CEO dolandırıcılığı nedir? Sahte IBAN maillerinden korunma rehberi
CEO dolandırıcılığı, yönetici ya da tedarikçi kılığındaki saldırganın çalışanı acil ödemeye ya da sahte IBAN'a ödemeye ikna ettiği e-posta dolandırıcılığıdır. Saldırgan ödemenin başka bir hesaba yönlenmesini ister. Bu mailler çoğu zaman zararlı bağlantı ya da ek taşımaz; bu yüzden klasik istenmeyen mail süzgeçlerinden kolayca geçer.
CEO dolandırıcılığı nasıl kurulur?
Saldırı genellikle üç aşamada ilerler ve her aşama sabır ister. İlk aşama keşiftir: saldırgan kurumun web sitesini, sosyal medya hesaplarını, basın bültenlerini ve kamuya açık ticari kayıtları inceler. Yöneticilerin adlarını, muhasebe ve satın alma çalışanlarını, düzenli çalışılan tedarikçileri ve hatta yöneticinin ne zaman seyahatte olduğunu öğrenir.
İkinci aşamada güvenilir görünen bir gönderen hazırlanır. Bu; gerçek alan adına bir-iki harf farkla benzeyen yeni kaydedilmiş bir alan adı, görünen adı genel müdürün adı olan ücretsiz bir posta adresi ya da parolası ele geçirilmiş gerçek bir tedarikçi hesabı olabilir. Son yöntem en tehlikelisidir, çünkü mail gerçekten tanıdık adresten gelir.
Üçüncü aşamada mail gönderilir ve genellikle kısa, acil ve kişiseldir: "Bir satın alma görüşmesindeyim, arayamıyorum; bugün şu ödemenin çıkması gerekiyor" ya da "Bankamız değişti, bundan sonraki ödemeleri aşağıdaki IBAN'a yapınız." Mailin tek amacı, çalışanın olağan kontrolleri atlayarak hızlı hareket etmesidir.
Sahte IBAN mailleri neden süzgeçlerden geçer?
Sahte IBAN maili teknik açıdan çoğu zaman temizdir. İçinde zararlı yazılım ya da şüpheli bağlantı bulunmaz. Saldırgan kendi benzer alan adını kaydettiyse SPF, DKIM ve DMARC kayıtlarını da kurallara uygun yapılandırmış olabilir; bu durumda kimlik doğrulama kontrolleri geçer.
İstenmeyen mail süzgeçleri toplu gönderimi ve bilinen zararlı içeriği yakalamak için tasarlanmıştır. Tek bir kişiye yazılmış, doğru isimlerle kişiselleştirilmiş bir ödeme talebini ayırt etmekte zorlanırlar. Bu yüzden korumanın iki katmanı vardır: maili gerçekte kimin gönderdiğini ölçen teknik kontroller ve ödeme talimatını bağımsız bir kanaldan doğrulayan kurum içi bir süreç. İkisi birbirinin yerini tutmaz.
Hangi işaretler bir mailin sahte olabileceğini gösterir?
- Benzer alan adı:
ornek-lojistik.com.tryerineornek-lojistlk.com.trgibi bir-iki harf farkı ya da Latin harfine benzeyen farklı alfabeden harfler. - Görünen ad ile adresin uyuşmaması: görünen ad genel müdürün adıdır, adres ise ücretsiz bir posta hizmetine aittir.
- Yanıt adresinin farklı olması: mail tanıdık adresten gelmiş gibi görünür, ama "Yanıtla"ya basıldığında cevap başka bir adrese gider.
- Aciliyet ve gizlilik baskısı: "hemen", "bugün mutlaka", "kimseye söyleme", "şu an arayamam" gibi ifadeler.
- Ödeme bilgisi değişikliği: daha önce çalışılan bir tedarikçinin banka bilgisinin mail ile değiştiğinin bildirilmesi.
- Olağan akışın dışına çıkma: yeni bir hesaba ilk kez yüksek tutarlı ödeme, onay basamaklarını atlama talebi, alışılmadık saatlerde gönderim.
Bu işaretlerden tek biri her zaman dolandırıcılık anlamına gelmez; ama iki ya da daha fazlası bir arada görüldüğünde ödeme mutlaka durdurulup doğrulanmalıdır.
Kurum ödeme sürecini nasıl korur?
- Hesap değişikliğini mail ile kabul etmeyin. Tedarikçinin banka bilgisi değiştiyse, kayıtlarınızdaki ve daha önce doğrulanmış telefon numarasından arayarak teyit edin. Maildeki numarayı aramayın.
- Ödeme için ikinci onay şartı koyun. Belirli bir tutarın üstündeki ya da yeni bir hesaba yapılacak her ödeme ikinci bir kişinin onayından geçsin.
- Acil ödeme istisnası tanımlamayın. "Acil" diye gelen talepler için de aynı doğrulama geçerli olsun; aciliyet, kontrolü atlamanın gerekçesi olmasın.
- Alan adınızı koruyun. Kendi alan adınız için SPF, DKIM ve DMARC kayıtlarını eksiksiz yapılandırın; böylece sizin adınıza sahte mail gönderilmesi zorlaşır.
- Çalışanları kısa ve düzenli bilgilendirin. Muhasebe ve satın alma ekiplerine gerçek örneklerle bu işaretleri tanıtın; yılda bir uzun eğitim yerine üç ayda bir kısa hatırlatma daha etkilidir.
- Şüpheli maili bildirme yolu açın. Çalışanın "bu maile emin değilim" dediğinde kime ve nasıl haber vereceği belli olsun; bildirimde bulunan kişi hiçbir zaman suçlanmasın.
Şüpheli bir ödeme yapıldıysa ne yapılmalı?
- Bankanızı hemen arayın ve işlemin durdurulmasını ya da geri çağrılmasını isteyin; ilk saatler belirleyicidir.
- Karşı bankaya da bildirim yapılması için bankanızdan destek isteyin.
- İlgili maili, ekleri ve yazışma geçmişini silmeyin; tam başlıklarıyla saklayın.
- Parolası ele geçirilmiş olabilecek hesapların parolalarını değiştirin ve açık oturumları kapatın.
- Kolluk birimlerine başvurun ve olayı kurum içinde kayda geçirin.
- Olaydan sonra süreçte hangi kontrolün atlandığını belirleyip düzeltin.
Çalışanlar bu saldırıyı nasıl fark etmeyi öğrenir?
En etkili yöntem, gerçekçi örneklerle yapılan kısa oturumlardır. Muhasebe ekibine kendi sektörünüzden bir sahte IBAN maili gösterin ve işaretleri birlikte bulun. Ardından "bu maili alsaydınız ne yapardınız" sorusunu somut adımlarla yanıtlayın: kimi arardınız, hangi kaydı kontrol ederdiniz, ödemeyi kim onaylardı.
Kural basit tutulmalıdır: "Ödeme bilgisi değişikliği ve acil ödeme talebi her zaman telefonla doğrulanır." Kısa ve akılda kalan bir kural, uzun bir yönetmelikten daha çok işe yarar.
Yöneticilerin de bu kurala uyması gerekir. Bir genel müdür, çalışanlarına "benden gelen acil ödeme talimatları da telefonla teyit edilecek" dediğinde, saldırının en güçlü dayanağı olan otorite baskısı ortadan kalkar. Kural herkese uygulandığında, doğrulama yapan çalışan kendini zor durumda hissetmez.
SmartMail CEO dolandırıcılığına karşı nasıl korur?
SmartMail, CEO dolandırıcılığının izlerini tek bir karar yerine ayrı ayrı ölçer ve sonucu gerekçesiyle yazar. Gelen her mailde gönderenin SPF, DKIM, DMARC ve PTR kayıtları SmartMail tarafından yeniden hesaplanır. Benzer alan adı, farklı alfabeyle yazılmış alan adı, görünen ad ve marka taklidi ile yanıt adresi uyuşmazlığı ayrı bulgular olarak işaretlenir. Metin ayrıca ödeme talebi, kurum taklidi ve aciliyet baskısı gibi göstergeler için değerlendirilir.
Sonuç, mailin yanında okunabilir bir güvenlik değerlendirmesidir: "Görünen ad kurumunuzu iddia ediyor, adres dışarıdan" ya da "alan adı bilinen bir muhataba benzetilmiş" gibi. Güven eşiğinin altındaki mail karantinaya alınır.
Ödeme tarafında SmartMail'in gönderim onay akışı, kurum adına çıkacak kritik yazışmaların bir ya da birden çok iş arkadaşının onayından geçmesini sağlar. Ayrıntılar: SmartMail e-posta güvenliği ve e-posta onay akışı.