Smishing, kimlik avı saldırılarının kısa mesaj kanalı üzerinden yürütülen biçimidir. Adı, SMS ve phishing kelimelerinin birleşiminden gelir. Amaç e-posta ile yapılanla aynıdır: kullanıcıyı bir bağlantıya tıklamaya, bilgi paylaşmaya ya da bir uygulama kurmaya ikna etmek. Değişen tek şey, mesajın ulaştığı kanal ve bu kanalın sunduğu avantajlardır.

Kısa mesaj kanalı saldırgan açısından birkaç avantaj taşır. Mesajlar telefonda okunduğu için bağlantının gerçek hedefini görmek zordur, kurumsal güvenlik denetimleri çoğu zaman bu kanalı kapsamaz ve kullanıcılar kısa mesaja e-postaya göre daha fazla güvenir. Ayrıca mesajların açılma oranı e-postadan belirgin biçimde yüksektir. Bu üç etken, kanalı cazip kılar.

Smishing Nedir?

Smishing, kısa mesaj yoluyla gönderilen ve alıcıyı sahte bir siteye yönlendirerek ya da bir eylemde bulunmaya ikna ederek bilgi veya erişim elde etmeyi amaçlayan kimlik avı saldırısıdır.

Saldırı, kurumsal ortamda çoğunlukla kişisel cihazlar üzerinden gerçekleşir. Çalışan, kurumsal e-postasını kişisel telefonunda okuyorsa, telefona gelen bir mesaj kurumsal hesabı hedef alan bir saldırının başlangıcı olabilir. Bu nedenle smishing yalnızca bireysel bir sorun değildir. Kurumun kimlik altyapısı, kişisel cihazlardaki bu kanaldan etkilenebilir.

Tipik Senaryolar

En yaygın senaryo kargo bildirimidir. Bekleyen bir gönderinin teslim edilemediği, küçük bir gümrük ya da teslimat ücretinin ödenmesi gerektiği bildirilir. Çoğu kişi bir kargo beklediği için mesaj inandırıcı gelir. Yönlendirilen sayfa kart bilgisi toplar ya da zararlı bir uygulama kurdurur.

İkinci senaryo banka ve ödeme bildirimleridir. Hesapta şüpheli bir işlem tespit edildiği belirtilerek doğrulama istenir; bağlantı bankanın giriş sayfasının kopyasına gider. Bazı kampanyalar tek kullanımlık kodu da anlık olarak toplar ve saldırgan bu kodu gerçek siteye girerek oturum açar. Bu yöntem, kod tabanlı doğrulamanın neden yeterli olmadığını gösterir.

Üçüncü senaryo kurum içi bildirim taklididir. Bilgi işlemden geldiği söylenen bir mesaj, parolanın süresinin dolduğunu ve verilen bağlantıdan yenilenmesi gerektiğini bildirir. Kurumsal alan adına benzeyen bir adres kullanıldığında ayırt etmek güçleşir. Bu senaryo özellikle uzaktan çalışan ekiplerde etkili olur.

• Kargo ve teslimat bildirimi görünümlü küçük ödeme talepleri
• Banka ya da ödeme kuruluşu adına gönderilen şüpheli işlem uyarıları
• Kamu kurumu adına gönderilen ceza, borç ya da destek bildirimleri
• Kurum bilgi işlem birimi taklidiyle parola yenileme yönlendirmesi
• Ödül, çekiliş ve kampanya bahaneli bilgi toplama sayfaları
• Anlık mesajlaşmaya taşınmayı öneren ve sohbeti kanal dışına çeken mesajlar

Neden Tespit Edilmesi Zordur?

Kısa mesaj kanalında kurumsal denetim imkânları oldukça sınırlıdır. E-postada uygulanan alan adı doğrulama, bağlantı yeniden yazma ve ek analizi gibi kontrollerin karşılığı bu kanalda büyük ölçüde yoktur. Operatör tarafındaki filtreler yalnızca bilinen kalıpları yakalayabilir. Bu nedenle savunmanın ağırlığı kullanıcı davranışına ve kimlik katmanına kayar.

İkinci zorluk, mobil arayüzün kısıtlı olmasıdır. Bağlantının tam adresi görünmez, kısaltma servisleri hedefi gizler ve sayfa açıldığında adres çubuğu dar bir alanda görüntülenir. Sahte sayfaların görsel olarak birebir kopyalanması bu zorluğu artırır. Kullanıcının fark etmesi için ayrıca dikkat göstermesi gerekir.

Üçüncü zorluk, gönderen kimliğinin taklit edilebilmesidir. Mesaj başlığında kurum adının görünmesi, mesajın gerçekten o kurumdan geldiğini kanıtlamaz. Aynı başlık altında hem gerçek hem sahte mesajlar aynı konuşma dizisinde yan yana görünebilir. Bu durum, kullanıcının doğrulama yapmasını daha da güçleştirir.

Kurumsal Korunma

Kurum tarafında en etkili önlem, kimlik katmanının bu kanaldan bağımsız hâle getirilmesidir. Kısa mesajla gönderilen kodlar yerine, alan adına bağlı çalışan doğrulama yöntemleri kullanıldığında saldırgan topladığı kodu kullanamaz. Bu geçiş özellikle yönetici ve ayrıcalıklı hesaplarda önceliklidir. Çok faktörlü kimlik doğrulama yönteminin seçimi burada belirleyici olur.

İkinci önlem, kurumun kendi iletişim kurallarını netleştirmesidir. Bilgi işlem biriminin hiçbir koşulda kısa mesajla parola yenileme bağlantısı göndermeyeceği çalışanlara açıkça duyurulur. Bu kural bilindiğinde, aksi yönde gelen her mesaj kendiliğinden şüpheli hâle gelir. Kuralın kurum içinde tutarlı uygulanması şarttır.

Üçüncü önlem, bildirim kanalının mobil için de çalışır olmasıdır. Çalışanın şüpheli bir mesajı kolayca iletebileceği bir numara ya da uygulama bulunmalıdır. Gelen bildirimler incelenip sonuç geri bildirildiğinde katılım artar. Bu geri bildirim döngüsü, kurumun erken uyarı sistemini oluşturur.

Bireysel Önlemler

Bireysel düzeyde en etkili alışkanlık, mesajdaki bağlantıyı hiç kullanmamaktır. İlgili kurumun uygulaması ya da bilinen adresi üzerinden aynı bilgiye ulaşılabiliyorsa, mesajın doğruluğu orada kontrol edilir. Bu alışkanlık tüm senaryoları tek hamlede etkisiz kılar. Öğretilmesi de kolaydır.

İkinci alışkanlık, hiçbir doğrulama kodunu paylaşmamaktır. Hiçbir kurum, kendi gönderdiği kodu geri istemez; bu talep her zaman bir saldırı işaretidir. Telefonla arayan kişi ne kadar ikna edici olursa olsun kural değişmez. Bu tek cümlelik kural, geniş bir dolandırıcılık ailesini kapsar.

Üçüncü alışkanlık, uygulama kurulumlarının yalnızca resmî mağazalardan yapılmasıdır. Mesajla gönderilen bağlantıdan indirilen uygulamalar, cihaz üzerinde geniş yetkiler talep ederek mesajları ve bildirimleri okuyabilir. Mobil zararlı yazılımlar çoğunlukla bu yolla yayılır. Kurulum sırasında istenen izinlerin gözden geçirilmesi de önemlidir.

Olay Sonrası Ne Yapılmalı?

Bilgi paylaşıldıysa ilk adım ilgili hesabın parolasının değiştirilmesi ve aktif oturumların sonlandırılmasıdır. Kart bilgisi verildiyse kart derhal bloke ettirilir ve banka bilgilendirilir. Kurumsal bir hesap söz konusuysa olay güvenlik ekibine bildirilir. Gecikme, etkinin büyümesine yol açan en önemli etkendir.

Zararlı bir uygulama kurulduysa cihazın kurumsal kaynaklara erişimi geçici olarak kaldırılır. Uygulamanın kaldırılması yeterli olmayabilir; cihazın temiz bir kuruluma alınması güvenli yoldur. Ayrıca o cihazdan girilmiş tüm hesapların parolaları yenilenir. Bu adımlar bir kontrol listesi hâlinde hazır tutulmalıdır.

Kampanyaların Teknik Altyapısı

Kampanyalar genellikle hazır kimlik avı setleriyle yürütülür. Bu setler, hedef kurumun giriş sayfasının kopyasını, toplanan verinin saklanacağı arka ucu ve gerçek siteye anlık aktarım yeteneğini bir arada sunar. Böylece saldırganın teknik bilgisi sınırlı olsa bile karmaşık bir akış kurabilir. Setlerin yaygınlığı, bu saldırı türünün ölçeklenmesini kolaylaştırmıştır.

Barındırma tarafında çoğunlukla kısa ömürlü alan adları kullanılır. Alan adı kaydedildikten kısa süre sonra kampanya başlatılır ve birkaç gün içinde terk edilir. Bu kısa ömür, engelleme listelerinin yetişmesini zorlaştırır. Yeni kaydedilmiş alan adlarının riskli kabul edilmesi, bu nedenle etkili bir kuraldır.

Yönlendirme zincirleri de sıkça kullanılır. Mesajdaki bağlantı önce meşru bir kısaltma ya da izleme servisine, oradan da asıl sahte sayfaya gider. Zincirin ilk halkası temiz göründüğü için otomatik denetimler geçilebilir. Bu nedenle analiz sırasında zincirin tamamının izlenmesi gerekir.

Operatör ve Düzenleyici Tarafı

Kısa mesaj kanalındaki sahteciliği azaltmak için birçok ülkede gönderen başlıklarının kayıt altına alınması uygulanmaktadır. Kurumlar kendi başlıklarını kaydettirerek adlarının izinsiz kullanılmasını zorlaştırabilir. Bu kayıt işlemi, kurumsal iletişimin de daha güvenilir görünmesini sağlar. Ancak koruma mutlak değildir; kayıtlı olmayan kanallardan gönderim yine mümkün olabilir.

Kurumların kendi gönderim uygulamalarını sadeleştirmesi de fayda sağlar. Müşterilere gönderilen mesajlarda bağlantı kullanılmaması ya da yalnızca tek bir bilinen alan adının kullanılması, sahte mesajların ayırt edilmesini kolaylaştırır. Farklı kampanyalar için farklı alan adları kullanmak ise tam tersi etki yapar. Tutarlılık, müşterinin doğrulama yapabilmesinin ön koşuludur.

Müşteri bildirimlerinin toplanabildiği bir kanal da değerlidir. Sahte mesaj alan müşterilerin bunu kolayca iletebilmesi, kurumun kendi adına yürütülen kampanyaları erken fark etmesini sağlar. Toplanan örnekler engelleme ve bilgilendirme için kullanılır. Bu döngü, marka istismarına karşı en pratik erken uyarı sistemidir.

Kurumsal Cihaz Yönetimiyle İlişkisi

Kurumsal verilere erişen mobil cihazların yönetim altında olması, bu saldırının etkisini sınırlar. Yönetilen cihazlarda kaynak dışı uygulama kurulumunun engellenmesi, kurumsal verinin ayrı bir alanda tutulması ve cihaz uyum durumunun erişim kararına girmesi mümkündür. Böylece kişisel cihazdaki bir bulaşma, kurumsal veriye doğrudan ulaşamaz. Mobil cihaz yönetimi bu ayrımı sağlar.

Kişisel cihaz kullanımına izin veren kurumlarda ise ayrım yazılımla sağlanır. Kurumsal uygulamaların ayrı bir konteynerde çalışması, veri kopyalama ve ekran görüntüsü alma gibi işlemlerin kısıtlanmasını mümkün kılar. Bu yaklaşım, kullanıcının kişisel alanına müdahale etmeden koruma sağlar. Politikanın çalışanlara açıkça anlatılması, benimsenmesini kolaylaştırır.

Cihaz kaybı ve devir senaryoları da planlanmalıdır. Kurumsal verinin uzaktan silinebilmesi ve erişimlerin anında kaldırılabilmesi, olay anında etkiyi sınırlar. Bu yeteneğin gerçekten çalıştığı dönemsel olarak sınanır. Kâğıt üzerindeki bir silme yeteneği, kriz anında işe yaramayabilir.

Privia Security olarak mobil kanal üzerinden yürütülen senaryoları dasiber tatbikat kapsamına dahil ediyor, kimlik katmanındaki dayanıklılığı ölçüyoruz.