Kurumların e-posta üzerinden yaşadığı en büyük maddi kayıplar, zararlı yazılımdan değil ikna yoluyla gerçekleşir. Saldırgan hiçbir sistemi kırmaz; yalnızca bir ödemenin yönünü değiştirir.
Tipik senaryo
Kalıp neredeyse her vakada aynıdır.
Muhasebe, uzun süredir çalıştığı bir tedarikçiden bir e-posta alır. İçerik olağandır: bekleyen fatura ve bir bilgi — banka hesabı değişmiştir, ödeme yeni hesaba yapılmalıdır.
E-posta doğal görünür. Konu başlığı önceki yazışmayı devam ettirir, imza doğrudur, ton tanıdıktır. Ödeme yapılır.
Gerçek tedarikçi haftalar sonra ödemeyi sorar. O noktada para çoktan birkaç hesap değiştirmiştir.
Üç farklı teknik
Aynı sonuca ulaşan üç yol vardır ve savunmaları farklıdır.
Görünen adresi taklit etmek. En basit yöntemdir ve bugün büyük ölçüde engellenebilir; DMARC doğru yapılandırıldığında bu tür postalar teslim edilmez.
Benzer alan adı kullanmak. Saldırgan, gerçeğe çok yakın bir alan adı kaydeder — bir harf eksik, bir harf değişik ya da farklı bir uzantı. Bu postalar teknik olarak tamamen meşrudur: kendi alan adının SPF, DKIM ve DMARC kayıtları geçerlidir. Hiçbir kimlik doğrulama katmanı bunu yakalayamaz.
Gerçek hesabı ele geçirmek. En tehlikelisidir. Postalar gerçekten tedarikçinin kutusundan gider; yazışma geçmişi okunmuş, üslup öğrenilmiştir. Teknik denetimlerin tamamı geçilir.
İkinci ve üçüncüsü, adres taklidini engellemenin neden yetmediğini açıklar.
Ele geçirilmiş hesabın belirtileri
Üçüncü senaryoda saldırgan genelde haftalarca sessiz kalır ve iki şey yapar: yazışmaları okur, ve bir yönlendirme kuralı kurar.
Kural, belirli anahtar kelimeleri içeren postaları dışarı yönlendirir ya da bir klasöre taşıyıp okundu işaretler. Amaç, gerçek muhatabın uyarı mesajlarını görmemesidir.
Bu yüzden ele geçirilmiş hesap avında en verimli tek kontrol, kullanıcı tarafından oluşturulmuş yönlendirme ve gizleme kurallarını düzenli taramaktır. Bulunan her kural sorgulanır.
Aynı kontrolün yapılma yolu ve M365 tarafındaki karşılığı Exchange Online posta akışı yazısında; kimlik tarafındaki temel önlem ise MFA nedir ve Entra ID’de MFA zorlamak yazılarında.
Teknik önlemler ne kadar yardımcı
Yapılabilecekler vardır ve sınırları bilinmelidir.
Dış gönderen etiketi. Dışarıdan gelen postalara görünür bir uyarı eklemek, iç yazışma taklidini kırar. Etkilidir ama zamanla görünmez hâle gelir — kullanıcı her postada gördüğü uyarıyı okumayı bırakır.
Benzer alan adı izleme. Kurumun alan adına benzeyen yeni kayıtları izleyen hizmetler vardır. Erken uyarı verir; engelleme sağlamaz.
İlk temas uyarısı. Kurumla daha önce hiç yazışmamış bir adresten gelen postayı işaretlemek, benzer alan adı saldırılarını yakalayan en pratik denetimdir.
Yanıt adresi denetimi. Görünen gönderen ile yanıt adresinin farklı olduğu postaları işaretlemek, klasik bir kalıbı yakalar.
Bunların toplamı riski azaltır; sıfırlamaz. Çünkü en tehlikeli senaryoda posta gerçekten meşrudur.
Asıl savunma: ödeme süreci
Kayıp e-posta sisteminde değil, ödeme sürecinde gerçekleşir. Bu yüzden kalıcı savunma da oradadır.
Üç kural, bilinen vakaların neredeyse tamamını durdurur.
Banka hesabı değişikliği e-postayla kabul edilmez. Değişiklik yalnızca, kurumun kendi kayıtlarındaki telefon numarasından yapılan bir aramayla doğrulanır. E-postadaki numara aranmaz — dolandırıcılık vakalarında o numara saldırgana aittir.
Belirli tutarın üstü çift onay ister. İki ayrı kişi, iki ayrı kanaldan.
Aciliyet bir uyarı işaretidir. “Bugün ödenmezse” cümlesi, sürecin atlanması için kurulmuş bir baskıdır. Süreç, aciliyet karşısında hızlanmayacak biçimde yazılmalıdır.
Bu üçü teknik değil, yazılı yordamdır — ve tam da bu yüzden BT’nin tek başına çözebileceği bir konu değildir. Finans ve satın alma birimleriyle birlikte kurulmalıdır.
Olaydan sonra
Ödeme yapıldıysa süre kritiktir. İlk saatlerde bankaya yapılan bildirim, paranın durdurulma ihtimalini belirgin biçimde artırır.
Aynı anda ikinci bir soru sorulmalıdır: hesap gerçekten ele geçirildi mi? Öyleyse bu bir veri ihlali olabilir ve bildirim yükümlülüğü doğar.
Müdahale sırası olay müdahalesinde ilk saat yazısında; olayın büyük olay olarak yürütülmesi gerekiyorsa iletişim düzeni büyük olay süreci rehberinde.
Tatbikat yapmadan hazır sayılmayın
Yazılı bir ödeme yordamı, uygulanmadığı sürece yalnızca bir belgedir.
En pratik sınama, kontrollü bir tatbikattır: finans ekibine, kurum içinden gönderilen ve hesap değişikliği talep eden bir test postası. Amaç kimseyi yakalamak değil, sürecin gerçekten işleyip işlemediğini görmektir.
Sonuç iki türlü çıkar. Süreç işlemişse — arama yapılmış, doğrulama istenmiştir — yordam gerçektir. İşlememişse, eksik olan şey eğitim değil genelde sürecin ne kadar zahmetli olduğudur; kolaylaştırılmadan tekrar edilmesi beklenemez.
Kısaca
Bu saldırı, sistemleri değil süreçleri hedefler; en tehlikeli biçiminde postalar teknik olarak tamamen meşrudur.
DMARC ve dış gönderen etiketi gibi önlemler gereklidir ama yeterli değildir. Kaybı gerçekten durduran şey tek bir kuraldır: hesap değişikliği, kayıtlardaki numaradan aranarak doğrulanmadan işleme alınmaz.