Hedefli kimlik avı, geniş kitlelere gönderilen genel kampanyaların aksine belirli bir kişiye ya da küçük bir gruba özel hazırlanan saldırıdır. Saldırgan hedefi önceden araştırır, çalıştığı birimi, yürüttüğü projeleri ve iletişimde olduğu kişileri öğrenir. Mesaj bu bilgilerle şekillendiği için alıcının beklediği bir iletişime benzer. Bu benzerlik, saldırının başarı oranını belirgin biçimde yükseltir.

Genel kampanyalarda binlerce kişiden birkaçının tuzağa düşmesi yeterlidir; hedefli saldırıda ise tek bir kişinin ikna edilmesi hedeflenir. Bu nedenle mesaj sayısı azdır ve toplu gönderim işaretleri taşımaz. Az sayıda gönderim, hacim tabanlı denetimlerin de devreye girmemesine yol açar. Sonuçta mesaj çoğu zaman kullanıcının önüne kadar ulaşır.

Hedefli Kimlik Avı Nedir?

Hedefli kimlik avı (spear phishing), saldırganın hedef kişi hakkında topladığı bilgileri kullanarak inandırıcılığı artırılmış, kişiye özel hazırlanmış kimlik avı saldırısıdır.

Saldırı, teknik bir zafiyet sömürmek yerine güven ilişkisini kullanır. Alıcı, mesajın tanıdığı bir kişiden ya da bildiği bir süreçten geldiğini düşündüğü için sorgulama refleksi zayıflar. Kimlik avı ailesinin en başarılı türü olmasının nedeni budur. Kurumsal olayların önemli bir bölümü bu şekilde başlar.

Nasıl Hazırlanır?

Hazırlık, hedef hakkında açık kaynaklardan bilgi toplamakla başlar. Kurumsal web sitesi, mesleki ağlar, basın bültenleri ve sosyal medya paylaşımları saldırgana isim, unvan, proje ve iletişim ilişkileri sağlar. Bu bilgiler, hangi bahanenin inandırıcı olacağını belirler. Toplama aşaması saldırının en uzun bölümü olabilir.

İkinci aşamada bahane kurgulanır. Yaklaşan bir denetim, süregelen bir tedarikçi görüşmesi ya da yeni açıklanan bir iç duyuru bahane olarak kullanılabilir. Mesajın zamanlaması da bu kurguya göre seçilir; yoğun dönemler ve tatil öncesi günler tercih edilir. Zamanlama, alıcının dikkatinin düşük olduğu anı yakalamayı amaçlar.

• Hedefin adı, unvanı ve raporlama hattının doğru kullanılması
• Gerçek bir proje ya da süreç adına atıf yapılması
• Tanıdık bir kişiden geliyormuş gibi görünen gönderen adı
• Kurum içi yazışma diline ve imza formatına benzeyen biçim
• Doğrulanması zor ama makul bir aciliyet gerekçesi

Nasıl Tespit Edilir?

Az sayıda gönderim yapıldığı için hacim temelli tespit çalışmaz; bu nedenle içerik ve bağlam analizi öne çıkar. Gönderen alan adının yeni kaydedilmiş olması, görünen ad ile gerçek adres arasındaki fark ve kurum dışından gelen mesajların işaretlenmesi etkili sinyallerdir. Yanıt adresinin gönderen adresinden farklı olması da güçlü bir uyarıdır. Bu kontroller e-posta ağ geçidinde otomatik uygulanabilir.

İkinci tespit yolu kullanıcıdır. Kendisine tuhaf gelen bir talebi doğrulama alışkanlığı kazanmış bir çalışan, en gelişmiş teknik denetimden daha etkili olabilir. Bunun için bildirim kanalının kolay ulaşılabilir olması ve bildirimlere geri dönüş yapılması gerekir. Cezalandırıcı değil destekleyici bir yaklaşım, bildirim oranını yükseltir.

Korunma Yöntemleri

Teknik tarafta alan adı doğrulama kayıtlarının doğru yapılandırılması ilk adımdır. DMARC politikası uygulandığında kurum adına yapılan sahte gönderimler belirgin biçimde azalır. Kimlik tarafında ise kimlik avına dayanıklı doğrulama yöntemleri, çalınan parolanın işe yaramamasını sağlar. İki önlem birlikte, saldırının hem giriş hem sonuç adımını zayıflatır.

Süreç tarafında en etkili önlem, kritik işlemler için ikinci kanaldan doğrulama kuralıdır. Ödeme bilgisi değişikliği, yetki talebi ya da hassas veri paylaşımı gibi işlemlerde telefonla teyit zorunlu kılınır. Bu kural yazılı olduğunda çalışan, yöneticiden gelen bir talebi doğrulamakta tereddüt etmez. Kuralın istisnasız uygulanması, sosyal mühendisliğin en güçlü kozunu elinden alır.

Hangi Roller Daha Çok Hedef Alınır?

Saldırganlar rastgele çalışan seçmez; erişimi ya da yetkisi işlerine yarayacak rolleri tercih eder. Finans ve muhasebe personeli ödeme yetkisi nedeniyle, insan kaynakları personeli çalışan verisine erişimi nedeniyle, sistem yöneticileri ise altyapı yetkisi nedeniyle öne çıkar. Yeni işe başlayanlar da kurum içi süreçleri henüz bilmedikleri için sık hedef olur. Bu rollerin ayrı bir koruma ve eğitim programına alınması, kaynakların doğru yere yönlendirilmesini sağlar.

Satın alma ve tedarik birimleri de öncelikli hedefler arasındadır. Bu birimler dış kurumlarla sürekli yazışma hâlinde olduğu için, dışarıdan gelen bir mesaj onlar için olağandır. Aynı durum satış ve müşteri ilişkileri ekipleri için de geçerlidir. Dış iletişimi yoğun olan her birim, ek kontrol gerektirir.

Kimlik Avı Simülasyonlarında Dikkat Edilecekler

Simülasyonların amacı kullanıcıyı yakalamak değil, kurumun dayanıklılığını ölçmektir. Bu nedenle sonuçlar kişi bazında değil, birim ve senaryo bazında raporlanır. Tıklama oranı kadar bildirim oranı da ölçülür; hatta bildirim oranı daha anlamlı bir göstergedir. Kullanıcının hatayı fark edip bildirmesi, hiç tıklamamasından daha değerli bir kabiliyettir.

Senaryoların gerçekçi ama etik sınırlar içinde kalması gerekir. Çalışanların kişisel hassasiyetlerini istismar eden ya da gerçek bir kriz duygusu yaratan senaryolar, güven kaybına yol açar ve programın sürdürülebilirliğini bozar. Senaryo seçimi insan kaynaklarıyla birlikte yapılmalıdır. Farkındalık eğitimi programları bu dengeyi gözetir.

Privia Security olarak hedefli senaryolarla kurumların bu tür saldırılara dayanıklılığını ölçüyor, teknik ve süreç eksiklerini siber tatbikat raporlarıyla birlikte sunuyoruz.