Kimliğe Bürünme Saldırısı Nedir?
Kimliğe bürünme saldırısı, kötü niyetli bir aktörün sosyal mühendislik taktiklerini kullanarak şüphelenmeyen çalışanlardan hassas verileri çalmak için başka biri veya başka varlıklar gibi davrandığı bir tür hedefli kimlik avı saldırısıdır. Bilgisayar korsanları, siber saldırılardan yararlanmak ve sistemlere ve ağlara yetkisiz erişim elde etmek için kurbanı para transfer etmesi, hassas bilgilerden vazgeçmesi veya iş oturum açma kimlik bilgilerini sağlaması için kandırmaya çalışır.
Başarılı bir kimliğe bürünme saldırısına örnek olarak, suçluların üst düzey bir yöneticinin veya önemli bir işletmenin sahte e-postasını (sahtekarlık veya bilgisayar korsanlığı yoluyla) kullanması verilebilir. Buna, tehdit aktörünün hedefi finansal bir transfer yapması veya önemli bilgilerden vazgeçmesi için kandırdığı iş e-postası uzlaşması (BEC) denir.
E-posta adresinin kullanımına ve yöneticinin rütbesine bağlı olarak, üst düzey bir çalışan tarafından alınan her 3.226 e-postadan 1'i (kabaca ayda bir kez) aslında bir kimliğe bürünme girişimidir.
Bu makalede, kuruluşunuzu riske atmaktan kaçınmak için farklı kimliğe bürünme saldırısı türleri, bunların nasıl tespit edileceği ve nasıl tanınacağı özetlenecektir.
Kimliğe Bürünme Saldırılarının En Yaygın Türleri
Siber suçlular, kimlik avı taktiklerini kullanarak birinin kimliğine bürünmeye çalışabilir, bu nedenle tüm çalışanlara ve personele en yaygın kimliğe bürünme saldırısı türleri ve kullanılan taktikler hakkında bilgi verilmesi önemlidir.
1. E-posta Kimliğe Bürünme Saldırıları
Kimliğe bürünme saldırısının en yaygın yöntemlerinden biri, bir bilgisayar korsanının sahte veya çalıntı bir e-posta hesabı kullanarak bir iş arkadaşı, yönetici veya üst düzey yönetici gibi davranmasıdır. Spam klasörüne düşen toplu e-posta kimlik avı saldırılarının aksine, kimliğe bürünme saldırıları (veya hedef odaklı kimlik avı saldırıları) son derece karmaşık ve hedefli saldırılardır.
E-posta kimliğe bürünme saldırıları genellikle kullanıcıyı kötü amaçlı yazılım içeren, güvenliği ihlal edilmiş veya kötü amaçlı bir web sitesine götürebilecek kötü amaçlı bağlantılar veya resimler içerir. Diğer saldırılar, çalışanı önemli verileri ifşa etmesi veya fonları doğrudan saldırgana aktarması için kandırmak için sosyal mühendislik saldırılarını kullanır.
E-posta Kimliğe Bürünme Saldırısı Türleri
E-posta tabanlı kimlik avı saldırıları, nasıl yürütüldüklerine göre ayırt edilebilir:
- İş e-postasının ele geçirilmesi (BEC) — Bir saldırı, bir iş e-posta hesabının kimliğine bürünür
- CEO dolandırıcılığı — Bir şirketin üst düzey bir yöneticisinin kimliğine bürünen ve kendi çalışanlarından birini hedef alan bir tür kimliğe bürünme saldırısı
- Balina avcılığı — Yüksek değerli bireyleri hedef alan bir saldırı türü
Saldırganlar bazen açık kaynak istihbaratından (OSINT) elde edilen bilgileri kullanır ve iletişimleri meşrulaştırmak için e-posta içeriğini bu bilgiler etrafında dikkatlice oluşturur. Sonuç olarak, e-posta kimliğine bürünme, meşru bir şirket veya kuruluşa çok benzeyen güvenli bir alan adına sahip herkes tarafından yapılabilir.
E-posta Kimliğe Bürünme Nasıl Tanınır:
- Hassas veya gizli bilgiler için olağandışı istekler
- Acil ilgilenmenizi gerektiren acil sorunlar
- Sahte veya yanlış yazılmış e-posta adresleri
2. Kuzen Alanı
Kuzen alan adı kimliğine bürünme saldırısı, bir saldırganın yanlış alan kodlarını kullanarak resmi kuruluş web siteleriyle neredeyse aynı olan sahte bir şirket web sitesi veya e-postası oluşturmasıdır.
Genellikle web siteleri .org, .net veya .com gibi alan kodları kullanır, ancak bir kuzen alan adı saldırısı, e-postalarını tahrif etmek için yanlış alan kodunu kullanır. Saldırganlar, meşru web sitesinin web sitesi tasarımını tamamen kopyalamaya kadar gidebilirler.
Kuzen Etki Alanı Kimliğe Bürünme Nasıl Tanınır:
- E-postadaki herhangi bir şey şüpheli görünüyorsa veya kişisel bilgi istiyorsa, bir yöneticiden göndereni hemen doğrulamasını isteyin. Çoğu durumda, yanlış olanı ortaya çıkaracak doğru e-posta etki alanına sahip belgelenmiş e-posta geçmişi olabilir.
3. Sahte Başlık/Zarf Kimliğine Bürünme
E-posta sahtekarlığı olarak da adlandırılan sahte zarflar ve başlıklar, meşru e-postalar olarak görünen sahte başlıklara veya gönderen adreslerine sahip e-postalardır. Bununla birlikte, gönderen genellikle, tanınan bir ad veya başlık kullanılarak sahte bir başlık veya zarfın arkasına gizlenmiş sahte bir e-postaya sahip ve spam filtrelerini başarıyla atlayan bir dolandırıcıdır.
Sahte başlıklar, insanları e-posta adresini değil yalnızca başlığı okumaları durumunda meşru bir kaynağın mesaj gönderdiğine inandırabilir. Bu saldırıda, bir e-posta başlığındaki veya zarfındaki "gönderen" alanı, "Kimden:" veya "Dönüş Yolu:" başlık alanları değiştirilerek değiştirilir ve e-postayı meşru bir işletme veya bir arkadaşın gönderiyormuş gibi görünmesi sağlanır.
Sahte Başlık/Zarf Kimliğine Bürünme Nasıl Tanınır:
- Gönderenin kuruluşunun doğru e-posta etki alanıyla tam olarak eşleşip eşleşmediğini görmek için her zaman e-posta adresini kontrol edin. Herhangi bir değişiklik varsa, büyük olasılıkla saldırganın e-posta alıcısının tanıyacağını varsaydığı sahte bir başlık kullanan sahte bir e-postadır. Bu genellikle bir arkadaşın veya iş arkadaşının, üst düzey bir yöneticinin veya bir işletme hesabının adı veya unvanı olacaktır.
4. Hesap Devralma (ATO)
Güvenliği ihlal edilmiş bir e-posta hesabı saldırısı olarak da bilinen hesap ele geçirme (ATO), siber suçluların genellikle veri ihlalleri, veri sızıntıları veya kaba kuvvet saldırıları yoluyla elde edilen karanlık ağdan satın alınan kullanıcı adları ve parolalar gibi çalıntı kimlik bilgileriyle bir hesaba giriş yaptığı bir saldırıdır.
Bir hesapta çok faktörlü kimlik doğrulama yoksa, bilgisayar korsanı e-posta hesabına başarılı bir şekilde giriş yapabilir ve hatta bunu diğer hesap devralmaları ve kimlik hırsızlığı için kullanabilir. Birçok kişi aynı parolayı birden fazla site için kullanır ve bu da siber suçluların o kullanıcının birden çok sitesine ve hesabına erişmesini kolaylaştırır.
Saldırganlar, güvenliği ihlal edilmiş veya çalınmış bir hesap kullanarak, e-posta listelerindeki diğer kişilere ve hesaplara kimlik avı e-postaları göndererek kurbanların tanımasını neredeyse imkansız hale getirebilir.
Hesap Devralma Kimliğine Bürünme Nasıl Anlaşılır:
- ATO kimliğine bürünmeyi tespit etmenin en kolay yolu, olağandışı istekleri, şüpheli derecede acil talepleri veya ücretsiz hediye veya hizmet tekliflerini tanımaktır. Tipik olarak, bu göstergeler gönderen için karakter dışıdır ve doğrudan dahili mesajlaşma, arama veya mesajlaşma gibi ayrı bir iletişimle doğrulanmalıdır.
5. Ortadaki Adam (MITM) Saldırısı
Ortadaki adam saldırısı, bir siber suçlunun kişiler, uygulamalar ve hizmetler arasındaki iletişimi ele geçirdiği bir kimliğe bürünme saldırısıdır. MITM saldırıları, HTTPS bağlantıları, SSL/TLS bağlantıları veya güvenli olmayan Wi-Fi ağ bağlantıları aracılığıyla iki taraf arasındaki mesajları yakalar ve önemli verileri çalmaya çalışan sahte bir mesajı iletir.
Bir MITM kimliğe bürünme saldırısını başarıyla gerçekleştiren bir siber saldırgan, hassas bilgileri ve oturum açma kimlik bilgilerini gizlice dinleyebilir, istismar edebilir, değiştirebilir, iletişimleri engelleyebilir ve çalabilir. Başlıkta veya e-posta adresinde yazım hatası olmadığı için MITM saldırılarının tespit edilmesi de genellikle zordur.
Bir MITM saldırısı tarafından istismar edilmekten kaçınmak için kullanıcılar şunları yapmalıdır:
- Korumasız, halka açık Wi-Fi ağlarını (oteller, uçaklar ve kafeler gibi) kullanmaktan kaçınmak
- Güvenli olmayan, HTTPS olmayan web sitelerini kullanmaktan kaçının (genellikle tarayıcının üst kısmındaki bir sekme açılır penceresi aracılığıyla bildirilir)
- Herkese açık bir oturumdan sonra sohbet uygulamasından çıkış yapma
MITM Kimliğe Bürünme Nasıl Tanınır:
- Yine, olağandışı istekler hemen işaretlenmeli ve araştırılması için ağ yöneticisine gönderilmelidir. Bir talep doğrudan şahsen doğrulanamadıkça, ayrı bir iletişim şekli kullanılarak nihai bir onay alınana kadar herhangi bir işlem yapılmamalıdır.
- BT güvenlik ekipleri, bir MITM saldırısından yetkisiz erişimi hızlı bir şekilde tespit etmek için aktif trafik ve ağ izleme kullanmalıdır.
6. Smishing ve Vishing
SMS metin mesajları yoluyla gerçekleştirilen kimlik avı saldırıları, "smishing" veya SMS kimlik avı olarak da bilinir. Smishing metinleri genellikle hedefin cep telefonuna bulaşabilecek virüsler, casus yazılımlar veya reklam yazılımları içeren kötü amaçlı bağlantılar içerir. Saldırgan ayrıca, kurbanı metnin meşruiyetine inanması için yanıltabilecek kişisel veya profesyonel bir bağlantıdan geliyormuş gibi davranabilir.
>Sesli kimlik avı olarak da bilinen vishing, devlet kurumları veya diğer işletmeler gibi önemli taraflardan olduğunu iddia eden saldırganlar tarafından kullanılır. Saldırgan, telefon görüşmesini kişisel olarak yapabilir veya sahte aramaları gerçekleştirmek için otomatik bir sistem kullanabilir. Yapılacak en iyi şey, bilinmeyen numaraları görmezden gelmek veya telefonla yapılan herhangi bir talebi kabul etmeyi reddetmektir.
Bu tür kimliğe bürünmeyi durdurmak zordur çünkü arayan kimliği ve telefon numarası doğrulamasının nasıl çalıştığındaki kusurlardan yararlanır.
Kimliğe bürünme saldırılarını nasıl tespit eder, önler ve bu saldırılara karşı nasıl korunulur?
Kuruluşlar, bireyler ve işletmeler, erken tespit ve siber güvenlik eğitimi yoluyla kimliğe bürünme saldırılarından ve kimlik avı dolandırıcılıklarından korunabilir. Yapay zeka yazılımı kimliğe bürünme girişimlerini tanıyıp filtreleyebilse de, en iyi sonuçlar ve önleme uygulamaları için siber eğitim ve öğretimi sürdürmek önemlidir.
Güvenlik Farkındalığı Eğitimi
Kuruluşlar ve şirketler, kimliğe bürünme saldırıları da dahil olmak üzere tüm siber tehditler hakkında çalışanlar için düzenli eğitim ve öğretim programları yürütmelidir. Güvenlik farkındalığı eğitimi, güvenli parolalar oluşturma, dolandırıcılık girişimlerini tanıma veya internette güvenli bir şekilde gezinme gibi en iyi güvenlik uygulamalarını da içermelidir.
Özel E-posta Etki Alanlarını Kullanma
İşletmeler, Gmail veya Yahoo gibi yaygın e-posta servis sağlayıcılarını kullanmak yerine işletme adlarıyla özel e-posta alan adları oluşturmayı düşünmelidir. Bu, kuruluşların hesapları ve verileri doğrudan yönetmesine olanak tanıyarak, kullanıcı izinlerini yönetirken aynı zamanda e-posta verileri üzerinde daha fazla gözetim ve kontrol sunar. Özel alan adları ayrıca genellikle tüketici e-posta sağlayıcılarından daha fazla iş odaklı güvenlik önlemine sahiptir.
E-posta Güvenliği Çözümlerini ve Yazılımlarını Uygulama
Kötü amaçlı yazılımdan koruma ve istenmeyen posta önleme yazılımı gibi e-posta güvenlik araçları, işletmelerin çalışanlarını sahte e-postalardan korumasına ve kullanıcıların potansiyel olarak tehlikeli e-postaları, bağlantıları ve ekleri açmasını engellemesine yardımcı olabilir.
Kuruluşlar, kimliğe bürünme önleme DNS (alan adı sunucusu) kimlik doğrulama hizmetlerini aşağıdaki gibi analiz protokolleriyle kullanabilir:
- DKIM (alan anahtarları tarafından tanımlanan posta)
- SPF (gönderen politikası çerçevesi)
- DMARC (alan adı tabanlı ileti kimlik doğrulaması)
Bu protokoller, olası kimlik avı ve sahte gönderen e-posta adreslerini tanımlayabilir ve engelleyebilir.
Yapay Zeka Odaklı ve Otomatik Yazılım
Birçok kuruluş, e-postaları taramak ve olası kimliğe bürünme saldırılarını kullanıcının gelen kutusuna ulaşmadan önce tespit etmek için genellikle otomatik yazılım ve proaktif tehdit istihbaratı kullanır. Yazılım bunu genellikle çapraz referans vererek ve e-posta içeriğini kayıtlı kimlik avı komut dosyalarıyla karşılaştırarak yapar.
Kimliğe Bürünme Saldırılarını Bildirme
Tüm çalışanlar, kendilerinin veya iş arkadaşlarının saldırıların hedefi olduğunu hissederlerse, kimliğe bürünme saldırılarını derhal bir BT departmanına bildirmelidir. Tüm kuruluşlar, kimliğe bürünme saldırısı risklerini hızlı bir şekilde belirlemek ve ortadan kaldırmak için raporlama süreçleri ve acil eylem adımları ile ilgili temel güvenlik protokollerine sahip olmalıdır.
Kuruluşlar ve kullanıcılar ayrıca büyük ölçekli kimliğe bürünme saldırılarını Kimlik Avı Önleme Çalışma Grubu, Federal Ticaret Komisyonu veya CISA (Siber Güvenlik ve Altyapı Güvenliği Ajansı) gibi siber suç kuruluşlarına bildirebilir.
Çift Kontrollü İşlemlerin Uygulanması
Çift kontrollü işlem sistemleri, giden ödeme sürecini başlatan ve doğrulayan olmak üzere iki kısma ayırarak hileli işlemlere karşı çalışır.
Onaylayan veya doğrulayıcı ödeme sürecini doğrulayıp onaylarken, başlatan banka havalesi veya ACH yoluyla ödeme talebinde bulunmaktan sorumludur. Onaylayan ayrıca faturanın gerçekliğini bağımsız olarak doğrulayabilir.
Bu ikili sistem, bir çalışana ödeme süreci üzerinde tam kontrol vermekten daha güvenlidir ve tüm işlemin yasal süreç boyunca doğrulanmasını ve onaylanmasını sağlar.
Yanlış Alan Adlarını ve Altyapıyı Kaldırma
Kimliğe bürünme saldırılarına karşı en zor adımlardan biri, saldırıların kaynaklandığı sahte e-posta alanlarını aktif olarak bulmak, raporlamak ve kaldırmaktır.
Ancak bu süreç, işletmelerin veya bireylerin sahte web sitelerini, e-postaları veya sosyal medya hesaplarını alan adını veya kimliğine bürünen hesabı barındıran hizmet sağlayıcılara bildirmesini gerektirdiğinden zaman alıcı ve zorlu olabilir.