Bir sabah muhasebe sorumlusunun gelen kutusuna uzun süredir çalıştığınız tedarikçiden bir e-posta düşer: “Banka hesabımız değişti, bu ayki ödemeyi ekteki yeni IBAN’a yapabilir misiniz?” Yazım dili tanıdıktır, imza aynıdır, hatta önceki yazışmalarınızın devamı gibi görünür. Ekte zararlı bir dosya yoktur, tıklanacak bir bağlantı da yoktur. Bu, iş e-postası dolandırıcılığının (BEC) tipik bir örneğidir ve klasik güvenlik önlemlerinin çoğundan sessizce geçer. Bu rehberde oltalama ve BEC saldırılarının nasıl kurgulandığını, hangi işaretlerden tanınabileceğini ve şirketinizde hangi süreçlerin riski azalttığını anlatıyoruz. Teknik koruma katmanları için e-posta güvenliği sayfamıza göz atabilirsiniz.
Oltalama ile BEC arasındaki fark
Oltalama (phishing) genellikle geniş kitlelere gönderilen ve kullanıcıyı bir bağlantıya tıklamaya, sahte bir sayfaya parola girmeye ya da zararlı bir eki açmaya ikna etmeye çalışan e-postalardır. Belirli bir kişi veya kurum için özel olarak hazırlanmış olanlarına hedefli oltalama (spear phishing) denir.
BEC (Business Email Compromise) ise doğrudan para veya değerli bilgi elde etmeye odaklanan, sosyal mühendisliğe dayalı bir dolandırıcılık türüdür. Saldırgan bir yöneticiyi, tedarikçiyi, avukatı ya da müşteriyi taklit eder. Taklit üç şekilde yapılabilir: görünen adı değiştirerek, sizin alan adınıza çok benzeyen bir alan adı kaydederek ya da en tehlikelisi, gerçek bir hesabı ele geçirip o hesaptan yazarak. Çoğu BEC saldırısından önce bir oltalama aşaması vardır; yani iki saldırı türü sıklıkla birbirini besler.
Yaygın senaryolar
- Sahte fatura ve IBAN değişikliği: Tedarikçi gibi davranan saldırgan, ödemenin yeni bir hesaba yapılmasını ister.
- CEO dolandırıcılığı: Genel müdür adına yazılan e-posta, “gizli bir satın alma” veya “acil bir ödeme” için finans ekibinden hızlı işlem bekler; çoğu zaman yöneticinin seyahatte olduğu bir güne denk getirilir.
- Hediye kartı talebi: Yönetici adına çalışanlardan müşterilere hediye etmek üzere dijital kart kodları istenir.
- Bordro yönlendirmesi: Bir çalışan adına İK’ya yazılarak maaş hesabının değiştirilmesi talep edilir.
- Paylaşılan belge tuzağı: Bulut depolama bildirimi görünümündeki e-posta, kullanıcıyı sahte bir giriş sayfasına götürür.
- Kargo ve vergi bildirimleri: Gümrük, kargo ya da resmi kurum adına gönderilen iletiler küçük bir ödeme veya bilgi girişi ister.
Bir e-postayı şüpheli kılan işaretler
- Aciliyet ve gizlilik baskısı: “Hemen”, “bugün mesai bitmeden”, “kimseye söyleme” gibi ifadeler sosyal mühendisliğin klasik aracıdır.
- Süreç dışı talepler: Normalde onay zincirinden geçen bir ödemenin e-postayla doğrudan istenmesi.
- Gönderici adresindeki küçük farklar: Görünen ad doğru olsa da adreste bir harf eksik, fazla ya da farklı bir uzantı olabilir.
- Yanıt adresinin farklı olması: Yanıtla dediğinizde açılan adres göndericiyle aynı değilse dikkat edin.
- Beklenmeyen ekler: Özellikle makro açmanızı isteyen belgeler, parola korumalı arşivler ve HTML dosyaları.
- Bağlantının gerçek hedefi: Fareyle üzerine geldiğinizde görünen adres metinde yazanla uyuşmuyorsa tıklamayın.
- Harici gönderici uyarısı: İç ekipten geliyor gibi görünen bir ileti “harici” etiketi taşıyorsa bu güçlü bir işarettir.
Şunu da unutmamak gerekir: ele geçirilmiş gerçek bir hesaptan gelen BEC iletisinde bu işaretlerin çoğu bulunmaz. Bu yüzden yalnızca kullanıcıların dikkatine güvenmek yeterli değildir; süreçler belirleyici rol oynar.
Riski azaltan süreçler
İkinci kanaldan teyit
Banka bilgisi değişikliği, yeni alıcı tanımlama veya olağan dışı ödeme taleplerinde, e-postada yazan numarayı değil, tedarikçi kaydında daha önce bulunan telefon numarasını arayarak teyit edin. Bu tek kural, BEC kaynaklı kayıpların önündeki en güçlü bariyerdir.
Çift onay
Belirli bir tutarın üzerindeki ödemeler ve tedarikçi banka bilgisi güncellemeleri en az iki kişinin onayına bağlanmalıdır.
Bildirmeyi kolaylaştırmak
Çalışanların şüpheli bir iletiyi tek tıkla bildirebildiği ve bildirdiği için teşekkür gördüğü bir kültür, saldırıların erken fark edilmesini sağlar. Yanlışlıkla tıklayan kişinin bunu saklamak yerine hemen söylemesi, cezalandırılma korkusu olmadığında mümkündür.
Düzenli ve kısa eğitim
Yılda bir yapılan uzun bir sunum yerine kısa, düzenli içerikler ve gerçekçi oltalama simülasyonları davranışı çok daha kalıcı biçimde değiştirir.
Teknik önlemlerin rolü
Süreçler belirleyici olsa da teknik katmanlar saldırıların büyük kısmını kullanıcıya ulaşmadan durdurur. Alan adınız için SPF, DKIM ve DMARC yapılandırması, sizin adınıza sahte e-posta gönderilmesini zorlaştırır. Sandbox ile ek analizi ve tıklama anında bağlantı kontrolü, zararlı içeriği yakalar. Taklit tespiti ve harici gönderici etiketleri, BEC girişimlerini görünür kılar. Hesap ele geçirilmesine karşı ise en etkili önlem çok faktörlü doğrulamadır; bu konuyu MFA ve SSO rehberimizde ayrıntılı olarak ele aldık.
Bir saldırı fark edildiğinde ilk adımlar
- Para transferi yapıldıysa vakit kaybetmeden bankanızla iletişime geçin; erken bildirim kritik önemdedir.
- Bilgi girilen hesapların parolasını değiştirin, tüm oturumları sonlandırın ve MFA kayıtlarını kontrol edin.
- Hesapta saldırganın oluşturmuş olabileceği gelen kutusu kurallarını ve otomatik iletme ayarlarını inceleyin.
- Aynı iletinin diğer çalışanlara da gelip gelmediğini kontrol edip toplu olarak kaldırın.
- Ek açıldıysa cihazı ağdan ayırıp uç nokta güvenliği çözümüyle inceleyin.
- Kişisel veri etkilendiyse KVKK kapsamındaki bildirim yükümlülüklerini değerlendirmek için hukuki destek alın.
Risk altındaki ekiplere özel önlemler
Saldırganlar herkesi aynı ölçüde hedeflemez. Finans, satın alma, İK ve üst yönetim ekipleri; ödeme yapabildikleri, hassas bilgilere eriştikleri ve kamuya açık profillerde isimleri kolayca bulunabildiği için çok daha sık hedef alınır. Bu ekipler için daha sık ve senaryoya özel eğitim, daha sıkı taklit koruma politikaları ve yönetici hesaplarında oltalamaya dayanıklı MFA yöntemleri önerilir. Yöneticilerin seyahat ve tatil bilgilerini sosyal medyada anlık paylaşmaması da CEO dolandırıcılığının zamanlamasını zorlaştırır.
Benzer alan adlarının izlenmesi de unutulmamalıdır. Alan adınıza bir harf eklenmiş, harf yer değiştirmiş ya da farklı bir uzantıyla kaydedilmiş adresler, müşterilerinizi ve tedarikçilerinizi kandırmak için kullanılabilir. Bu tür kayıtları düzenli olarak takip etmek ve tespit edildiğinde iş ortaklarınızı bilgilendirmek, itibarınızı korumanın bir parçasıdır.
Ölçmeniz gereken göstergeler
Oltalama simülasyonlarında tıklama oranı kadar, şüpheli iletiyi bildiren kullanıcı sayısını ve bildirimin ne kadar hızlı geldiğini izleyin. DMARC raporlarında alan adınızı kullanmaya çalışan yetkisiz kaynakları takip edin. Karantinaya alınan iletilerden kaçının meşru çıktığını ölçerek politikaları dengeleyin.
Sonuç
Oltalama ve BEC, teknolojiden çok insan doğasını hedef alır: güven, aciliyet ve yardım etme isteği. Bu yüzden en iyi savunma; doğru yapılandırılmış teknik katmanlar, net ödeme süreçleri ve bildirmeyi teşvik eden bir kültürün birleşimidir. Racoun’un teknoloji birimi Pedante Bilişim, Racurity markasıyla bu katmanları uzman çözüm ortaklarımız aracılığıyla kuruyor ve yönetiyor. Ayrıntılar için e-posta güvenliği hizmet sayfamızı inceleyebilir, kapsamlı bir yaklaşım için siber güvenlik hizmetlerimize bakabilir ya da ücretsiz bir ilk görüşme planlayabilirsiniz.
Sık sorulan sorular
Oltalama e-postasını açmak tek başına tehlikeli mi?
Günümüz e-posta istemcilerinde yalnızca iletiyi açmak genellikle tek başına zarar vermez. Asıl risk bağlantıya tıklamak, sahte sayfaya bilgi girmek veya eki açmaktır. Yine de şüpheli iletiyi açtıysanız BT ekibine bildirmeniz, aynı iletinin diğer kişilerden de kaldırılmasını sağlar.
Ele geçirilmiş bir tedarikçi hesabından gelen e-postayı nasıl anlarız?
Teknik olarak bu iletiler meşru göründüğü için çoğu zaman anlaşılmaz. Bu nedenle içeriğe değil talebin türüne odaklanmak gerekir: banka bilgisi değişikliği veya alışılmadık ödeme talebi her zaman önceden bilinen bir telefon numarası üzerinden teyit edilmelidir.
Oltalama simülasyonu ne sıklıkla yapılmalı?
Tek seferlik bir test yerine yıl boyunca farklı senaryolarla düzenli aralıklarla yapılan simülasyonlar daha etkilidir. Sıklığı kurumun büyüklüğüne ve risk profiline göre belirliyor, her simülasyonun ardından kısa bir bilgilendirme içeriği sunmayı öneriyoruz.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
