Uber sosyal mühendislik olayı, teknik bir zafiyetin değil, insan faktörünün istismar edilmesiyle bir çalışanın kandırılarak çok faktörlü doğrulamanın aşıldığı ve saldırganın geniş iç sistem erişimi kazandığı bir olaydır. Saldırgan, çalışanın parolasını ele geçirdikten sonra karşısına çıkan ikinci doğrulama adımını de bir güvenlik açığıyla değil, sabır ve manipülasyonla geçti.

Uber olayı, en güçlü teknik kontrolün bile, insanı ikna eden bir saldırgan karşısında aşılabileceğini gösteren örnek bir sosyal mühendislik vakasıdır.

Saldırı Nasıl Gerçekleşti?

Saldırgan önce bir çalışanın oturum bilgilerini ele geçirdi; muhtemelen bir kimlik avı yöntemiyle. Ancak hesapta çok faktörlü doğrulama etkindi, bu yüzden parola tek başına yetmedi. Bunun üzerine saldırgan, çalışanın telefonuna arka arkaya onay bildirimleri göndermeye başladı. Bildirimler durmayınca ve bunlara BT desteğinden geliyormuş gibi bir mesaj eklenince, yorulan çalışan sonunda onay verdi ve kapı açıldı.

İçeri girdikten sonra saldırgan, iç ağda gezinerek yüksek yetkili erişim bilgilerinin saklandığı bir yönetim aracını buldu. Buradan elde ettiği ayrıcalıklı hesaplarla çok sayıda dahili sisteme ulaştı. Yani ilk giriş bir kişiyi kandırmakla sağlandı, ama asıl hasar iç ağdaki yetki yönetiminin zayıflığından doğdu.

MFA Neden Yeterli Olmadı?

Bu olay, çok faktörlü kimlik doğrulama kullanmanın tek başına yetmediğini, uygulanış biçiminin belirleyici olduğunu gösterdi. Kullanıcının tek bir dokunuşla onay verdiği bildirim tabanlı MFA, tam da bu tür bir yıpratmaya açıktır. Saldırgan geçerli parolaya sahip olduğunda, geriye kalan tek engel kullanıcının ‘hayır’ demeye devam etmesidir; bu da yeterince ısrarla aşılabilir.

Kullanılan yöntem, MFA yorgunluğu saldırısı olarak bilinir: kurbanı bunaltacak kadar çok onay isteği göndererek, dikkatsizlik ya da bıkkınlıkla bir tanesinin onaylanmasını ummak. Buna karşı, onay yerine ekrandaki bir sayıyı eşleştirmeyi gerektiren yöntemler ya da fiziksel güvenlik anahtarları çok daha dirençlidir; çünkü bunlar kör bir ‘evet’ dokunuşuyla aşılamaz.

Savunma Dersleri

Olayın en önemli dersi, tek bir kapının geçilmesinin tüm binaya erişim vermemesi gerektiğidir. İçeri giren saldırganın kısa sürede yönetici yetkilerine ulaşabilmesi, iç ağın ‘içerideki herkes güvenilir’ varsayımıyla kurulduğunu gösterdi. Sıfır güven mimarisi, tam olarak bu varsayımı reddeder: her erişim isteği, ağın neresinden gelirse gelsin yeniden doğrulanır ve yetkiler yalnızca gerektiği kadar verilir. Böyle bir yapıda, tek bir hesabın ele geçirilmesi tüm sistemi açan bir ana anahtara dönüşmez.

İkinci ders, teknik önlemlerin insan boyutuyla birlikte test edilmesi gerektiğidir. Çalışanların gerçekçi bir sosyal mühendislik senaryosu karşısında nasıl davranacağını görmeden, MFA yorgunluğu gibi tehditlere karşı hazırlık kâğıt üzerinde kalır. Kurumunuzun insan ve teknoloji savunmasını gerçek saldırı koşullarında sınamak için siber tatbikat hizmetimiz, tam da bu tür senaryoları kontrollü biçimde canlandırarak zayıf halkayı önceden ortaya çıkarır.