Stronger_Cracker
- 25 Tem 2022
- 6,408 Mesaj
Kurumsal Farkındalık ve Prosedürel Savunma
GİRİŞ
2026 yılında sosyal mühendislik saldırıları;
- yapay zekâ destekli,
- çok kanallı,
- uzun vadeli güven inşasına dayalı,
- psikolojik tempo kontrolü içeren,
- finansal hedef odaklı
Bu doküman, teknik açıktan ziyade insan davranışını hedefleyen bir saldırı zincirini ele almakta ve kurum içi prosedürlerle nasıl kırılabileceğini göstermektedir.
GENİŞLETİLMİŞ SENARYO
Kurum Profili
- Orta ölçekli finans odaklı şirket
- Microsoft 365 altyapısı
- MFA aktif
- ERP üzerinden ödeme işlemleri
- Tedarikçi ödemeleri aylık yüksek hacimli
Finans sorumlusu (ödeme talimatı yetkisi var)
SESSİZ HAZIRLIK (OSINT + Profil Analizi)
Saldırgan 3 hafta boyunca hedefi inceler.Toplanan Veriler:
- LinkedIn paylaşımları
- Hangi günlerde ödeme çıktığı
- Tedarikçi isimleri
- E-posta imza formatı
- Yönetici isimleri
- Şirket duyuruları
- Kullanılan dil tonu
Yapay Zekâ Kullanımı:
- Kurumun diline uygun e-posta metni üretme
- Hedef kişinin yazım stilini taklit etme
- Ses klonlama hazırlığı
GÜVENLİK PANİĞİ (E-POSTA)
Konu: Hesap Güvenliği – Risk Skoru Yükseldi
Mail sahte ama domain çok benzer.
Psikolojik Tetikleyiciler:
- Hesap kaybı korkusu
- Süre baskısı
- Otorite dili
UYGULANAN SAVUNMA 1
Süreç dışı doğrulama taleplerinin reddedilmesi
Orhun Bey:- Linke tıklamaz
- Mail header kontrolü yapar
- Kurumsal rehberdeki IT numarasını arar
IT: “Biz böyle bir işlem başlatmadık.”
İlk girişim başarısız.
TELEFON SALDIRISI (VISHING)
Saldırgan arar:
Konuşma temposu bilinçli olarak hızlıdır.
Amaç:
- Karar kalitesini düşürmek
- Kontrolü ele almak
MFA YORGUNLUĞU
Telefon görüşmesi sırasında MFA bildirimi gelir.Bu, MFA Fatigue tekniğidir.
UYGULANAN SAVUNMA 2
Başlatılmayan MFA bildirimlerinin reddi
Orhun Bey düşünür:- “Ben giriş başlatmadım.”
- Bildirimi reddeder.
- IT’ye bildirir
- Hesabı geçici kilitler
- Şifre resetler
- IP analizi yapar
GÜVEN PEKİŞTİRME DENEMESİ
Saldırgan WhatsApp üzerinden mesaj atar:Amaç:
- Gayriresmi kanalı normalleştirmek
- Resmi kayıt dışına çıkmak
UYGULANAN SAVUNMA 4
Resmi süreçlerin mesajlaşma uygulamalarında yürütülmemesi
Orhun:Numarayı engeller. IT’ye raporlar.Kanal kontrolü ele geçirilemez.
FİNANSAL SALDIRI (IBAN DEĞİŞİKLİĞİ)
3 gün sonra tedarikçi taklidi mail gelir.
Mail dili kusursuzdur.
Ödeme günü yakındır.
Baskı yüksektir.
UYGULANAN SAVUNMA 3
IBAN değişikliğinde ikinci kanal teyidi + iki kişi kuralı
Orhun Bey:
- ERP’de kayıtlı IBAN’ı kontrol eder
- Sözleşmedeki resmi numarayı arar
- Satın alma müdürüyle birlikte teyit alır
Saldırı zinciri tamamen kırılır.
SALDIRI ANALİZİ
Bu saldırı teknik değil; davranışsaldır.Hedeflenen zafiyetler:
- Acelecilik
- Otoriteye uyum
- Yardım etme refleksi
- WhatsApp alışkanlığı
- MFA’ya otomatik onay verme
KURUMSAL KIRILMA NOKTALARI VE ÇÖZÜMLER
Süreç dışı doğrulama taleplerini reddet
IT şifre istemez.Link üzerinden doğrulama yapılmaz.Gelen arama değil, rehberdeki numara aranır.Başlatılmayan MFA’yı reddet
MFA bildirimi geldi ama siz başlatmadınız mı?- Reddet
- Ekran görüntüsü al
- IT’ye bildir
IBAN değişikliği = Yüksek Riskli İşlem
- İkinci kanal teyidi
- Sözleşmedeki numaradan arama
- 4 göz prensibi
WhatsApp resmi kanal değildir
- Ödeme
- IBAN
- Kimlik doğrulama
- Hesap işlemleri
SONUÇ
2026’da sosyal mühendislik:- Çok kanallı
- AI destekli
- Uzun vadeli
- Psikolojik baskı odaklı
- Eğitim
- Prosedürel disiplin
- İkinci kanal doğrulama kültürü
- Refleks haline gelmiş güvenlik alışkanlığı
KURUMSAL GÜVENLİK MANTRASI
- Başlatmadığın MFA’yı asla onaylama.
- IBAN değişikliğinde ikinci kanal teyidi şarttır.
- Gelen aramaya değil, rehberdeki numaraya dön.
- WhatsApp resmi süreç değildir.
