Bir muhasebe çalışanının e-posta şifresi oltalama sayfasına girildi. Saldırgan hemen fark edilecek bir şey yapmaz; bunun yerine hesaba gizli bir kural ekler: "fatura", "ödeme", "IBAN" kelimelerini içeren e-postaları kendi adresine yönlendir ve gelen kutusundan sil. Haftalar boyunca yazışmalar izlenir, uygun anda müşteriye "banka hesabımız değişti" e-postası gönderilir. Bu senaryo, işletmelerin yaşadığı en pahalı e-posta saldırılarından biridir.
Belirtiler
- Gönderilmiş öğelerde sizin yazmadığınız e-postalar.
- Müşterilerin cevap verdiğini söylediği ama gelen kutunuza düşmeyen e-postalar.
- Tanımadığınız gelen kutusu kuralları veya otomatik yönlendirme.
- Oturum açma kayıtlarında başka ülke veya şehirlerden girişler.
- Kişilerinizden "garip bir e-posta aldık" bildirimleri.
İlk müdahale
Şifre, temiz olduğundan emin olunan bir cihazdan değiştirilmelidir. Ardından yönetim panelinden kullanıcının tüm açık oturumları sonlandırılmalıdır; aksi hâlde saldırganın oturumu şifre değişikliğinden sonra da devam edebilir. Gelen kutusu kuralları, otomatik yönlendirme ayarı, yetki verilmiş üçüncü taraf uygulamalar ve posta kutusuna verilmiş temsilci yetkileri tek tek kontrol edilmelidir.
Kapsamı anlamak
Hangi e-postaların okunduğu veya yönlendirildiği, hangi tarihten itibaren erişim olduğu ve hesaptan kimlere e-posta gönderildiği, yönetim panelindeki kayıtlardan incelenmelidir. Kişisel veri içeren yazışmalara erişilmişse KVKK açısından veri ihlali değerlendirmesi yapılmalıdır; bu konuda KVKK veri ihlali yazımıza bakabilirsiniz.
Muhatapları uyarın
Hesaptan sahte ödeme talebi gönderilmiş olabileceği için, düzenli yazışılan müşteri ve tedarikçilere kısa bir uyarı gönderilmeli ve ödeme bilgisi değişikliklerinin telefonla teyit edilmesi istenmelidir. Bu dolandırıcılık türünü IBAN değişikliği dolandırıcılığı yazımızda anlattık.
Tekrar yaşanmaması için
- Çok faktörlü doğrulama: Tüm kullanıcılarda zorunlu olmalıdır. Ayrıntılar için iki adımlı doğrulama.
- Dış yönlendirme kısıtı: Kurum dışına otomatik yönlendirme yönetim panelinden kapatılabilir.
- Uyarılar: Yeni gelen kutusu kuralı, şüpheli oturum açma gibi olaylarda yöneticiye bildirim.
- Eğitim: Sahte giriş sayfalarını tanıma; bu konuda sahte Microsoft 365 giriş sayfası yazımıza bakabilirsiniz.
Kimlik doğrulama kayıtları
Alan adının SPF, DKIM ve DMARC kayıtlarının doğru olması, saldırganların alan adınızı taklit ederek dışarıdan e-posta göndermesini zorlaştırır. Ayrıntılar için SPF, DKIM ve DMARC yazımıza bakabilirsiniz.
Sur Bilgisayar olarak ele geçirilen e-posta hesaplarında müdahale, kural ve oturum temizliği ile kurumsal e-posta güvenliği yapılandırması yapıyoruz. Ayrıntılar için network güvenlik sistemi sayfamıza bakabilirsiniz.
Sık sorulan sorular
Şifremi değiştirdim. Yeterli mi?
Hesabımın ele geçirildiğini nasıl anlarım?
Müşterilere haber vermeli miyim?
Bu konuda destek mi lazım?
Kurumların ağlarını firewall, IDS/IPS, VPN, NAC ve web filtreleme çözümleriyle koruyoruz; güvenlik politikası ve personel farkındalık…
