Sosyal Mühendislik ve Kimlik Avı

Sosyal mühendislik, teknoloji yerine insanları hedef alır. Saldırgan, güvenlik duvarlarını aşmak yerine güveni, korkuyu, merakı veya yardım etme isteğini kullanarak bir kişiyi bilgi, erişim veya para vermesi için kandırır.

Bu, içeri girmenin çoğu zaman en kolay yoludur: Birini parolayı kendi isteğiyle vermeye ikna edebilecekken neden parolayı kırmaya çalışasınız? İnsanlar güvenlikte sıklıkla en zayıf halkadır.

Oltalama, en yaygın sosyal mühendislik saldırısıdır: Güvenilir bir kaynaktan geliyormuş gibi görünen sahte e-postalar veya mesajlar, kurbanları kötü amaçlı bağlantılara tıklamaya, bulaşmış ekleri açmaya ya da sahte sitelerde kimlik bilgilerini girmeye yönlendirir.

Bir oltalama e-postası bankanızı veya IT departmanınızı taklit ederek aciliyet hissi oluşturabilir ve düşünmeden önce harekete geçmenizi sağlayabilir. Bu saldırı geniş bir ağ atarak aynı anda çok sayıda kişiye gönderilir.

Hedefli türler daha tehlikelidir. Hedefli oltalama, mesajı belirli bir kişiye göre uyarlar ve kişi hakkındaki ayrıntıları kullanarak çok daha inandırıcı hâle gelir. Balina avı, CEO'lar gibi yüksek değer taşıyan yöneticileri hedef alır.

Bu mesajlar kişiselleştirilmiş ve iyi araştırılmış olduğundan, genel oltalama mesajlarına göre fark edilmeleri çok daha zordur ve toplu kampanyaların başarısız olduğu durumlarda bile başarılı olabilirler.

Oltalama yalnızca e-postayla yapılmaz. Sesli oltalama (telefonla oltalama), sahte bir destek görevlisinin parolaları almaya çalışması gibi telefon görüşmelerini kullanır. SMS oltalaması (SMS yoluyla oltalama) kötü amaçlı bağlantılar içeren kısa mesajları kullanır.

Saldırganlar farklı iletişim kanallarına yayılır; çünkü insanlar şüpheli bir e-postaya güvenmeyebilir, ancak özellikle acil göründüğünde bir telefon görüşmesini yanıtlamaya veya kısa mesajdaki bağlantıya dokunmaya daha kolay ikna olabilir.

Bahane uydurma, bilgi elde etmek için inandırıcı bir senaryo oluşturur; örneğin bir saldırgan, bir sorunu çözmek için oturum açma bilgilerinizi doğrulaması gerektiğini söyleyen BT desteği görevlisi kılığına girebilir. Kimliğe bürünme, yüz yüze veya uzaktan güvenilen başka biriymiş gibi davranmak anlamına gelir.

Uydurulan bağlam, mağdurun temkinini azaltarak normalde sorgulayacağı taleplere uymasını sağlar.

Sosyal mühendisliğin bazı biçimleri fizikseldir. Peşine takılma (veya piggybacking), yetkili bir kişinin güvenli bir kapıdan kartını okutmak zorunda kalmadan arkasından içeri girmektir. Omuz sörfü, birinin parola veya PIN yazmasını izlemektir.

Çöplük karıştırma, atılmış kâğıt ve cihazlardan hassas bilgileri kurtarmaktır. Bunlar, güvenliğin yalnızca bilgisayarları değil, fiziksel çevrenin farkında olmayı da kapsadığını hatırlatır.

Yemleme, meraklı birinin onu cihazına takıp makinesine kötü amaçlı yazılım bulaştırmasını umarak otoparka bırakılmış ve üzerinde Payroll yazan bir USB sürücüsü gibi cazip görünen bir şey sunar.

Karşılık bekleme, bilgi veya erişim karşılığında bir yarar teklif eder; örneğin sahte teknik destek, kendilerine uzaktan erişim vermeniz karşılığında yardım sözü verebilir. Her ikisi de insanların kazanç veya yardım elde etme arzusunu istismar eder.

Sosyal mühendislik, psikolojiyi istismar ederek başarılı olur: otorite (yetkili görünen kişilere itaat ederiz), aciliyet (baskı altında hızlı davranırız), korku, güven ve yardımseverlik.

Bu tetikleyicileri tanımak ilk savunma adımıdır. Bir mesaj sizi hemen harekete geçmeye veya normal prosedürü atlamaya zorluyorsa, bu baskının kendisi durup düşünmeye değer bir uyarı işaretidir.

En iyi savunmalar insanlara ve prosedürlere dayanır:

• Kullanıcıların saldırıları tanıması için güvenlik farkındalığı eğitimi.
• Bir talebi yerine getirmeden önce bilinen bir numarayı geri aramak gibi doğrulama prosedürleri.
• Çalınan bir parolanın tek başına yeterli olmaması için çok faktörlü kimlik doğrulama.
• Şüpheli taleplerin sorgulanmasını cezalandırmak yerine teşvik eden bir kültür.

Uyarı işaretleri arasında beklenmedik aciliyet, genel hitaplar, yazım ve dil bilgisi hataları, uyuşmayan veya tuhaf gönderen adresleri, gerçek hedefi metinden farklı olan bağlantılar ve kimlik bilgileri ya da ödeme talepleri bulunur.

Tıklamadan önce gerçek URL'sini incelemek için imleci bir bağlantının üzerine getirmek ve alışılmadık talepleri ayrı bir kanal üzerinden doğrulamak, kimlik avı girişimlerinin çoğunu daha baştan durdurur.

Sosyal mühendislik, makineler yerine insanları hedef alır; bunun için kimlik avı (ayrıca hedefli kimlik avı, balina avı, sesli kimlik avı ve kısa mesajla kimlik avı), bahane uydurma, yemleme, peşine takılma ve daha fazlasını kullanır. Otoriteyi, aciliyeti, korkuyu ve güveni istismar eder. Savunmaların temelinde insanlar vardır: farkındalık eğitimi, doğrulama prosedürleri ve çok faktörlü kimlik doğrulama.

Sosyal mühendislik, teknoloji yerine insanları manipüle eder. Kimlik avı ve çeşitleri (hedefli kimlik avı, balina avı, sesli kimlik avı, kısa mesajla kimlik avı) ile bahane uydurma, yemleme ve peşine takılma; otoriteyi, aciliyeti ve güveni istismar eder. Savunmalar insan odaklıdır: farkındalık eğitimi, doğrulama prosedürleri ve çok faktörlü kimlik doğrulama.