ESET: “Ofis Çalışanları Kimlik Avı Taarruzlarına Karşı Korunmalı”

Samuag

New member
ESET Tehdit Raporu D1 2022’ye nazaran, e-posta tehditlerinde 2021’in son dört ayına kıyasla, 2022’nin birinci dört ayında yüzde 37’lik bir artış görüldü. Engellenen kimlik avı URL’lerinin sayısı neredeyse tıpkı oranda arttı.

Kimlik avı dolandırıcılıkları saldırganların makus gayeli yazılım yüklemek, kimlik ayrıntılarını çalmak ve kullanıcıları kurumsal para transferleri yapmaları için kandırmak emeliyle kullandıkları en başarılı yollardan biri olmaya devam ediyor. Dolandırıcılar yasal göndericileri taklit etmelerine yardımcı olan uydurma e-posta taktikleri kullanılıyorlar. Alıcıyı, kelam konusu hareketin sonuçlarını düşünmeden harekete geçirmek için ivedi etmesini sağlayacak biçimde tasarlanmış toplumsal mühendislik tekniklerinden yararlanıyorlar.

  • Sahte gönderici kimlikleri / tesir alanları / telefon numaraları ve kimi vakit de yazım yanılgıları ya da uluslararasılaştırılmış alan isimleri (IDN’ler) kullanma
  • Kimlik avı teşebbüsleri olarak tespit edilmesi neredeyse imkansız olan ele geçirilmiş gönderici hesapları
  • Hedefe yönelik kimlik avı teşebbüslerini daha inandırıcı hale getirmek için çevrimiçi araştırma (sosyal medya aracılığıyla)
  • Resmi logolar, üst bilgiler, alt bilgiler vb. kullanılması
  • Kullanıcıyı çabukla karar vermeye iten bir aciliyet yahut heyecan duygusu yaratmak
  • Gönderenin gerçek amacını gizleyen kısaltılmış bağlantılar
  • Yasal görünümlü giriş portalları, web siteleri vb. oluşturma
Son yayımlanan Verizon DBIR raporuna bakılırsa, geçen yıl güvenlik olaylarının büyük kısmından dört vektör sorumluydu: Kimlik ayrıntıları, kimlik avı, güvenlik açıklarından yararlanma ve botnet’ler. Bunlardan birinci ikisi insan yanlışı ile ilgili. Raporda incelenen toplam ihlallerin dörtte biri (%25), toplumsal mühendislik hücumlarının kararıydu. İnsan kusurları ve ayrıcalığın berbata kullanılmasıyla bir ortaya geldiğinde, insan ögesi tüm ihlallerin %82’sini oluşturuyordu.


Kimlik avı akınları son iki yılda daha da büyük bir tehdit haline geldi. Muhtemelen yamanmamış ve yetersiz korunan aygıtlara sahip dikkati dağınık ve meskenden çalışan bireyler, tehdit aktörleri tarafınca zalimce maksat alındı. Nisan 2020’de Google, dünya çapında her gün 18 milyon kadar berbat hedefli ve kimlik avı e-postasını engellediğini tez etti.

Bu çalışanların birden fazla ofise geri döndükçe, daha fazla sayıda SMS ile kimlik avı (smishing) ve sesli arama tabanlı kimlik avı (vishing) saldırısına maruz kalmaları riski de kelam konusu. Hareket halindeki kullanıcıların linklere tıklamaları ve açmamaları gereken ek belgeleri açma olasılıkları daha yüksek olabilir. Bu durum ise şunlara yol açabilir:

  • Fidye yazılımı indirmeleri
  • Bankacılık Truva Atları
  • Veri hırsızlığı/ihlalleri
  • Kötü emelli kripto madenciliği yazılımları
  • Botnet dağıtımları
  • Takip eden akınlarda kullanılmak üzere ele geçirilen hesaplar
  • Sahte faturalar/ödeme isteklerine bağlı olarak para kaybedilmesiyle sonuçlanan iş e-postalarının ele geçirilmesi (BEC)
Finansal ve prestiji yansımaları epeyce büyüktür. Bir data ihlalinin ortalama maliyeti bugün rekor bir düzey olan 4,2 milyon doların üzerindeyken, kimi fidye yazılımı ihlalleri bunun birkaç kat üstüne mal olmaktadır.

ESET Türkiye Eser ve Pazarlama Müdürü Can Erginkurban

ESET Türkiye Eser ve Pazarlama Müdürü Can Erginkurban, eğitimin her vakit kıymetli olduğunu vurgulayarak şunları söylemiş oldu: Çalışanlara yönelik taarruzların önüne geçebilmek için sistemli eğitimler gerçekleştirilmelidir. Kimlik avı farkındalığı eğitimi, toplumsal mühendislik tehditleriyle gayrete yönelik epeyce katmanlı bir stratejinin sadece bir modülü olmalıdır. En eğitimli işçi bile, kimi vakit karmaşık dolandırıcılıkların kurbanı olabilir. Bu yüzden güvenlik denetimleri de değerlidir. Oltalama taarruzlarına karşı kurumunuzu korumak istiyorsanız çalışanlarınızı kesinlikle eğitimlerle desteklemelisiniz.