi yeniden yapılandırmasına veya üzerine yazılım yüklemesine izin vermez.
- Farklı hesaplar için aynı parolayı kullanmayın. Bir sosyal mühendislik saldırısının, sosyal medya hesabınızın parolasını alması durumunda diğer tüm hesaplarınıza da erişmesini istemezsiniz.
- Kritik hesaplar için iki aşamalı kimlik doğrulama kullanın, böylece bu hesaplara erişmek için yalnızca parolanız yeterli olmaz. Buna ses tanıma, bir güvenlik cihazı kullanımı, parmak izi veya SMS onay kodları dahil olabilir.
- Hesabınızın parolasını birine verdiyseniz ve “mühendislik” ile karşı karşıya olabileceğinizi düşünüyorsanız parolayı hemen değiştirin.
İlk yorum yapan olun