Vishing, kimlik avının telefon görüşmesi üzerinden yürütülen biçimidir. Saldırgan bir kurum çalışanı, banka görevlisi ya da teknik destek uzmanı gibi görünerek arar ve kurbanı bir eyleme yönlendirir. Sesli iletişim, yazılı iletişime göre daha güçlü bir güven duygusu yarattığı için etkili olur. Ayrıca karşı tarafa düşünme süresi bırakmaz.

Yöntemin en büyük avantajı gerçek zamanlı olmasıdır. Saldırgan kurbanın tepkisine göre anlatısını değiştirebilir, itirazlara yanıt verebilir ve baskıyı artırabilir. Yazılı bir mesajda mümkün olmayan bu esneklik, ikna oranını yükseltir. Bu nedenle hedefli saldırılarda telefon sıklıkla ikinci adım olarak kullanılır.

Vishing Nedir?

Vishing, telefon araması yoluyla güvenilir bir kimliğe bürünerek kurbandan kimlik bilgisi, doğrulama kodu ya da yetkisiz bir işlem elde etmeyi amaçlayan sosyal mühendislik saldırısıdır.

Saldırı çoğu zaman tek başına değil, diğer kanallarla birlikte kullanılır. Önce bir kısa mesaj ya da e-posta gönderilerek zemin hazırlanır, ardından telefonla arayarak süreç tamamlanır. Bu çok kanallı yaklaşım inandırıcılığı artırır. Kurban, iki farklı kanaldan aynı bilgiyi aldığı için doğrulama yapıldığını düşünür.

Tipik Senaryolar

Kurumsal ortamda en sık görülen senaryo, bilgi işlem destek taklididir. Arayan kişi bir sistem sorunundan söz eder, uzaktan bağlantı kurulmasını ister ya da doğrulama kodunu okumasını talep eder. Yeni işe başlamış ya da uzaktan çalışan personel bu senaryoya karşı daha savunmasızdır. Saldırgan çoğunlukla mesai bitimine yakın saatleri seçer.

İkinci senaryo, çok faktörlü doğrulama isteğinin onaylatılmasıdır. Saldırgan çalınmış parolayla oturum açmayı dener, kullanıcının telefonuna doğrulama isteği düşer ve hemen ardından arayarak bu isteğin onaylanmasını rica eder. Bu yöntem, onay tabanlı doğrulamanın zayıf noktasını hedef alır. MFA yorgunluğu saldırısı ile birlikte kullanıldığında etkisi artar.

• Bilgi işlem ya da yardım masası taklidiyle uzaktan erişim talebi
• Doğrulama kodunun okunmasının ya da onaylanmasının istenmesi
• Banka güvenlik birimi adına arayarak hesap doğrulama talebi
• Tedarikçi muhasebe birimi taklidiyle ödeme bilgisi değişikliği
• Kamu kurumu adına ceza ya da soruşturma bahaneli baskı

Ses Klonlama ile Değişen Tehdit

Yapay zekâ tabanlı ses üretimi, bu saldırı türünü niteliksel olarak değiştirmiştir. Kısa bir ses kaydı, bir kişinin sesinin ikna edici biçimde taklit edilmesi için yeterli olabilmektedir. Bu durumda kurban, tanıdığı birinin sesini duyduğu için doğrulama ihtiyacı hissetmez. Ses klonlama dolandırıcılığı bu nedenle ayrı bir başlık hâline gelmiştir.

Bu gelişme, sesin tek başına kimlik kanıtı sayılamayacağını göstermektedir. Kurumların, sesli talimatla işlem yapılmasına izin veren süreçlerini gözden geçirmesi gerekir. Özellikle ödeme ve yetki değişikliği süreçlerinde sesli onay tek başına yeterli sayılmamalıdır. İkinci ve bağımsız bir kanal her durumda gereklidir.

Korunma Yöntemleri

En etkili önlem, geri arama kuralıdır. Gelen aramada talep edilen hiçbir işlem hemen yapılmaz; görüşme sonlandırılır ve kurumun bilinen resmî numarası aranarak talep doğrulanır. Arayanın verdiği numara kullanılmaz. Bu kural basit ama neredeyse tüm senaryoları etkisiz kılar.

İkinci önlem, kurum içinde bir doğrulama sözcüğü ya da yönteminin belirlenmesidir. Özellikle finans ve yönetim ekiplerinde, telefonla gelen kritik taleplerde önceden belirlenmiş bir doğrulama sorusunun sorulması yaygın bir uygulamadır. Sorunun yanıtı yazılı sistemlerde tutulmaz. Bu yöntem, ses taklidine karşı da koruma sağlar.

Üçüncü önlem, yardım masası süreçlerinin sıkılaştırılmasıdır. Parola sıfırlama ve doğrulama yöntemi değiştirme talepleri, arayanın kimliği güçlü biçimde doğrulanmadan karşılanmamalıdır. Yönetici hesapları için ek onay şartı konulabilir. Yardım masası, saldırganların en sık denediği kapılardan biridir.

Kurumsal Hazırlık

Hazırlığın ilk adımı, telefonla hangi işlemlerin yapılabileceğinin yazılı olarak tanımlanmasıdır. Liste dar tutulduğunda, listede olmayan her talep otomatik olarak reddedilir. Bu netlik, çalışanı zor bir kararla baş başa bırakmaz. Ayrıca reddetmenin kurum politikası olduğunu bilmek, çalışanın rahat davranmasını sağlar.

İkinci adım, çalışanların bu senaryolarla önceden karşılaşmasıdır. Kontrollü telefon senaryoları, yazılı eğitimlerden çok daha kalıcı bir farkındalık üretir. Çalışmanın amacı kişileri sınamak değil, süreçteki boşlukları görmektir. Sonuçlar kişi bazında değil, birim bazında raporlanmalıdır.

Yardım Masası Neden Kritik Bir Hedeftir?

Yardım masası, tanımı gereği yardımcı olmak üzere kurulmuş bir birimdir ve bu yapısı saldırganlar tarafından istismar edilir. Arayan kişi acil bir sorun anlatır, zaman baskısı yaratır ve görevlinin yardımseverliğini kullanır. Görevli, müşteri memnuniyeti hedefiyle çalıştığı için reddetmekte zorlanır. Bu nedenle doğrulama kuralları, görevlinin inisiyatifine bırakılmamalıdır.

En kritik işlem parola sıfırlama ve doğrulama yöntemi değişikliğidir. Saldırgan, telefonu kaybettiğini söyleyerek yeni bir doğrulama cihazı kaydettirmeye çalışır. Bu talep karşılandığında hesabın tüm koruması ortadan kalkar. Bu nedenle söz konusu işlem için güçlü kimlik doğrulama ve mümkünse yönetici onayı gerekir.

Doğrulama yöntemi olarak kolay bulunabilecek bilgiler kullanılmamalıdır. Doğum tarihi, çalışan numarası ya da yöneticinin adı gibi bilgiler açık kaynaklardan elde edilebilir. Bunun yerine kuruma özel ve dinamik doğrulama yöntemleri tercih edilir. Kayıtlı bir cihaza gönderilen onay isteği, sözlü bilgiye göre çok daha güvenilirdir.

Görüşme Sırasındaki Uyarı İşaretleri

Aramanın kendisinde de değerlendirilebilecek işaretler bulunur. Arayanın acele ettirmesi, doğrulama sorularından kaçınması, konuşmayı başka bir kanala taşımak istemesi ve kurumun bilinen süreçlerine uymayan bir talepte bulunması dikkat edilmesi gereken davranışlardır. Tek başına her biri masum olabilir; birlikte göründüklerinde şüphe güçlenir. Çalışanların bu işaretleri tanıması eğitimin ana hedefidir.

Arka plan sesleri ve konuşma akışı da ipucu verebilir. Çağrı merkezi taklidi yapan aramalarda kurumun gerçek süreç dilinin kullanılmaması sık görülür. Ayrıca arayanın kendi numarasından geri aranmayı reddetmesi belirgin bir işarettir. Bu durumda görüşme sonlandırılıp bilinen numaradan doğrulama yapılır.

Görüşme sonrasında bildirim yapılması da önemlidir. Talep karşılanmamış olsa bile, girişimin kayda geçirilmesi kurumun hedef alındığını gösterir. Birden fazla birimden gelen benzer bildirimler, aktif bir kampanyaya işaret eder. Bu erken uyarı, diğer çalışanların uyarılmasını sağlar.

Uzaktan Erişim Talepleri

Saldırganların sık kullandığı bir diğer yöntem, sorunu çözmek bahanesiyle uzaktan erişim yazılımı kurdurmaktır. Kurulum tamamlandığında saldırgan cihaz üzerinde tam denetim elde eder ve oturum açık hesaplara erişebilir. Bu nedenle kurum dışından gelen hiçbir uzaktan erişim talebi karşılanmamalıdır. Kurumun kendi destek ekibi de yalnızca kurumsal araçları kullanmalıdır.

Teknik önlem olarak uzaktan erişim yazılımlarının kurulumu kısıtlanabilir. Uygulama denetimi ile yalnızca onaylı araçların çalışmasına izin verildiğinde, kullanıcı ikna edilse bile kurulum gerçekleşmez. Bu kontrol, sosyal mühendisliğin teknik karşılığını keser. Uygulama beyaz listeleme bu amaçla kullanılır.

Privia Security olarak telefon kanalını da kapsayan sosyal mühendislik senaryolarınısiber tatbikat kapsamında yürütüyor, yardım masası süreçlerindeki boşlukları raporluyoruz.