Kimlik Avı ve Sahtekarlık: Tehditleri Belirleyin ve Verilerinizi Koruyun

Bilgi işlem departmanınızdan gelen bir e-posta gelen kutunuza düşüyor. E-postada, bir bağlantı aracılığıyla giriş bilgilerinizi doğrulamanız isteniyor. Gönderen adresi doğru görünüyor ve biçimlendirme tanıdık geliyor. Her şey normal görünüyor. Bağlantıya tıklıyorsunuz, şifrenizi giriyorsunuz ve farkında olmadan, şirketinizin sistemini taklit etmek için sahte bir giriş sayfası oluşturan bir saldırgana doğrudan bilgilerinizi veriyorsunuz.

Bu durum, birlikte çalışan iki ayrı tehdidi bir araya getiriyor: biri mesajı meşru gösterdi, diğeri bu meşruiyeti kullanarak kimlik bilgilerinizi çaldı. Sahtekarlık ve kimlik avı, siber güvenlikte en sık karıştırılan ayrımlardan biridir. İnsanlar genellikle bu terimleri birbirinin yerine kullanırlar, ancak farklı şeyleri tanımlarlar: biri bir yöntem, diğeri bir amaçtır. Hangisinin hangisi olduğunu bilmek, doğru savunmaları uygulamanıza, doğru uyarı işaretlerini tanımanıza ve saldırıların teknik olarak bilgili hedeflere karşı bile neden başarılı olduğunu anlamanıza yardımcı olur.

Sahtekarlık (Spoofing) Nedir?

Kimlik avı, güvenilir bir kaynağı taklit etmek amacıyla e-posta gönderen adresi, alan adı, web sitesi, arayan kimliği veya IP adresi gibi teknik bir tanımlayıcıyı sahte olarak oluşturma eylemidir.

E-posta bağlamında, kimlik avı, gönderen bilgilerinin alıcılara nasıl görüntüleneceğini kontrol eden teknik alanları manipüle eder. Saldırganlar, güvenilir bir ad ve alan adı göstermek için "Gönderen" adresini taklit eder, sıradan görsel incelemeden geçebilecek benzer alan adları kaydeder veya mesajların kontrol etmedikleri meşru sunuculardan geliyormuş gibi görünmesi için e-posta başlıklarını manipüle eder.

Kimlik avı (spoofing) esasen teknik bir saldırıdır. Bir mesajın, cihazın veya web sitesinin güvenilir bir kaynaktan geliyormuş gibi görünmesi için sistemleri ve protokolleri manipüle eder. Birçok saldırı nihayetinde insanları hedef alırken, kimlik avı teknolojisinin kimliği doğrulama yöntemlerindeki zayıflıkları kullanarak çalışır.

Bu durum doğrudan dolandırıcılıkla da sınırlı değildir. Birçok durumda, acil amaç kimlik bilgilerini çalmak veya mali kazanç elde etmek değil, keşif yapmak, savunmaları test etmek veya daha büyük bir saldırıya hazırlanmaktır.

E-posta ile ilgili başlıca kimlik avı türleri:

• Görüntülenen ad sahtekarlığı: Gönderen adresi rastgele veya alakasız iken isim olarak "BT Desteği" görünmesi.
• Alan adı sahtekarlığı: company.com yerine cornpany.com veya company-support.com adresinden gönderiliyor.
• Doğrudan e-posta sahtekarlığı: SMTP başlık manipülasyonu kullanarak "Gönderen" alanını gerçek ve geçerli bir adres gösterecek şekilde değiştirme.
• Web sitesi sahtekarlığı: Girilen kimlik bilgilerini yakalayan, benzer alan adlarında çoğaltma siteleri oluşturma.

Kimlik Avı Nedir?

Kimlik avı (phishing), alıcıları zararlı eylemlere yönlendirmek için sahte mesajlar gönderen, amaca yönelik bir sosyal mühendislik saldırısıdır. Bu eylemler arasında kötü amaçlı bağlantılara tıklama, kötü amaçlı yazılım indirme, kimlik bilgilerini gönderme veya para transferi yapma gibi davranışlar yer alır. Adı da konsepti yansıtır: geniş bir ağ atmak ve kurbanların tuzağa düşmesini beklemek.

üzerinde 38 milyon kimlik avı saldırısı Yalnızca 2024 yılında dünya çapında tespit edilen vakalar, toplam vaka sayısının %20'sini oluşturmaktadır. dörtte O yıl tespit edilen tüm siber güvenlik olaylarının bir kısmını oluşturuyordu. Kimlik avı, insan psikolojisini hedef alarak, güven, aciliyet, korku ve otorite gibi içgüdüleri istismar eder; böylece eleştirel düşünmeyi devre dışı bırakır ve alıcılar doğrulamak için duraksamadan önce anında harekete geçmelerini sağlar.

Kimlik avının en belirleyici özelliği niyettir. Her kimlik avı saldırısının belirli bir amacı vardır: giriş bilgilerini ele geçirmek, fidye yazılımı yaymak, ödemeyi yönlendirmek, kişisel verileri çalmak veya bir kuruluş ağına ilk erişimi sağlamak. Mesaj, kanal ve aldatma tekniği, bu amaca hizmet eder.

Yaygın kimlik avı kanalları:

• E-posta kimlik avı: En yaygın kanal; geniş kitlelere gönderilen sahte mesajlar.
• Yemleme kancası: Belirli bireyler hakkında kişiselleştirilmiş araştırmalar kullanılarak gerçekleştirilen hedefli e-posta saldırıları.
• SMS kimlik avı (smishing): Zararlı bağlantılar veya talimatlar içeren kısa mesajlar
• Sesli kimlik avı (vishing): Güvenilir kuruluşları taklit ederek bilgi elde etmeye yönelik telefon görüşmeleri.
• Sosyal medya kimlik avı: Sosyal medya platformları aracılığıyla gönderilen sahte mesajlar, sahte hesaplar veya zararlı bağlantılar.
• Sahte web siteleri: Kurbanlar tarafından girilen kimlik bilgilerini ele geçirmek için tasarlanmış açılış sayfaları.

Kimlik avı (phishing) ve sahtekarlık (spoofing) arasındaki fark nedir?

Sahtekarlık ve kimlik avı birbiriyle ilişkili ancak farklı saldırı türleridir. Bu saldırılar arasındaki farkları birden fazla boyutta anlamak, hem saldırıların nasıl işlediğini hem de her birine hangi savunma yöntemlerinin uygulanabileceğini netleştirir.

Birincil hedefler

Sahtekarlık öncelikle sistemleri ve protokolleri, ikinci olarak da insanları hedef alır. İlk hedef teknik unsurlardır: gönderenin meşruiyetini kontrol eden e-posta filtreleri, alan adlarını çeviren DNS sistemleri ve kimlikleri doğrulayan kimlik doğrulama sistemleri. Bu teknik kontrolleri aşarak, sahtekarlık insan düzeyinde aldatma için koşullar yaratır.

Sıkça kullanılan sahtekarlık hedefleri şunlardır:

• E-posta kimlik doğrulama sistemleri (SPF, DKIM, DMARC doğrulama)
• DNS sunucuları ve alan adı çözümleme altyapısı
• Ağ yönlendirme ve IP atama sistemleri
• Sistem kimlik doğrulaması ve erişim kontrolleri
• Gönderen bilgilerini gösteren bireysel e-posta istemcileri

Kimlik avı saldırıları doğrudan insan psikolojisini hedef alır. Amaç, belirli bir insan tipinden belirli bir tepkiyi tetiklemektir. Hedef seçimi, erişim ve otoriteyi yansıtır:

• Bireysel tüketiciler (bankacılık, perakende, yayın platformları kimlik bilgileri)
• Üst düzey yöneticiler (finansal yetki, hassas verilere erişim)
• Finans ve İnsan Kaynakları çalışanları (ödeme işlemleri, bordro kontrolü)
• BT yöneticileri (sistem erişimi, kimlik bilgisi sıfırlama yetenekleri)
• Ortak zaafları olan tüm sektörler (sağlık, finans)

Saldırının amacı

Sahtekarlığın amacı güvenilirlik oluşturmak ve filtreleri atlatmak, böylece sonraki bir saldırıyı daha etkili hale getirecek koşulları yaratmaktır. Sahte mesajlar, normalde filtrelenecek olan gelen kutularına ulaşır. Sahte kimlikler, normalde doğrulama gerektirecek olan güveni kazanır. Sahtekarlığın belirli hedefleri şunlardır:

• Yanlış yönlendirilmiş ödemeler yoluyla elde edilen mali kazanç
• Kimlik taklidi yoluyla veri hırsızlığı
• Güvenilir görünümlü ekler aracılığıyla kötü amaçlı yazılım dağıtımı
• Kimlik bilgilerinin çalınması yoluyla yetkisiz erişim kurulumu

Kimlik avı saldırılarının amacı, kurbanlardan değer elde ederek doğrudan bir sonuç elde etmektir:

• Hesap erişimi ve yeniden satış amacıyla kimlik bilgilerinin toplanması
• Sahte ödemeler veya doğrudan hesap erişimi yoluyla finansal hırsızlık
• Kişisel verilerin toplanması yoluyla kimlik hırsızlığı
• Kullanıcı tarafından başlatılan indirmeler yoluyla kötü amaçlı yazılım yayılması
• Hassas verilerin sızdırılması yoluyla kurumsal casusluk

Temel yöntemler

Sahtekarlık yöntemleri teknik olup altyapı düzeyinde işler:

• E-posta başlığını manipüle ederek "Gönderen" ve "Yanıtla" alanlarını sahte olarak oluşturmak.
• Benzer adreslerin alan adı kaydı (company-inc.com, c0mpany.com)
• DNS önbellek zehirlenmesi, meşru alan adı trafiğini yönlendirmek için kullanılır.
• Gerçek ağ kaynağını gizlemek için IP adresi sahtekarlığı.
• Telefon üzerinden kimlik taklit etme amacıyla arayan kimliği manipülasyonu

Kimlik avı yöntemleri iletişimseldir ve insan düzeyinde işler:

• Gerçek siteleri piksel piksel kopyalayan sahte giriş sayfaları.
• Kötü niyetli e-postalardaki bağlantılar kimlik bilgisi yakalama sayfalarına yönlendirme
• Meşru belgeler gibi görünen, kötü amaçlı yazılım içeren ekler.
• Yetkiyi ve zaman baskısını kötüye kullanan acil talepler.
• Şirket yöneticilerini veya tedarikçilerini taklit eden kurumsal e-posta mesajları

Algılama ipuçları

Sahtekarlık ve kimlik avı farklı ipuçları bırakır. Sahtekarlık belirtileri genellikle teknik detaylarda ortaya çıkarken, kimlik avı uyarı işaretleri genellikle mesajın tonunda ve içeriğinde kendini gösterir.

Sahtekarlığı tanıma:

• Görüntülenen adın ötesindeki gerçek gönderen adresini inceleyin (tam adresi görmek için fareyi üzerine getirin veya tıklayın).
• Alan adı varyasyonlarını kontrol edin: eksik harfler, yer değiştirmiş karakterler, fazladan kelimeler (company-support.com)
• Web sitelerindeki HTTPS sertifikalarını doğrulayın (yalnızca kilit simgesine değil, sertifikayı veren kuruluşa da bakın).
• Alan adı yaşı tutarsızlıklarına dikkat edin (meşru kuruluşlar yakın zamanda kayıtlı alan adlarını kullanmazlar).
• Sunucu kaynağı uyuşmazlıkları için e-posta başlıklarını doğrudan kontrol edin.

Kimlik avı saldırılarını tanıma:

• Beklenmedik aciliyet: "Hemen harekete geçin," "Hesabınız askıya alınacak"
• Genel selamlama ifadeleri: "Sayın Müşterimiz," "Sayın Kullanıcımız," gerçek adınız yerine kullanabilirsiniz.
• Kimlik bilgileri, ödeme değişiklikleri veya hassas verilerle ilgili talepler e-posta yoluyla iletilir.
• Görüntülenen URL metninin gerçek hedef adresle eşleşmediği şüpheli bağlantılar.
• Dilbilgisi tutarsızlıkları veya hafifçe markaya uygun olmayan biçimlendirme
• Gerçek olamayacak kadar iyi görünen teklifler veya orantısız görünen tehditler

Sahtekarlık ve Kimlik Avı Nasıl Birlikte Çalışır?

Sahtekarlık ve kimlik avı bir araya geldiğinde en tehlikeli hale gelir: Sahtekarlık, kimlik avını inandırıcı kılan güvenilirliği sağlarken, kimlik avı da sahtekarlığı zahmete değer kılan finansal motivasyonu sunar.

Birleşik saldırı akışı:

1. Saldırgan hedefi araştırıyor: Bir kuruluşun yöneticilerini, tedarikçilerini ve iletişim kalıplarını belirler.
2. Sahtekarlık meşruiyet yaratır: Benzer bir alan adı kaydeder veya bir e-posta hesabını ele geçirir.
3. Kimlik avı, tuzağa düşmeyi sağlar: Sahte kimlik kullanarak, belirli bir zararlı talep içeren inandırıcı bir mesaj gönderir.
4. Mağdur güvene dayanarak hareket eder: Sahte kimlik ilk güvenilirlik kontrollerinden geçtiği için ödeme işlemi gerçekleştirilir, kimlik bilgileri gönderilir veya bir eklenti açılır.
5. Saldırgan hedefine ulaştı: Kimlik bilgilerini ele geçirir, sahte ödeme alır veya sisteme erişim sağlar.

Örnek 1: Tedarikçi fatura sahtekarlığı

Bir muhasebe departmanı çalışanı, güvenilir bir tedarikçiden rutin gibi görünen bir e-posta alır ([e-posta korumalı]Banka bilgilerinin değiştiğini söylüyorlar. Ancak gerçek adres şu: [e-posta korumalı]Tek bir ince harf değişikliği. Gözden kaçması kolay. Talep normal görünüyor, kimse tekrar kontrol etmiyor ve ödeme doğrudan saldırganın kontrolündeki bir hesaba gönderiliyor.

Örnek 2: Yönetici kimlik bilgilerinin çalınması

Bir çalışan, CTO'sundan gelmiş gibi görünen ve kendisini yeni bir şirket portalına yönlendiren, acil kimlik doğrulama kurulumu gerektiren bir e-posta alır. Sahte gönderen adresi, CTO'nun gerçek adını göstermektedir. Bağlantı verilen sayfa, şirketin kimlik doğrulama sisteminin birebir kopyasıdır. Girilen kimlik bilgileri doğrudan saldırganlara gider ve saldırganlar bu bilgileri kullanarak şirket içi sistemlere erişirler.

IBM'in kimlik avı kitlerine ilişkin analizi Yapılan araştırmada, bilgi teknolojisi sektörünün en çok taklit edilen sektör olduğu, finans ve sigorta sektörünün ise ikinci sırada yer aldığı, bunun da taklit ve kimlik avı saldırılarının birleşiminin saldırganlara en yüksek getiriyi sağladığı alanları yansıttığı tespit edildi.

Sahtekarlık ve Kimlik Avı Nasıl Önlenir?

Etkin önleme, kimlik avı altyapısını hedef alan teknik kontrolleri ve kimlik avı psikolojisini hedef alan insani kontrolleri gerektirir.

Teknik kontroller

DMARC'ı uygulayın Yetkisiz mesajların alan adınızı kullanarak kimlik avı saldırılarında kullanılmasını önlemek için uygulama politikasında (p=reddet veya p=karantina) bir kısıtlama uygulanır. DMARC, SPF ve DKIM ile birlikte, mesajlar alıcılara ulaşmadan önce alan adı düzeyinde kimlik avını durduran teknik bir bariyer oluşturur.

E-posta için MFA Hesap ele geçirmeyi önler: meşru hesapları kullandığı için en ikna edici sahtekarlık yöntemidir. Kimlik avı başarılı bir şekilde şifreleri ele geçirse bile, MFA saldırganların hesaplara erişmesini ve gerçek adreslerden sahte mesajlar göndermesini engeller.

Davranış kalıplarını analiz eden e-posta filtreleme platformları, kimlik doğrulama protokollerinin gözden kaçırdığı sahte mesajları yakalar ve normal gönderim kalıplarından sapan, BEC kalıplı dil içeren veya şüpheli altyapıdan kaynaklanan mesajları işaretler.

Organizasyonel stratejiler

Teknoloji, sahtekarlık ve kimlik avı girişimlerinin büyük bir bölümünü engelleyebilir, ancak insan yargısının yerini alamaz. Çalışanlara sahte göndericileri, şüpheli alan adlarını ve manipülatif istekleri nasıl tanıyacaklarını öğreten düzenli eğitim, saldırganların hâlâ istismar etmeye çalıştığı bir katmanı güçlendirir. Çalışanların gerçekçi kimlik avı senaryolarını tespit etme ve bunlara yanıt verme konusunda pratik yaptığı uygulamalı simülasyonlar, pasif sınıf içi eğitime göre çok daha etkili olma eğilimindedir.

Açık doğrulama prosedürleri de ölçülebilir bir fark yaratır. Finansal talepler her zaman, mesajda verilen telefon numaraları veya bağlantılar yerine, önceden kayıtlı güvenilir iletişim numaraları kullanılarak bant dışı doğrulama gerektirmelidir. Bu tek önlem bile, sahte ödemeleri tetiklemeyi amaçlayan çoğu kimlik avı ve dolandırıcılık planını durdurabilir.

E-posta listesi hijyeni

Bir koruyarak e-posta listesini temizle Bu, kuruluşun her iki tehdide karşı da maruz kaldığı riskleri azaltır. Doğrulanmış kişilere sahip temiz listeler, güvenlik araçlarının anormallikleri belirlemesine yardımcı olan doğru gönderici itibar sinyallerini destekler. Güçlü gönderici itibarına ve tutarlı gönderim modellerine sahip kuruluşların taklit edilmesi daha zordur. E-posta listesi doğrulaması, saldırganların taklit kampanyaları planlarken incelediği gönderim altyapısını zayıflatan geçersiz, riskli ve doğrulanamayan adresleri kaldırır.

İyi e-posta pazarlamacıları için güvenlik Kimlik doğrulama, doğrulanmış listeler ve sürekli izlemeyi birleştirerek, davranışsal analiz yoluyla sahtekarlık girişimlerinin tespit edilebilmesini sağlayan tutarlı gönderim kalıpları oluşturur.

Profesyonel Yardım Ne Zaman Aranmalı

Bazı kimlik avı ve dolandırıcılık vakaları, şirket içi yeteneklerin ötesinde uzman desteği gerektirir. Aşağıdaki durumlarda profesyonel yardım alın:

• Tekrarlanan hedefli saldırılar: Eğer kuruluşunuz sürekli ve karmaşık kimlik avı kampanyalarıyla karşı karşıya kalıyorsa ve bu durum saldırganların sürekli ilgisini gösteriyorsa, güvenlik uzmanları tehdit profilinizi değerlendirebilir ve hedefli savunmalar uygulayabilir.
• Maddi kayıp meydana geldi: Para transferi dolandırıcılığı veya ödeme yönlendirmesi, fonların izini sürmek ve muhtemelen geri almak için bankanızla, kolluk kuvvetleriyle ve gerekirse adli güvenlik uzmanlarıyla derhal iletişime geçmeyi gerektirir.

• Veri ihlali şüphesi var: Kimlik avı saldırısı sonucunda kimlik bilgilerinin ifşa edilmesi, yetkisiz sistem erişimi veya veri sızdırılması meydana gelmişse, olay müdahale uzmanları hasarın kapsamını değerlendirmeli ve hasarı sınırlamalıdır.
• Sistemde güvenlik açığı tespit edildi: Kimlik avı yoluyla bulaşan kötü amaçlı yazılımların tamamen kaldırılması ve erişim sağlanan içeriğin belirlenmesi için profesyonel müdahale gereklidir.
• Alan adınız taklit ediliyor: Müşterileriniz veya iş ortaklarınız alan adınızdan sahte e-postalar alıyorsa, DMARC adli bilişim ve alan adı izleme hizmetleri saldırı altyapısını ve kapsamını belirleyebilir.

İletişim veritabanlarında geçersiz, güncel olmayan veya riskli adresler bulunan kuruluşlar, zayıf liste hijyeni nedeniyle saldırganlara zayıf e-posta güvenliği duruşu sinyali verdikleri için daha yüksek risk altındadır. DeBounce'un e-posta listesi doğrulaması Gönderici itibarını zayıflatan ve alan adınızı hedef alan kimlik avı kampanyalarına karşı savunmasızlığı artıran adresleri belirler ve kaldırır.

Alt çizgi

Sahtekarlık ve kimlik avı, saldırganın araç setinde farklı roller üstlenir ve bu farkı anlamak, savunmaları etkili kılan şeydir. Sahtekarlık, filtreleri atlatmak ve güven oluşturmak için teknik tanımlayıcıları taklit eder; kimlik avı ise bu güveni kullanarak kurbanları zararlı eylemlere yönlendirir. Birlikte, e-posta tabanlı siber suçlarda en yaygın ve maliyetli kombinasyonu oluştururlar.

Kimlik sahtekarlığına karşı korunmak teknik kontroller gerektirir: alan adı sahteciliğini önleyen DMARC, SPF, DKIM kimlik doğrulaması ve hesap ele geçirilmesini engelleyen MFA. Kimlik avına karşı korunmak ise insan kontrolleri gerektirir: çalışan eğitimi, doğrulama prosedürleri ve teknik filtrelerin gözden kaçırdığı sosyal mühendislik girişimlerini yakalayan davranışsal farkındalık.

Alan adınızın DMARC yapılandırmasını bugün kontrol edin ve çalışanlarınızın eğitimini değerlendirin: Ekibiniz en son ne zaman gerçekçi bir senaryoda sahte gönderici adresini belirleme konusunda uygulama yaptı?

Uzun vadeli güvenlik ve e-posta teslim edilebilirliği stratejinizin bir parçası olarak temiz bir e-posta altyapısı sürdürün. Kullanın Geri Dönme İletişim listelerini doğrulamak, geçersiz ve riskli adresleri kaldırmak ve alan adınıza yönelik sahtekarlık girişimlerini tespit etmeyi ve engellemeyi kolaylaştıran tutarlı gönderici itibarını korumak için güçlü kimlik doğrulama ve doğrulanmış listeler birlikte, tüm e-posta iletişimlerinizde hem sahtekarlık hem de kimlik avı riskini azaltan bir temel oluşturur.