Sosyal mühendislik

Giriş#

Siber güvenlik söz konusu olduğunda, çoğu insan SQL enjeksiyonu, çapraz site betimleme, ortadaki adam saldırıları veya kötü amaçlı yazılım gibi teknik saldırıları düşünür. Ancak, en yaygın ve etkili saldırılar genellikle hiç teknik değildir. Sosyal mühendislik, insanları gizli bilgileri vermeye yönlendirme sanatıdır. Her siber suç, bir sosyal mühendislik saldırısıyla başlar.

İşte Wikipedia'dan tanımı:

Bilgi güvenliği bağlamında, sosyal mühendislik, insanları eyleme geçmeye veya gizli bilgileri ifşa etmeye yönlendiren psikolojik bir manipülasyondur. Bilgi toplama, dolandırıcılık veya sistem erişimi amacıyla kullanılan bir tür güven hilesidir ve geleneksel bir "dolandırıcılık"tan farklıdır çünkü genellikle daha karmaşık bir dolandırıcılık planının birçok adımından biri olabilir.[1] Ayrıca, "kişiyi kendisinin çıkarına olup olmadığı belirsiz bir eyleme yönlendiren her türlü eylem" olarak tanımlanmıştır.

Bu suçluların aradığı bilginin türleri değişebilir, ancak bireyler hedef alındığında, suçlular genellikle sizden parolalarınızı, kişisel bilgilerinizi vermenizi veya bilgisayarınıza gizlice kötü amaçlı yazılım yüklemelerini sağlayarak parolalarınıza ve banka bilgilerinize erişim elde etmeye çalışır.

Sosyal mühendislik nasıl çalışır?#

Sosyal mühendislik saldırıları bir veya birden fazla adımda gerçekleşir. Çoğu sosyal mühendislik saldırısı, saldırganlar ve kurbanlar arasındaki gerçek iletişime dayanır. Genellikle kurbanlar, geniş bir zaman dilimi boyunca birden fazla saldırgan tarafından hedef alınır ve saldırılar dikkatlice planlanır. Başarılı bir saldırı aşağıdaki adımları içerir:

1. Araştırma: Saldırgan, hedef hakkında, saldırıyı gerçekleştirmek için gerekli olan olası giriş noktaları ve zayıf güvenlik protokolleri gibi bilgileri toplar. Günümüzde bir kişi hakkında çevrimiçi bilgi bulmak çok kolaydır. Örneğin, bir kişinin e-posta adresini, telefon numarasını ve hatta sosyal medya profilinde ev adresini bulabilirsiniz. Ayrıca, nerede çalıştığını, ne yaptığını ve kiminle çalıştığını öğrenebilirsiniz. Bu bilgiler, bir sonraki adımda çok inandırıcı bir oltalama e-posta veya telefon görüşmesi oluşturmak için kullanılabilir.

2. Yemleme: Saldırgan, kurbanı istediği şeyi yapmaya yönlendirmek için bu bilgileri kullanarak inandırıcı bir senaryo oluşturur. Örneğin, saldırgan kurbanı arayıp bankasından bir müşteri hizmetleri temsilcisi gibi davranarak hesap bilgilerini doğrulamalarını isteyebilir. Ya da bir şirketteki bir çalışanı arayıp, BT destek ekibinden olduğunu söyleyerek şifrelerini sıfırlamalarını isteyebilir.

3. Duygularla oynama: Saldırgan, kurbanın düşünmeden hemen harekete geçmesini sağlamak için duygular üzerinden oynar. Örneğin, saldırgan, kurbanı taleplere hemen uymazlarsa para cezaları, yaptırımlar veya kovuşturma ile tehdit edebilir. Ya da kurbanın açgözlülüğüne hitap ederek, onlara yardım ettikleri için büyük bir miktar para veya ödül vaat edebilir.

4. Uygulama: Saldırgan, çeşitli biçimlerde olabilecek saldırısını gerçekleştirir. Örneğin:

   • Kurbanı bilgisayarlarına kötü amaçlı yazılım yüklemeye kandırabilir.
   • Kurbanı bir e-posta veya telefon görüşmesinde hassas bilgileri açıklamaya kandırabilir.
   • Kurbanı saldırgana para göndermeye kandırabilir.
   • Kurbanı bir e-posta veya kısa mesajda kötü amaçlı bir bağlantıya tıklamaya kandırabilir.

Yukarıdaki adımlar çok kısa bir süre içinde gerçekleşebilir veya haftalar ya da aylar boyunca devam edebilir. Saldırgan bir kişiyi hedef alabilir veya bir grup insanı hedef alabilir. Bağlantı bir telefon görüşmesi, e-posta, kısa mesaj veya sosyal medya sohbetleri yoluyla kurulabilir. Ancak, nihayetinde bir harekete geçmenizi sağlar, örneğin bilgilerinizi paylaşmanız veya kendinizi kötü amaçlı yazılımlara maruz bırakmanız gibi.

Sosyal mühendislik saldırı türleri#

Birçok türde sosyal mühendislik saldırısı vardır ve her birinin kendine özgü bir amacı ve hedefi vardır. İşte en yaygın sosyal mühendislik saldırı türlerinden bazıları:

Spam Phishing#

Spam phishing, en yaygın sosyal mühendislik saldırı türüdür. Bu tür bir phishing saldırısında saldırgan, rastgele insanlara milyonlarca e-posta göndererek bazılarının oltaya gelmesini umar. E-postalar genellikle sahte bir e-posta adresinden gönderilir ve çoğunlukla kötü amaçlı bir web sitesine veya kötü amaçlı bir eki içeren bir bağlantı içerir. Saldırının amacı, kurbanı bağlantıya tıklamaya veya eki açmaya kandırmaktır; bu, bilgisayarlarına kötü amaçlı yazılım yükleyecektir.

Örnek#

Gelen kutunuza, büyük bir nakit ödülü kazandığınızı iddia eden cazip bir konu satırıyla istenmeyen bir e-posta aldığınızı hayal edin. E-postanın başlığı, 1.000.000 $ kazandığınızı ve ödülünüzü hemen talep etmeniz gerektiğini belirtmektedir.

E-postayı açtığınızda, sizi sözde kazandığınız piyango ödülü hakkında tebrik eden bir mesaj bulursunuz. E-posta, yaşamınızı değiştirebileceğini iddia eden vaatler içerebilir. E-posta genellikle ödülünüzü talep etmeniz için bir bağlantı veya iletişim bilgileri içerir.

Bu e-posta klasik bir spam phishing saldırısının belirtilerini gösterir:

1. İstenmeyen: Hiçbir piyango ya da yarışmaya katılmadınız, bu yüzden bir ödül kazanmış olmamalısınız.

2. Gerçek Olmayacak Kadar İyi: Hiçbir neden olmadan büyük bir miktar paranın vaat edilmesi, kurbanları cezbetmek için kullanılan yaygın bir taktiktir.

3. Acil Eylem: E-posta, ödülü talep etmek için hızlı davranmanız gerektiğini belirtebilir ve bir aciliyet hissi yaratır.

4. Kişisel Bilgi veya Para Talebi: Ödülünüzü "talep" etmek için sizden kişisel bilgi vermeniz, ücret ödemmeniz veya sözde işlem maliyetlerini karşılamak için para aktarmanız istenebilir.

Spear Phishing#

Spear phishing, saldırganın belirli bir kişiyi veya grup insanı hedef aldığı bir phishing türüdür. Saldırgan, hedef hakkında araştırma yapar ve ardından güvenilir bir kaynaktan gelmiş gibi görünen özelleştirilmiş bir e-posta gönderir. E-posta genellikle kötü amaçlı bir web sitesine veya kötü amaçlı bir eki içeren bir bağlantı içerir. Saldırının amacı, kurbanı bağlantıya tıklamaya veya eki açmaya kandırmaktır; bu, bilgisayarlarına kötü amaçlı yazılım yükleyecektir. Spam phishing'in aksine, spear phishing saldırıları son derece hedefe yöneliktir ve kişiselleştirilmiştir ve başarılı olma olasılıkları çok daha yüksektir.

Örnek#

Bu spear phishing senaryosunda, bir meslektaşınızdan veya tanıdığınız bir kişiden gelmiş gibi görünen bir e-posta alırsınız. E-posta, önemli bir güvenlik bildirimi olduğunu belirten bir konu satırı içerir. Spear phishing'i sıradan phishing'den ayıran şey, saldırganın belirli bir bireyi hedef alması ve genellikle hedef hakkında bazı bilgilere sahip olmasıdır.

E-postayı açtığınızda, kendini BT danışmanınız Charles olarak tanıtan bir mesaj bulursunuz. E-posta, sizi tam adınızla hitap eder ve iş hesabınızda iddia edilen bir güvenlik ihlali olduğunu belirtir. E-posta, hesabınızı güvenceye almak için bir bağlantıya tıklamanızı veya bir ek indirmenizi ister. Bağlantıya tıkladığınızda, sizi şirketinizin giriş sayfasına benzeyen bir web sitesine yönlendirir. Kullanıcı adınızı ve şifrenizi girdiğinizde, saldırgan artık hesabınıza erişim sağlar.

Bu e-posta klasik bir spear phishing saldırısının belirtilerini gösterir:

1. Kişiselleştirme: E-posta, tam adınızı kullanarak size hitap eder ve bu şekilde meşruiyet kazanır.

2. Aciliyet: Mesaj, bir güvenlik sorununu çözmek için hemen harekete geçmeniz gerektiğini belirterek bir aciliyet hissi yaratır.

3. Eylem Talebi: E-posta, bağlantıya tıklamanızı veya bir eki indirmenizi ister. Bu bağlantılar veya ekler genellikle kötü amaçlı yazılım veya phishing siteleri içerir.

Yemleme#

Yemleme, saldırganın kurbandan kişisel bilgilerini alabilmek için ona cazip bir teklif sunduğu bir sosyal mühendislik saldırısıdır. Örneğin, saldırgan, kurbanın e-posta adresi karşılığında ücretsiz bir hediye kartı veya ücretsiz bir film indirimi sunabilir. Saldırının amacı, kurbanı kişisel bilgilerini vermeye kandırmak ve ardından bu bilgileri kimliğini çalmak veya dolandırıcılık yapmak için kullanmaktır. Kurbanın merakı veya açgözlülüğünden faydalanılır.

Örnek#

Bu yemleme senaryosunda, saldırganlar, bir kahve dükkanı veya park alanı gibi halka açık bir yerde bir USB belleği bırakır. USB belgesi "Gizli" veya "Özel" olarak etiketlenmiştir ve kurbanın bilgisayarına takıldığında kötü amaçlı bir program yükleyecektir. Saldırının amacı, kurbanı USB belgesini bilgisayarlarına takmaya kandırmak ve bu şekilde bilgisayarlarına kötü amaçlı yazılım yüklemektir.

USB belgesini bilgisayarınıza takarsınız, umutla değerli bilgiler bulmayı umut edersiniz. "Gizli_Proje_Verileri.csv" adlı bir dosya içeren bir klasör açılır. Dosyayı açmaya çalıştığınızda gizli bir komut çalışır ve bilgisayarınıza kötü amaçlı yazılım bulaştırır.

Bu yemleme saldırısında:

1. Yem: USB belgesi, "Gizli" veya "Özel" olarak etiketlenmiştir ve bu da onu özellikle iş yerinde veya profesyonel ortamlarda karşılaşan kişilere çekici hale getirir.
2. Merak Faktörü: İnsan merakı, kişilerin normalde kaçınacakları eylemleri yapmasını sağlamak için bir zafiyet olarak kullanılır.

Water holing#

Water holing, saldırganın belirli bir grup insanı hedef aldığı ve bu kişilerin muhtemelen ziyaret edeceği bir web sitesini enfekte ettiği bir sosyal mühendislik saldırı türüdür. Örneğin, saldırgan popüler bir haber sitesi veya popüler bir sosyal medya sitesini enfekte edebilir. Saldırının amacı, kurbanı enfekte olmuş web sitesini ziyaret etmeye kandırmak ve bu şekilde bilgisayarlarına kötü amaçlı yazılım yüklemektir.

Örnek#

Bir grup saldırgan, bir siber güvenlik uzmanları topluluğunu temsil eden belirli bir endüstri derneğinin güvenliğini aşmayı hedefler. Saldırganlar, hassas verileri çalmak ve siber güvenlik uzmanlarının sistemlerine sızmak için bu saldırıyı planlar.

Saldırganlar, bu topluluk tarafından kullanılan iyi bilinen ve saygı duyulan bir web sitesini belirlerler. Bu durumda, siber güvenlik endüstrisi derneğinin resmi web sitesini seçerler. Saldırganlar, endüstri derneğinin web sitesindeki bir zafiyeti tespit edip bunu kullanırlar. SQL enjeksiyonu veya çapraz site betimleme (XSS) gibi teknik yöntemlerle sitenin içerik yönetim sistemine yetkisiz erişim sağlarlar. Erişim sağladıklarında, web sitesinin sayfalarına kötü amaçlı kod enjekte ederler. Bu kod, enfekte edilmiş sayfaları ziyaret eden kullanıcılara kötü amaçlı yazılım dağıtacak şekilde tasarlanmıştır.

Saldırganlar daha sonra siber güvenlik uzmanlarının web sitesini ziyaret etmesini beklerler. Birçok siber güvenlik uzmanının bu siteyi düzenli olarak güncellemeleri, haberleri ve kaynakları kontrol etmek için ziyaret ettiğini bilirler.

Siber güvenlik uzmanları, makaleleri okumak, web seminerlerine katılmak veya kaynakları indirmek için dernek web sitesini ziyaret ettiklerinde, cihazlarını bilmeden enjekte edilen kötü amaçlı yazılıma maruz bırakırlar. Bu kötü amaçlı yazılım, oturum açma kimlik bilgileri veya kişisel veriler gibi hassas bilgileri çalabilir. Ayrıca saldırganlara daha fazla saldırı başlatmak için bir dayanak sağlayabilir, bu saldırılar arasında spear phishing veya kurbanların sistemlerinde bilinen zafiyetleri istismar etmek de olabilir.

Bu Water holing saldırısında:

1. Watering hole: Siber güvenlik uzmanlarının sıkça ziyaret ettiği endüstri derneği web sitesidir.
2. Hedef Kitle: Saldırganlar, bu durumda siber güvenlik uzmanlarını hedef alan belirli bir grup insanı hedef alırlar.
3. Güveni Sömürmek: Saldırganlar, siber güvenlik uzmanlarının endüstri derneği web sitesine olan güvenini sömürürler.
4. Zafiyetleri Kullanmak: Saldırganlar, web sitesinin içerik yönetim sistemindeki zafiyetleri kullanarak kötü amaçlı yazılım enjekte ederler.

Sosyal mühendislik saldırılarından nasıl korunulur#

Sosyal mühendislik saldırılarından korunmak, farkındalığın, şüpheciliğin ve en iyi uygulamaların bir kombinasyonunu gerektirir. İşte sosyal mühendislik saldırılarına karşı kendinizi korumak için alabileceğiniz bazı temel adımlar:

1. Kendinizi Eğitin: Phishing, pretexting, yemleme ve tailgating gibi yaygın sosyal mühendislik taktikleri hakkında bilgi edinin. En son sosyal mühendislik teknikleri ve trendleri hakkında haberdar olun.

2. Kimliği Doğrulayın: Kişisel veya hassas bilgilerinizi talep eden kişi veya kuruluşların kimliğini her zaman doğrulayın. Sizi arayan kişinin sağladığı telefon numaralarına, e-postalara veya web sitelerine güvenmek yerine, güvenilir kaynaklardan bağımsız olarak elde edilen resmi iletişim bilgilerini kullanın.

3. Talepleri Sorgulayın: Kişisel, finansal veya gizli bilgiler için istenmeyen taleplere şüpheyle yaklaşın. Meşru kuruluşlar tipik olarak bu tür bilgileri e-posta veya telefon yoluyla talep etmez. Birisi hassas bilgi isterse, neden ihtiyaç duyulduğunu ve nasıl kullanılacağını sorun.

4. Acil Durum ve Baskıya Dikkat Edin: Sosyal mühendisler genellikle düşünmeden kararlar almanız için size aciliyet hissi yaşatır. Talepleri veya teklifleri değerlendirmek için zaman ayırın. Durumun meşruiyetini doğrulayın.

5. Fiziksel Erişimi Güvence Altına Alın: Bilgisayar ve cihazlarınızı kullanmadığınızda kilitleyin. Güvenli alanlara yabancı kişilerin girmelerine karşı dikkatli olun.

6. Çalışan Eğitimi: Eğer bir organizasyonun parçasıysanız, çalışanlara sosyal mühendislik farkındalığı eğitimi verin. Çalışanları şüpheli faaliyetleri tanımaya ve rapor etmeye teşvik edin.

7. Güvenilir Kaynakları Kullanın: Bilgileri güvenilir ve doğrulanmış kaynaklardan alın. Resmi olmayan web sitelerine veya doğrulanmamış haberlere güvenmekten kaçının.

8. Veri Şifreleme: Hassas verileri hem dinlenirken hem de iletim sırasında yetkisiz erişimlerden korumak için şifreleyin.

Güvenli Çevrimiçi Davranışlar Pratik Edin#

Geliştiriciler ve iş sahipleri için. Bir web uygulaması geliştiriyorsanız, kullanıcılarınızı sosyal mühendislik saldırılarından korumak için en iyi uygulamaları izlemelisiniz. Uygulamanız için ekstra güvenlik sağlamak için birçok yol vardır:

1. Güçlü parolalar kullanın. Çoğu kişi, kişisel bilgilerine dayanarak tahmin edilmesi kolay şifreler kullanır. Güvenli ve güvenilir bir kullanıcı kimlik yönetim sistemi uygulamak için güçlü parola politikalarını etkinleştirmeniz gerekir. Bu, kullanıcıların doğru güvenlik önlemleri olmadan zayıf şifrelerini kullanmalarını engelleyecektir.
2. Çok faktörlü kimlik doğrulama etkinleştirin. Çok faktörlü kimlik doğrulama (MFA), kullanıcının hesabına ekstra bir güvenlik katmanı ekleyerek kullanıcıdan şifrenin yanı sıra telefon veya başka bir cihazdan bir kod girmesini ister. Bu, saldırganların kullanıcı hesaplarına erişim sağlama ihtimalini çok daha zorlaştırır. Kullanıcının şifresi ele geçirilse bile, saldırgan ikinci faktör olmadan hesaba erişemez.
3. Kullanıcı verilerini şifreleyin. Kullanıcı verilerini şifrelemek, onları yetkisiz erişimden korumanın iyi bir yoludur. Bir saldırgan veritabanınıza erişim sağlarsa, şifreleme anahtarı olmadan verileri okuyamaz. Bu, müşterilerinizin kişisel bilgilerini çalmalarını engeller.
4. Erişim anahtarlarını sık sık değiştirin. Erişim anahtarları, uygulamanızın kaynaklarına erişmek için kullanılır. Bir saldırgan erişim anahtarlarınıza erişim sağlarsa, kaynaklarınıza izniniz olmadan erişebilirler. Bunu engellemek için erişim anahtarlarını sık sık değiştirmelisiniz.
5. Modern kimlik doğrulama sistemleri kullanın. OAuth 2.0 ve OpenID Connect gibi modern kimlik doğrulama protokolleri, SAML ve WS-Federation gibi eski protokollere göre çok daha güvenlidir. Modern şifreleme algoritmaları kullanırlar ve saldırıya uğramaları çok daha zordur.
6. Oturum açma yönlendirme URL'lerini ve cihazları önceden kaydedin. Kimlik doğrulama için OAuth 2.0 veya OpenID Connect kullanıyorsanız, oturum açma yönlendirme URL'lerini ve cihazları önceden kaydetmelisiniz. Bu, saldırganların kullanıcı hesaplarını kullanarak kendi cihazlarından uygulamanıza oturum açmalarını engeller.