Sosyal Mühendislik Nedir? İnsanı Hedef Alan Saldırılar

Bir sistemi kırmak zor olabilir; ama birini kandırıp şifresini söyletmek bazen çok daha kolaydır. Sosyal mühendislik, saldırganların teknik açıklar yerine insan psikolojisini kullandığı saldırılara verilen addır.

Hangi duyguları kullanır?

• Aciliyet: "Hesabınız 1 saat içinde kapatılacak!"
• Korku: "Adınıza şüpheli bir işlem yapıldı."
• Otorite: kendini banka görevlisi, polis, savcı ya da şirket yöneticisi olarak tanıtmak.
• Yardımseverlik: "Sistem çöktü, kodunu söylersen hemen düzeltirim."
• Merak ve açgözlülük: "Ödül kazandınız", "Bu dosyaya bir bak".

Amaç, kişinin durup düşünmeden hareket etmesini sağlamaktır.

Yaygın yöntemler

• Oltalama (phishing): gerçeğine benzeyen e-posta ya da sahte siteyle şifre toplamak.
• Sesli arama ile kandırma (vishing): telefonda resmi kurum gibi davranıp doğrulama kodu istemek.
• SMS ile kandırma (smishing): kargo, ceza ya da iade bahanesiyle bağlantıya tıklatmak.
• Bahane uydurma (pretexting): önceden kurulmuş inandırıcı bir hikâyeyle bilgi istemek; örneğin "yeni BT sorumlusuyum, hesabınızı taşıyorum".
• Yem bırakma (baiting): içinde zararlı yazılım olan bir USB belleği ortak bir alanda bırakmak.
• Kapıdan sızma (tailgating): kartlı bir kapıdan çalışanın arkasından girmek.

Nasıl korunulur?

• Doğrulama kodunu kimseyle paylaşma. Bankalar ve resmi kurumlar telefonda SMS kodunu ya da şifreni istemez.
• Aciliyete karşı dur. Ne kadar acele ettiriliyorsan o kadar şüphelen.
• Kanalı değiştirerek doğrula. Arayanın söylediği numarayı değil, kurumun resmi numarasını kendin ara.
• Bağlantıya değil adrese git. E-postadaki bağlantıya tıklamak yerine sitenin adresini kendin yaz.
• İki adımlı doğrulama kullan. Şifren ele geçse bile hesabın korunur.
• Bilinmeyen USB bellekleri takma.

Kurumlar için

Teknik önlemler ne kadar güçlü olursa olsun, tek bir çalışanın kandırılması yeterli olabilir. Düzenli farkındalık eğitimi, "şüphelendim, bildirdim" davranışını ödüllendiren bir kültür ve para transferi gibi kritik işlemler için çift onay kuralı en etkili önlemlerdendir.

En sağlam şifre bile, onu gönüllü olarak söyleyen birinin karşısında işe yaramaz. Sosyal mühendisliğe karşı en iyi araç, durup sormaktır.