Kimlik avı yöntemi, bir saldırganın e-posta veya diğer iletişim kanallarında saygın bir internet sitesi veya kişi gibi davrandığı bir sahtekarlık biçimidir. Phishing yani oltalama saldısı olarak da adlandırılabilen saldırılarda, saldırgan oturum açma kimlik bilgilerinin alınması ya da mağdurlardan hesap bilgilerinin çalınması dahil olmak üzere çeşitli işlevleri gerçekleştirebilen kötü amaçlı bağlantılar veya ekler dağıtmak için e-postaları veya diğer iletişim yöntemlerini kullanır. Kimlik avı dolandırıcılığı, siber suçlular arasında popüler bir yöntemdir çünkü bir kişiyi e-posta yoluyla bir bağlantıya tıklatarak kandırmak, bilgisayarın savunmasını kırmaktan daha kolaydır.
Kimlik Avı Yöntemi Nasıl Çalışır?
Kimlik avı saldırıları, genellikle sosyal ağlar üzerinden gönderilen doğrudan iletiler ve SMS metinleri de dahil olmak üzere e-postalara veya diğer elektronik iletişim kanallarına uygulanan bazı tekniklere dayanır.
Saldırganlar, çeşitli sosyal mühendislik çalışmaları ile mağdurların kişisel bilgileri, iş geçmişleri, ilgi alanları ve faaliyetleri hakkında arka plan bilgileri toplamak için LinkedIn, Facebook ve Twitter gibi sosyal ağlar da dahil olmak üzere diğer bilgi kaynaklarını kullanabilirler.
Kimlik avı öncesi saldırı keşfi ile potansiyel kurbanların isimlerini, iş unvanlarını ve e-posta adreslerini, meslektaşları ve kuruluşlarındaki kilit çalışanların isimlerini ortaya çıkarabilir. Bu bilgiler daha sonra inandırıcı bir e-posta oluşturmak için kullanılabilir. Gelişmiş kalıcı tehdit (APT) grupları tarafından gerçekleştirilenler de dahil olmak üzere hedefli saldırılar, genellikle kötü amaçlı bir bağlantı veya ek içeren bir kimlik avı e-postasıyla başlar.
Kimlik Avı E-postaları ve Önlemleri
Kimlik avı e-postası göndermenin üç tane popüler yöntemi vardır. Bu üç güvenlik tehdidi; Malmare Delivery, Phishing ve Domain Spoofing olarak adlandırılır. Bu tehditler, saldırganların operasyonlarını oluşturmak için kullandığı farklı taktik kümelerini temsil eder. Aynı zamanda bu tehditleri doğru önlemlerle ve eğitimlerle önüne de geçilebilir .
Phishing yani oltama saldırısı, günümüzdeki en yaygın siber saldırı türlerinden biridir. Dünyada kabul gören tanımına göre phishing “bilinen bir kaynaktan geliyormuş gibi görünen bir e-posta göndererek tüketicileri hedefleyen bir çevrimiçi dolandırıcılık türüdür”. Dolandırıcılar bir internet servis sağlayıcısı, bir banka, bir paydaş şirket veya devlet kurumu gibi davranır.
Phishing saldırıları genellikle kullanıcı isimleri, şifreler, kredi kartı bilgileri, ağ kimlik bilgileri gibi hassas ve gizli bilgilere ulaşmak amacıyla yapılan saldırılardır. Hackerlar, telefon veya e-posta yoluyla normal bir birey veya kurum gibi görünerek mağdurları zararlı bir bağlantıya veya eke tıklamalarını isteyerek, gizli bilgileri açıklamaları için manipüle ederken sosyal mühendisliği en iyi şekilde kullanmaya çalışırlar.
Phishing saldırılarına yakalanmamanın en önemli noktası dikkat ve eğitimdir. Pek çok sıradan phishing, e-postası izleme sistemleriyle filtrelenebilirken, çalışan e-posta güvenliği eğitimi de kimlik avı riski bilinci arttırılarak potansiyel kurbanları azaltabilir. Aynı zamanda, Phishing saldırılarından kaçınmak için web sitelerindeki pop-up'lara karşı dikkatli olmak ve URL'nin "https" ile başladığından ve adres çubuğunun yanında kapalı bir kilit simgesinin bulunduğundan emin olmak önemlidir.
Malware Delivery (Kötücül Yazılım Dağıtma), E-posta uygulamaları ekler içermeye başladığından beri, kötü amaçlı yazılım dağıtmak için bu dosya ekleri kullanılıyor.
Michelangelo veya Melissa virüsleri gibi e-postayla gönderilen kötü amaçlı yazılımların ilk örneklerindendir. Ancak fidye yazılımları belki de günümüzün en büyük e-posta güvenlik tehdididir.
Fidye yazılımları, her tür ağ saldırısıyla yayılabilirken e-posta, fidye yazılımı saldırıları için doğal bir uyum sağlar. Bir kullanıcının e-posta hesabının güvenliği ihlal edildiğinde, fidye yazılımı kurbanın bağlantılarına da ulaşmak için kullanılabilir.
E-postadaki kötü amaçlı yazılım tehdidini azaltmanın bir yolu, e-postayı ekleri olmayan salt metin mesajlarla sınırlamaktır, ancak bu kesin bir çözüm değildir. Çünkü kullanıcılar ve kurumlar, birçok farklı türde içeriği iletmek için e-postayı kullanır. E-posta filtreleme ve izleme sistemleri, kötü amaçlı kodun kuruluşun ağına girmesinden kaynaklanan riskleri azaltırken aynı zamanda fonksiyonel ve kullanılabilirliği dengeleyen teknikler sunabilir. Ayrıyeten, kötücül yazılımlardan korunmak isteyen şirketler, çalışanlarına malware delivery hakkında eğitim vermeli ve onları bilgilendirmelidir .
Domain Spoofing yani Türkçe tanımıyla DNS önbellek zehirlenmesi, bir Alan Adı Sistemi (DNS) sunucusunun ön bellek veri tabanına veri eklenerek ya da oradaki veriler değiştirilerek ad sunucunun yanlış IP adresleri dönmesine ve trafiğin başka bir bilgisayara yönlendirilmesine sebep olan bir saldırı türüdür. Örneğin bir saldırgan, alıcının işvereninden, bankasından veya diğer güvenilir kaynaklarından gelmiş gibi görünen bir kimlik avı iletisi gönderebilir.
Peki, Domain Spoofing’den nasıl korunabiliriz? “Alan Adı Tabanlı İleti Kimlik Doğrulaması, Raporlama ve Uygunluk” alan adı sahiplerinin, alan adından gönderilen iletilerin kimliğini doğrulayabileceklerini ve alıcıların kimliği doğrulanmamış iletileri engellemesini sağlayarak bu tür saldırılara karşı bir savunma sağlayan bir protokoldür. Buna ek olarak, Domain Spoofing üzerinden bulaşmış, DNS önbellek zehirlenmesinin tamamen ortadan kaldırılması zorlu bir süreç olabilir. Virüs bulaşmış bir sunucu temizlendiğinde bilgisayar tamamen temizlenmiş olmaz, üstelik virüs bulaşmış bir sunucuya bağlanan temiz bilgisayarların güvenliği de yeniden tehlikeye girer. Gerekiyorsa kullanıcılar sorunu çözmek için DNS önbelleklerini temizleyebilirler.
Kimlik Avı E-postası Nasıl Anlaşılır?
Genellikle tanınmış bir şirket veya bilinen bir kişiden gelmiş gibi görünen başarılı kimlik avı iletilerini, gerçek iletilerden ayırt etmek zordur. Kimlik avı e-postası, şirket logolarını ve şirketlerden toplanan diğer tanımlayıcı grafikler ile verileri içerebilir. Kimlik avı iletilerini anlamak için bazı ipuçları şunlardır:
- İletilerde farklı ve güvenilmeyen URL’ler ve subdomain’ler bulunabilir.
- Mail kurbanlara kurumsal bir e-posta üzerinden değil de Gmail ve benzeri mail adreslerinden gelebilir.
- Mesaj korku ve aciliyet duygusu uyandırmak üzere hazırlanmıştır.
- İletide, finansal ayrıntılar veya parola gibi kişisel bilgilerin doğrulanması için bir istek bulunur.
- Mesajda kullanılan dilde hatalar bulunur, cümleler düşük veya yazım yanlışları içerir.
Kimlik Avı Çeşitleri
Alanında bilgili BT profesyonelleri, kullanıcıları eğitmeye ve kimlik avı önleme stratejilerini uygulamaya devam ettikçe, siber suçlular mevcut kimlik avı saldırılarındaki becerilerini geliştirmeye ve yeni kimlik avı dolandırıcılığı türlerini uygulamaya devam ediyor. Kimlik avı taktiklerinin en yaygın türlerini şimdi sizlere tanıtacağız.
- Mızrak kimlik avı saldırıları, belirli bir kişiye veya şirketlere yöneliktir ve kurbanın özel bilgilerini kullanarak mesajı gerçek olarak algılanabilecek şekilde temsil eder. Mızrak kimlik avı e-postaları, mağdurun adının, konumunun veya diğer kişisel bilgilerin yanı sıra mağdur kuruluştaki meslektaşları veya yöneticilerin bilgileri ile referansları içerebilir.
- Balina avı saldırıları ise, genellikle daha büyük miktarlarda veri çalmak amacıyla, bir kuruluştaki üst düzey yöneticileri hedef alan bir tür mızrak kimlik avı saldırısıdır. Tipik bir balina avı saldırısı, ödemeler konusunda yetkilendirilmiş bir çalışanı hedefleyebilir. Kimlik avı mesajı genellikle bir yöneticiden gelir ve bir çalışana büyük bir ödeme yapma yetkisi veren bir komut gibi görünebilir.
- Pharming, kullanıcıları meşru bir siteden hileli bir siteye yönlendirerek, kişisel kimlik bilgileriyle hileli siteye giriş yapmasına dayanan bir kimlik avı türüdür.
- Klonlama kimlik avı saldırıları, daha önceden gönderilmiş bağlantı veya ek içeren meşru e-postalar kullanır. Saldırganlar, yasal e-postanın bir kopyasını veya klonunu yaparak, herhangi bir sayıda bağlantıyı veya ekli dosyayı kötü amaçlı bağlantılar veya kötü amaçlı yazılım ekleriyle değiştirir. İleti orijinal e-postanın bir kopyası gibi göründüğü için, mağdurlar genellikle kötü amaçlı bağlantıyı tıklamak veya kötü amaçlı eki açmak için kandırılabilir.
- Kimlik avcıları bazen bir Wi-Fi erişim noktası kurup meşru bir erişim noktasına benzer aldatıcı bir adla reklam vererek ikiz Wi-Fi saldırısı da kullanırlar. Mağdurlar kötü ikiz Wi-Fi ağına bağlandığında saldırganlar, kullanıcı kimlikleri ve şifreler de dahil olmak tüm bilgilere erişmeye çalışır.
- Vishing olarak da bilinen ses kimlik avı, IP üzerinden ses (VoIP) veya geleneksel telefon hizmeti (POTS) dahil olmak üzere sesli iletişim ortamları üzerinde gerçekleşen bir kimlik avı biçimidir. Tipik bir vishing dolandırıcılığı, bir bankadaki veya kredi hesabındaki şüpheli etkinlikleri kurbanına bildirmek için sesli iletişim yöntemlerini kullanır ve kurbanın kimliğini doğrulamak için kötü niyetli bir senaryo ile hesap ve kimlik bilgilerine ulaşmayı amaçlar.
Phishing Saldırıları Nasıl Önlenir?
Kişisel bilgilerin korunması, güvenlik bilinci eğitimi ile başlar. Güvenlik bilinci eğitimi, yeni kimlik avı tekniklerini yansıtacak ve kullanıcılara öğretecek şekilde düzenli olarak güncellenmelidir. Bazı örnekler şunlardır:
- Kimlik avı saldırılarının nasıl çalıştığını bilerek bilinçli olmak,
- Web sitelerindeki pop-up'lara karşı dikkatli olmak,
- E-posta veya diğer mesajlar yoluyla gönderilen bağlantılara tıklamadan önce birkaç kez düşünmek ve gerekli kontrolleri yapmak,
- URL'nin "https" ile başladığından ve adres çubuğunun yanında kapalı bir kilit simgesinin bulunduğundan emin olarak bir web sitesinin güvenliğini doğrulamak.
Siber güvenlik uzmanları, kimlik avı iletilerinin son kullanıcılara ulaşmasını önlemeye yardımcı olmak için aşağıdakiler de dahil olmak üzere güvenlik denetimlerinin katmanlandırılmasını öneriyor;
- Antivirüs yazılımı
- Hem bilgisayar hem de ağ güvenlik duvarları
- Casus yazılım önleme programları
- Kimlik avına karşı koruma yazılımları (web tarayıcılarına yüklenir)
- Ağ geçidi e-posta filtreleri
- Web güvenlik ağ geçidi
- Spam filtresi;
- Güvenlik şirketlerinin kimlik avı filtreleri
Kimlik Avı Saldırlarının Tarihçesi
1990'ların başında, Warez Group adlı bir grup kişi, sahte AOL hesapları oluşturmak için rastgele kredi kartı numaraları oluşturacak bir algoritma geliştirdi. Sahte hesap daha sonra diğer AOL hesaplarına spam gönderdi. Bazı kişiler AOL ekran adlarını AOL yöneticisi olarak görünecek şekilde değiştirmeye çalıştı ve bunları kullanarak, AOL Messenger aracılığıyla "kimlik avı" yapıldı.
2000'lerin başında, kimlik avı uygulamada daha fazla değişiklik gösterdi. "2000'lerin aşk böceği" buna örnek olarak gösterilebilir. Potansiyel kurbanlara bir ek bulunam "ILOVEYOU" mesajını içeren bir e-posta gönderildi. Bu ek, kurbanların bilgisayarındaki dosyaların üzerine yazacak ve kendisini kullanıcının kişi listesine kopyalayacak bir solucan oluşturdu. Ayrıca, 2000'lerin başında, farklı kimlik avı saldırganları, kimlik avı web sitelerini kaydetmeye başladı.
Bugün ise kimlik avı yöntemleri daha çeşitli hale geldi ve potansiyel olarak öncekinden daha tehlikeli haldeler. Sosyal medya entegrasyonu ve "Facebook ile giriş" gibi giriş yöntemleriyle, bir saldırgan potansiyel olarak tek bir kimlik avı şifresi kullanarak bir kişiye birkaç veri ihlali gerçekleştirebilir ve bu da onları süreçteki fidye yazılımı saldırılarına karşı savunmasız hale getirebilir. Yani geçmişe göre günümüzde daha modern teknolojiler kullanılıyoruz fakat bu sebeple de insanların gün geçtikçe daha dikkatli olması gerekiyor.
Bu yazıyı okuyanlar, bunları da okudu;
Siber Saldırı Nedir, Türleri Nelerdir?
Bilgisayar Korsanları Eşyalarınızı Size Karşı Kullanabilir
Cryptojacking Nedir, Nasıl Çalışır?
