Balina avı, kurumun üst düzey yöneticilerini hedef alan kimlik avı türüdür. Adını, hedefin büyüklüğünden alır: sıradan bir kullanıcı yerine karar yetkisi ve geniş erişimi olan kişiler seçilir. Saldırı hazırlığı buna paralel olarak daha uzun sürer ve daha özenlidir. Elde edilecek kazanç yüksek olduğu için saldırgan ciddi zaman yatırımı yapar.

Yöneticilerin hedef seçilmesinin birkaç somut nedeni vardır. Onay yetkisine sahiptirler, hassas bilgilere erişirler ve talepleri kurum içinde sorgulanmadan yerine getirilir. Ayrıca yoğun çalışma temposu nedeniyle mesajları hızlı okuma eğilimindedirler. Bu üç etken bir araya geldiğinde saldırganın işi kolaylaşır.

Balina Avı Nedir?

Balina avı (whaling), üst düzey yönetici ve karar vericileri hedef alan, yüksek hazırlık gerektiren ve genellikle mali ya da stratejik kayıp amaçlayan hedefli kimlik avı saldırısıdır.

Saldırı iki yönde işleyebilir: yönetici doğrudan hedef olabilir ya da yöneticinin kimliği taklit edilerek başka çalışanlar hedeflenebilir. İkinci senaryoda mağdur aslında yönetici değil, onun adına hareket ettiğine inanan çalışandır. Hedefli kimlik avı ile temel yöntem aynıdır, değişen tek şey hedefin konumudur.

Tipik Senaryolar

En yaygın senaryo acil ödeme talebidir. Yönetici adına gönderilen mesaj, gizli bir işlem gerekçesiyle acil transfer ister ve konunun kimseyle paylaşılmamasını vurgular. Gizlilik vurgusu, çalışanın doğrulama yapmasını engellemeyi amaçlar. Bu senaryo, ödeme süreçlerinde ikinci kanal doğrulaması olmayan kurumlarda sonuç verir.

İkinci yaygın senaryo hassas bilgi talebidir. Bordro listesi, çalışan kimlik bilgileri ya da müşteri verisi, denetim ya da raporlama gerekçesiyle istenir. Talep bir üst yöneticiden geldiği için sorgulanmaz ve veri kurum dışına çıkar. Bu tür olaylar çoğu zaman aylar sonra fark edilir.

• Yönetici adına gönderilen acil ve gizli tutulması istenen ödeme talebi
• Hukuk ya da denetim bahanesiyle istenen hassas belge ve listeler
• Sahte toplantı davetiyle yönlendirilen kimlik toplama sayfaları
• Yönetici hesabına yönelik doğrudan kimlik bilgisi toplama girişimi
• Yöneticinin ele geçirilmiş hesabından gerçek yazışmaya yapılan yanıt

Neden Klasik Önlemler Yetmez?

Yöneticiler çoğu zaman güvenlik kısıtlarından muaf tutulur; bu muafiyet saldırganın en çok yararlandığı durumdur. Cihaz kısıtlamalarının gevşetilmesi, ek doğrulama isteklerinin kaldırılması ya da e-posta filtrelerinin yumuşatılması, en kritik hesapları en korumasız hâle getirir. Oysa yetki arttıkça korumanın da artması gerekir. Muafiyet talepleri, gerekçesiyle birlikte değerlendirilmeli ve telafi edici kontrol eklenmelidir.

İkinci sorun, yöneticilerin asistan ve ekip üyeleriyle paylaşılan posta kutuları kullanmasıdır. Paylaşımlı erişim, kimin ne zaman ne yaptığının izlenmesini zorlaştırır ve saldırı yüzeyini genişletir. Bu tür erişimlerin delege yetkisiyle ve kayıtlı biçimde verilmesi gerekir. Ortak parola kullanımı ise hiçbir koşulda kabul edilmemelidir.

Korunma Yöntemleri

İlk önlem, yönetici hesaplarının en yüksek koruma seviyesine alınmasıdır. Kimlik avına dayanıklı doğrulama, yönetilen ve uyumlu cihaz zorunluluğu ve giriş anomalilerinin ayrıca izlenmesi bu seviyeye dahildir. Bu hesaplar için ayrı bir izleme profili tanımlanması, olağandışı davranışın hızlı fark edilmesini sağlar. Koruma seviyesi, hesabın erişebildiği verinin değerine göre belirlenir.

İkinci önlem süreç tarafındadır. Ödeme, tedarikçi bilgisi değişikliği ve toplu veri paylaşımı gibi işlemlerde yazılı ve istisnasız bir doğrulama kuralı bulunmalıdır. Kural, talebin kimden geldiğine bakmaksızın uygulanır; “genel müdür istedi” ifadesi doğrulamayı ortadan kaldırmaz. Bu kültürün yerleşmesi için yöneticilerin kendilerinin de kurala uyması gerekir.

Üçüncü önlem, yöneticiye özel farkındalık çalışmasıdır. Genel eğitimler yerine, o kişinin gerçek iş akışına uygun senaryolarla yapılan kısa oturumlar daha etkili olur. Farkındalık eğitimi programları bu grubu ayrı bir kitle olarak ele almalıdır. Kısa ve somut içerik, yoğun takvimlerde uygulanabilir olmasını sağlar.

Olay Yaşandığında Ne Yapılır?

Şüphe anında ilk adım, ilgili işlemin durdurulmasıdır. Ödeme yapılmışsa bankayla derhal iletişime geçilir; birçok durumda hızlı müdahale transferin geri çağrılmasını mümkün kılar. Aynı anda ilgili hesabın oturumları sonlandırılır ve kimlik bilgileri sıfırlanır. Zaman, bu tür olaylarda en belirleyici etkendir.

Ardından kapsam belirlenir: hesap gerçekten ele geçirilmiş mi, yoksa yalnızca taklit mi edilmiş? İki durum çok farklı müdahale gerektirir. Ele geçirme söz konusuysa posta kutusu kuralları, yönlendirmeler ve verilen uygulama izinleri incelenir. İş e-postası ele geçirme olaylarında bu kontroller kritik önemdedir.

Saldırganın Hazırlık Süreci

Balina avı hazırlığı, kurumun kamuya açık bilgilerinin toplanmasıyla başlar. Yönetim kadrosu sayfası, basın bültenleri, yatırımcı sunumları ve konferans konuşmaları saldırgana isim, unvan ve gündem bilgisi sağlar. Bu bilgiler, hangi konuların yöneticinin ilgisini çekeceğini belirler. Kurumun kendi yayınları, farkında olmadan saldırı hazırlığına katkı sunar.

İkinci aşamada iletişim ağı çıkarılır. Kimin kime rapor verdiği, hangi tedarikçilerle çalışıldığı ve hangi danışmanların görev aldığı belirlenir. Bu harita, taklit edilecek kimliğin seçilmesini sağlar. En inandırıcı senaryo, gerçekten var olan bir ilişkiyi kullanan senaryodur.

Üçüncü aşamada zamanlama seçilir. Çeyrek kapanışı, birleşme görüşmeleri, denetim dönemi ya da yoğun seyahat takvimi tercih edilen anlardır. Bu dönemlerde olağandışı talepler daha az sorgulanır. Zamanlama, senaryonun inandırıcılığını doğrudan etkiler.

Kurumsal Bilgi Sızıntısını Azaltmak

Saldırı hazırlığını zorlaştırmanın yollarından biri, kurumun dışa açık bilgi yüzeyini gözden geçirmektir. Organizasyon şemasının ayrıntılı biçimde yayımlanması, çalışan e-posta formatının kolayca çıkarılabilmesi ve iç süreçlerin kamuya açık belgelerde anlatılması saldırgana kolaylık sağlar. Bu bilgilerin tamamı gizlenemez ama gereksiz olanlar azaltılabilir. Dönemsel bir dış görünüm incelemesi bu ayıklamayı sağlar.

Sosyal medya paylaşımları da bu kapsamda değerlendirilir. Yeni bir sisteme geçildiğini, yeni bir tedarikçiyle çalışılmaya başlandığını ya da bir ekibin nerede toplandığını duyuran paylaşımlar, saldırgana bağlam sunar. Çalışanlara bu konuda katı kurallar koymak yerine, hangi bilginin neden hassas olduğunu anlatmak daha etkilidir. Farkındalık, yasaktan daha sürdürülebilir bir korumadır.

Sızmış kimlik bilgilerinin izlenmesi de hazırlığı zorlaştırır. Yönetici e-posta adreslerinin geçmiş veri ihlallerinde yer alıp almadığı düzenli olarak kontrol edilir. Tespit edilen adresler için parola yenileme ve ek doğrulama zorunluluğu uygulanır. Bu izleme, saldırının ilk adımını kesmeye yarar.

Yönetici Hesaplarında Ayrı Politika

Yönetici hesapları için ayrı bir koruma politikası yazılması, uygulamayı tutarlı kılar. Politikada hangi cihazlardan erişilebileceği, hangi doğrulama yönteminin zorunlu olduğu ve hangi işlemlerin ek onay gerektirdiği açıkça belirtilir. Politikanın istisnaları da yazılı olarak tanımlanır ve süreye bağlanır. Yazılı olmayan uygulamalar, zamanla kişisel tercihlere göre gevşer.

Politikanın uygulanabilir olması için yöneticilerin görüşü alınmalıdır. İş akışını gereksiz yere zorlaştıran kurallar, kısa sürede baypas edilir ve durum daha kötüye gider. Doğru yaklaşım, koruma seviyesini artırırken günlük kullanımdaki sürtünmeyi azaltan yöntemleri tercih etmektir. Modern doğrulama yöntemleri bu ikisini birlikte sağlayabilir.

Privia Security olarak yönetici hesaplarına yönelik senaryolarısiber tatbikat kapsamında yürütüyor, süreç ve teknik kontrollerdeki boşlukları birlikte raporluyoruz.