Meslek ağında profesyonel tuzak

0

BEĞENDİM

ABONE OL

News

0

İş dünyasına yönelik toplumsal ağ sitesi LinkedIn, halka açık, geniş bir kurumsal bilgi veri tabanı olsa da  sitedeki herkesin söylediği kişi olduğuna inanmamak gerekiyor. Siber güvenlik şirketi ESET, LinkedIn’in  neden tehdit aktörleri için bir av alanı olduğunu araştırdı, değerlendirmelerini paylaştı.

Kasım ayında, İngiltere Güvenlik Servisi, parlamento üyelerine ve onların çalışanlarına, cüretkâr bir yabancı istihbarat toplama planı hakkında bilgilendirme  yaptı. MI5, LinkedIn’deki iki profilin, “içeriden bilgi” elde etmek için İngiliz siyasetinde çalışan şahıslara yaklaştığını argüman etti. MI5’in açıklamaları, parlamentoya yönelik casusluk tehditleriyle gayret etmek için 170 milyon sterlin (230 milyon dolar) meblağında bir hükümet teşebbüsünün başlatılmasına neden oldu. Bu, tehdit aktörlerinin kendi berbat gayelerini gerçekleştirmek için LinkedIn’i berbata kullandıkları en son yüksek profilli olay olabilir. Lakin hiçbir biçimde birinci hadise değil. Site, dolandırıcılık yahut tehdit kampanyalarını desteklemek için kullanılabilecek kurumsal dataların hazinesi de olabilir.

LinkedIn neden amaç oluyor?

LinkedIn, 2003 yılında kurulduğundan bu yana dünya çapında bir milyardan fazla “üye”ye ulaştı. Bu, devlet dayanaklı ve finansal gayeli tehdit aktörleri için çok sayıda potansiyel gaye manasına geliyor. Pekala, bu platform neden bu kadar tanınan? Bunun için birkaç neden öne çıkıyor:

Harika bir bilgi kaynağı: Siteyi araştırarak tehdit aktörleri hedefledikleri şirketteki kilit şahısların, yeni çalışanlar da dâhil olmak üzere, rollerini ve sorumluluklarını öğrenebilirler. Ayrıyeten şahıslar ortasındaki ilgiler ve üzerinde çalıştıkları projeler hakkında epey gerçek bir tablo oluşturabilirler. Bunların tümü, spearphishing ve BEC dolandırıcılığı teşebbüslerinde kullanılabilecek çok kıymetli istihbaratlardır.   

Güvenilirlik ve müdafaa sağlar: LinkedIn profesyonel bir ağ sitesi olduğu için hem üst seviye yöneticiler hem de alt seviye çalışanlar tarafından sıkça kullanılır. Her ikisi de tehdit aktörleri için yararlı olabilir. Kurbanlar, istenmeyen bir e-postadan çok, sitedeki birinden gelen DM yahut InMail’i açma eğilimindedir. Aslında üst seviye yöneticiler kelam konusu olduğunda e-postalar ekseriyetle yalnızca astlar tarafından denetim edildiği için onları direkt gaye almanın tek yolu bu olabilir.

Geleneksel güvenliği atlar: Mesajlar kurumsal e-posta sistemleri yerine LinkedIn sunucuları üzerinden iletildiğinden kurumsal BT departmanı neler olup bittiğinden habersizdir. LinkedIn’in birtakım yerleşik güvenlik tedbirleri olsa da kimlik avı, makûs maksatlı yazılım ve spam iletilerinin geçmeyeceğine dair bir garanti yoktur. Ayrıyeten sitenin güvenilirliği nedeniyle maksatların makûs emelli bir irtibata tıklama olasılıkları daha yüksektir.

Kullanımı kolay: Tehdit aktörleri için LinkedIn’i kullanarak taarruzların potansiyel getirisi çok yüksektir. Herkes bir profil oluşturabilir ve sitede istihbarat elde etmek yahut kimlik avı ve BEC şekli iletilerle amaç almak için profilleri tarayabilir. Ataklar, ölçeklendirme için nispeten kolay bir halde otomatikleştirilebilir. Kimlik avı eforlarına meşruiyet katmak için tehdit aktörleri mevcut hesapları ele geçirmek yahut uydurma kimlikler oluşturmak isteyebilirler. Siber hata forumlarında dolaşan çok sayıda ele geçirilmiş kimlik bilgisi, bunu her zamankinden daha kolay hâle getiriyor.

En yaygın saldırılar

Tehdit aktörlerinin LinkedIn üzerinden makus niyetli kampanyalarını hayata geçirebilecekleri çeşitli yollar var. Bunlar ortasında şunlar yer alıyor:

Oltalama ve amaçlı oltalama: LinkedIn kullanıcılarının profillerinde paylaştıkları bilgileri kullanarak oltalama kampanyalarını muvaffakiyet oranlarını artırmak için özelleştirebilirler.

Doğrudan akınlar: Düşmanlar, bilgi hırsızları üzere makûs hedefli yazılımları dağıtmak yahut kimlik bilgilerini toplamak gayesiyle iş tekliflerini tanıtmak için tasarlanmış makûs emelli temaslarla direkt irtibata geçebilirler. Alternatif olarak, MI5’in uyardığı üzere, devlet dayanaklı casuslar LinkedIn’i “içeriden bilgi sağlayanlar”ı işe almak için kullanabilirler.

BEC: Kimlik avı örneğinde olduğu üzere LinkedIn, BEC hücumlarını daha ikna edici hâle getirmek için kullanılabilecek varlıklı bir istihbarat kaynağı sağlar. Bu, dolandırıcıların kimin kime rapor verdiğini, hangi projeler üzerinde çalıştıklarını ve ortaklarının yahut tedarikçilerinin isimlerini belirlemelerine yardımcı olabilir.

Deepfake’ler: LinkedIn, amaçların görüntülerini da barındırabilir ve bu görüntüler, daha sonraki kimlik avı, BEC yahut toplumsal medya dolandırıcılığında kullanılmak üzere amaçların deepfake’lerini oluşturmak için kullanılabilir.

Hesap ele geçirme: Sahte LinkedIn (oltalama) sayfaları, bilgi hırsızları, kimlik bilgisi doldurma ve öteki teknikler, tehdit aktörlerinin kullanıcıların hesaplarını ele geçirmesine yardımcı olmak için kullanılabilir. Bunlar, amaçlarının kişi listelerini amaç alan sonraki akınlarda kullanılabilir.

Tedarikçi taarruzları: LinkedIn, gaye alınan şirketin ortakları hakkında detaylı bilgi toplamak için de kullanılabilir. Bu ortaklar daha sonra “basamak taşı” akınında kimlik avı ile gaye alınabilir.

LinkedIn’de inançta kalmak

LinkedIn tehditlerinin zorluğu, BT departmanının çalışanları için riskin ne kadar büyük olduğu ve onları gaye almak için hangi taktiklerin kullanıldığı konusunda gerçek bir fikir edinmesinin sıkıntı olmasıdır. LinkedIn tehdit senaryolarını güvenlik farkındalık kurslarına dâhil etmek mantıklı olacaktır. Çalışanlar ayrıyeten sitede çok paylaşım yapmamaları konusunda uyarılmalı ve düzmece hesapları ve tipik phishing tuzaklarını nasıl tespit edecekleri konusunda yardım almalıdır. Kendi hesaplarının ele geçirilmesini önlemek için nizamlı yama uygulama siyasetini takip etmeli, tüm aygıtlara (güvenilir bir sağlayıcıdan) güvenlik yazılımı yüklemeli ve çok faktörlü kimlik doğrulamayı etkinleştirmelidirler. Ekseriyetle daha sık maksat alınan yöneticiler için özel eğitim kursları düzenlemek de yararlı olabilir. Her şeyden evvel, çalışanlarınızın LinkedIn üzere emniyetli bir ağda bile herkesin onların çıkarlarını gözetmediğini anlamalarını sağlamanız önemlidir.

Kaynak: (BYZHA) Beyaz Haber Ajansı