Gelişen teknoloji, faydalarının yanı sıra bizlere birçok tehdit unsuru da oluşturuyor. Bu tehditlerden biri de dijital dolandırıcılıktır. Sahte SMS ve e-postalar aracılığıyla gerçeklik payı olmayan teklifler sunularak kişileri kandırmaya çalışılır. Birçok kişinin yanı sıra şirketler de bu dolandırıcıların hedefi olabilmektedir. Özellikle şirketlerin satın alma, ithalat, ihracat ve mali işler departmanları ile şirketlerin üst düzey yöneticileri için sosyal mühendislik kendisini “CEO Fraud” ya da “phishing” olarak olarak gösteriyor.
CEO Fraud ve Phishing Nedir?
Phishing oltalama saldırısı olarak Türkçe'ye çevrilmiş, internetin en eski ve en etkili saldırı türlerinden biridir. Phishing, genel olarak kişinin parolasını, banka hesabını veya kredi kartı bilgilerini öğrenmek amacıyla kullanılır. Saldırgan tarafından özel olarak hazırlanan phishing saldırılarında internet kullanıcılarının e postaları, adeta kurumsal bir yerden gelen e-postalar olarak gözükür ve bu aslında kullanıcının kişisel bilgilerine erişmek için atılan yemdir. Phishing saldırılarında kullanılan yem genellikle maaş zammı, hediye, ücretsiz tatil, para ödülü gibi kullanıcıya cazip gelebilecek içerikler oluşturulur. Kredi kartı kopyalanması, güvenli olmayan internet sitesi üzerinden kart bilgilerinin çalınarak işlem yapılması gibi otomatik dolandırıcılık yöntemlerinden farklı olarak sosyal mühendislik adıyla nitelendirilen CEO Fraud ve Phishing mağdurunu seçtiğinde ona zaman ayırmayı tercih ediyor. Elektronik posta şifrelerini öğrenerek ya da başka yollarla yazışmalar sırasında sisteme sızan kötü niyetli kişiler bir süre bu yazışmaları takip ederek tarafların rol, sorumluluk ve alışkanlıklarını öğreniyor. Daha sonrasında ise ödeme faslına gelindiğinde kopyalanmış e-posta adresi ya da benzer bir e-posta adresi ile yazışma arasına girerek istediği kişiye hiç şüphe uyandırmayan ve içerik olarak alışıldık ancak sahte yeni talimatlar vererek menfaat elde etmeye çalışıyor. Kötü niyetli kişiler en karlı müşteriniz ya da patronunuz kılığında bir anda size garip bir talimat vermeye başlıyor. Bu nedenle de bu dolandırıcılık modeline CEO fraud adı verilmiş. Sanal yaşam içerisinde siber saldırganlara karşı kendimizi ve kurumlarımızı korumak zorundayız. Bu noktada karşımıza “Siber Güvenlik” tanımı çıkıyor. Genel tanımlama ile siber güvenlik, alt yapısı bilişim sistemleri olan siber ağlar üzerinde yaşanan hayatın güvenliğinin sağlanması, bütünlüğünün ve gizliliğinin korunmasıdır.
CEO Fraud ve Phishing’ten Nasıl Korunabiliriz?
CEO Fraud ve Phishing için hangi senaryoların kullanıldığı konusunda bilinçli olursak tehlikeye karşı farkındalığımız da artar.
1. Hesap Güncelleme Bağlı olduğunuz kuruma ait bilgilerinizin dönem dönem güncellenmesi söz konusudur. Bu güncellemeler çoğunlukla size e-posta olarak ulaştırılır ve gerekli yönlendirmelerle güncelleme işlemlerini tamamlamanız istenir. Bu e-postalarda kişinin şifreleri direkt e-posta aracılığı ile istenebileceği gibi sahte oluşturulan bir şifre sıfırlama bağlantısı da gönderilebilir. Her iki yöntemle de amaç, kullanıcı şifresini ele geçirmektir.
2. Kredi Kartı ile Oyuna Davet Hiç katılmadığınız bir çekiliş veya bir yarışmada ürün kazandığınıza dair verilen mesaj ile kullanıcıların dikkatinin çekilmeye çalışıldığı bu yöntemde gerekli kargo ücretinin ödenmesi istenir ve kredi kartı bilgilerinin girilmesi için yönlendirmeler yapılır. Bu tür durumlarda hem kimlik bilgileri hem de hesap bilgilerine ulaşılmaya çalışılmaktadır. Böylece hem kişisel bilgileriniz hem de kredi kartı bilgilerini elde edilir. Bazen de kredi kartınıza ait bilgilerin güncellenmesi gerektiği ile ilgili e-posta gönderilebilir.
Phishing saldırılarının anlaşılması için birkaç ipucu: 1.Zayıf Dil Bilgisi: Oltalama saldırıları kapsamında gönderilen e-postalarda genelde yazım kuralları ve dil kuralları özenli değildir. Oysa gerçek şirket ve kurumlar bu içeriklerde dil kuralları ile yazım yanlışı olmaması önemli bir husustur.
2.Sahte Linkler: E-Mail adresinize gelen bir e-posta içerisinde başka bir siteye yönlendirilmek için tıklanmanız istenen bağlantı veriliyorsa, bu yüksek ihtimalle bir oltalama saldırısıdır.
3.Baskıcı İfadeler: Oltalama saldırılarında kullanıcıların psikolojilerinde hemen harekete geçmelerini sağlamak amacıyla bazı ifadeler yer alır. Örneğin, “Hemen şimdi tıkla!”, “24 saat içerisinde hakkın sona erecek” gibi baskıcı ifadelerin, bir phishing saldırısından kaynaklı olduğunu anlayabilirsiniz. Talimat verme ve kriz yaratma konusunda usta olan hackerlara karşı her zaman için sakin kalıp, önceden planlanmış ek kontrol sistemlerini uygulamak, olağandışı talimatlar karşısında şirket çalışanlarına izlenmesi gereken yollara ilişkin bir duyuru yayınlamak itibar ve maddi kayıpları önleyebilecektir. Bu durumun gerçekleşmiş olması halinde ise öncelikle bankaya durumu haber vermek sonrasında ise ivedi bir şekilde savcılığa suç duyurusunda bulunulması gerekmektedir. Global dünyada hackerların farklı ülkelerden bu tür hamleler yapması daha yaygın olmakla birlikte maddi kaybı en aza indirmek için paranın takibi büyük önem arz etmektedir. Bu nedenle hızlı hareket etmek ve hackerların göz dikmiş olduğu parayı yurt dışına çıkmadan durdurmak uygulamada kolaylık sağlamaktadır. Zira yurt dışı para transferleri ile yurt dışı alacaklarda yargı yeri sorunu bulunmaktadır. Bu nedenle aynı gün içerisinde mahkeme aracılığı ile bir tedbir kararı aldırabilmek transfer edilen paranın hareketinin önüne geçilmesi ve sonrasında takibi son derece büyük önem arz etmektedir. Kötü niyetli kişilerin bazı bilgileri bir bilişim sistemine girerek alması, bilişim sistemini tahrip etmesi halinde ise avukatınıza danışarak Türk Ceza Kanunu’nun ilgili maddelerinin uygulanmasını sağlayabilirsiniz. Ancak pratikteki sorununun yani kendilerini iyi maskeleyen hackerların tespiti çoğu zaman oldukça zor olmaktadır. Bu nedenle devlet dairelerinden veya güven duyduğunuz kişilerden gelmiş gibi görünen şüpheli mesajlara karşı dikkat etmeniz oldukça önemlidir.
