Zephyrnet Logosu

Modern kimlik avı teknikleri neden hepimizi bu yeni hiper hedefli saldırı dalgasına karşı savunmasız hale getirdi?

Tarih:

Şu ana kadar hepimiz bu yarım yamalak e-postaları aldık - bankanızdan geliyormuş gibi görünen ve sizden "hesap ayrıntılarınızı hemen doğrulamanızı" isteyen e-postalar. veya hiç katılmadığınız bazı rastgele çekilişlerde iPhone kazandığınızı iddia etmek. Hepsi kötü niyetli bir bağlantıya tıklamanızı sağlamak için yapılıyor. Sil, sil, sil. Bariz kimlik avı… bariz, değil mi?

Ne yazık ki, kimlik avı saldırıları bu bariz eski dolandırıcılıkların çok ötesine geçti. Günümüzün kimlik avı ciddi bir tehdit oluşturuyor - 84% işletme Ankete katılanlar, kimlik avının karşılaştıkları en yaygın saldırı vektörü olduğunu belirtiyor. Bunlar, kişiselleştirilmiş sosyal mühendislik teknikleriyle tecrübeli profesyonelleri bile kandırmak için tasarlanmış, karmaşık ve yüksek hedefli saldırılardır.

Gerçek şu ki, modern kimlik avı, kimlik bilgilerini veya hassas verileri hiç düşünmeden teslim etmemiz için bizi kandırmak için inanılmaz derecede akıllı taktikler kullanıyor ve sonuçları yıkıcı olabiliyor. Bu yazıda, sürekli gelişen kimlik avı dünyasına derinlemesine bir dalış yapacağız, bu dijital yankesicilerin kullandığı en son yöntemleri, dolandırıcılıklarının neden bu kadar başarılı olduğunu ve en önemlisi kendinizi nasıl daha iyi tanımlayıp koruyabileceğinizi keşfedeceğiz ( veya işletmeniz onlardan).

Modern bir kimlik avı saldırısının anatomisi

Phishing eskiden oldukça kabaydı; yazım hataları, gramer hataları ve genel olarak zayıf yazma becerileriyle dolu yarım yamalak e-posta patlamaları. Peki modern kimlik avı saldırıları? Bunları gerçeğinden ayırmak çok zor hale geldi ve artık her demografik gruptan insan (sadece dijital yerli olmayanlar değil) kurban oluyor. Onları bu kadar tehlikeli derecede ikna edici kılan şeyin ne olduğunu açıklayalım:

Modern kimlik avı teknikleri neden hepimizi bu yeni hiper hedefli saldırı dalgasına karşı savunmasız hale getirdi?
(Resim kredi)

E-postanın ötesinde dijital yaşamınızın her köşesine

Yalnızca e-postaları unutun; insanların sosyal medyada, mesajlaşma uygulamalarında ve hatta oyun sitelerinde çok fazla zaman harcadığı günümüzde modern kimlik avı, ağını dijital ortamda çok geniş bir alana yayıyor. Dolandırıcılık artık size şu yollarla geliyor:

  • Kısa mesajlar (gülen)
  • Telefon görüşmeleri (vishing)
  • Facebook ve LinkedIn gibi sosyal platformlar
  • Oyun toplulukları

Platformu nedeniyle neredeyse hiçbir dijital iletişim kanalı artık güvenli değil.

Hiper kişiselleştirilmiş mesajlaşma

Tüm haberlerde gördüğümüz yaygın veri ihlallerinin ana yan etkilerinden biri (aynı zamanda sosyal medyada aşırı paylaşım eğilimi), bilgisayar korsanlarının dolandırıcılıklarını daha çekici hale getirmek için kişisel ayrıntılarımızı kolayca elde edebilmeleridir. Bundan sonra, siber suçlular, gerçek bireyler olarak bizde derin yankı uyandıracak hedefli mesajlar oluşturmak için bu kişisel bilgi parçacıklarını kullanma konusunda hiç merhamet göstermeyeceklerdir.

Bankanızdan, memleketinize, ailenizle yaptığınız son tatile, iş arkadaşlarınıza, çocuklarınızın adlarına, favori spor takımınıza veya desteklediğiniz kar amacı gütmeyen kuruluşa atıfta bulunan, özenle hazırlanmış e-postalar hayal edin. Veya telefon operatörünüzden geçen ayki yurtdışı seyahatiniz sırasında hesabınızda şüpheli etkinlik olduğunu bildiren kısa mesajlar. Bu kesin kişisel ayrıntılar özünde güven oluşturur ve dikkatinizi hızla çeker. Hiper-kişiselleştirilmiş kimlik avının bu kadar endişe verici derecede iyi çalışmasının ve siber güvenlik profesyonellerini bile kandırmasının nedeni tam olarak budur.

Sonraki seviye sosyal mühendislik taktikleri

Modern dolandırıcılar psikoloji ve ikna konusunda oldukça yetenekli olup merak, korku, aciliyet ve açgözlülük gibi doğuştan gelen insani duyguları hedef alırlar. İnsanların kötü niyetli bağlantıları düşünmeden tıklamasını sağlamak için mantığı atlayan doğru duygusal tetikleyicileri bulmak için anlatıları dikkatlice test ediyorlar. Ve bu taktikler, kimlik avı kampanyası performansına ilişkin A/B testleri ve analizler sayesinde sürekli gelişiyor; manipülasyonların nasıl iyileştirileceğini verilerin belirlemesine izin veriyor.

Sinsi teknik hileler

Kısaltılmış URL'ler, e-posta sahtekarlığı, benzer karakterler; kimlik avcılarının güvenliği atlatmak ve sizi tıklamamanız gereken yere tıklamaya ikna etmek için her türlü hilesi vardır. Sahte ürünleri tespit etmek için yalnızca gözlerinize ve teknolojinize güvenmek her zamankinden daha zor hale geliyor.

Hedefli saldırıların yükselişi – Büyük balıkta sersemleme

Süper güçlü kimlik avı taktikleri yeterince kötü değilmiş gibi, artık saldırganlar özel saldırılarla kimi hedef alacakları konusunda daha akıllı hale geliyor. Ana hedefler mi? Şirketlerdeki yöneticiler ve kilit personel. Değerli verileri koruyan büyük silahlardan ödün verebilecekken neden sıradan kullanıcılara yönelesiniz ki? Yaygın hedefli kimlik avı saldırıları şunları içerir:

balina avcılığı

Hedef odaklı kimlik avı (belirli bir şirketi veya kişiyi hedef alan kimlik avı saldırıları) duymuş olabilirsiniz. Balina avcılığı, yalnızca üst düzey yöneticileri, politikacıları, ünlüleri ve diğer yüksek profilli VIP'leri hedef alarak bu alanda bir adım daha ileri gidiyor. Hassas kurumsal verilere veya büyük banka hesaplarına erişimi olan tek bir yönetici, bir işletmeye, liderlik ofisine veya kar amacı gütmeyen kuruluşa yıkıcı bir darbe indirebilir.

Modern kimlik avı teknikleri neden hepimizi bu yeni hiper hedefli saldırı dalgasına karşı savunmasız hale getirdi?
(Resim kredi)

İş E-postası Uzlaşması (BEC)

Akıllı kimliğe bürünme ve sosyal mühendislik kullanan BEC saldırganları, çalışanları fonları veya hassas verileri meşru alıcılar olduğuna inandıkları dış taraflara isteyerek aktarmaya ikna eder. Finans ekibinden gizli bir satın alma için para aktarmalarını isteyen sahte bir CEO e-postası. Acil bir satıcı ödeme talebi, orta düzey yönetim personelini derhal harekete geçmeye itti. BEC güveni yıkıcı bir etki yaratacak şekilde kullanıyor.

Tedarik zinciri saldırıları

Kimlik avcılarının sayısı giderek artıyor ve bir kuruluşun ağları ve sistemleriyle ayrıcalıklı erişime veya entegrasyona sahip olan zayıf bağlantıları (üçüncü taraf tedarikçiler, satıcılar, iş ortakları) hedef alıyor. Zincirin bir parçası ele geçirildiğinde, saldırganlar içeriye doğru ilerleyerek verileri çalmak veya istemci sistemlerine kötü amaçlı yazılım yerleştirmek için hazırlık alanı elde ederler.

Etkili kimlik avının ardındaki psikolojiyi yıkmak

Hepimiz "IRS"den gelen, bizi tutuklamakla tehdit eden sahte bir çağrıya veya tahttan indirilen bir prensin banka hesabımıza 10 milyon dolar aktarmaya çalışan bir e-postasına asla kanmayacağımızı düşünmek isteriz. Ancak insanların (hatta şüpheci güvenlik uzmanlarının bile) kimlik avına düşmelerinin ardındaki gerçek psikolojik nedenleri anlamak, doğru senaryoda HEPİMİZİN savunmasız olduğumuzu ortaya koyuyor. İşte uzman kimlik avcılarının güvendiği 3 temel psikolojik tetikleyici.

Güveni silahlandırmak

Kime ve neye güveneceğimizi (başlıklar, logolar, e-posta adresleri) belirlemek için kısayollar bulma konusunda donanımlıyız. Kimlik avcıları, bir varlığın yasal olduğunu düşündüğümüzde korumamızın düşeceğini bilerek güvenilir markaları veya iş arkadaşlarını taklit ederek bu eğilimden yararlanırlar. E-posta doğru görünüyor... ama içgüdülerimiz hâlâ bozuk görünüyor. Çoğu zaman o içgüdüyü dinlemek akıllıca olur!

Aşırı merak kedilerden daha fazlasını öldürür

Merak temel bir insan özelliğidir ancak aynı zamanda bizi farkında olmadan tehlikeye de sürükleyebilir. Kimlik avı yapanlar, kışkırtıcı manşetler, sınırlı süreli teklifler ve rasyonel savunmamıza kısa devre yaptıran cazip eylem çağrılarıyla bizi tuzağa düşürüyor. Bir şeyler ters görünüyorsa tıklamadan veya yanıt vermeden önce duraklatın ve değerlendirin.

Aşinalık aldatmayı doğurur

Daha önceki korkunç, aşırı kişiselleştirilmiş kimlik avı mesajlarını hatırlıyor musunuz? Kimlik avcıları, kurbanın memleketi, ilgi alanları, işvereni, ailesi, son etkinlikleri veya seyahatleriyle ilgili kişisel ayrıntıları titizlikle araştırarak, bunları çevrimiçi dolandırıcılığa yönlendirir. Bu üretilmiş aşinalık, hedeflerin bilinçaltında gardlarını düşürmelerine neden olur.

Modern kimlik avı teknikleri neden hepimizi bu yeni hiper hedefli saldırı dalgasına karşı savunmasız hale getirdi?
(Resim kredi)

"Güvenilir kişilerden" gelen talepler biraz tuhaf göründüğünde normalde soracağımız ayrıntılı soruları sormak yerine, bu aşinalık bizi kör ediyor. Bir şirket yöneticisinin neden tanınmayan bir bulut uygulamasında dosya paylaşmamıza ihtiyaç duyduğunu veya uzun süredir müşterimizin neden bildirimde bulunmaksızın ödeme platformlarını değiştirmek istediğini incelemiyoruz.

Kendinizi modern yüksek riskli kimlik avına karşı korumak

Artık modern kimlik avının ve onun çok katmanlı stratejilerinin ardındaki kapsamı anladığınıza göre, bireylerin, işletmelerin ve devlet kurumlarının benzer şekilde karşı karşıya olduğu tehditler göz önüne alındığında, dolandırıcılığı tespit etmek için yalnızca hatalı yazımın tespitine güvenmek aptalca ve tamamen yetersiz geliyor. Kendinizi daha iyi korumanıza yardımcı olacak bazı ipuçları:

Kendinizi (veya çalışanlarınızı) eğitin

1 numaralı savunma, oyun alanını, yani en yeni kimlik avı taktiklerini ve stratejilerini anlamaktır. En son haberleri okuyun, güvenliği ön planda tutmak için düzenli kimlik avı simülasyonu eğitimi planlayın. Eğitimli bir işgücü, güvenli bir işgücüdür.

Teknik korumalarınızı sağlayın

Kötü amaçlı girişimleri sistemleri tehlikeye atmadan önce yakalamak için güçlü e-posta filtreleme, kötü amaçlı yazılımdan koruma, uç nokta güvenliği ve web korumalarını katman olarak kullanın. Yetkisiz erişime karşı ek bir koruma sağlamak için yazılımı düzenli olarak güncelleyin ve çok faktörlü kimlik doğrulama uygulayın.

Modern kimlik avı teknikleri neden hepimizi bu yeni hiper hedefli saldırı dalgasına karşı savunmasız hale getirdi?
(Resim kredi)

Güvenmeden önce doğrulayın

Harekete geçmeden önce herkesi istekleri iki kez kontrol etmeleri konusunda eğitin; kimlikleri farklı bir kanal üzerinden doğrulayın, bağlantılardaki URL'leri inceleyin, olağandışı davranışları sorgulayın. Ödeme veya veri isteklerini yalnızca bir e-postayla değil, güvenilir bir süreç aracılığıyla onaylayın.

Bir olay müdahale planı yapın

İşlerin ters gitmesi durumunda bir eylem planı hazırlayın. Başarılı kimlik avı saldırılarını derhal kontrol altına almak, araştırmak ve bu saldırılardan kurtulmak için rolleri, yanıtları ve iletişim planlarını tanımlayın. Hazırlıklı olmak hasarı en aza indirecektir.

Son sözü

Aşırı kişiselleştirilmiş sosyal mühendislik saldırıları ve ustaca teknik hilelerle, kimlik avcıları bizi aldatma konusunda her zamankinden daha iyi hale geliyor. İnsanlar muhtemelen merak uyandıran, aşinalığı güçlendiren ve güveni istismar eden planlara karşı her zaman bir miktar savunmasızlığa sahip olacaklardır. Ancak dikkatli davranarak, hem ticari varlıkları hem de kişisel güvenliği, son derece karmaşık modern kimlik avı taktiklerine karşı bile önemli ölçüde koruyabiliriz.


Öne çıkan resim kredisi: Freepik

spot_img

En Son İstihbarat

spot_img

Bizimle sohbet

Merhaba! Size nasıl yardım edebilirim?