Korkutma yazılımı, kullanıcıyı sahte güvenlik uyarılarıyla paniğe sevk ederek bir eylemde bulunmaya ikna eden yöntemdir. Ekranda beliren uyarı, cihazın virüs kaptığını ya da ciddi bir sorun bulunduğunu bildirir. Kullanıcıdan bir program indirmesi, bir numarayı araması ya da ödeme yapması istenir. Yöntem teknik bir zafiyet kullanmaz; tamamen psikolojik baskıya dayanır. Bu nedenle savunma büyük ölçüde farkındalıkla sağlanır.

Uyarılar, gerçek güvenlik yazılımlarının arayüzüne benzetilerek hazırlanır. Renkler, simgeler ve dil seçimi inandırıcılık için özenle seçilir. Bazı varyasyonlar işletim sistemi uyarılarını taklit eder. Bu benzerlik, teknik bilgisi sınırlı kullanıcılar için ayırt edilemez hâle gelir. Yaş grubu ve deneyim, kırılganlığı belirleyen etkenlerdir.

Korkutma Yazılımı Nedir?

Korkutma yazılımı, sahte güvenlik uyarıları göstererek kullanıcıyı gereksiz bir ürün satın almaya, zararlı bir yazılım kurmaya ya da sahte destek hattını aramaya yönlendiren aldatma yöntemidir.

Yöntem üç farklı sonuca yönelebilir. Birincisi, işlevsiz bir güvenlik yazılımının satın aldırılmasıdır. İkincisi, gerçek bir zararlı yazılımın kurdurulmasıdır. Üçüncüsü ise sahte teknik destek üzerinden uzaktan erişim sağlanmasıdır. Üçüncü senaryo en tehlikelisidir çünkü doğrudan sistem denetimi verir.

Nasıl Karşılaşılır?

En yaygın karşılaşma yolu, web tarayıcısında beliren tam ekran uyarılardır. Kullanıcı bir sayfaya girdiğinde ya da bir reklam üzerinden yönlendirildiğinde bu uyarı görüntülenir. Sayfa, tarayıcıyı kapatmayı zorlaştıracak biçimde tasarlanır. Sesli uyarı ve sürekli açılan pencerelerle panik artırılır. Bu tasarım, düşünmeden hareket etmeyi hedefler.

İkinci yol, sisteme kurulmuş bir bileşenin ürettiği uyarılardır. Bu durumda uyarılar tarayıcı kapatılsa bile devam eder. Bileşen genellikle bir paket kurulum ya da sahte güncelleme yoluyla yerleşmiştir. Kaldırılması için standart temizlik adımları uygulanır. Kalıcılık mekanizmaları da kontrol edilmelidir.

Üçüncü yol, e-posta ve mesaj yoluyla gelen uyarılardır. Hesabın tehlikede olduğunu bildiren mesajlar, kullanıcıyı sahte bir siteye ya da telefon numarasına yönlendirir. Bu varyasyon, kimlik avıyla iç içe geçer. Kimlik avı savunma önlemleri bu kanalda da geçerlidir. Bildirim kanalı kullanılmalıdır.

• Tam ekran sahte virüs uyarısı gösteren web sayfaları
• Sistem uyarısını taklit eden açılır pencereler
• Sahte teknik destek telefon numarası yönlendirmeleri
• İşlevsiz güvenlik yazılımı satışları
• Hesap tehlikede uyarısıyla gelen e-posta ve mesajlar
• Sahte performans iyileştirme araçları

Teknik Destek Dolandırıcılığı

Yöntemin en zararlı biçimi, sahte teknik destek dolandırıcılığıdır. Kullanıcı ekrandaki numarayı aradığında, kendini destek uzmanı olarak tanıtan bir kişiyle konuşur. Bu kişi, sorunu çözmek için uzaktan erişim yazılımı kurdurmayı ister. Erişim sağlandığında saldırgan cihaz üzerinde tam denetim elde eder. Sonrasında hem ödeme talep edilir hem veri toplanır.

Uzaktan erişim sağlandıktan sonra saldırgan, sorunu kanıtlamak için sistem araçlarını yanıltıcı biçimde kullanır. Normal sistem kayıtları hata olarak gösterilir ve durumun ciddiyeti abartılır. Kullanıcı teknik bilgiye sahip olmadığı için bu gösterimi doğrular kabul eder. Bu aşamada ödeme yapma olasılığı yükselir. Süreç tamamen senaryolaştırılmıştır.

Kurumsal ortamda bu senaryo, uzaktan erişim yazılımı kurulumunun engellenmesiyle kırılır. Onaylı olmayan araçların çalıştırılamaması, kullanıcı ikna edilse bile erişimi engeller. Uygulama beyaz listesi bu kontrolü sağlar. Teknik kontrol, farkındalıktan daha güvenilirdir. İkisi birlikte uygulanmalıdır.

Nasıl Ayırt Edilir?

Gerçek güvenlik yazılımları web sayfası üzerinden uyarı göstermez. Tarayıcı içinde beliren bir virüs uyarısı, neredeyse her zaman sahtedir. Ayrıca hiçbir meşru yazılım, sorunu çözmek için bir telefon numarası aramayı istemez. Bu iki kural, senaryoların büyük bölümünü eler. Kullanıcılara bu iki kural öğretilmelidir.

İkinci ayırt edici işaret, aciliyet ve baskı dilidir. Gerçek uyarılar sakin ve bilgilendirici bir dil kullanır. Geri sayım, tehdit ve büyük harfli uyarılar sahtekârlık işaretidir. Ayrıca ödeme talebinin hemen yapılması istenir. Meşru süreçler bu baskıyı içermez.

Üçüncü işaret, tarayıcının kapatılmasının zorlaştırılmasıdır. Sayfa sürekli yeni pencere açıyor ya da çıkış uyarısı gösteriyorsa durum açıktır. Bu durumda tarayıcı görev yöneticisi üzerinden kapatılmalıdır. Sayfadaki hiçbir düğmeye tıklanmamalıdır. Kapatma düğmesi bile tuzak olabilir.

Kurumsal Önlemler

İlk önlem, kullanıcıların uzaktan erişim yazılımı kuramamasıdır. Bu kontrol, dolandırıcılığın en zararlı adımını engeller. İkinci önlem, web filtreleme ile bilinen dolandırıcılık sitelerinin engellenmesidir. Üçüncü önlem, kullanıcıların şüpheli durumda arayabileceği gerçek bir iç destek hattının bulunmasıdır. Bu hattın numarası kolay erişilebilir olmalıdır.

İç destek hattının varlığı önemlidir çünkü kullanıcı bir sorun yaşadığında yardım arar. Kuruma ait bir kanal yoksa, ekranda görünen numarayı arama olasılığı artar. Bu nedenle destek kanalının görünürlüğü bir güvenlik kontrolüdür. Bilgilendirme düzenli tekrarlanmalıdır. Yeni çalışan oryantasyonunda yer almalıdır.

Farkındalık çalışmalarında bu senaryonun somut örneklerle gösterilmesi etkilidir. Gerçek bir sahte uyarı ekranının gösterilmesi, anlatımdan daha kalıcı olur. Farkındalık eğitimi programları bu tür görsel örnekler içermelidir. Kısa ve somut içerik tercih edilir. Uzun sunumlar akılda kalmaz.

Olay Sonrası Yapılacaklar

Kullanıcı uzaktan erişim verdiyse, cihaz ele geçirilmiş kabul edilmelidir. Cihazın ağdan ayrılması ve temiz kurulumla yeniden oluşturulması gerekir. O cihazdan girilmiş tüm hesapların parolaları temiz bir cihazdan değiştirilir. Bu sıralama kritik önemdedir. Kontrol listesinde yer almalıdır.

Ödeme yapıldıysa banka ile iletişime geçilmelidir. Kart bilgileri verildiyse kart bloke ettirilir. Ayrıca aynı bilgilerin başka yerlerde kullanılıp kullanılmadığı kontrol edilir. Bu adımlar hızlı atılmalıdır. Gecikme, kaybı büyütür.

Olayın kayda geçirilmesi de gereklidir. Aynı kampanyanın başka çalışanları hedeflemiş olma ihtimali vardır. Bilgilendirme yapılması, benzer olayları önler. Olay müdahale süreci bu iletişimi de kapsamalıdır. Kayıt, eğilim analizine de girdi olur.

Sahte Güvenlik Yazılımları

Korkutma yazılımlarının klasik biçimi, sahte antivirüs ürünleridir. Kullanıcıya ücretsiz bir tarama sunulur, ardından çok sayıda sahte bulgu gösterilir. Bulguların temizlenmesi için tam sürüm satın alınması istenir. Satın alınan ürün hiçbir işlev görmez ve genellikle kaldırılamaz. Ayrıca ödeme bilgileri de saldırgana geçmiş olur.

Bu ürünler bazen gerçek zararlı yazılım da içerir. Kurulan bileşen, ek modüller indirerek sistemde kalıcı hâle gelir. Böylece kullanıcı hem ödeme yapmış hem bulaşmış olur. Bu nedenle temizlik kapsamlı olmalıdır. Sadece uygulamanın kaldırılması yeterli değildir.

Kurumsal ortamda bu ürünlerin kurulumu uygulama denetimiyle engellenir. Ayrıca kurumun hangi güvenlik ürününü kullandığının çalışanlarca bilinmesi de yardımcı olur. Farklı bir ürün adıyla gelen uyarılar şüpheli sayılır. Bu bilgi oryantasyonda verilmelidir. Basit ama etkilidir.

Tarayıcı Bildirimlerinin Kötüye Kullanımı

Modern varyasyonlar tarayıcı bildirim izinlerini kötüye kullanır. Kullanıcı bir siteye bildirim izni verdiğinde, o site tarayıcı kapalıyken bile masaüstünde bildirim gösterebilir. Bu bildirimler sistem uyarısı gibi görünecek biçimde tasarlanır. Kullanıcı kaynağını anlamakta zorlanır. İzin listesinin gözden geçirilmesi gerekir.

Bu nedenle bildirim izinlerinin kurumsal politikayla kısıtlanması önerilir. Varsayılan olarak bildirim isteklerinin engellenmesi, bu kanalı tamamen kapatır. Kullanıcı deneyimine etkisi sınırlıdır. Merkezî tarayıcı politikasıyla uygulanır. Uygulama basittir.

Mobil cihazlarda ise takvim davetleri ve mesajlaşma uygulamaları benzer amaçla kullanılır. Otomatik eklenen takvim etkinlikleri, sahte uyarı bağlantıları içerebilir. Bu davranışın engellenmesi için ayar değişikliği gerekir. Kullanıcı bilgilendirmesi yapılmalıdır. Kontrol listesi hazırlanabilir.

Neden Etkili Oluyor?

Yöntemin etkisi, güvenlik konusundaki genel kaygıdan beslenir. Kullanıcılar cihazlarının güvenliği konusunda endişelidir ve bir uyarı gördüklerinde harekete geçme eğilimi gösterir. Saldırgan bu refleksi kullanır. Panik anında değerlendirme yeteneği düşer. Tasarım tam olarak bunu hedefler.

İkinci etken, teknik bilgi farkıdır. Gerçek bir uyarı ile sahte bir uyarıyı ayırt etmek teknik bilgi gerektirir. Bu bilgiye sahip olmayan kullanıcılar için iki uyarı aynı görünür. Bu nedenle basit ve kesin kurallar öğretilmelidir. Karmaşık açıklamalar işe yaramaz.

Üçüncü etken, yardım arayışıdır. Sorun yaşayan kullanıcı yardım arar ve ekranda görünen numara kolay bir seçenek sunar. Kurumun kendi destek kanalının görünür olması bu arayışı doğru yere yönlendirir. Farkındalık eğitimi programları bu kanalı vurgulamalıdır. Tekrar önemlidir.

Privia Security olarak kullanıcı odaklı aldatma senaryolarını siber tatbikat çalışmalarına dahil ediyor, teknik ve süreç eksiklerini raporluyoruz.