İş e-postası ele geçirme, kurumsal bir posta hesabının ele geçirilmesi ya da inandırıcı biçimde taklit edilmesiyle yürütülen dolandırıcılık türüdür. Saldırganın amacı çoğunlukla bir ödemenin kendi hesabına yönlendirilmesidir. Zararlı yazılım kullanılmadığı için klasik güvenlik ürünleri bu saldırıyı yakalayamaz. Olay, teknik bir ihlalden çok bir güven ve süreç ihlali olarak gerçekleşir.

Saldırının en tehlikeli biçimi, gerçek bir hesabın ele geçirilmiş olmasıdır. Bu durumda mesaj gerçek adresten gelir, gerçek yazışma dizisine yanıt olarak yazılır ve kurumun yazışma diline birebir uyar. Alıcının şüphelenmesi için hiçbir teknik işaret bulunmaz. Bu nedenle savunma büyük ölçüde süreç tarafında kurulur.

İş E-postası Ele Geçirme Nedir?

İş e-postası ele geçirme (BEC), kurumsal bir e-posta hesabının ele geçirilmesi veya taklit edilmesiyle çalışanların yanıltılarak yetkisiz ödeme yapmaya ya da hassas bilgi paylaşmaya yönlendirildiği dolandırıcılık türüdür.

Saldırı genellikle uzun bir gözlem dönemiyle başlar. Hesaba erişim sağlayan saldırgan hemen harekete geçmez; yazışmaları izleyerek ödeme döngülerini, yetkili kişileri ve iletişim dilini öğrenir. Uygun an geldiğinde tek bir mesajla devreye girer. Bu sabır, saldırının başarı oranını yükselten temel etkendir.

Nasıl Gerçekleşir?

İlk adım genellikle bir kimlik avı kampanyasıdır; toplanan parolayla posta kutusuna erişim sağlanır. Erişim sonrası saldırgan çoğunlukla bir yönlendirme kuralı oluşturur ve belirli mesajları kendine ulaştırır. Aynı zamanda bu mesajları kullanıcının göremeyeceği bir klasöre taşıyarak varlığını gizler. Bu kurallar, olay incelemesinde ilk bakılan yerlerdendir.

İkinci adım, uygun bir ödeme yazışmasının seçilmesidir. Saldırgan gerçek bir fatura yazışmasına dahil olur ve hesap bilgisinin değiştiğini bildirir. Değişiklik gerekçesi makul tutulur: banka değişikliği, denetim süreci ya da geçici bir sorun. Alıcı, yazışmanın gerçekliğinden şüphe etmediği için bilgiyi günceller.

• Ele geçirilmiş hesaptan gerçek yazışmaya yapılan ödeme yönlendirmesi
• Tedarikçi taklidiyle gönderilen sahte fatura ve hesap değişikliği
• Yönetici taklidiyle istenen acil ve gizli transfer
• Bordro bilgisi değişikliği talebiyle maaş yönlendirmesi
• Hukuk bürosu ya da danışman taklidiyle gizli işlem bahanesi

Nasıl Önlenir?

Süreç tarafındaki tek etkili önlem, ödeme bilgisi değişikliklerinin ikinci kanaldan doğrulanmasıdır. Doğrulama, e-postadaki numaradan değil kayıtlı tedarikçi numarasından yapılır. Bu kural istisnasız uygulandığında saldırı zinciri kopar. Kuralın yazılı olması ve muhasebe ekibinin bunu uygulamakta yetkilendirilmiş olması gerekir.

Kimlik tarafında ise hesap ele geçirmenin zorlaştırılması hedeflenir. Kimlik avına dayanıklı doğrulama, eski protokoller üzerinden yapılan girişlerin kapatılması ve olağandışı konumlardan gelen erişimlerin izlenmesi bu kapsamdadır. Posta kutusu kurallarının değiştirilmesi olayının uyarı üretmesi de önemli bir tespit noktasıdır. Bu uyarı, saldırıyı ödeme aşamasından önce yakalayabilir.

Olay Yaşandığında Ne Yapılır?

İlk adım ödeme sürecinin durdurulması ve bankayla iletişime geçilmesidir. Hızlı müdahale, transferin geri çağrılma ihtimalini artırır. Aynı anda ilgili hesabın oturumları sonlandırılır ve kimlik bilgileri yenilenir. Olay ayrıca yasal bildirim yükümlülükleri açısından değerlendirilir.

İnceleme aşamasında posta kutusu kuralları, yetkilendirilmiş uygulamalar, delege erişimler ve giriş kayıtları taranır. Saldırganın ne zaman girdiği ve hangi yazışmalara eriştiği belirlenir; erişilen bilgiye göre ek bildirim gerekebilir. Müdahale adımlarının önceden yazılı olması süreci hızlandırır.

Neden Klasik Güvenlik Ürünleri Yakalayamaz?

Bu saldırıda zararlı dosya, zararlı bağlantı ya da sömürü kodu bulunmaz; yalnızca metin içeren bir e-posta vardır. İmza ve içerik tabanlı denetimler bu mesajda yakalayacak bir kalıp bulamaz. Mesaj gerçek bir hesaptan geliyorsa alan adı doğrulama kontrolleri de temiz sonuç verir. Bu nedenle teknik denetim katmanı tek başına yetersiz kalır.

Davranışsal analiz bir miktar katkı sağlayabilir. Alışılmadık saatte gönderilen, olağandışı bir konumdan yapılan ya da yazışma dilinden sapan mesajlar işaretlenebilir. Ancak bu sinyaller kesin değildir ve yanlış pozitif üretir. Bu nedenle son karar her zaman süreç kontrolüne bırakılır.

Posta kutusu tarafındaki değişikliklerin izlenmesi daha güvenilir bir tespit yoludur. Yeni bir yönlendirme kuralı oluşturulması, mesajların otomatik olarak silinmesi ya da nadiren kullanılan bir klasöre taşınması güçlü işaretlerdir. Bu olaylar uyarı üretecek biçimde yapılandırılmalıdır. Çoğu ortamda bu ayar varsayılan olarak kapalıdır.

Tedarikçi Tarafındaki Ele Geçirme

Olayların önemli bir bölümünde ele geçirilen hesap kurumun kendi hesabı değil, tedarikçisinin hesabıdır. Bu durumda mesaj gerçekten tedarikçinin gerçek adresinden gelir ve kurumun kontrol edebileceği hiçbir teknik işaret bulunmaz. Kurum, kendi güvenliğini ne kadar güçlendirirse güçlendirsin bu senaryoyu teknik olarak engelleyemez. Tek savunma, süreç doğrulamasıdır.

Bu nedenle tedarikçilerle çalışma kuralları sözleşmeye yazılmalıdır. Hesap bilgisi değişikliğinin nasıl bildirileceği, hangi kanaldan doğrulanacağı ve kimin yetkili olduğu önceden belirlenir. Kural iki taraf için de bağlayıcı olduğunda, doğrulama talebi bir güvensizlik göstergesi olarak algılanmaz. Üçüncü taraf risk yönetimi bu kuralları kapsar.

Tedarikçi kaynaklı olaylarda bilgi paylaşımı da önemlidir. Kurum kendi tarafında bir girişim tespit ettiğinde tedarikçiyi bilgilendirmeli, aynı beklentiyi karşı taraftan da talep etmelidir. Bu karşılıklı bildirim, zincirdeki diğer müşterileri de korur. Sözleşmeye bildirim süresi eklenmesi bu akışı düzenler.

Finansal Süreç Kontrolleri

Ödeme süreçlerinde uygulanacak kontroller, bu saldırıya karşı en güçlü savunmayı oluşturur. Yeni tedarikçi kaydı ile ödeme onayının farklı kişilerde olması, hesap bilgisi değişikliklerinin ikinci kanaldan doğrulanması ve belirli tutarın üzerindeki transferlerin çift onaya bağlanması temel kontrollerdir. Görevler ayrılığı ilkesi burada doğrudan uygulanır. Bu kontroller birlikte uygulandığında saldırı zinciri kopar.

Kontrollerin istisnasız uygulanması kritik önemdedir. “Acil” ifadesinin kontrolleri atlatmak için kullanılan en yaygın araç olduğu bilinmeli ve aciliyet hiçbir kontrolü ortadan kaldırmamalıdır. Çalışanların bu konuda geri adım atmaması, yönetimin açık desteğiyle mümkün olur. Politikada bu destek yazılı olarak ifade edilmelidir.

Privia Security olarak bu tür olaylarda kapsam belirleme ve müdahale çalışmalarınıolay inceleme ve olay müdahalesi kapsamında yürütüyoruz.