Bir E-Posta Dolandırıcılığının Anatomisi

Aşağıdaki senaryo, orta ölçekli şirketlerde tekrar eden bir örüntünün birleştirilmiş anlatımıdır. Belirli bir firmayı temsil etmez.

Durum

Bir üretim firması. Düzenli çalıştığı yurt dışı bir tedarikçiden hammadde alıyor. Ödemeler e-posta üzerinden gelen faturalara göre yapılıyor.

Mevcut zayıflıklar:

• DMARC yapılandırılmamış
• Dış kaynaklı e-postalar işaretlenmiyor
• Ödeme öncesi ikinci kanal doğrulaması yok
• Muhasebe hesabında iki adımlı doğrulama kapalı
• Benzer alan adları alınmamış

Aşama 1 — Keşif

Saldırgan, hedef hakkında bilgi topladı:

• Web sitesinden yönetici ve birim bilgileri
• Sosyal medyadan çalışan unvanları
• Sektör yayınlarından tedarikçi ilişkileri

Bu bilgilerin hepsi kamuya açıktı.

Aşama 2 — Erişim

Muhasebe çalışanına, bir bulut paylaşımı gibi görünen bir e-posta gönderildi. Bağlantı, sahte bir giriş sayfasına yönlendiriyordu.

• Çalışan bilgilerini girdi
• Sayfa "belge bulunamadı" hatası verdi
• Çalışan bunu sıradan bir teknik sorun sandı ve bildirmedi

Kritik nokta: Bildirim yapılsaydı olay burada sonlanırdı.

Aşama 3 — Gözlem

Saldırgan hesaba erişti ama hemen bir şey yapmadı:

• Bir yönlendirme kuralı kurdu (gelen postaların kopyası dışarı)
• Yazışma geçmişini inceledi
• Tedarikçi ilişkilerini ve ödeme dönemlerini öğrendi
• Yazışma üslubunu tanıdı
• Yaklaşan bir ödemeyi tespit etti

Bu dönem haftalarca sürdü ve hiçbir şey fark edilmedi.

Aşama 4 — Hazırlık

• Tedarikçinin alan adına bir harf farkla benzeyen bir alan adı kayıt edildi
• Gerçek fatura formatı taklit edildi
• Gerçek bir yazışma zinciri kopyalandı
• Zamanlama, ödeme dönemine göre planlandı

Aşama 5 — Saldırı

Muhasebe birimine, tedarikçiden geliyormuş gibi görünen bir e-posta ulaştı:

• Konu: bekleyen faturanın ödemesi
• İçerik: bankalarını değiştirdikleri bildirimi
• Yeni hesap bilgisi ekli
• Üslup ve imza gerçeğe çok yakın
• Yazışma zinciri gerçek görünüyordu
• Nazik bir aciliyet vurgusu vardı

Aşama 6 — Ödeme

• Çalışan, e-postayı gerçek sandı
• Yazışma zinciri tanıdık geldi
• Ödeme yeni hesaba yapıldı
• İkinci bir doğrulama yapılmadı (süreç yoktu)

Aşama 7 — Fark ediliş

Günler sonra gerçek tedarikçi, ödemenin gelmediğini bildirdi.

• Kayıtlar incelendi
• Ödemenin farklı bir hesaba yapıldığı görüldü
• E-posta adresindeki tek harf farkı fark edildi
• Banka arandı ama para çekilmişti

Aşama 8 — İnceleme

Sonraki incelemede ortaya çıktı ki:

• Muhasebe hesabı haftalardır ele geçirilmişti
• Bir yönlendirme kuralı vardı
• Yazışmalar dışarı sızıyordu
• Başka müşterilere de sahte e-posta gönderilmişti

Toplam etki

Zincirin kırılabileceği noktalar

Bu saldırı, birçok noktada durdurulabilirdi:

1. İki adımlı doğrulama: Parola çalınsa da hesaba girilemezdi
2. Çalışanın bildirimi: Sahte sayfaya bilgi girdiğini söyleseydi olay burada biterdi
3. Yönlendirme kuralı izleme: Kural fark edilirdi
4. Dış e-posta işaretlemesi: Benzer alan adı görünür olurdu
5. DMARC: Taklit zorlaşırdı
6. Benzer alan adı alımı: Saldırgan o adresi kaydedemezdi
7. Ödeme doğrulama süreci: Telefonla teyit, ödemeyi durdururdu
8. Çift onay: İkinci bir göz fark edebilirdi

Yedinci madde tek başına yeterliydi ve hiçbir maliyeti yoktu.

Sonrasında kurulan düzen

• ☐ İki adımlı doğrulama tüm hesaplarda zorunlu
• ☐ Dış kaynaklı e-postalar işaretleniyor
• ☐ Benzer alan adı uyarısı etkin
• ☐ DMARC devreye alındı ve kademeli sıkılaştırıldı
• ☐ Benzer alan adları savunma amaçlı alındı
• ☐ Ödeme doğrulama süreci yazılı hâle getirildi
• ☐ Hesap değişikliği için telefonla teyit zorunlu
• ☐ Telefon numarası kendi kayıtlarımızdan alınıyor
• ☐ Belirli tutar üzeri çift onay
• ☐ Yönlendirme kuralı değişiklikleri izleniyor
• ☐ Erişim kayıtları düzenli inceleniyor
• ☐ Farkındalık eğitimi verildi ve tekrarlanıyor
• ☐ Bildirim kanalı kuruldu, bildirimler teşvik ediliyor
• ☐ Tedarikçilere hesap değişikliği politikası bildirildi

Çıkarılacak dersler

1. Saldırı tek bir e-postayla başlamaz; keşif, erişim ve gözlem aşamaları vardır.
2. Erken bildirim, zinciri kırar. Bildirim yapılmamasının sebebi utanç ve suçlanma korkusudur.
3. İki adımlı doğrulama, zincirin ilk halkasını kırar ve ücretsizdir.
4. Yönlendirme kuralları izlenmelidir; ele geçirmenin en görünür izidir.
5. Ödeme doğrulama süreci, son ve en etkili savunmadır.
6. Telefon numarası e-postadan alınmaz.
7. Dış e-posta işaretlemesi, benzer alan adlarını görünür kılar.
8. Bildirim kültürü, teknik önlemlerden daha değerli olabilir.

Bu senaryodaki önlemlerin neredeyse tamamı ücretsizdir; yaşanan kayıp ise doğrudan mali bir zarardır.